互联网已经成为人们日常工作和生活的必须,网络经济的份额已经占了全球GDP的比例达到了22%,网络的重要性越来越凸显,那么涉及网络的基础工作就更加重要了。现在互联网有两个最大的问题,一个是网络主权问题,也就是人们上的网是谁的网,很明显是美国的Internet,如何坚持网络主权,现在还是个挑战;各国希望运营商要提速降费,要减少广大中小企业接入互联网的带宽费用,但如何把接入互联网的网费降低,又是个难题。两大问题现在解决起来比较困难。
1. 网络空间
首先网络空间要有一个定义,这非常重要,如何坚持网络空间的主权?目前在媒体上都没有正确的定义,网络空间是一个包含了三个最基本要素,虚实结合的并且以虚为主导的虚拟空间。
在这个虚拟的网络空间中,处于最重要领导地位的不是这些基础设施,也不是应用环境,而是全套根系统。居领导地位的也就是网络空间主权的核心体现是数据通信技术标准协议。目前包括了世界上现存装备运行的IPv4、IPv6和未来网络/IPV9前后三代网络数据通信标准和协议,以及形成的网络空间地址命名权、分配权、解析权和路由寻址运营管理权。
网络空间核心资源包括:母根服务器、主根服务器、13个根域名服务器、地址及域名解析系统的知识产权、资产装备及运营管理权,因此可以说谁掌握了网络空间的核心资产,谁就掌握了网络空间的主权。
2. 互联网服务器
网络空间主权是由网络基本工作原理决定的。用户的任何一次网络访问,包括互联网中的任何一台计算机、手机上网、移动上网,都要需要访问根服务器系统。根系统包含母根服务器、主根服务器(发布主机),这个隐藏发布主机只有13个根域名服务器(13个根域名服务器都是平权的)可以访问。13台根域名服务器先读主根服务器,然后再读母根服务器,获取数据后,再由镜像服务器读取,再向全网扩散。
根服务器主要用来管理互联网的主目录。IPv4所有母根、子根服务器均由美国政府授权的互联网域名与号码分配机构ICANN统一管理,负责全球互联网域名根服务器、域名体系和IP地址等的管理。全世界的根域名服务器,10个在美国,欧洲2个,位于英国和瑞典,亚洲1个位于日本。这13个逻辑根服务器指挥Firefox或Internet Explorer等Web浏览器和电子邮件程序控制互联网通信。由于根服务器中有经美国政府批准的1000多个互联网域名后缀(如.edu,.com等)和所有的国家域名(如美国的.us、中国的.cn等),因此自互联网成立以来,世界对美国的依赖性就非常大,美国通过控制根服务器而控制了整个互联网,对于其他国家的网络安全构成了潜在的重大威胁。
所谓依赖性,从国际互联网的工作机理来体现的,就在于“根服务器”的问题。从理论上说,任何形式的标准域名要想被实现解析,按照技术流程,都必须经过全球“层级式”域名解析体系的工作才能完成。
3. 互联网安全典型事件
世界上任何一次网络访问,首先要访问美国,现在有些人说很多访问是不出国的,也确实有些业务暂时感觉不出国,实际上是镜像根服务器在起作用,缓存服务器在起作用。因特网在一些没有根服务器的国家设置了镜像服务器,但这些服务器完全受控于美国,常用的网址本地可以解析,数据可以缓存在本地以防止网络拥堵,但因特网的母根可以备份全网,所有流量仍然都可以出去,尽管这绝大部份数据流量业务是国内业务。这是美国出于通过因特网监控全球的原因,更是经济上的原因,所有访问根系统的数据流量是双向计费的。
自互联网广泛应用以来就不断受到挑战,来自全球的各类攻击不断,典型的服务器故障如下。
(1)1997年故障
1997年7月,这些域名服务器之间自动传递了一份新的关于因特网地址分配的总清单,然而这份清单实际上是空白的。这一人为失误导致了因特网出现最严重的局部服务中断,造成数天之内网页无法访问,电子邮件也无法发送。
(2)2002年遭遇攻击
在2002年10月21日美国东部时间下午4:45开始,这13台服务器又遭受到了有史以来最为严重的也是规模最为庞大的一次网络袭击。此次受到的攻击是DDoS(Distributed Denial of Service),此次攻击借助于客户/服务器技术,将多个计算机联合起来作为攻击平台,对一个或多个目标发动攻击,从而成倍地提高拒绝服务攻击的威力。超过常规数量30至40倍的数据猛烈地向这些服务器袭来并导致其中的9台不能正常运行。7台丧失了对网络通信的处理能力,另外两台也紧随其后陷于瘫痪。
这次攻击对于普通用户来说可能感觉不到受到了什么影响。如果仅从此次事件的“后果”来分析,也许有人认为“不会所有的根域名服务器都受到攻击,因此可以放心”,或者“根域名服务器产生故障也与自己没有关系”,但他们并不清楚其根本原因。
并不是所有的根域名服务器全部受到了影响,攻击在短时间内便告结束,攻击比较单纯,因此易于采取相应措施。由于对于DDoS攻击还没有什么特别有效的解决方案,设想一下如果攻击的时间再延长,攻击再稍微复杂一点,或者再多一台服务器瘫痪,全球互联网将会有相当一部分网页浏览以及邮件服务会彻底中断。
(3)2014年初DNS故障
