電子科技大學(xué)張小松：衛(wèi)星互聯(lián)網(wǎng)安全最大的挑戰(zhàn)是供應(yīng)鏈威脅

每經(jīng)記者 淡忠奎    每經(jīng)實(shí)習(xí)記者 劉旭強(qiáng)    每經(jīng)編輯 楊歡

圖片來(lái)源：每經(jīng)實(shí)習(xí)記者 劉旭強(qiáng) 攝

“我們的衛(wèi)星互聯(lián)網(wǎng)面臨著供應(yīng)鏈比原來(lái)大大增加的情況，早期的供應(yīng)商可能覺(jué)得我們衛(wèi)星離地4000公里，無(wú)法接觸到，所以它受攻擊是不可能的。在安全上，最多采用通訊加密和接收閥門控制，導(dǎo)致目前的衛(wèi)星互聯(lián)網(wǎng)（面臨）大量的威脅攻擊。”8月24日，在2023CCS成都網(wǎng)絡(luò)安全大會(huì)開幕式上，電子科技大學(xué)網(wǎng)絡(luò)空間安全研究院院長(zhǎng)張小松談及當(dāng)下衛(wèi)星互聯(lián)網(wǎng)安全面臨的挑戰(zhàn)。

他在接受《每日經(jīng)濟(jì)新聞》記者采訪時(shí)表示，衛(wèi)星互聯(lián)網(wǎng)面臨廣泛的安全威脅，供應(yīng)鏈?zhǔn)瞧渲械淖疃贪?，根?jù)木桶效應(yīng)，這一環(huán)節(jié)往往率先被滲透攻擊。

衛(wèi)星互聯(lián)網(wǎng)是全球互聯(lián)網(wǎng)的發(fā)展重點(diǎn)方向，在2020年衛(wèi)星互聯(lián)網(wǎng)被納入“新基建”范疇后，我國(guó)相關(guān)產(chǎn)業(yè)就開始快速發(fā)展。不過(guò)，相比衛(wèi)星制造和發(fā)射環(huán)節(jié)的技術(shù)競(jìng)逐，衛(wèi)星互聯(lián)網(wǎng)的安全問(wèn)題常被忽視。在張小松看來(lái)，隨著低成本的技術(shù)鋪展開，大量企業(yè)涌入衛(wèi)星互聯(lián)網(wǎng)產(chǎn)業(yè)鏈，任何與衛(wèi)星互聯(lián)網(wǎng)有信息交互的企業(yè)都有概率發(fā)起攻擊，衛(wèi)星互聯(lián)網(wǎng)已經(jīng)暴露在大面積的安全威脅中。

在運(yùn)行結(jié)構(gòu)上，張小松將威脅概括為空間段、地面段、用戶段和供應(yīng)鏈威脅。在技術(shù)層面，又可進(jìn)一步擴(kuò)展為物理設(shè)施威脅、通信鏈路威脅、計(jì)算機(jī)系統(tǒng)與網(wǎng)絡(luò)安全威脅、數(shù)據(jù)安全威脅、業(yè)務(wù)應(yīng)用安全威脅等五大類。

其中，供應(yīng)鏈環(huán)節(jié)是最有可能被率先攻擊的。“衛(wèi)星是個(gè)巨復(fù)雜系統(tǒng)，供應(yīng)鏈復(fù)雜冗長(zhǎng)，上下游企業(yè)眾多。任何一個(gè)企業(yè)出現(xiàn)安全缺陷，都會(huì)威脅到整個(gè)衛(wèi)星互聯(lián)網(wǎng)。”張小松認(rèn)為，大企業(yè)尚有嚴(yán)密的安全管理規(guī)范措施，但來(lái)自小公司的零部件安全風(fēng)險(xiǎn)就多了。這一定程度上也造成，供應(yīng)鏈這項(xiàng)最短板往往率先被滲透攻擊。

具體看來(lái)，相比后門植入、芯片偽造等硬件安全威脅，來(lái)自軟件的安全威脅更為泛濫。為了節(jié)省時(shí)間，大部分商業(yè)軟件或多或少都直接使用開源軟件，而開源軟件基本上不考慮安全性。奇安信集團(tuán)《2022年中國(guó)軟件供應(yīng)鏈安全分析報(bào)告》數(shù)據(jù)顯示，調(diào)研的3354個(gè)軟件開發(fā)項(xiàng)目中，86.4%的項(xiàng)目存在開源軟件漏洞。1781個(gè)軟件項(xiàng)目的源代碼中，發(fā)現(xiàn)安全缺陷達(dá)264萬(wàn)個(gè)。

“這暴露了我國(guó)開發(fā)人員水平的參差不齊，并且從一開始就缺乏軟件設(shè)計(jì)安全意識(shí)的培養(yǎng)。”張小松建議，要解決軟件層面的安全威脅，首先要系統(tǒng)地培養(yǎng)開發(fā)人員良好的編程習(xí)慣，避免可能出現(xiàn)的邏輯漏洞。其次，要輔以檢查手段，通過(guò)和測(cè)試機(jī)構(gòu)合作，檢查開源軟件是否存在安全缺陷。