劉劍亮

（中國聯(lián)合網(wǎng)絡(luò)通信有限公司廣東省分公司 廣東省廣州市 510627）

大數(shù)據(jù)、云計算、人工智能、物聯(lián)網(wǎng)，諸多新興科技的發(fā)展助推著這個時代背景下社會經(jīng)濟的發(fā)展，與之相關(guān)的數(shù)字經(jīng)濟得以增長且面向城市的智慧物聯(lián)建設(shè)也應(yīng)運而起。數(shù)字化驅(qū)動讓經(jīng)濟的發(fā)展模式發(fā)生了改變，而蘊含在其發(fā)展過程中網(wǎng)絡(luò)基礎(chǔ)上的數(shù)據(jù)信息傳輸也將面臨新的安全危機，彌補傳統(tǒng)模式下信息傳輸?shù)穆┒矗瑥男碌慕嵌忍岢雠c數(shù)據(jù)信息傳輸安全相關(guān)的體系尤為重要，更是解決當下數(shù)字時代發(fā)展?jié)撛诎踩C問題的有效方案之一。以信任為基礎(chǔ)搭建信任關(guān)系進而構(gòu)建信任體系，成為了主流發(fā)展趨勢，其承載的更是與智能、算法及應(yīng)用等技術(shù)相關(guān)的更高標準及發(fā)展訴求。

1 傳統(tǒng)的信任理論

信任是一個融合了多學(xué)科知識及認知理念的復(fù)雜概念，涉及到哲學(xué)、政治學(xué)亦或是道德等觀念，自20世紀出現(xiàn)至今被國內(nèi)外學(xué)者在研究界廣為傳遞。如今，信任的理論模型不僅應(yīng)用到了社會公共治理領(lǐng)域，帶著新技術(shù)的攝入更是被推進到了科技發(fā)展范圍內(nèi)。但傳統(tǒng)對于信任理論的解釋，依然僅停留在了經(jīng)濟學(xué)、政治學(xué)及心理學(xué)范圍。在經(jīng)濟學(xué)解釋中，信任被定義為市場經(jīng)濟發(fā)展的潤滑劑，是鏈接企業(yè)與消費者的樞紐，曾有著名學(xué)者阿羅（Kenneth Joseph Arrow）概論經(jīng)濟學(xué)領(lǐng)域中的信任，指出其是市場經(jīng)濟的重要組成部分，是企業(yè)難以買到的獨特的商品，對市場各主體間的鏈接及活動起著助力作用。

政治范圍內(nèi)，對于信任的概述則側(cè)重于從國家制度、官僚以及道德、治理等方面而提出，以日本政治家福山（Francis Fukuyama）的觀點為代表，其著作《信任：社會道德與繁榮的創(chuàng)造》中明確提及對于一個國家而言信任是文化中的重要要素，更是鏈接國家范圍內(nèi)宗教、傳統(tǒng)、歷史等文化的基石，其建立的穩(wěn)固性直接關(guān)系到國家內(nèi)企業(yè)的發(fā)展規(guī)模及企業(yè)于世界范圍內(nèi)的競爭力。而心理學(xué)范圍內(nèi)對信任的定義更多是與人際關(guān)系相關(guān)，提及的是個體對情景的心理反應(yīng)，承載著一方對另一方的意圖或行為而展現(xiàn)出的心理變化狀態(tài)。

由此可見，傳統(tǒng)的信任是一種主體間的雙向動態(tài)關(guān)系，是社會關(guān)系及風(fēng)險發(fā)生的約束條件。傳統(tǒng)信任的成立及維護需要一定的機制和成本，如心理情感上的信任就需要建立在一定的理性認知或是計算博弈基礎(chǔ)上，當然也包括社會性權(quán)威或道德規(guī)范等，其體現(xiàn)的是一種社會性的價值。

