美俄競相加快互聯網隔離能力建設

◎上海戎磐網絡科技有限公司CIO 李霄

互聯網（Internet），又稱網際網路，音譯為因特網或英特網，是網絡與網絡所串連而成的龐大網絡；這些網絡以一組通用的協議相聯，形成邏輯上單一且龐大的全球化網絡，為人類社會提供了一種全新的信息基礎設施。

作為復雜而龐大的通信基礎設施，互聯網可在技術層面被表述為物理層、邏輯層和內容層。其中，邏輯層最為重要，它可將人類可以理解的意思和表達轉化為機器和設備可以進行交流的代碼，并負責傳輸信息。而邏輯層最根本最基礎的組成部分就是域名系統（DNS），因而可以再進一步說，域名系統就是互聯網基礎設施架構中最關鍵的組成部分。

域名系統的工作流程為層級式域名解析體系。層級式域名解析體系第一層就是根服務器，負責管理世界各國的域名信息。在根服務器下面是頂級域名服務器，即相關國家域名管理機構的，如中國互聯網絡信息中心。最后是再下一級的域名數據庫和互聯網服務提供商的緩存服務器。在根域名服務器中雖然沒有每個域名的具體信息，但儲存了負責每個域（如.com、.cn、.top 等）的解析域名服務器的地址信息。一個域名要想被實現解析，從理論上說，都必須經過根服務器的指引，然后再去該域名的權威域名服務器解析；在實際操作中，有些互聯網服務提供商的緩存域名服務器上可能已經有了這個對應關系（域名以及子域名所指向的IP 地址）的緩存，可直接進行解析。因此可以說，根域名服務器為網絡安全中至關重要的組成部分。誰掌控了域名服務器，誰就控制了網絡空間的物理基礎及其應用發展，以及網絡通信的數據本源、信息資產和開源信息，從而擁有網絡空間的主導力和話語權。如果哪個部分的域名系統出現問題，相應的網絡就會立即會陷入阻斷狀態、甚至癱瘓。

在互聯網發展早期，所有IP 地址和域名都被記錄在一個名為“hosts.txt”的文件中，被互聯網創始人之一博斯特爾保存和控制。二十世紀九十年代，美國政府獲得了根域名的控制權，并通過美國商務部發布的名為《互聯網域名與地址管理》白皮書，成立了“互聯網名稱與數字地址分配機構（ICANN）”。自此開始，美國政府把持著互聯網名稱與數字地址分配機構以及根域名的運營。

在IPv4 時代，所有根服務器均由互聯網名稱與數字地址分配機構統一管理。全球互聯網唯一的1 個主根服務器在美國，其它12 個輔根服務器也有9 個在美國，另外3 個分布在日本、英國與瑞典。2001 年之后，網絡空間核心資源有所變化，美國在13 臺根服務器之后又設置了被稱為“超級根”或“超級源”的“隱藏發布主機”，其位置是不予公開的絕密。這使得幾乎所有其他國家的互聯網，事實上都處于美國的控制之下。美國可以利用所掌控的互聯網關鍵資源與基礎設施，大興通信攔截與監聽監控，對其他國家的網絡安全構成了潛在的重大威脅。

2013 年“棱鏡門”事件爆發。媒體報道，美國國家安全局和聯邦調查局于2007 年啟動了一個代號為“棱鏡”的秘密監控項目，直接進入美國網際網路公司的中心服務器里挖掘數據、收集情報，包括微軟、雅虎、谷歌、蘋果等在內的多個國際性網絡巨頭參與其中。此事進一步引發了其他國家和地區對美國政府控制域名系統的質疑。之后，中國、俄羅斯、印度、歐盟等國家與地區通過不同的方式表達了對網絡主權安全的擔憂。

在這種情況下，美國國家電信和信息管理局不得不于2014 年宣布，準備將其對互聯網技術職能的管理職責移交給全球互聯網社區，其中包括對域名系統的控制權。隨后，互聯網名稱與數字地址分配機構啟動移轉流程。但為滿足美國安全戰略和產業界的需求，美國政府在宣布將其對域名系統管理組織“互聯網數字分配機構（IANA）”監管權限移交后，提出了四條原則：第一，支持和促進“多利益相關方”模式；第二，維持全球網絡域名系統的安全性，穩定性和彈性；第三，滿足全球互聯網數字分配機構客戶的需要和期望；第四，繼續保持全球空間的開放性。

