于旸（腾讯公司玄武实验室负责人）：大家下午好！
今天我讲的题目是《数字空间和信息空间中的进化论》。

今天大家知道有两件大事：第一件是美国人民正在选他们的领袖；第二件大事就是我们在这里召开信息安全领袖峰会。但这两件事情其实是有关系的，今天大家应该都可以接受这样一个观点，我们今天同时生活在两个空间，一个是物理空间，一个是数字空间，这个观点应该是现在普遍的被大家所接受了。

在2008年的美国大选，通常被认为是互联网第一次影响了大选，而今年的美国大选，我觉得应该是信息安全问题第一次影响了大选的结果。

这是因为这么多年过去，我们在物理空间和数字空间这两个空间中的活动，我们对这两个空间的依赖逐步的是从物理空间向数字空间所转移，而这两个空间的交融也变得越来越深入，数字空间对人类的影响越来越大。

我们刚才讲到物理空间，物理空间的诞生按照宇宙大爆炸理论，我们认为从最开始的一次大爆炸形成了物质和能量，这些物质最早是基本粒子，基本粒子形成了最开始的星际物质，星际物质形成了星球，星球形成了星系，最后150亿年之后有了我们今天这样的宇宙，这是一个由简单到复杂的过程。

当然还有一种观点，认为宇宙其实是由神创造的，但是不管宇宙是谁创造的，不管物理空间是谁创造的，数字空间一定是我们创造的，这也是我们作为人类的一种荣耀。

其实我们在创造数字空间的过程，我们回顾数字空间这几十年的发展历史，也可以看出来数字空间一开始也是从基本粒子这样一点点的创造出来的。

今天数字空间还远远达不到我们说的已经形成了星系的这样一个状态，还是一个非常早期的，其中所组成的元素应该已经不是基本粒子了。同样我们说在数字空间创世的早期，安全问题也大多数是一些微观层面的问题。

早期的安全问题往往是由什么而引起的呢？是由一行一行的代码，比如说某一处代码有问题，某一处配置文件有问题，或者是某一个变量设定的有问题，是一些微观层面的问题形成了微观的安全问题，影响了一个微观的对象。

现在我们用一张比较鲜艳一些的图来看，这张图其实展示的是生物进化的过程，从一个单细胞生物的诞生，一直到产生了地球上最为复杂，最为壮观的生命，那就是我们人类。

在这个过程里面，虽然在今天的地球上仍然存在着这些单细胞生物，但是不可否认的是，整个进化过程所产生出来的这些生物有几个特点。

首先个体本身变得越来越复杂，个体的功能变得越来越多样，同时还有一点，就是个体的脆弱点也同样变得越来越复杂。

所以我们说，虽然人类是万物之灵，但是人类无论是精神还是肉体都是非常脆弱的，而且很多的这种脆弱到现在还搞不清楚。这就是我们说在进化过程中，不光这些对象进化了，对象的弱点也会发生进化。

今天人们在数字空间当中的行为，我们操作的对象颗粒度会变得越来越粗，对象之间的联系变得越来越复杂。

今天的这些安全问题可能已经不再是某一行代码的问题，或者说某几处代码之间的问题，而是一个协议和一个协议之间的问题，或者是某些协议共同作用发生的问题，甚至是一个设备和一堆设备之间的问题，一个系统和一个系统之间的问题，而且甚至于这些对象它们相互之间看不到特别明显的关系，这些其实就是进化的结果。
传统的那些安全问题是否还存在？就像今天地球上仍然存在单细胞生物一样，这些问题仍然存在，但是新的问题已经进化出来了。

有一个非常典型的例子，很多的电商系统都犯过一个错误，当我们去一个电商的网站购买一样东西的时候，按照一个设定的价钱去付款，在付款的过程中会进入到交易和结算的系统，交易结算的系统和电商系统通常是两个系统，甚至于是隶属于不同的公司所有。