2 數(shù)字時代下的信任核心

隨著社會經(jīng)濟的發(fā)展、科學(xué)技術(shù)的進步，從農(nóng)業(yè)文明到如今的數(shù)字文明，社會中各主體間的依存關(guān)系顯然已發(fā)生了改變，針對所面臨的社會風(fēng)險針對信任關(guān)系的建立也悄然發(fā)生了變動?；蜿P(guān)系到網(wǎng)絡(luò)化、智能化、自動化等建立在一定互聯(lián)、移動等設(shè)備、技術(shù)應(yīng)用基礎(chǔ)上，信任關(guān)系及其體系所展現(xiàn)的是一種新形勢下的數(shù)字化高科信任關(guān)系特征。

圖1：服務(wù)平臺下的可信任安全體系

這種特征蘊含了信息溝通的機制、蘊含了數(shù)據(jù)泄露、更加凸顯了數(shù)字空間與實體物理的深度融合性，諸多新概念的提出表明基于當下時代發(fā)展背景，信任而提出必要凸顯的是一種數(shù)字化特征，從硬件到核心軟件流程都需具備能迎合數(shù)字場景而建立。為此，數(shù)字身份便成為了數(shù)字信任的核心基石，也是當下信息互聯(lián)網(wǎng)運用中信任體系構(gòu)建的根本理念，即以智能終端、算法程序、數(shù)據(jù)網(wǎng)絡(luò)鏈接為應(yīng)用途徑，以規(guī)避網(wǎng)絡(luò)風(fēng)險為目標，旨在建立一種迎合科技及場景應(yīng)用而搭建的動態(tài)化響應(yīng)機制，被視為可信任安全體系，提及的是更能服務(wù)于數(shù)字經(jīng)濟市場、政府數(shù)字治理平臺以及區(qū)域、國際化市場貿(mào)易及新興科技進步等方面的高效安全措施。

3 可信任安全體系的智能化技術(shù)研究

從技術(shù)角度出發(fā)分析當下可攻擊到網(wǎng)絡(luò)安全的安全危機，或夾雜著與自動化、智能化相關(guān)的技術(shù)特點，當然涉及到此類技術(shù)應(yīng)用更加出現(xiàn)在軟件檢測、入侵檢測亦或是欺詐等安全應(yīng)用和業(yè)務(wù)方面。由此，關(guān)注數(shù)字科技而提及的安全防御機制，從信任角度出發(fā)而設(shè)立的體系更要凸顯具備智能化操作的特點，結(jié)合人工智能+安全繼而成為了當下安全防護的新科技發(fā)展指向。

從人、流程到技術(shù)、數(shù)據(jù)的融合，面向動態(tài)防御、檢測、響應(yīng)及預(yù)防恢復(fù)等，構(gòu)成的是安全體系的重要環(huán)節(jié)，且要具備高度的自動化水平從智能角度輔助人來提升網(wǎng)絡(luò)安全運營的效率，這也是所述提出的智能安全信任體系，其借助的是AISecOps 技術(shù)，囊括了數(shù)據(jù)覆蓋率、數(shù)據(jù)多樣性以及數(shù)據(jù)規(guī)范性等多樣指標，從分析層面出發(fā)構(gòu)建出場景加以覆蓋，最終層次化的設(shè)定并建立起自動防范機制。

