每經(jīng)記者 淡忠奎    每經(jīng)實習(xí)記者 劉旭強(qiáng)    每經(jīng)編輯 楊歡

圖片來源：每經(jīng)實習(xí)記者 劉旭強(qiáng) 攝

“我們的衛(wèi)星互聯(lián)網(wǎng)面臨著供應(yīng)鏈比原來大大增加的情況，早期的供應(yīng)商可能覺得我們衛(wèi)星離地4000公里，無法接觸到，所以它受攻擊是不可能的。在安全上，最多采用通訊加密和接收閥門控制，導(dǎo)致目前的衛(wèi)星互聯(lián)網(wǎng)（面臨）大量的威脅攻擊。”8月24日，在2023CCS成都網(wǎng)絡(luò)安全大會開幕式上，電子科技大學(xué)網(wǎng)絡(luò)空間安全研究院院長張小松談及當(dāng)下衛(wèi)星互聯(lián)網(wǎng)安全面臨的挑戰(zhàn)。

他在接受《每日經(jīng)濟(jì)新聞》記者采訪時表示，衛(wèi)星互聯(lián)網(wǎng)面臨廣泛的安全威脅，供應(yīng)鏈?zhǔn)瞧渲械淖疃贪?，根?jù)木桶效應(yīng)，這一環(huán)節(jié)往往率先被滲透攻擊。

衛(wèi)星互聯(lián)網(wǎng)是全球互聯(lián)網(wǎng)的發(fā)展重點方向，在2020年衛(wèi)星互聯(lián)網(wǎng)被納入“新基建”范疇后，我國相關(guān)產(chǎn)業(yè)就開始快速發(fā)展。不過，相比衛(wèi)星制造和發(fā)射環(huán)節(jié)的技術(shù)競逐，衛(wèi)星互聯(lián)網(wǎng)的安全問題常被忽視。在張小松看來，隨著低成本的技術(shù)鋪展開，大量企業(yè)涌入衛(wèi)星互聯(lián)網(wǎng)產(chǎn)業(yè)鏈，任何與衛(wèi)星互聯(lián)網(wǎng)有信息交互的企業(yè)都有概率發(fā)起攻擊，衛(wèi)星互聯(lián)網(wǎng)已經(jīng)暴露在大面積的安全威脅中。

在運行結(jié)構(gòu)上，張小松將威脅概括為空間段、地面段、用戶段和供應(yīng)鏈威脅。在技術(shù)層面，又可進(jìn)一步擴(kuò)展為物理設(shè)施威脅、通信鏈路威脅、計算機(jī)系統(tǒng)與網(wǎng)絡(luò)安全威脅、數(shù)據(jù)安全威脅、業(yè)務(wù)應(yīng)用安全威脅等五大類。

其中，供應(yīng)鏈環(huán)節(jié)是最有可能被率先攻擊的。“衛(wèi)星是個巨復(fù)雜系統(tǒng)，供應(yīng)鏈復(fù)雜冗長，上下游企業(yè)眾多。任何一個企業(yè)出現(xiàn)安全缺陷，都會威脅到整個衛(wèi)星互聯(lián)網(wǎng)。”張小松認(rèn)為，大企業(yè)尚有嚴(yán)密的安全管理規(guī)范措施，但來自小公司的零部件安全風(fēng)險就多了。這一定程度上也造成，供應(yīng)鏈這項最短板往往率先被滲透攻擊。

具體看來，相比后門植入、芯片偽造等硬件安全威脅，來自軟件的安全威脅更為泛濫。為了節(jié)省時間，大部分商業(yè)軟件或多或少都直接使用開源軟件，而開源軟件基本上不考慮安全性。奇安信集團(tuán)《2022年中國軟件供應(yīng)鏈安全分析報告》數(shù)據(jù)顯示，調(diào)研的3354個軟件開發(fā)項目中，86.4%的項目存在開源軟件漏洞。1781個軟件項目的源代碼中，發(fā)現(xiàn)安全缺陷達(dá)264萬個。

“這暴露了我國開發(fā)人員水平的參差不齊，并且從一開始就缺乏軟件設(shè)計安全意識的培養(yǎng)。”張小松建議，要解決軟件層面的安全威脅，首先要系統(tǒng)地培養(yǎng)開發(fā)人員良好的編程習(xí)慣，避免可能出現(xiàn)的邏輯漏洞。其次，要輔以檢查手段，通過和測試機(jī)構(gòu)合作，檢查開源軟件是否存在安全缺陷。