壯士斷“網”的背后：俄羅斯組建 “主權互聯網”

吳健　李大群　常立軍

近段時間，關于“俄羅斯實施切斷與互聯網連接的演習”的報道引起外界關注。據英國BBC報道，從3月19日至月底，俄羅斯展開戰略性質的網絡安全演習，旨在“遭遇外國攻擊”時通過暫時“切斷”網絡連接并改用本國主權網絡Runet，以確保安全。此舉是俄羅斯落實《主權互聯網法》的一部分，法案賦予政府和互聯網運營商進行定期網絡演習的權力，目的是保證國家“數字邊疆”的安全。

“邏輯斷網”是關鍵

從技術上講，“斷網”有兩種方式：物理斷網與邏輯斷網。物理斷網是指通過切斷跨境光纜傳輸或阻斷互聯網交換點，從通信鏈路上徹底切斷目標區域與國際互聯網的聯通。一般而言，物理斷網對網絡結構簡單、規模較小的地區容易奏效。對大國而言，鑒于互聯網對等互聯的特點，對其實施物理斷網，需同時切斷大量跨境光纜，或攻擊多個地區由不同網絡運營商維護的互聯網交換點，實際操作非常困難。邏輯斷網系通過中斷互聯網尋址邏輯，導致目標國家網絡連接中斷。現有互聯網體系結構之下，域名服務是互聯網實現尋址的事實標準，網址域名需由全球域名系統（DNS）的域名解析服務器翻譯成網絡地址，才能建立連接，實現訪問。如果控制了域名服務器，就可以利用這一邏輯尋址機制，停止對某國的域名解析服務，導致無法正常訪問國際互聯網資源，造成斷網。俄羅斯的“斷網”測試大體就是針對“邏輯斷網”展開的。

2018年5月9日，俄羅斯莫斯科，莫斯科紅場舉行勝利日大閱兵，紀念衛國戰爭勝利73周年。

為了解決過度依賴DNS的問題，俄羅斯通信部2014年進行過演習，模擬“關閉”全球互聯網服務，并使用俄羅斯備份DNS支持國內網絡運營。美國“ZD Net”網站介紹，2018年，俄羅斯的備份DNS進行過第二次測試，這一做法也會運用于今年的測試中。俄政府計劃在2020年控制全國95%以上的網絡流量。BBC稱，脫離互聯網測試要求網絡運營商更新網絡基礎設施，將用戶數據導向政府控制的路由節點，過濾網絡流量，阻斷與國外計算機的信息交流。俄政府已同意向網絡運營商撥款，用于更新設備。目前各方正在商議適當的技術方案，以便在“讓俄羅斯脫離互聯網”的同時，最大限度地減少用戶和政府機構的“停機時間”。

20億盧布被盜?

2014年初烏克蘭危機爆發后，美俄從經濟到軍事發生全面對峙，2018年9月美國進一步發布《國家網絡戰略》，重點關注“俄羅斯等造成戰略威脅的國家”，強調從軍事、經濟和科技等領域對俄實施全方位網絡安全博弈，要求政府采取更具攻擊性的姿態，充分運用國家權力工具，從網絡抗衡戰略對手。俄羅斯實施“斷網”測試可謂未雨綢繆，就是為最壞的情況做好應變。

眾所周知，美國發明了互聯網，1969年，美國國防部高級研究計劃署為未來戰爭建立了世界上第一個分組交換試驗網ARPA NET。1989年9月，美國政府資助建立互聯網域名與地址管理機構，美國商務部授權其管理互聯網根服務器。目前，支撐互聯網運轉的域名系統（DNS）的根服務器共有13個，唯一的主根服務器設在美國，12個副根服務器中也有9個在美國。美國一直利用互聯網發源地優勢，掌控互聯網主動脈與核心技術，完全有能力切斷一國與國際互聯網的連接。

2003年伊拉克戰爭期間，美國停止對伊拉克的域名解析，讓伊拉克從互聯網消失。2004年4月，美國封凍“.ly”（利比亞國家頂級域名），導致利比亞在互聯網上消失三天。2013年曝光的“棱鏡門事件”更給俄羅斯敲響警鐘，美國國家安全局發起“棱鏡計劃”，利用谷歌、臉譜、蘋果、微軟等美國互聯網企業廣泛參與，旨在獲取網絡空間信息，其本質是大規模的網絡監聽。