在上述原則指引之下，2016 年3 月17 日，互聯網名稱與數字地址分配機構向美國國家電信和信息管理局提交了移交計劃。2016 年8 月16 日，美國國家電信和信息管理局宣布不再延期現有合同，互聯網數字分配機構職能合同在2016 年10 月1 日到期后自動失效。互聯網名稱與數字地址分配機構根據移交計劃修改了新的章程。2016 年11月3 日到9 日，移交后的互聯網名稱與數字地址分配機構第一次會議在印度召開?；ヂ摼W名稱與數字地址分配機構最終實現了從美國政府的合同治理控制轉移到了新的“自下而上”“多利益相關方”治理的新模式之下。

盡管美國移交了管理職責，但目前的治理模式建立在美國政府提出的上述四項基本原則之上，而所有參與管理互聯網名稱與數字地址分配機構的賦權社群都是依據美國加州法律所設立的非營利公司。

與此同時，基于全新技術架構的全球下一代互聯網（IPv6）根服務器測試和運營實驗項目—— “雪人計劃”于2015 年6 月23 日正式發布，“雪人計劃”由我國下一代互聯網工程中心（CFIEC）領銜發起，聯合WIDE 機構（現國際互聯網M 根運營者）、互聯網域名工程中心（ZDNS）等共同創立。在與現有IPv4 根服務器體系架構充分兼容基礎上，“雪人計劃”于2016 年在美國、日本、印度、俄羅斯、德國、法國等全球16 個國家完成25臺IPv6 根服務器架設，事實上形成了13 臺原有根加25 臺IPv6 根的新格局，為建立多邊、民主、透明的國際互聯網治理體系打下堅實基礎。

盡管全球社會已開始探索突破互聯網霸權的新治理模式并已有所進展，但由于歷史原因，從根本上支撐全球互聯網運轉的關鍵資源和基礎設施、以及互聯網核心軟硬件技術，仍大部分掌控在美國等西方發達國家的手里，為其繼續控制全球互聯網、施行網絡霸權提供了堅實的技術基礎。

一、俄羅斯互聯網隔離能力建設情況

作為繼承冷戰時期蘇聯大部分資產的俄羅斯來說，盡管超級大國風采已然不再，但其獨特的戰略眼界仍不容世人小覷。俄羅斯早就對美國等西方發達國家把持互聯網領域這一局面有所警惕，并開始著手進行相關應對措施研究。據報道，早在2014年年中，俄羅斯就舉行了相關演習，測試了阻斷全球網絡連接對該國的影響。據稱，秘密測試證實隔離俄羅斯互聯網是可行的，但“一切活動”都會在30 分內又回到網上。這表明在切斷與互聯網聯系的情況下，通過外網仍能滲入俄羅斯。

然而，近幾年以來，美國政府在網絡空間領域的言行越來越激進，屢屢在各類國家頂級層面的戰略文件上（如《國防部網絡空間戰略》、《國家網絡空間戰略》等）直接點名批評俄羅斯、中國、伊朗和朝鮮在該領域對其形成的安全威脅。而且，在2017年12 月14 日美國聯邦通訊委員會3：2 投票通過廢除“網絡中立法案”。此外，美國政府在《2018 年網絡安全戰略》報告中公然叫出“俄羅斯發動網絡攻擊而不受懲罰”之語。美國的種種行徑都進一步推動了俄羅斯提出并實施更完善更能從根源上解決網絡安全威脅問題的決心。

（一）制訂《俄羅斯聯邦數字經濟規劃》，提升網絡關鍵基礎設施的自主可控水平

俄羅斯聯邦政府于2017 年7月28 日正式批準了第1632 號文件《俄羅斯聯邦數字經濟規劃》。在規劃中，俄羅斯聯邦政府總結了數字經濟發展所面臨的挑戰和威脅，主要內容有：對個人、商業和國家的威脅，這一威脅與構建復雜分層的信息通訊系統、廣泛使用虛擬化、遠程（云）數據存儲的發展趨勢有關，還有通信技術和終端設備的種類繁多問題；外部信息技術對信息基礎設施的影響力在擴大，還包括對關鍵信息基礎設施的影響力；在信息技術競爭力方面落后于國外領先國家；開發前瞻性信息技術的科研效率不足，國產研發產品應用水平低，信息安全領域人才水平不高。