AISecOps 技術(shù)下的智能化可信任安全體系，極大的彌補了傳統(tǒng)人工處理數(shù)據(jù)的不足，借助自然語言處理等技術(shù)能有效的分析威脅情報進而構(gòu)建專家系統(tǒng)的對話結(jié)構(gòu)，最終承載于成熟的圖像處理技術(shù)而生成直觀的顯示，優(yōu)化打造的智能安全能從危機檢測、評估、關(guān)聯(lián)及響應(yīng)各個環(huán)節(jié)出發(fā)加以防范。其內(nèi)部包含環(huán)境自適應(yīng)、輸出可解釋、持續(xù)學(xué)習(xí)以及面向可審計的安全合規(guī)、符合道德約束、支持隱私等模塊協(xié)議構(gòu)成。所謂的環(huán)境自適應(yīng)，即是針對動態(tài)化的網(wǎng)絡(luò)環(huán)境而提出全數(shù)據(jù)范圍下的詳細分析，拓展到分類準確率、異常檢出率、誤報率等各指標都具備真實有效的處理能力。而輸出可解釋，即是從智能體角度出發(fā)，融合人可解釋的方式對智能決策進行輸出，由此建立起的是人與機器的深度溝通關(guān)系。持續(xù)學(xué)習(xí)，更是人機協(xié)調(diào)發(fā)展的關(guān)鍵，針對安全從數(shù)據(jù)、信息、知識閉環(huán)角度打造多方關(guān)系鏈接，凸顯其自身可持續(xù)優(yōu)化的特點。當然，這種智能化的可信任安全體系在應(yīng)用過程中必須強調(diào)的是其所具備的魯棒性和安全性，能抵抗住算法、模型亦或是系統(tǒng)而帶來的攻擊才能最終確保整個數(shù)字網(wǎng)絡(luò)環(huán)境下對其應(yīng)用的安全防御性，與此同時，可審計的借口及合法合規(guī)的規(guī)范限制更是可信任安全體系搭建及智能化應(yīng)用實施該首要考慮的重要方面。

4 可信任安全體系的應(yīng)用及效果體現(xiàn)

4.1 服務(wù)平臺下的可信任安全體系

采用智能化實施方案的搭建的可信任安全體系，應(yīng)用到社會服務(wù)領(lǐng)域中其信任傳遞及安全保障尤為重要，它是支撐網(wǎng)絡(luò)服務(wù)確?！吧矸荨卑踩暮诵?，更是從方便、快捷、準確等方面提出的服務(wù)高效性的重要途徑。基于可信技術(shù)、確保用戶身份可信、平臺可信、用戶行為可信，便可實現(xiàn)一個可信、有序、易管理的安全保護環(huán)境，為信息系統(tǒng)的安全提供保障。涉及到主體、客體、節(jié)點及網(wǎng)絡(luò)標識，可信任安全體系架構(gòu)中設(shè)置內(nèi)容如下：

（1）可信任身份的提供：所謂的身份提供解決的是“你是誰？”的問題?；诖吮苊鈧鹘y(tǒng)意義上采用的用戶名/口令方式易假冒、易劫持的問題，為用戶提供高強度的可信身份。

（2）有效訪問授權(quán)的賦予：可信任安全中可通過PMI 技術(shù)為系統(tǒng)用戶提供權(quán)威的、防篡改、抗抵賴的、高強度的對象屬性、應(yīng)用操作碼等屬性權(quán)威，其目的是完成“你能做什么？”的可信授權(quán)。

（3）密鑰設(shè)置：通過數(shù)據(jù)簽名技術(shù)，采用用戶私鑰對行為數(shù)據(jù)或挑戰(zhàn)數(shù)據(jù)及時間數(shù)據(jù)進行簽名從而達到抗抵賴的目的。結(jié)合用戶數(shù)字證書進行全程數(shù)據(jù)審計，任何行為或動作皆可定位到人，以解決“你做了什么？”的問題。

（4）數(shù)據(jù)完整性的保存及保密機制：通過證書加密、數(shù)據(jù)簽名等方式從信道層到數(shù)據(jù)層全方位保護數(shù)據(jù)的完整及保密性。

（5）合規(guī)合法性的提供：包括認證、授權(quán)、密鑰設(shè)置及數(shù)據(jù)防護在內(nèi)其都是建立在基于數(shù)字證書、數(shù)據(jù)簽名的安全體系支持之下完成，因此，需要充分滿足《中華人民共和國電子簽名法》等相關(guān)制度規(guī)范的要求。