“棱鏡門事件”曝光后，引發世界對全球網絡治理的關注。據俄羅斯聯邦安全局發布的信息，2016年俄境內機構遭受約7000萬次網絡攻擊，其中大部分攻擊來自國外，遭攻擊的有俄羅斯鐵路運輸公司、俄羅斯天然氣工業股份公司等大型關鍵性目標及國家要害部門。2016年7月30日，俄聯邦安全局表示，約20個政府部門的電腦網絡被惡意植入間諜軟件。2016年9月，俄本土運營的即時通信服務提供商QIP.ru遭到大規模攻擊，3300萬用戶的密碼被黑客盜取。2016年11月，俄羅斯五家主流大型銀行遭遇長達兩天的攻擊，來自30個國家的2.4萬臺計算機構成的僵尸網絡持續攻擊，攻擊強度達到每秒66萬次請求。2016年12月，俄羅斯央行稱，該行代理賬戶遭黑客襲擊，被盜走20億盧布（約合3100萬美元）。

俄軍反應最快

作為對威脅最敏感的部門，俄國防部與軍工綜合體在網絡安全領域行動最早，力度也最大。早在2016年，俄國防部發起組建專用軍事互聯網，官方名稱為“數據傳輸閉環”，所有入網終端都不能使用未經許可的U盤和外接硬盤，與全球互聯網相隔斷，官兵可在網內享受電子郵箱服務，傳輸包括標有“要件”字樣的秘密信息。該網的基礎設施部分是向俄電信股份公司租借的，某些地方則利用國防部自有的與國際互聯網隔斷的基礎設施。每支部隊都配備服務器，負責對信息加密，打包后再對外傳輸。存放服務器的地方嚴禁無關人員進入。

這套軍事互聯網使用名為“移動武裝力量”的操作系統，可通過微機瀏覽網站，微機全部通過總參第八局的技術鑒定，未經許可的U盤、打印機、掃描儀等外部設備無法連接到微機上，同時，在商店里購買的U盤每次試圖連接微機的行為都會受到專用軟件監控并被固定下來。該網設有電子郵件部門，只允許用戶在內部交換信件，軍人的所有文件流通（報告、申請、名單、帶照片的工作總結等）都通過該部門進行。

俄互聯網技術和基礎設施發展促進基金會主席德米特里·布爾科夫指出，相比俄軍的“數據傳輸閉環”，“美軍的做法卻存在諸多漏洞，他們總是從一個協議轉向另一個協議。另外，陸海空軍有不同的網，各個網絡與互聯網的接口太多，由此產生最主要的危險，即未經許可的訪問難以防堵，而且各種承包商均可接入這些網絡，曝光‘棱鏡計劃的愛德華·斯諾登只是美國國安局外包公司的一個雇員，卻有權訪問國安局核心網，由此獲得數據并對外公開，這在俄軍網絡里是不可能發生的。”

德國的海底光纜。

除了“數據傳輸閉環”，俄軍還建立起安全可靠的視頻通信系統。赴敘利亞作戰的俄空降兵率先啟用與西方SKYPE類似的純國產視頻即時通信軟件，它由俄羅斯無線電電子領域的領軍企業——沃羅涅日“星座”康采恩開發，采用特殊的Astro-Linux操作系統，只能經軍用衛星和無線電中繼站工作，不僅能遂行戰斗任務，日常也能召開有遠隔幾千公里的用戶參加的遠程視頻會議。軟件存放在營長以上軍官保管的辦公筆記本電腦和平板電腦里，必要時連長、排長和班長也可使用，用戶可根據所在地點的實際情況，選擇更加合理的接入方式。

由于空降兵用的視頻即時通信軟件并不是網上影院，而是部隊指揮手段，因此它只能在封閉的通信信道工作，不允許使用民用通信網。該款軟件從2012年起在“仙女座-D”自動化指揮系統里測試，2015年9月俄南部軍區“高加索-2016”戰略演習中得到檢驗。

除開軍隊，軍工綜合體也展開“內網建設運動”。根據俄總統2015年4月頒布的第722號總統令及聯邦政府第1455號決定，俄聯合儀表制造公司和軍事電信股份公司已為俄軍工企業組建名為“可靠通信系統”的專用秘密網，提供包括多媒體通信在內的信息交換服務。“可靠通信系統”的技術參數由俄工業貿易部制定，通信信道可提供不低于10兆比特/秒的速率。網絡只允許接用專用微機，使用Astro-Linux和“移動武裝力量”等操作系統。

“可靠通信系統”與國際互聯網實行隔斷，條件允許時會與俄軍的“數據傳輸閉環”相連，未經許可的移動載體無法接入，否則將被記錄下來予以追查。軍工企業可通過“可靠通信系統”交換各種信息，比如命令、產品設計圖紙和試驗視頻文件等。此外，還為軍工企業專門研發了自動化試驗系統，在對產品進行測試檢驗時只要連接傳感器，就會收集和傳輸諸如編內系統工作信息、耐振性、耐熱性等遙測數據，參與設計的所有部門都能實時接收。