規劃提出信息安全的主要目標發展方向：確保俄羅斯聯邦各層級信息空間信息通信基礎設施的統一性、穩定性和安全性；確保對數字經濟中個人、商業和國家的利益提供組織和法律保護；為俄羅斯在信息安全服務和技術出口領域占據領先地位創造條件，并在與信息安全相關問題的國際文件中充分考慮國家利益。

此外，還重點提出信息安全方面量化目標，即通過國外服務器的俄羅斯互聯網段的國內網絡流量比例為5%。

（二）立法確保俄羅斯境內互聯網的安全和可持續運行

接著，俄羅斯聯邦議會議員安德里亞·克里夏斯（Andrei Klishas）、柳德米拉·博科瓦亞（Lydmila Bokovaya）和安德里亞·盧戈沃伊（Andrei Lugovoi）起草了《〈俄羅斯聯邦通信法〉及〈俄羅斯聯邦關于信息、信息技術和信息保護法〉修正案》（該修正案又被稱為《穩定俄網法案》或《主權互聯網法》），于2018 年12 月14 日提交俄羅斯國家杜馬討論，并于 2019 年2 月12 日在國家杜馬以334 票對47 票通過。

2019 年2 月21 日，俄羅斯總統普京在會見俄新聞機構和印刷媒介代表時表示，“理論上存在切斷俄羅斯與全球互聯網聯系這一威脅，因此有必要建立我們自己的互聯網……我是無法告訴你們我們那些伙伴的真實想法。我認為斷網會給他們造成巨大的破壞和損害。這既會對經濟，也會對政治帶來損害，情報部門也將遭受損失?！麄兙驮谀抢?，這是他們的發明，你們的一言一行，他們都聽得到，看得見，并且在進行信息積累，如果切斷網絡，那么他們就沒法這么做了”。他進一步強調稱：“我認為，就此問題（指斷網）他們會三思而后行的，但理論上一切皆有可能，因此我們有必要建立不依賴于任何人的互聯網”。最后，普京還補充道：“主權，包括數字主權在內，是越多越好” 。

普京的這一番講話進一步推動了法案的進展。2019 年4月22 日，俄羅斯聯邦委員會批準了該法案。2019 年5 月1 日，俄羅斯普京簽字通過，該法案將于 2019 年 11 月 1 日生效。

法案主要內容：

第一，創建一個可接收全國系統域名信息的替代域名系統和自主地址解析系統，以便在緊急時刻取代現有域名服務系統。同時，俄羅斯境內涉及重大國家利益相關機構的網絡全部應使用這一系統。俄聯邦電信、信息技術和大眾傳媒監督局將負責確定這一域名系統的設計要求、建設流程和使用規則。

第二，規范互聯網流量管理。法案規定，俄羅斯互聯網服務提供商有義務向監管部門展示，如何將網絡數據流引導至受俄政府控制的路由節點，使國內網絡數據傳輸不經過境外服務器，最大程度減少俄羅斯用戶數據向國外傳輸。電信運營商有義務確保在發生威脅時集中管理流量的可能性，如應當在確定傳輸流量來源的通信網絡上安裝技術設備。

第三，俄聯邦電信、信息技術和大眾傳媒監督局（Roskomnadzor）負責維持俄網（Runet）的穩定性，其所屬機構公共通信網絡監測和管理中心將監督國內通信運營商安裝能夠識別互聯網流量源頭和“限制訪問包含禁止信息的網站”工具。對網絡通話信息、傳輸內容進行分析，以確保俄羅斯互聯網的安全。一旦認定俄網受到威脅，監督局可主動切斷與外部互聯網連接，并集中控制大眾使用的通信網絡；監督局有權決定是否構成威脅以及采取何種消除措施。