这两个系统在发生关系的时候，这个关系之间就有可能发生问题。交易系统的设计是由一组人员去完成的，而结算支付系统是另外一组人员去完成的。

无论他们之间怎么去沟通这个结果，这种沟通很有可能是不能达到百分之百透彻的，这也就导致了这样一种情况，攻击者可以在购买完成之后结算的时候将交易金额修改成一个非常小的数字；而电商系统只是判断了这个交易结算系统返回的信息是否交易成功，他并不知道这个交易数字到底是多少，就是说他不知道攻击者购买一台冰箱到底是花了2千元还是花了1元，这个问题其实是很多的电商网站都犯过这样的错误。

还有一个例子是比较新一些的，前几年很多运营商向用户提供了一种叫做短信保管箱的服务，这个完全就是便民措施，是完全正常的一种业务。

但是这种业务实际上引起了一个什么样的后果呢？他破坏了我们用手机短信作为第二验证因子的这样一种安全设计。

因为我们说手机短信在以前是被认为相对可信的另外一重因子，但是当运营商把短信存储到服务器上，用一个密码就可以去查看的时候，实际上就已经把我们用手机短信形成的这样一种所谓的双因子又变成了单因子，本来是出于一个完全美好的初衷设计出来的业务，遭遇了短信验证码之后，被网络犯罪集团用来窃取用户网银上的资金，已经发生了很多起了。

最后的结果是什么？运营商纷纷最后取消了这个业务，这是运营商和银行两个看起来完全没有关系的业务，最后混合产生出来的这样一套问题。

刚才说到银行可以说是作为一个受害者，现在我们要说的是银行在这个地方扮演的不是受害者了，有一些银行他们现在搞了叫做虚拟卡的业务，虚拟卡业务遭遇了苹果的应用商店之后，又被人找到了其中结合上的问题，后果是什么呢？就是利用虚拟卡业务，可以无限制、不花钱的在苹果的应用商店里充值。

还有一个案例，可能前一阵子大家都听说过美国的FBI为了解锁一个苹果手机费了很大的力气，包括可能很多朋友也听自己身边的朋友说我的手机被窃了，偷手机的人用了很多的方法试图去解锁这个手机。

当然我们知道苹果对手机的安全性做了很多很好的设计，去保护用户手机中数据的安全，就是即使被窃取之后，仍然可以通过云端对手机的数据进行删除，把这个手机清空，包括窃取的小偷也无法直接的去解开这个手机的密码。

但是实际上现在犯罪分子他们找到了一条通道，当你的手机丢失的时候，随着手机一起丢失的还有什么？你插在手机里的SIM卡，虽然SIM卡插在这台手机里是不能使用的，但是把它拔出来，装到另外一台手机上，这个SIM卡可以打电话，可以收发短信，而且是你的号码。

我们知道很多的网络服务为了安全性，它会要求用户跟他的手机号码绑定，你利用这个手机号可以重置很多网络服务的密码。

所以这些窃贼们拿到你的手机之后，虽然他直接对手机和SIM卡放在一起没有办法，但是他可以用这个SIM卡，通过SIM卡可以去控制你的某个网络服务，比如说你的邮箱。

如果你苹果的ID是用这个邮箱注册的，那么他通过这个邮箱又可以控制你的苹果ID。如果通过苹果的iCloud把手机进行了清空，清空之后这台手机就可以用你原始的苹果ID进去。所以现在这套机制被很多的犯罪团伙在使用。

我们看整个的过程里面，包括我们刚才举的这些例子，看起来谁都没有犯错误，没有人犯错误，没有人故意的，甚至看起来根本就没有人犯错误。

但是这些问题纠结在一起之后，它就变成了我们将要面临的新的安全问题。

所以我们说，今天信息安全和网络空间中其他的对象一样发生了进化，我们抛开软件或者硬件这样的视角，将网络空间中的这些我们与之进行互动的对象抽象来看，同样可以发现这些对象之间的安全问题如同生物进化一样，在今天他们进化成了一种非常复杂的形态，而这种形态的安全问题用传统的方法是难以进行发现、分析和防御的。

相应的我们也必须随之进化，就是作为防御者，作为安全研究者，我们需要随之进化。就是当一切都进化的时候，你不进化是没有办法去应对这种新的情况的。当然这种情形是一种非常大的挑战，但是我相信这里面也一定蕴含着非常大的机会。

我的演讲就到这里，谢谢大家！