美国：物联网/量子运算/无人机将威胁国家安全？

shuszhao

上周，美国国会稽核处发布了一份美国国家安全面对长期潜在威胁的报告，指出自主性(autonomous)和无人系统(包括无人机)以及物联网(IoT)的安全性，以及量子运算可能破解现有加密功能的能力。
英国伦敦盖维克机场(Gatwick airport)在上周遭到多架无人机「攻击」，导致航班大乱并影响至少十几万名乘客，更突显出我们在因应国家安全遭受威胁时的能力是如此地脆弱。这不只是在英国，也可能发生在全球各地。

此外，令我感到惊讶的是，这次的无人机事件前后持续3天，导致盖维克机场前后关闭3次共36小时，就算是具备一般安全服务应有的技术能力，却迟迟无法拦截到这些无人机，也找不到究竟是谁在哪里乱飞无人机。

Gatwick Airport

英国伦敦盖维克机场(Gatwick airport)遭到多架无人机「攻击」，导致航班大乱

同样在上周，美国国会稽核处(U.S. Government Accountability Office；GAO)发布了一份美国国家安全面对长期潜在威胁的报告，指出自主性(autonomous)和无人系统(包括无人机)以及物联网(IoT)的安全性，以及量子运算可能破解现有加密功能的能力。

GAO深入分析由美国国防部(DoD)、国务院(DoS)、国土安全部(DHS)和国家情报总监办公室(ODNI)四个联邦机构发现的超过210种个别威胁，并审查国家安全策略和相关文件，将确认的26种长期新威胁分成四大类：敌方的政治与军事进步、军民两用技术、武器，以及事件与人口变化。

GAO Dual-use technologies

美国GAO报告指出国家安全面对四大威胁，其中之一是「军民两用」技术，如图中所列

在「军民两用」技术类别，该分析报告显示「量子运算」(quantum computing)可能让敌人开发无法拦截或破解的安全通讯并解密信息，使其瞄准美国人员和军事行动。针对IoT技术，传统的安全加密方法可能达到无法有效保护信息之处，但敌人可能从支持IoT的关键基础设施和装置进行破坏。

网络安全与监控也出现在其他技术分类中。针对武器部份，人工智能(AI)、传感器、资料分析和太空平台的未来进展，可望创造一个「无所不在」的情报、监控、侦察(ISR)平台，实时追踪位于全球的人员与设备，包括中国、俄罗斯、伊朗和北韩都开发这种ISR平台。

关于量子运算及其对安全的影响，一直是许多人在思考未来五年时最关注的重要领域。人们普遍认为，量子运算将使加密技术无法发挥作用——最快可能在2024年。

Infosec Global产品长Tyson Macaulay在本月初于伦敦举办的物联网安全基金会(IoT Security Foundation)会议上发表专题演讲，他表示量子运算的出现可能会对我们目前使用的加密算法带来威胁。目前的IoT安全架构已经被设计于国家基础设施中，使用寿命超过20年，一旦出现安全问题很可能影响到整个基础设施。

Macaulay 在接受《EE Times》访问时说：「今天我们认为是安全加密的，大部份都很容易受到量子运算的影响。」因此，他强调，现在要打造持续使用超过10年的任何设计，就必须采用以下两种方式之一：

量子安全：这意味着使用不至于遭受量子攻击的加密技术。不过，目前这个领域尚未建立标准，所以完全要靠猜测。
加密捷变：这表示加密技术并非采用硬编码，因此在部署之后仍然可以(重新)配置而无需添加新的软件或硬件，理想情况下甚至无需停机。
他并补充说：「至于量子计算机何时才能完善到足以破坏当代的加密方法，业界存在着各种不同的看法，从五年到永远不可能都有。我认为这一可能性似乎会落在10年左右，但如果你经营着一家银行而且几乎无法承担出错后的惨重损失，那么五年是目前『量子安全』的目标。」

Macaulay谈到许多关于加密捷变(crypto-agility)的问题，其他人也对此表示赞同，例如金雅拓(Gemalto)指出，2019年是「加密捷变」出现的一年。随着运算能力越来越强大，目前的安全协议将逐渐变弱，特别是加密，其静态算法可能会被日益增加的功率破解。因此，加密捷变是指采用更灵活的算法，如果现有加密出错后也无需大幅更改系统基础架构，就能修改这些算法。

金雅拓还预测，2019年将出现有史以来最复杂的网络攻击，透过人工智能(AI)驱动的恶意软件重挫一家积优股公司。该公司指出，恶意软件将会学习用户在组织中的行为，然后在公司内部释放一连串专门设计的攻击。

Macaulay表示，这就是物联网安全需要从静态流程转变为动态流程的原因。换句话说，与其被动地接受供货商定义的一组安全句柄，何不设计一种搜寻威胁的动态方法。这也导致了加密捷变性的需要——能够从一种加密算法或功能转移到另一种，而无需重新配置flash或拆开装置。。

英国的这起无人机事件导致盖维克机场几乎一整天瘫痪，造成巨大的破坏，不仅英国乘客受影响，还波及在其他国际机场定期往返的航班。有关如何约束无人机以及机场周围禁航区的争辩一直不曾停过。此外，关于这项技术的争议也随之而来，质疑为什么无法透过技术阻止(例如透过GPS地理围栏等)或找到此类攻击的来源以及如何控制之处。我们只知道是工业级无人机，而非业余的，因此推测可能是故意造成混乱。

无人机搭载一般电池容量的飞行时间可能是30分钟，但如果使用蜂巢式网络连接，就可能从世界上的任何地点进行操作。如果你看过电影《天眼行动》(Eye in the Sky)就会知道，只要在全世界的任何角落，就能操纵无人机到各地进行各种行动(在电影中，无人机操作人员本身就是一支团队，分别来自美国内华达州、夏威夷州、英国伦敦和肯尼亚等地的办公室)。

GAO报告中强调这些威胁不仅仅存在长期的可能性，而且正如我们所见，现在就可能在此造成破坏或伤害。随着量子运算时代即将来临，我们需要开始思考新的动态安全方法。

907321

      

晨曦37

看看

yuhong