電子科技大學張小松：衛(wèi)星互聯網安全最大的挑戰(zhàn)是供應鏈威脅

每經記者 淡忠奎    每經實習記者 劉旭強    每經編輯 楊歡

圖片來源：每經實習記者 劉旭強 攝

“我們的衛(wèi)星互聯網面臨著供應鏈比原來大大增加的情況，早期的供應商可能覺得我們衛(wèi)星離地4000公里，無法接觸到，所以它受攻擊是不可能的。在安全上，最多采用通訊加密和接收閥門控制，導致目前的衛(wèi)星互聯網（面臨）大量的威脅攻擊。”8月24日，在2023CCS成都網絡安全大會開幕式上，電子科技大學網絡空間安全研究院院長張小松談及當下衛(wèi)星互聯網安全面臨的挑戰(zhàn)。

他在接受《每日經濟新聞》記者采訪時表示，衛(wèi)星互聯網面臨廣泛的安全威脅，供應鏈是其中的最短板，根據木桶效應，這一環(huán)節(jié)往往率先被滲透攻擊。

衛(wèi)星互聯網是全球互聯網的發(fā)展重點方向，在2020年衛(wèi)星互聯網被納入“新基建”范疇后，我國相關產業(yè)就開始快速發(fā)展。不過，相比衛(wèi)星制造和發(fā)射環(huán)節(jié)的技術競逐，衛(wèi)星互聯網的安全問題常被忽視。在張小松看來，隨著低成本的技術鋪展開，大量企業(yè)涌入衛(wèi)星互聯網產業(yè)鏈，任何與衛(wèi)星互聯網有信息交互的企業(yè)都有概率發(fā)起攻擊，衛(wèi)星互聯網已經暴露在大面積的安全威脅中。

在運行結構上，張小松將威脅概括為空間段、地面段、用戶段和供應鏈威脅。在技術層面，又可進一步擴展為物理設施威脅、通信鏈路威脅、計算機系統與網絡安全威脅、數據安全威脅、業(yè)務應用安全威脅等五大類。

其中，供應鏈環(huán)節(jié)是最有可能被率先攻擊的。“衛(wèi)星是個巨復雜系統，供應鏈復雜冗長，上下游企業(yè)眾多。任何一個企業(yè)出現安全缺陷，都會威脅到整個衛(wèi)星互聯網。”張小松認為，大企業(yè)尚有嚴密的安全管理規(guī)范措施，但來自小公司的零部件安全風險就多了。這一定程度上也造成，供應鏈這項最短板往往率先被滲透攻擊。

具體看來，相比后門植入、芯片偽造等硬件安全威脅，來自軟件的安全威脅更為泛濫。為了節(jié)省時間，大部分商業(yè)軟件或多或少都直接使用開源軟件，而開源軟件基本上不考慮安全性。奇安信集團《2022年中國軟件供應鏈安全分析報告》數據顯示，調研的3354個軟件開發(fā)項目中，86.4%的項目存在開源軟件漏洞。1781個軟件項目的源代碼中，發(fā)現安全缺陷達264萬個。

“這暴露了我國開發(fā)人員水平的參差不齊，并且從一開始就缺乏軟件設計安全意識的培養(yǎng)。”張小松建議，要解決軟件層面的安全威脅，首先要系統地培養(yǎng)開發(fā)人員良好的編程習慣，避免可能出現的邏輯漏洞。其次，要輔以檢查手段，通過和測試機構合作，檢查開源軟件是否存在安全缺陷。