互联网包罗万象，从移动设备到办公电脑，到电子购物，到预定各种活动，沟通交流。很难想像离了互联网，我们将会怎样？但我们的网上生活很悲剧地被漏洞百出的安全性打败了。只要想干，黑客总能窃听到我们的交谈，冒充我们的身份，进行各种各样的恶意活动。

 

很明显，我们需要重新思考互联网安全。对全球性通信平台进行安全和隐私控制翻新不是件容易的事，但没人会否认这么做的绝对必要性。

为什么呢？是因为互联网设计不好？非也。但它设计之初确实只是给人人互信的乌托邦世界使用的。互联网雏形在只与可信团体通信的学术界流行的时候，信任关系实现不好，或者通信默认不安全并不是什么重要的事。而在数据泄露、身份盗窃和其他攻击事件到达危机水平的今天，信任关系和通信安全就不可忽视了。

为应对互联网被网络罪犯充斥的挑战，我们采用了很多折衷办法的大杂烩。但这没用。我们真正需要的，是全新的、有效的信任和安全机制。

以下便给出几个前景光明的安全提案，或许能为互联网安全带来一阵清风。它们不是什么全盘适用的解决方案，但如果能获得支持，每一个都能让互联网更安全一点。

1、真正了解流量路由

互联网社会( Internet Society )，一个专注于互联网标准、教育和策略的国际性非盈利组织，发起了一项名为路由安全互商规范(MANRS)的倡议。

该规范下，主要由互联网服务提供商(ISP)组成的成员网络运营者，承诺实现安全控制，以确保不当路由信息不会通过他们的网络传播。这些基于业界现有最佳实践的提议，包括了定义清晰的路由策略、具备原地址验证能力、部署反欺骗过滤器等。还有一个“最佳当前操作实践”文档正在筹备中。

英国Micro Focus科技公司安全战略高级总监吉奥夫·韦伯说：“每个签署了MANRS规范的ISP都在各自的范围内减小危险。”

这就是网络准则：数据包必须到达既定的目的地，但经由的路线一样重要。如果身处加拿大的某人试图访问Facebook，他/她的流量就不应该在到达Facebook服务器之前经过中国。最近，有通往美国海军陆战队IP地址的流量被临时改道通过了委内瑞拉的ISP。如果网站流量不是经HTTPS保护的，这些改道终会暴露流经其上的用户行为。

攻击者还会利用简单的路由花招，隐藏他们的原始IP地址。广泛使用的用户数据报协议(UDP)就对原地址欺骗束手无措，攻击者可以用它发送看起来好似来自另一个IP的数据包。分布式拒绝服务(DDoS)攻击和其他恶意攻击难以追踪，因为攻击者会用伪造的地址发送请求，而响应也就发回到了伪装地址而非真正的原始地址。

一旦这些攻击是针对基于UDP的服务器，比如域名服务器(DNS)、多播DNS、网络时间协议(NTP)、简单服务器发现协议(SSDP)，或者简单网络管理协议(SNMP)，效果还会倍增。

很多ISP都会忽略掉利用常见路由问题的各种攻击。尽管有些路由问题可归咎于人为失误，其他的却是直接攻击，而ISP需要学会怎样识别潜在问题并采取措施修复它们。ISP们必须对自身路由方式更负责一点，他们太容易遭到攻击了。

国际互联网协会(ISOC)在2014年启动这一志愿项目之时有9家网络运营商参与其中，现在，参与者扩大到了40多家。MANRS想要具备市场影响力，就必须扩大参与范围。选择不去遵从该安全建议的ISP可能会发现自己的业务正在萎缩——因为客户更愿意与遵从MANRS的提供商签单。小型ISP则可能会面临上游大型提供商的压力，除非他们展示出已经实现了合适的安全措施，否则大型提供商将会拒绝负载他们的流量。

MANRS若能成为所有ISP和网络提供商的实际标准，那是件好事，但零散的安全社区也未必不够好。强拧的瓜不甜，强求所有人都按一个标准来，这个标准必然不能成立。

　　2、加强数字证书审计和监控

在线通信的主体基本是由SSL保护的，解决SSL问题的尝试也层出不穷。SSL能帮助鉴别网站真伪，但若证书颁发机构(CA)被骗，误向假网站颁发了数字证书，那信任系统就被打破了。

2011年，一名伊朗攻击者摸进了荷兰证书颁发机构DigiNotar的系统，签发了包括谷歌、微软、Facebook在内的诸多证书。利用这些证书，攻击者可以进行中间人攻击，拦截这些网站的流量。由于浏览器不检查网站证书的签发机构是否一致，攻击者即使用的是DigiNotar签发的证书，浏览器也认为是有效证书而使得攻击大获成功。

谷歌的证书透明( Certificate Transparency )计划——一个开源SSL证书监测和审计框架，是最新的中间人问题解决尝试。

CA颁发证书时，公开证书日志里会记下颁发动作，任何人都可以查询加密证明来核实某个证书。服务器上的监测程序会周期性检查日志，查看是否有错误颁发给某个域的非法证书，或者带有不常见证书扩展名的可疑证书。

监测程序与信用报告服务类似，都是针对恶意证书使用/信用记录发送警告。审计程序确保日志正常工作，验证特定证书是否记录在案。没在日志中找到的证书，对浏览器而言，无异于该网站上飘着明晃晃“我有问题”标志。

(责任编辑：安博涛)