跨出“可信賴”的第一步

隨時在“百度”上一起輸入信息安全和微軟兩個詞，都會看到20萬余個相關(guān)的網(wǎng)頁。

“安全”顯然已經(jīng)成為微軟首要考慮的問題，無論是因為來自客戶的需求，還是微軟產(chǎn)品自身發(fā)展需要。自從比爾·蓋茨給所有員工發(fā)出一封信，要求大家“停下手中的工作”來保證產(chǎn)品的安全，微軟已對安全投入了全部的注意力。但就像NET戰(zhàn)略一樣，很多人并不清楚微軟的“可信賴計算”的真正含義，不了解這個概念對于微軟的意義，也不知道這個概念到如何推進。

九月下旬，微軟的幾位高層來京，與政府部門相關(guān)人士召開了“信息安全高層會議”。關(guān)于會議的具體內(nèi)容，微軟并沒有對外透露，而且表示這次“只是交流，不會有實質(zhì)的協(xié)議簽署”。但微軟數(shù)位負責信息安今的高層來訪，并與主管部門的內(nèi)部交流，這對于一向重視政府公關(guān)的微軟來講，應該是深度溝通前的路演。

如何架構(gòu)“可信賴計算”的市場環(huán)境，是微軟高級副總裁兼CTO克瑞格·蒙迪心里的難題，而在對他的訪談中，我們對“可信賴計算”概念的框架以及實施步驟也做了進一步了解。并對比爾·蓋茨近一年前提出的“無縫計算”遠景有了更深認識。

框架與進展

問：微軟為什么熱衷于講述“可信賴計算”這個概念?這個概念的含義是什么?

答：大概是在三年前的時候，微軟開始提出“可信賴計算”。在2001年“9·11”事件發(fā)生之前，實際上已經(jīng)有了一些恐怖活動在全球散布，我們之前就已經(jīng)提出了一個安全的概念。現(xiàn)在回頭看一下，我覺得當時提出這么一個想法是很有高見的。與此同時，微軟把這個概念結(jié)合到產(chǎn)品、網(wǎng)絡(luò)的各個方面中去。同時我們注意到，花大力氣改善我們自己產(chǎn)品的安全程度不足以廣泛推廣這個可信賴計算的概念，因此我們也給開發(fā)界的很多人士提供了很多應用的工具，讓他們用這個工具可以幫助改善安全。

我們認為可信賴計算有四個關(guān)鍵要素 安全性、隱私性、可靠性及商業(yè)信譽，它們直接影響著人們對認算的信任度。這里強調(diào)一點，可信賴計算會影響到微軟公司的每一個產(chǎn)品，以及它的每一個業(yè)務(wù)領(lǐng)域。

問：我們注意到微軟實際上推出可信賴計算已經(jīng)進入了第二階段后半部分，從整個框架來看，可信賴計算目前是在哪個階段，整體的布局是怎么樣的?

答：作為整個概念的一部分，我們在2001年底、2002年初的時候推出了visual studio以及NET這方面的計劃。當時安全問題基本上是采取問題發(fā)生再解決的方式，因此，我們以前的做法等于是采取被動的安全措施，而現(xiàn)在是要采取主動積極的安全問題的解決方法。這在整個微軟的系統(tǒng)當中，我們對所有的產(chǎn)品，從設(shè)計、開發(fā)到測試以及最后的維護，都是將這樣一個周期性的安全管理的概念融入在里面。

另外，我們的NET架構(gòu)以及可信賴計算會有一個新的發(fā)展，就是和萬維網(wǎng)的架構(gòu)密切相關(guān)的安全問題。以前安全問題基本上是在這些基礎(chǔ)架構(gòu)方面，也就是操作系統(tǒng)、瀏覽器還有傳輸方面的問題，但是現(xiàn)在這方面越來越多的問題則是出在應用領(lǐng)域以及提供服務(wù)網(wǎng)絡(luò)架構(gòu)有關(guān)的領(lǐng)域。

比如我們在萬維網(wǎng)的服務(wù)身份領(lǐng)域，以及萬維網(wǎng)服務(wù)的模型方面，對一些標準工作進行了很廣泛的參與。因此，我們希望通過可信賴計算這樣一個概念，可以學到很多的經(jīng)驗教訓和知識，這樣使我們的一些新技術(shù)得到更好的應用，更好的推廣到我們整個產(chǎn)品的生命周期的管理當中，使這些產(chǎn)品解決安全問題的能力包括在身份識別，通知以及健全方面都能夠得到加強。

問：微軟在美國已經(jīng)舉行了20多場安全峰會，顯示出對安全越來越重視，你們會不會在國內(nèi)舉辦類似的技術(shù)交流大會?

