防火墻之父：安全就是關注細節
防火墻的安全就是關注細節，Marcus J. Ranum是IT安全領域全球知名的專家和創新者，在行業內備受贊譽。二十年前，他設計并創建了 Digital Equipment Corporation's （DEC） Secure External Access Link，即很多人所認識的第一款商業防火墻產品。
他曾經擔任過多家知名企業的首席安全主管，并曾經負責管理白宮的電子郵件系統。他曾經為財富500強中的多家企業提供過安全咨詢服務。Ranum目前居住在賓夕法尼亞州的一個遠離城市和寬帶網絡的農場里。他很希望看到IT安全領域的戰爭結束，即使這意味著安全行業消失。
您為什么會加入信息安全行業？您最感興趣的是什么？
其實我進入這個行業是很偶然的，那時候我在DEC的老板Fred Avolio讓我負責公司的一個互聯網網關，并讓我“建立一個像Brian Reid 和 Bill Cheswick那樣的防火墻”。20年后的今天，我覺得我還是在繼續這個項目。老實說，我沒在計算機安全行業發現什么有趣的事情，一旦你理解了策略的問題，剩下的就是花大量精力關注細節。
我在安全領域發現的最有趣的事情，大概就是有關于人們面對安全問題時的反應：他們總是想盡量安全的去做那些很危險的事情，而當你告訴他們這樣做不可以的時候，他們通常都很憤怒。所以在我看來，整個行業就是一面是希望和努力，另一面是憤世嫉俗和無知，這兩者之間的博弈。
您認為目前信息安全領域最普遍的問題是什么？該怎么解決呢？
信息安全領域最常見的一個問題也是我們從來沒有去過多關注的，就是在終端系統上實現可靠的軟件（安全性也是屬于可靠性的）。這包含了操作系統設計和編碼的可靠性，目前這兩個方面的趨勢是反向發展的。因此，也就出現了目前流行的“云計算”，即將主框架虛擬化：承認了目前終端設備具有很差的管理性能以及不可靠性，將數據和處理過程交由更好的數據維護機構去維護和管理，確保數據的可靠性，并降低IT部門的成本。
當然，這只是癡人說夢。為什么呢，因為令我們的終端系統出現不可靠性的因素同樣出現在建立云服務的過程中。
那么該怎么去解決這個問題呢？重申一下，這個趨勢的發展方向是錯誤的，而解決之道需要先進的技術管理模式，通過適度的投標需求，良好的軟件工程，以及嚴謹的工作態度，而不是只考慮投標價格最低的供應商。這樣整個趨勢才可能自己修復。
我們需要做的就是全力關注可靠性，即包括品質在內的各種內容。
您并不贊賞黑名單模式，但是業界很多公司都在經營基于黑名單的安全產品，并且相當成功。您能解釋一下您為什么不看好黑名單模式，以及您是否認為未來白名單將占統治地位？如果白名單成為主流，那么安全行業的收入狀況將發生什么樣的變化？
不是這樣的，我本人是黑名單模式的大粉絲!這是一個非常重要的技術!只不過這個技術并沒有回答廣大用戶的一個疑問，即“這個軟件到底好不好？”。黑名單是用來鑒定某個內容的最佳技術，因為它不但可以回答“這貨是壞的嗎？”這個問題，還能告訴我們“這貨到底是神馬？”這非常符合人性的特點，即想對自己接觸到的東西進行確認。這就是基于特征碼的入侵檢測/預防系統以及基于特征碼的殺毒軟件能得到廣大用戶支持的原因。這個技術很好理解，實現起來也很容易，并且可以持續不斷的銷售升級版本的特征庫。
當你聽說像Symantec這樣的大公司都說黑名單不靈光的時候，我覺得這就是一個很重要的信號了，而目前安全軟件行業的大部分廠商還是停留在有盈利就萬事OK的階段。目前行業中存在一個趨勢，即建立一個基于云的完全混合的黑名單，這似乎是可以得到不少用戶的信賴和認可，但是從長遠看，這種動態黑名單也不會比現在的靜態黑名單強多少。這里我所述的強弱是指“幫助客戶解決惡意軟件問題”，如果你的意思是指“幫助殺毒軟件廠商解決他們自身的財務問題”，那我肯定會說，這個動態黑名單非常有效，并且在相當長一段時間內都會讓這些廠商眉開眼笑。