第四，為政府、電信運營商和互聯網行業內的關鍵人員提供培訓和演練，提升威脅識別和制訂應對措施的能力。

據報道，俄羅斯在未來三年預算中已撥出18億盧布（2700 萬美元）啟動該項目，該法案的發起人之一安德里亞·克里夏斯表示，該法案的專項撥款將超過230 億盧布（3.5 億美元）。

（三）簡要分析

近年來，美國等西方國家出于自身戰略、政治、意識形態等需要，頻頻對俄羅斯的互聯網管控說三道四。不僅如此，西方政府、政黨以及軍事、安全、情報機構和媒體，還頻頻指責俄羅斯發動網絡攻擊。美國甚至在其多份國家層面戰略文件中指出要在網絡空間領域向俄羅斯做出反擊。鑒于全球互聯網的發源地在美國，當今世界互聯網的主控在美國，如果出現特殊或極端情況，俄羅斯的網絡會不會被其切斷很難確保。這也是長久以來俄羅斯最擔心的網絡安全問題。在此背景下，俄羅斯斷然出手，欲從根本上解決這一威脅問題。

從法案主要內容看，規范流量、信息管控和培訓演練都較易實現，創建一個替代域名系統和服務器群組也是可行的。但最大的難處在于該獨立網絡的使用推廣方面。政府和要害部門可以使用行政命令來強制推行，但使用國際互聯網的組織用戶和個人用戶要準入俄羅斯獨立網，必須要重新配置他們的各類設備，包括手機、筆記本電腦、臺式機和其他設備，實際操作存在很大的難度。

二、美國防部推進基于云的互聯網隔離能力建設

在俄羅斯大張旗鼓地為互聯網隔離能力建設制訂規劃、促成法案之際，美國政府低調地推進其互聯網隔離能力建設具體實施措施。2018 年6 月份，美國防部責成國防信息系統局提出國防部基于云的互聯網隔離能力解決方案項目，并隨之發布了項目信息征詢書。

（一）美國防信息系統局發布基于云的互聯網隔離解決方案信息征詢書

國防信息系統局在其信息征詢書中表示，將利用基于企業云的互聯網隔離能力防范利用國防部網絡和終端客戶所發起的各種攻擊，把終端用戶的互聯網瀏覽行為從電腦上重定向到國防部信息網絡之外的遠程服務器上，并向用戶提供基于云的服務。

方案必須能夠滿足以下要求：

1、方案在必要時可利用多個地理位置，可包括：華納羅賓斯（喬治亞州）、哥倫布（俄亥俄州）、圣安東尼奧（德克薩斯州）、北島（加利福尼亞州）、五角大樓（華盛頓特區）、漢普頓路（弗吉尼亞州）、橫田（日本）、拉姆施坦因（德國）、斯圖加特（德國）和希凱姆（夏威夷）。

2、方案須兼容聯邦信息處理標準（FIPS）140-2 加密模塊，支持國防部公鑰基礎設施（PKI）認證，兼容國防部授權使用的所有瀏覽器，并使用國防部提供的用戶配置文件的目錄服務。系統須安裝在FedRamp II 級認證數據中心。供應商須提供主機和“軟件即服務”架構（SaaS），并負責系統設置、服務器維護、中間件和操作系統支持以及托管/維護等。

3、基于企業云的互聯網隔離能力由以下幾個方面組成：

（1）將用戶在瀏覽器上的所有或部分互聯網活動都發送到國防部信息網絡之外的云基供應商解決方案框架內。

（2）在數據存儲和傳輸過程中確保其機密性、完整性、可用性及來源可靠性。

（3）主機應安裝有內容控制軟件。

（4）可記錄所有的網頁請求，并將網頁請求與特定用戶綁定（從身份驗證至會話結束）。

（5）可允許不同的組為每個客戶端設置網絡使用閾值。如果超過帶寬閾值，則向指定的電子郵件地址自動發送電子郵件。

（6）支持瀏覽器活動的不可否認性(Nonrepudiation)。不可否認性是指在網絡環境中，信息交換的雙方不能否認其在交換過程中發送信息或接收信息的行為。

（7）為用戶會話配置“非活動連接超時”功能。

（8）另外還須具備滿足以下功能標準：能提供近實時信息；打開客戶端到瀏覽器會話啟動不超過5 秒；從最近的國防部信息網絡路由器位置到服務主機的延遲不超過100ms；10Gb 每秒的最小吞吐量，可用時間率應達到99%；支持0-1 小時的復原時間目標；同時打開25 個以上瀏覽器標簽時不會降低配置服務質量。

