【|国际黑客横行，开源真的安全吗？】

文章图片


五一前夕 ， 北京健康宝使用高峰期遭受境外黑客的“Ddos”攻击 。 无独有偶 ， 自去年10月 ， 一个名为“AgainstTheWest”（ATW）的黑客组织发布了大量关于我国多家企事业单位的源代码数据 ， 并对相关网站进行破坏 。 此外 ， 俄罗斯黑客组织KillNet成员也在即时通信软件Telegram上 ， 向包括美国、英国、德国在内的10个国家政府正式“宣战”……

网络攻击事件频发 ， 已经从虚拟世界影响到了现实世界 ， 小毛贼、小黑客早已成为历史 ， 以国家级黑客组织为代表的高级别专业力量正在入场 ， 关键基础设施、大型企业、城市成为网络攻击的首选目标 ， 数据成为新的攻击对象 。 而首当其冲被攻破的 ， 则是开源软件及代码 。
以上述ATW泄露源代码的事件为例 ， 其在2021年末及2022年初 ， 分别对代码质量管理平台SonarQube和代码托管平台Gitblit、Gogs等进行了攻击 ， 主要利用代码质量管理或托管平台的未授权访问漏洞来入侵 。 而开源平台在默认配置下 ， 都允许未授权用户直接或间接地访问代码仓库中的源代码 ， 一旦这些服务暴露在外网 ， 不法分子便能轻松窃取其中的源代码 ， 并对其进行攻击 。
此外 ， 权限管理疏忽致使开源软件可能在供应链阶段就被攻击 ， 而随着开源软件漏洞逐年递增 ， 黑客更容易上传恶意软件并控制服务器 ， 导致“开源问题”在所有网络安全事件中最先亮起红灯 。
更值得关注的是 ， 国家级黑客组织在意识形态上存在不同的国际政治立场 ， 以黑客行动主义团体的攻击最终可能演变成民族国家执行信息操作的掩护 。 因此 ， 对于黑客组织泄露企事业单位相关系统源代码、不断攻击政府和关键信息基础设施等行为 ， 必须引起重视 。

如何应对关键信息基础设施面临的威胁 ， 筑牢数字安全的“铜墙铁壁”？笔者认为 ， 自主可控是保障网络安全、国家安全的前提 。 首先 ， 中国应加快自主创新 ， 首先确保IT设施的核心技术和底层硬件国产化；其次 ， 在存储、数据库、软件架构等各方面 ， 要牢牢掌握自研能力 。
现在 ， 我们正处于世界新一轮科技革命和产业变革同我国转变发展方式的历史性交汇期 ， 科技创新角逐空前激烈 。 我们亟需加强自主可控技术底层的数据基础设施 ， 将关键核心技术掌握在自己手中 ， 为数字经济高质量发展提供安全有力支撑 。