2014年1月21日下午15时左右开始,全球大量互联网域名的DNS解析出现问题,一些知名网站及所有不存在的域名,均被错误的解析指向65.49.2.178(Fremont, California, United States,Hurricane Electric)。中国DNS域名解析系统出现了大范围的访问故障,包括DNSPod在内的多家域名解析服务提供商予以确认,此次事故波及全国,有近三分之二的网站不同程度的出现了不同地区、不同网络环境下的访问故障。
整个网络信息安全的框架可分为三个层面。
(1)网络应用层的各项业务的信息安全,杀病毒,防木马,加固防火墙,主动防御网络攻击,不同国家的网络安全部门绝大部分是在做这方面的信息安全工作,许多信息安全主要是靠加密技术来支撑的。只要被有能力的黑客盯上,信息泄漏解密只是时间问题。
(2)网络核心设备和终端设备,包括CPU核心芯片和OS操作系统/数据库都来自美国,这些设备的信息对美国和NSA来说就是透明的,没有任何安全的可能。
(3)网络主权缺失造成的网络信息安全问题是更加带有全局性的问题。每一个通信IP地址下的每个比特全部受美国因特网根系统监控,全部数据由美国国安局进行大数据分析检查,然后存储归档,加密信息则视具体情况进行解密处理。
4. 新一代互联网
2001年,中国信息产业部正式成立“十进制网络标准工作组”,2002年中国信息产业部成立“新一代安全可控信息网络技术平台总体设计”专家工作组,2007年中国信息产业部正式将IPV9定义为新一代互联网以区别IPv6下一代互联网。
为突破未来网络基础理论和支撑新一代互联网实验,建设未来网络试验设施,主要包括:原创性网络设备系统,资源监控管理系统,涵盖云计算服务、物联网应用、空间信息网络仿真、网络信息安全、高性能集成电路验证以及量子通信网络等开放式网络试验系统。
2014年12月ISO/IEC正式发布的未来网络国际标准中《命名与寻址》和《安全》(见国家标准化管理委员会部函,标委外函[2014]46号)等核心部分由中国专家主导,并且拥有核心知识产权。未来网络都有明确清晰独特的定义,美国、俄罗斯、加拿大、韩国等主要国家都投了赞成票。
2016年6月1日中国工信部发布IPV9在全国实施的相关行业标准:SJ/T 11605、SJ/T11604、SJ/T11603、SJ/T11606 。
这标志着经过二十多年的研究开发,中国真正拥有了自主研发的成熟的IPV9母根、主根、从N-Z命名的13个根域名服务器系统,核心骨干路由器和用户路由器产品系列,已经开始建设拥有自主知识产权,且独立于美国Internet但又兼容Internet的计算机通信网络。
十进制网络工作组开发的网络技术显著特点如下。
(1)增加了地域和国家概念
由各国分布管理,就近解析,分布式解析,信息流向合理。根据需求可实现端到端的通信,不必像IPv4和IPv6一样受制于美国,低成本、高效率、节约了网络开支,实现了绿色环保。
(2)实现电子标签与条码的统一
IPv9巨大的地址容量实现了地址分配的唯一性,IP地址、数字域名与电子标签和条码编码技术的融合,将网络延伸到传感器技术所能达到的每一个角落。IPV9使条码也具有电子标签同样的上网功能,能够对流通商品及器材从生产厂开始进行全程跟踪控制。在RFID电子标签无线信道被干扰时,条码还能够识别。中国独有的条码与RFID电子标签混合技术将大大降低全球生产制造业和物流行业的管理成本。
(3)实现多码合一功能
IPv9不仅使域名与IP地址合一,还可以实现人或物的全球唯一识别码合一,可以使电话号码、手机号码、域名及IP地址、IPTV、IP电话等合为一个号码;也解决了电子标签与条码的同码上网,是真正面向未来信息社会和实现“无处不在”网络的解决方案及应用平台。
(4)可实现实名制上网
IPV9网络能够实现实名制上网,还可以有条件保护客户的隐私权,单独开辟一定数量的匿名地址供访客使用,但从设计和技术上不容许匿名地址用户进入银行、政府、社会福利、商品流通等公共网络和信用网络。
(5)IPV9具有地址加密功能
不同于目前现在单一对应用加密的手段,IPV9创新的设计了地址加密,将安全保护延伸至网络层,极大的提高了国家的信息安全性。无论是现在正在使用的IPv4,还是国外提出的下一代互联网协议IPv6都是无法比拟的
IPV9通信协议报文结构设计合理,报文项目功能明确,IPV9协议在地址空间、服务质量、安全性等方面的设计优于IPv4协议。IPV9协议在应用支持与网络设备支持成熟时,可以替代IPv4协议,成为网络互联的通信协议。
IPV9协议数据报文的地址表示方式与报文报头结构同IPv4或IPv6协议不同,所以IPV9协议的数据报文报头将不会被IPv4或IPv6系统识别,不会直接在这些系统中进行传播。因此,采用IPV9协议通信,其数据报文不会直接传播至其他协议的网络,这样就控制了数据的传播范围,在一定程度提高了通信的安全性。
(6)目前所有黑客的攻击及所有网上窃听软件都是基于IPv4开发的。IPV9路由器及V9网卡对类似窃听及黑客的攻击数据包将不予放行,对黑客攻击及网上情报的肆意窃取筑起长城。