（二）合同授予

時隔近一年，2019 年4 月25 日，美國防信息系統局終于在俄羅斯聯邦委員會通過《穩定俄網法案》之后3 天突然敲定此項目的合同執行方，選定By Light 專業信息技術服務有限公司和Menlo 安全公司為其設計并打造基于云的互聯網隔離能力，合同額度在2750 萬美元。

By Light 專業信息技術服務有限公司的副總裁喬·博伊德就此表示：“我們很高興與Menlo 安全公司合作為國防信息系統局提供基于云的互聯網隔離解決方案……該方案將用戶在電腦上的瀏覽活動轉移到云端，有效地在互聯網和國防部組織體系網絡之間創建一個‘安全緩沖帶’，能有效地防止諸如‘強制下載’之類的網絡威脅，并成功地提高國防部信息網絡的效率” 。

從博伊德的話中可以看出來，其技術實現方式是，把所有用戶的網絡瀏覽行為都統一轉到云端服務器內完成，服務器向用戶終端只傳輸處理后的網頁圖像和從互聯網下載的文件數據，并且服務器只接受用戶終端通過瀏覽器上傳的活動，在用戶網絡和互聯網之間打造一片真空緩沖帶。

（三）簡要分析

互聯網發源地在美國，還長期以來把持根服務器，而且現今互聯網主體基礎設施仍在該國境內。因此，與俄羅斯相比，美國無釜底抽薪之虞，只有內擾外患之憂。無須像俄羅斯那樣提出大手筆建設規劃——既要建域名系統，又要搭建根服務器，接著還要推廣獨立系統的使用；美國人只需在技術上實現特定組織體系的互聯網隔離能力即可。而正是遵循這一思路，在新興的互聯網隔離解決方案經過一段時間的商業運營，并積累一定經驗之后，美國政府借國防部之手開始加速互聯網隔離能力建設步伐。

在當今的網絡空間威脅形勢下，完全預防漏洞是不可能的，那么隔離和遏制攻擊能力就變得越來越重要。美國防部提出的基于云的互聯網隔離解決方案就是通過云端隔離瀏覽器活動，并在云端將互聯網內容鏡像到最終用戶計算機上的瀏覽器上來保護最終用戶。在這個過程中，基本上可以消除針對瀏覽器、電子郵件和插件漏洞危害。

可以想象到的是，隨著該解決方案在美國防部的推行和部署，美方將不斷在該領域積累經驗并逐步對其進行完善；并隨著科技技術的不斷發展演變，美方未必不會把該解決方案推廣政府機構、甚而全國，形成事實上的“美網 ”。

三、啟示

無論是俄羅斯的自主互聯網建設，還是美國國防部的互聯網隔離能力建設，都在一定程度上反映了軍事強國戰略性思維高度：即基于本國情況，提早布局，以應對當前和未來的不測之舉。

從更深層次的角度來說講，兩大軍事強國的舉措都是在積極維護其網絡主權；只不過俄羅斯的舉措更多了一層含義，即從根本上解決網絡主權安全問題，以此對網絡霸權提出抗議。這也凸顯了當前國際互聯網治理體系的權力分配中的嚴重失衡現象：西方發達國家掌握先進的互聯網科技優勢和壓倒性的互聯網治理權力，籍此對他國大肆進行監聽監視，如“棱鏡”、“心臟出血病毒”、“震網”等新技術新手段從大國手中不斷流出，對全球互聯網安全造成重大威脅；同時，還頻頻對他國的互聯網治理方式橫加指責，頻頻點名妄言他國對其實施網絡攻擊，動輒對他國及他國科技公司施以制裁或禁令。

當前世界上，每四個網民中就有一個是中國人，我們理應負起網絡大國的責任和擔當。但網絡大國不等于網絡強國，要構建網絡強國亟需提高本國互聯網基礎設施重要性意識，打造安全可靠可控的軟硬件基礎設施，同時積極參與諸如互聯網名稱與數字地址分配機構變革之類的治理體系建設，對外輸出影響力，更好地維護網絡主權。