（6）單點登錄要求的提出：在如今信息化建設(shè)的深入發(fā)展中，信息化系統(tǒng)日漸龐雜，用戶在使用這些系統(tǒng)時，每次都需要輸入密碼來完成身份驗證，用戶必須同時牢記多套用戶賬號和密碼。建立應(yīng)用可信任安全體系，可通過用戶身份管理和訪問控制實現(xiàn)只需要登錄認證一次的效果，再訪問其他受保護的信息資源時，不再需要重新登錄驗證。

由此建立的可信任安全體系，從可信身份、可信授權(quán)、可信數(shù)據(jù)和可信審計等方面都能充分保證信息的保密、完整及可信安全控制下的高可用能力。

4.2 服務(wù)平臺下可信任安全體系的應(yīng)用效果

4.2.1 以“身份”為核心提升可信任安全體系的應(yīng)用效果

“身份”的建立以標識、憑據(jù)、屬性等方面為關(guān)鍵要素加以設(shè)立，其創(chuàng)建的模型可為服務(wù)平臺網(wǎng)絡(luò)提供唯一認知標準，實現(xiàn)“身份”的信任傳遞，最終達成的是認證及互認的目的。過程中，借助密鑰或生物識別等技術(shù)更能提升其識別的準確率，構(gòu)建面向客戶而搭建的安全信任認證途徑，即能獲得高效的隱私保護。

4.2.2 信任傳遞及實名服務(wù)監(jiān)管助增可信任安全體系的效力

在可信任安全體系的應(yīng)用中信任傳遞、認證服務(wù)、實名認證以及服務(wù)監(jiān)管等輔助子系統(tǒng)的設(shè)立能更加提升可信任安全體系應(yīng)用的效果。首先，信任傳遞利用的是身份認證，構(gòu)建的是全網(wǎng)范圍內(nèi)的認證服務(wù)信任關(guān)系，實現(xiàn)的是用戶與業(yè)務(wù)系統(tǒng)間的強身份識別及鑒別。針對自然人或企業(yè)法人都會推出不同的認證服務(wù)登錄或鑒別機制，包括劃分等級在內(nèi)都可確保信任的安全性。結(jié)合人工智能技術(shù)，認證中包括人臉識別、聲控指紋等在內(nèi)，生物認證方式的靈活配置也進一步提升了認證多模態(tài)的組合方式，增強了其安全等級。同時，借助實名而設(shè)定的信任驗證，更是當下互聯(lián)網(wǎng)上大量采用的方式，建立實名驗證服務(wù)子系統(tǒng)，提升實名驗證的動態(tài)性，即能確保實名驗證伴隨服務(wù)的整個過程。

除此之外，可信任安全體系應(yīng)用下的監(jiān)管也是應(yīng)用實踐中確保安全的重要方面，它涉及到針對安全性能而實施在線監(jiān)測、或社會性監(jiān)測等，承擔區(qū)域內(nèi)身份認證而進行的信息收集、存儲、歸集整理等都將是監(jiān)管的特定方面，關(guān)系到依托大數(shù)據(jù)而進行相關(guān)功能項下的數(shù)據(jù)分析與挖掘，繼而可為信任安全體系提供可視化的功能監(jiān)管結(jié)果，借此可分析獲得有助于服務(wù)安全提升的可應(yīng)用策略。

5 總結(jié)

建立在可信任技術(shù)下，以數(shù)字標簽為基礎(chǔ)而執(zhí)行一體化管理的安全保障手段，已面向如今的數(shù)字互聯(lián)網(wǎng)環(huán)境提供了相互關(guān)聯(lián)、相互支撐以及相互制約的安全體驗。有序、可認證以及可管理構(gòu)成了這個可信任安全體系的基本特征，結(jié)構(gòu)性的體系特點更是從技術(shù)性角度彌補了傳統(tǒng)信任體系應(yīng)用的不足，且面向未來高科技術(shù)的更深入發(fā)展，以智能化為突出特征的可信任安全體系的完備更值得被關(guān)注。