另外，我還問過很多IT經理相同的問題：“你為什么要給客戶一臺電腦？如果你知道客戶為什么想要一臺電腦，為什么你不將電腦設置成只能執行客戶所需的那幾種功能，而其它功能一概不能執行。”這里所說的其它功能，包括比如“加入僵尸網絡散發垃圾郵件”。我一直很困惑，為什么很多IT經理都說很難知道客戶的電腦中到底運行了多少軟件。我認為這是IT部門分內的事情。如果我的公司給我配了一臺電腦，讓我能夠收發電郵，編輯公司的文檔，那么應該很清楚的知道我電腦里應該會有一些文本編輯工具或辦公套件，以及一個電子郵件客戶端程序，能讓我順利收發電子郵件，除此以外，應該就不會有別的程序了。有一段時間，我覺得那些強大的智能手機上運行的軟件商店是一個很不錯的實現軟件管理的方式，完全可用于桌面電腦系統，幫助提高系統的安全水平。但是后來我發現軟件店成為了黑客的首選目標，軟件店里的軟件成為了黑客散布病毒的最佳載體。
因此，你還是需要一個黑名單系統，這樣你就可以告訴某人：“你剛剛要安裝的那個軟件叫做 Stuxnet”，這很不錯，而且很有用。但是你更需要的是白名單，因為這樣才能體現出你到底想要你的電腦做些什么。我們可以拿一個防火墻策略來說明這個問題，傳統的策略無非是默認拒絕和默認通過這兩種。安全意識高的用戶一般選擇默認拒絕，而那些選擇默認通過的用戶，就要花很多時間來處理各種意外情況。二者的差別相當明顯。
至于安全行業收入的問題，誰又會在意呢？就好像沒有人會在意內燃機的出現對蒸汽機行業的沖擊一樣。事實上，我覺得如果有一天我們都能從安全威脅中解放出來，把安全工具扔到一邊說“沒問題了，我們編個游戲玩吧!”，那簡直就太好了。不管你信不信，在防火墻行業剛起步的時候，我還打算把全部安全所需的產品開發出來呢，那時候覺得無外乎就是基于策略的訪問控制，離線認證，點到點加密以及提高這些軟件的品質。而到了90年代末期，瘋子掌管了瘋人院，于是結果就不言自明了。#p#
企業針對移動設備的安全策略
你曾經說現在的企業沒有毅力控制個人設備進入企業。真的是這樣嗎？目前企業平臺的安全性不足以確保員工自己的設備的安全嗎？
讓我來反問你一下，好嗎？你覺得如果美國政府宣布，核導彈系統的控制軟件已經移植到iPad上了，并且導彈部隊的官兵可以用自己的iPad來運行和管理導彈系統，從而大大降低了導彈系統的管理成本。你覺得這事兒靠譜么？
這是視情況而定的：取決于事情的危機程度，對象的可替代程度，還有就是一旦出現問題，能否及時清除問題，以及你是否真的希望出現問題。只要是采訪過公司數據泄漏，銀行信用卡信息泄漏之類新聞的記者，都不會問你這個問題。
你問我的問題應該是：為什么企業能容忍制作的這么糙，這么難以管理的系統和軟件存在，以至于他們都不知道該拿這些系統和軟件怎么辦了。但是他們還是讓用戶通過這些軟件和系統登錄自己的銀行賬戶。他們這是不是腦殘啊？這不可避免的帶來了諸如不良的配置管理或不良的系統管理問題，或者說企業根本不懂IT。
沒錯，我就是在痛斥如今IT管理領域的一些趨勢。
你還認為入侵測試和打補丁同樣會讓軟件越來越安全嗎？軟件廠商會改變他們對于安全問題的態度嗎？
是的。對于雕刻家來說，他可以一開始面對一塊大理石，逐步去掉所有不像天使的部分，最后展現給人們一個天使雕塑，但是對于軟件來說就不是這樣了。你不可能一開始就把一個設計的垃圾一樣的產品歸入企業級軟件的行列，然后不斷的推出補丁進行修補，慢慢讓它符合企業軟件的標準。不管你怎么修飾，它還是垃圾。
軟件行業現在基本上認識到了這一點，偶爾你還能看到某個軟件重新編寫了內核，因為最初的版本太局限。隨著軟件越來越復雜，功能越來越多，開發人員一般都開始使用源代碼版本控制工具，單元測試工具，回歸測試工具等進行管理。
問題在于，現在的軟件行業是一個以上市時間為首要目標的行業，因為上市時間決定了回報大小，要他們做一些會影響到上市時間的工作，就好像在逼它們成為失敗者一樣。有時候可以通過一種模式來改變這一現狀，即“先開發一個測試版，放到市場上吸引用戶，如果成功了，就吸取其中的經驗，在稍后開發一套正式版本”，但是我怕很多廠商會把第一個測試版的內核拿過來作為產品未來十年的內核用。實際上我們見到的很多軟件都是這樣的，最終結果并不好。