答：2003年微軟在中國做了一些培訓工作，在IT行業(yè)，包括客戶、非客戶這方面的培訓在中國很多的城市都做了，今年我們還會繼續(xù)這方面的工作。

我們一直在培育人們加強能力的一個領(lǐng)域，就是如何能夠建立并發(fā)展自己的安全系統(tǒng)、配合自己的安全系統(tǒng)。實際上微軟的產(chǎn)品都包括了安全功能，但是作為用戶來說他們不了解這些功能，或者不知道如何正確的使用這些功能。因此為了教育這些用戶，我們就把有關(guān)的問題，在研討會上進行討論，或者在我們的網(wǎng)站上將有關(guān)的信息登出來，這樣用戶可以知道如何保護好自己的系統(tǒng)。這些東西是分別是針對家庭用戶，IT人員或者是開發(fā)人員而做的。

“開放”背后的價值

問：據(jù)悉微軟和中國政府的一些承包商簽訂了開放源代碼協(xié)議，請問微軟和中國政府在GSP方面有哪些最新的進展?

答：我很高興微軟公司和國務(wù)院信息技術(shù)辦公室就這個GSP的問題進行了廣泛的交流，幫助他們來建立一個實驗室，并且通過這樣的實驗室對于有關(guān)的人員進行關(guān)于安全方面的培訓。他們現(xiàn)在已經(jīng)有能力進行一些分析，并且把部分反饋意見向我們加以說明，反映其他的問題。我覺得這種做法是非常可行的，我們還會繼續(xù)加強和中國政府有關(guān)部門的溝通。

問：最近有消息稱，微軟在Office產(chǎn)品上向各國政府開放90％源代碼，中國政府也包括在內(nèi)?

答：是的。對簽訂了GSP政府安全合作計劃的政府，我們都會把這方面的計劃進一步擴展也會把90％提供給他。

問：最早會在什么時候，能夠在中國看到這部分源代碼?

答：我不太清楚具體應該是什么時候能夠提供給中國政府，但是我認為不會太久。

問：在開放Office產(chǎn)品源代碼的計劃上，微軟會有哪些考慮?

答：世界上很多國家的政府都要求微軟公司在對Windows操作系統(tǒng)的源代碼進行開放以后，也對Office產(chǎn)品的代碼進行開放，他們主要是考慮到自己文件處理系統(tǒng)的安全問題，而且這些文件處理系統(tǒng)使用的人非常多。我們通過這個計劃，主要來解決兩個方面的問題。第一個就是他們的疑慮。以前用戶擔心使用Word處理文件的時候，怕隱藏源代碼或者有些文件會自動發(fā)出去，包括會在他們不知情的情況下把文件發(fā)給第三方。我們要解決了他們這方面的擔心。

第二個問題就是存檔方面的一個考慮，還有對其他系統(tǒng)的相互兼容，操作性這方面的考慮。盡管后者我覺得不會有很大的作用，但是我們?nèi)詴匾曔@個問題。例如2003年之前老版本的Office，它的格式是我們自己獨有的一種格式，將這種版本的源代碼提供給我們的用戶之后，對于進行文件存檔有很大幫助。在Offfce2003以后的版本，我們對產(chǎn)品的總體架構(gòu)進行了修改，因此這個問題的到了解決。當然政府部門出于對安全的考慮，他們可以拿到源代碼以后對安全問題、存檔問題以及相應的操作性問題進行很好的解決。

問：現(xiàn)在對開放源代碼的計劃是微軟長期戰(zhàn)略的一部分嗎，開發(fā)源代碼的計劃和微軟可信賴計算戰(zhàn)略之間是什么關(guān)系?

答：我們一開始推出可信賴計算的時候，主要是包含四個方面，分別是安全、隱私、可信賴和業(yè)務(wù)的完整性。作為參與政府安全計劃的一部分，我們等于是已經(jīng)從技術(shù)層面已經(jīng)解決了安全和隱私這方面的問題，但是后面的兩個問題，還只是從概念上給他們加以了解決。也就是說公司之間進行傳輸?shù)臇|西，保證是可靠的，是沒有什么隱藏的東西在后臺的。實際上微軟開放源代碼并非是一件新的事情，12年前我們就已經(jīng)這樣做了。我們很多這樣的計劃以前是大家所看不到的，我們后來又做了一個資源共享方案，把這些源代碼提供給我們的客戶。我們有40多個這樣的被稱為“共享資源”的授權(quán)，專門為一些客戶進行開發(fā)、設(shè)計，以量體裁衣的方式滿足他們的需求，授權(quán)給他們，這是我們以前的做法。現(xiàn)在我們有了一個政府安全計劃，可以說是以前活動的延續(xù)。通過這樣的做法，等于也是一種共享源代碼的方式來解決政府對安全方面的關(guān)注，我們還有很多類似的計劃在執(zhí)行。比如說WindowsCE版本的有關(guān)開發(fā)工具，我們也提供給客戶。包括對一些院校以及大型企業(yè)，我餓每年也是根據(jù)他們內(nèi)部的要求來為他們提供這樣的計劃，使他們內(nèi)部IT人員的程序編寫水平得到提高。這些計劃法今后還要繼續(xù)下去。

問：那么未開放的10％左右的源代碼是涉及哪些功能的，和安全問題有關(guān)嗎?