耐人尋味的是，“可靠通信系統”借鑒了俄聯合飛機制造集團公司（OAK）內網建設經驗。該公司內網曾為研制圖-160M2戰略轟炸機開設“虛擬設計局”，分布在全國約40個各種平臺（航空設計局、工廠、協作企業）里的設計師崗位均被連起來，設計人員可在里面交流設計和工程數據。由于合作企業遍布全國各地，因此統一的設計數據交流工作實際上全天候進行。某分析公司總經理丹尼斯·庫斯科夫認為，俄軍工企業擁有的資源和預算都很充足，最重要的是要保證總通信樞紐運行安全，絕不能讓外部系統隨便侵入，這正是組建“可靠通信系統”專用網的初衷。俄技術集團公司還專門組建網絡威脅對抗中心，集團信息安全負責人亞歷山大·葉夫捷耶夫透露，只要發現可疑跡象，就能有效切斷黑客侵入，并立即將罪犯所在坐標報告給聯邦安全局。

中國不會掉隊

見賢思齊，了解俄羅斯的網絡安全措施后，中國如何思考自己的特殊空間安全呢？從1994年接入國際互聯網以來，中國越來越深地依賴互聯網，《中國互聯網發展狀況統計報告》顯示，截至2018年12月，中國網民規模達8.29億，位居世界第一。在享受互聯網帶來的種種便利時，我們也要清醒認識所面臨的網絡安全現實。其實，中國與包括俄羅斯在內的許多國家面臨相似的網絡安全威脅，有些方面甚至有過之而無不及，我們必須高度警醒，有所防范。

自2006年開始，美國開始舉行“網絡風暴”系列演習，重點鍛煉跨政府、軍隊、企業之間的安全協作能力。北約自2012年開始舉行“鎖定盾牌”網絡防御演習，已經成功舉辦了多次，規模也在不斷擴大。思科、BYTELIFE、CLARIFIED NETWORKS等世界級信息基礎設施公司提供技術支持。國家規模的演練已經成為檢驗網絡強國建設的重器，同時也是維護網絡空間安全的綢繆之舉。近幾年，中國也組織了“護網·2018”網絡攻防演練、貴陽大數據與網絡安全攻防演練等，但還未組織過國家規模的演練。適當情況下，也可以啟動類似演練，通過演練檢驗和提高網絡安全應急響應能力，培養和提升網絡安全人才實戰能力，有效強化網絡安全風險意識。

2017年3月1日，中國《網絡空間國際合作戰略》發布，其中明確提出：“網絡空間國防力量建設是中國國防和軍隊現代化建設的重要內容，遵循一貫的積極防御軍事戰略方針。中國將發揮軍隊在維護國家網絡空間主權、安全和發展利益中的重要作用，加快網絡空間力量建設，提高網絡空間態勢感知、網絡防御、支援國家網絡空間行動和參與國際合作的能力，遏控網絡空間重大危機，保障國家網絡安全，維護國家安全和社會穩定。”

網絡國防力量是新時代的大國重器，面對美俄網絡空間軍事角力加劇的態勢，中國網絡國防力量建設必須加速。2017年12月26日，網絡空間安全軍民融合創新中心正式成立，這既是落實軍民融合戰略的需要，也是應對全球網絡安全嚴峻形式的實際舉措。

中國雖是網絡大國，但還不是網絡強國，一個重要原因就是還沒實現信息技術安全可控。中國重點領域網絡與信息系統的元器件、芯片產品、通信協議、操作系統及網絡設備較多依賴國外，應用于黨政軍部門以及關鍵信息基礎設施行業的主機、服務器等設備的國產化率很低。中國也一直在做這方面的研究和努力，2015年，中國牽頭發起“雪人計劃”，力爭在下一代互聯網IPv6方面尋求突破和超越。“雪人計劃”已于2016年在美國、日本、印度、俄羅斯、德國、法國等全球16個國家完成25臺IPv6根服務器架設，其中中國國內部署4臺，1臺主根，3臺輔根服務器。中國教育和科研計算機網（CERNET）先后在兩代網過渡技術，基于真實的源地址認證等方面，都獲得國際首創性的成果，獲得了多項國際互聯網標準RFC。國內一些企業也積極參與下一代互聯網研究，華為公司積極參與IETF組織的IPv6、安全等多個技術領域的研究工作，參與制定了多個領域的RFC標準。當然，還需要更多的科研機構和企業參與到下一代互聯網的研究中來。