你曾經預測6-10年內黑客將不再是很酷的稱號，對非技術人員的安全培訓將毫無成果。您現在怎么看？
我想，至少我要感謝一下惡意軟件和僵尸網絡，以及職業化的網絡罪犯，正因為他們，很多“正常人”都已經對黑客文化沒什么印象了。而人們對于“灰帽子”社團的網絡盈利模式也已經很清楚了，因此我覺得黑客社團應該想辦法處理一些名譽的問題了。
至于對非技術人員的安全培訓問題，我可能是預測錯誤了。我的錯誤不在于說培訓沒用，而是錯在了我覺得新一代的領導層能更好的重視安全問題。而且在我看來好像更糟糕了。
哪種手機平臺，或者您希望哪種手機平臺會最終勝出，是開源的安卓，非開源的蘋果系統還是黑莓。
我希望他們都完蛋，當然，從長遠看，這是必然的。有一首歌叫做"Every OS Sucks" 很好的總結了我的觀點。我透露一點：我買了個iPad，因為它放電影不錯，而且不會被當做是手機。我真的挺喜歡“軟件店”這種軟件交付模式，它比讓用戶自己尋找軟件，下載軟件，再安裝軟件的方式好多了,既方便了用戶，又能確保用戶手機里不會裝太多亂七八糟的東西。但是我還是擔心軟件的代碼品質。
隱私保護的神馬都是浮云
您曾經告訴我隱私就是個神話，是少數特權者持有的東西。現在您還是這么認為嗎，您認為未來隱私保護的發展會是什么樣的？
我想我之前說過的隱私問題更多的是針對富人和權力者的。而我們最近能看到，這種虛偽的保護隱私的面具已經被揭開了：美國政府繼續保持它慣有的對隱私的踐踏，并且不斷的在為自己和其走狗的犯罪行為進行開脫。比如說，如果你閱讀了Sarah Palin（阿拉斯加州州長）的郵件，你會給自己惹上麻煩，但是如你讀了Joe Average的郵件，你就是FBI了。隱私權是特權者的權利，因為特權者需要借助隱私權的名義防止人們知道自己利用權利獲得了什么好處。
另外，現在地球人好像都熱衷于加入社交網站。社交網站本身就是一個收集并轉售市場營銷信息，同時將廣告直接貼到用戶臉上的大型信息販賣中心。而當用戶發現自己的信息遭到泄漏和販賣時，反而還責怪社交網站，殊不知人家建立網站的初衷就在于此,你還能指望什么呢？實際上，我自己并不在意隱私問題，幾年前，我就開始采用一種相對開放的生活方式。只要你愿意，你可以很方便的得到我的各種信息，姓名、住址、郵箱地址、我飯量多大、喜歡聽什么音樂，甚至我晚上跟誰睡覺你都能知道。但是有一些小的隱私問題確實讓我很惱火，而這基本都是跟愚蠢的商業行為掛鉤的。比如在過去15年，我每月都會從同一家銀行收到信用卡申請單，我曾經不止一次的告訴他們我不需要申請信用卡，但是他們還是照常寄送。還好我有個大垃圾桶，既然他們不介意成本浪費，我也就只好滿足他們了。
我讀過您的“六個最愚蠢的觀點”一文，除此以外您還對哪些觀點有不同意見呢？
那個文章最初列出的愚蠢觀點稍多于六個，第七個應該是寫“忽略信任傳遞”。當時寫這篇稿子的時候我正被困在法蘭克福機場，我太累了，所以具體的解釋內容就變得心有余而力不足了。另外，如果我夠膽，我還會告訴喜歡進行項目外包的企業和云計算粉絲們，“現在的成本節約就是永遠的節約”這個想法是多么愚蠢。
能簡短的解釋一下為什么您將網絡戰爭說成是頭腦風暴么？
我這么說有很多原因：技術，策略，和邏輯。這都是頭腦風暴的特點。推動網絡戰爭言論的人基本上要么是危言聳聽（說國家將遭受巨大經濟損失）或者根本就不明白戰爭實際上是局部地域的，而網絡戰爭只是個閃亮而不切實際的玩具而已。不幸的是，由于有大量利益涉及其中，很多人已經顧不得理會合理的反對意見了，或者是被有些人描繪的城市陷入火海的畫面嚇到了，出于本能的恐懼而站到了支持方。
有個最短小的理由可以來駁斥那些預言發生網絡戰爭的人：只有那些確信自己能打贏任何常規戰爭的國家，才有可能發動網絡戰爭。因為那些能力不足以打贏常規戰爭的國家，如果對美國發動網絡戰爭，必然會引發常規戰爭，而對于美國這個全球部署戰斗力的國家來說，常規戰爭的勝利是必然的。網絡戰爭的鼓吹者們經常把網絡戰爭和網絡犯罪，網絡間諜，網絡恐怖活動等混在一起，統稱為網絡戰爭，而實際上，這些活動各不相同，有些還是互斥的。
【編輯推薦】