答：我的回答是NO。因為微軟過去是收購了第三方的一些技術(shù)，比如我們的拼寫輸入是屬于另外一家公司的知識產(chǎn)權(quán)，這個拼寫應該是和安全沒有什么關(guān)系的。但是我們跟對方簽署了授權(quán)協(xié)議，只能是供我們一家使用，我們不能把這個也公布給第三方，因此這個也屬于10％內(nèi)的沒有公布的東西。這10％應該是和安全無關(guān)、或是我們無權(quán)來跟大家共享的一些內(nèi)容。

反垃圾郵件的努力

問：剛才你提到制定身份識別標準的話題，是否微軟正在與各國政府還有互聯(lián)網(wǎng)國際組織進行合作，我想問一下目前合作的情況怎么樣?據(jù)悉有關(guān)郵件發(fā)送者身份識別的合作被拒絕了，是否遇到了一些難題?

答：關(guān)于身份識別以及與政府交流這個問題，我們和世界各國政府包括中國政府在內(nèi)的主要合作內(nèi)容一般只是涉及到有關(guān)立法和執(zhí)法方面的問題，而涉及到身份識別方面的技術(shù)問題是比較少的。可能隨著時間的推移，這個情況會有所變化。但基本上我們談合作都是涉及政策立法方面的問題，技術(shù)方面只是說做一個補充，不會直接就身份識別相關(guān)技術(shù)問題進行合作。

另外，微軟公司開發(fā)過一項技術(shù)，叫做呼叫者身份，最近又把它演化成發(fā)郵件者身份識別技術(shù)。這樣可以識別出來誰是郵件發(fā)送人，通過這樣的做法可以更好地控制垃圾郵件的傳播。對我個人以及公司來說，有關(guān)方面拒絕了我們經(jīng)過知識產(chǎn)權(quán)專利保護的一個技術(shù)，有一些失望。

問：為什么會很失望?

答：很失望的原因是，微軟公司在提出這個建議時明確一點，包括今天以及今后如果任何一方要實施這方面的技術(shù)不會收取任何費用。因此，我們可以說有關(guān)人士是假借知識產(chǎn)權(quán)和知識產(chǎn)權(quán)保護所謂有關(guān)的問題，借用這個理由，就等于讓這個事業(yè)無法進行發(fā)展。

我們的做法是免費讓人們使用，同時這種做法我們也是在世界各地的有關(guān)標準化的機構(gòu)當中，涉及到知識產(chǎn)權(quán)保護的一個標準的做法。在這件事情上盡管遇到很大的困難，但是微軟公司還是會努力推進這領(lǐng)域的技術(shù)發(fā)展，并把這項技術(shù)應用到我們所有的產(chǎn)品當中，以用來阻止垃圾郵件的傳播，但是別的公司會不會用，我無法確定。

編后語：

在聽到蒙迪談?wù)摗翱尚刨囉嬎恪钡臅r候，我們不禁想起了微軟的“無縫計算”計劃。

記得在2004年初，微軟在CES(電子消費品展會)上發(fā)布了最新技術(shù)規(guī)劃“無縫計算”，即要利用當前的計算技術(shù)與更多的領(lǐng)域進行融合，消除不同軟件系統(tǒng)之間所存在的界線，形成一個無縫連接的環(huán)境。按照蓋茨的解釋，在“無縫計算”的世界里，人們可以實現(xiàn)在任何時候、任何地點、任何設(shè)備得到任何想要的信息。

盡管以前的“維納斯”和“NET”計劃一直為業(yè)內(nèi)人士詬病，但微軟帝國不會停止下對一個商業(yè)宏圖的憧憬，并且會繼續(xù)投入更多人力物力。這包括今年6月28日，微軟與長虹就信息家電領(lǐng)域簽訂的全面戰(zhàn)略協(xié)議。在全球PC市場的萎靡趨勢面前，如何尋找新的利潤增長點是具有戰(zhàn)略意義的事情，從PC到手機。家電，“無縫計算”的意圖顯而易見。但是對新的市場推進并不意味著對原有市場的放棄，繼續(xù)挖掘PC市場的潛力和需求，比如“安全”問題，并把這種影響力擴展到除PC市場以外的領(lǐng)域，是“可信賴計算”與“無縫計算”之間一些千絲萬縷的內(nèi)在聯(lián)系吧。比爾·蓋茨一年前說過，要對“可信賴計算”投入最多的資金、人力和智慧，或許現(xiàn)在“可信賴計算”的一小步，就是將來“無縫計算”的一大步。