旭华草堂

转自：比特网

http://sec.chinabyte.com/305/12284305.shtml

3月7日消息，据国外媒体报道，谷歌昨日修补了14个Chrome的安全漏洞，并给研究人员发放了高达47500美元的奖金，其中包括30000美元是为奖励他们对漏洞报告程序坚持不懈的努力。同时谷歌将设立奖金高达100万美元用在CanSecWest安全会议，该会议将在本周二至周四举行。

据悉，周日更新的Chrome 17是自2月8日推出以来第二次安全更新。被修补的14个漏洞都被设置成“高危”，被列在谷歌二级最严重威胁排名。其中有10个漏洞是被标记为“释放后使用”的内存管理漏洞。研究人员称这是一种常见的漏洞，他们是通过持续使用谷歌自己的内存错误检测工具AddressSanitizer才发现这一缺陷。

据报道，四位外部研究者报告了这14个漏洞，并赢得了 17500美元的赏金，谷歌还另外奖励其中三人10000美元作为“持续的，不寻常的”工作的额外奖励。

目前为止，今年谷歌已经支付了大约73000美元给外部研究者。上周，谷歌在CanSecWest大会上撤回其年度Pwn2Own黑客大赛的赞助，取而代之的是将提供高达100万美元奖金，发放给发现浏览器未知漏洞的研究者。

Chrome 17同时包括了对Adobe Flash Player的更新。而同时，Adobe今天才发布一项安全更新，用于解决在多数媒体软件中发生的两个致命错误。很显然，谷歌的这次flash更新再次将Adobe打败。Chrome17可以从Google的网站下载并用于Windows，Mac OS X和Linux系统。运行浏览器的用户将通过其默认服务自动更新。

 

转自：比特网

http://sec.chinabyte.com/308/12284308.shtml

2011年6月7日，这是美国全年中最热的一天之一，直到晚间气温仍然很高。两名联邦调查局探员在制服下身穿防弹背心，走进了位于纽约下东区的 一处房屋。他们敲响了6楼一处公寓的房门，一名20多岁、身穿牛仔裤和白T恤的年轻人打开了房门。这名年轻人说：“我是赫克特。”福克斯新闻网站周二刊文称，知名黑客 组织LulzSec的领袖赫克特·沙维尔·蒙赛格(Hector Xavier Monsegur)去年被美国联邦调查局逮捕。LulzSec此前攻击了美国中央情报局、福克斯、索尼和多家金融机构的网站。福克斯新闻网近期对抓捕蒙赛 格的幕后情况进行了了解。

知名黑客组织LulzSec领袖赫克特·沙维尔·蒙赛格

LulzSec是更庞大的黑客组织Anonymous的分支

抓捕过程

2011年6月7日，这是美国全年中最热的一天之一，直到晚间气温仍然很高。两名联邦调查局探员在制服下身穿防弹背心，走进了位于纽约下东区的 一处房屋。他们敲响了6楼一处公寓的房门，一名20多岁、身穿牛仔裤和白T恤的年轻人打开了房门。这名年轻人说：“我是赫克特。”

探员发现，与他们面对面的就是网名为“Sabu”的LulzSec领袖蒙赛格。联邦调查局已经花费了数个月的时间来追踪这名计算机天才，而直到此前数周才知道他的真实身份和所处位置。

LulzSec是更庞大的黑客组织Anonymous的分支，而蒙赛格则是该组织的领袖。此前几个月中，LulzSec攻击了美国中央情报局、福克斯和索尼等机构和公司的网站。根据媒体报道，攻击造成的损失达到数十亿美元。

从外表来看，这一不起眼的公寓不太可能是全球最知名黑客组织的中枢所在。不过28岁的蒙赛格本人也充满了这样的矛盾。蒙赛格是一名失业在家的计 算机程序员、救济金领取者，以及两个孩子的法定监护人。蒙赛格没有上过大学，凭借自学成才成为一名黑客。尽管能力和聪明才智足以帮助蒙赛格找到一份不错的 工作，但了解蒙赛格的人都说，他很懒惰、不思进取，并且对当前的生活状态很满意。

一名司法部门官员表示：“他极为聪明。聪明，但是懒惰。”懒惰或许是使蒙赛格陷入目前处境的最主要原因。

行踪泄露

在进行黑客活动时，蒙赛格总是非常谨慎，通过代{过}{滤}理服务器隐藏自己的IP地址。不过蒙赛格也曾出现过一次疏忽。当时他使用自己的真实IP地址登录了一个聊天室，而就是这次疏忽帮助了联邦调查局的抓捕。

联邦调查局探员随后观察了这一IP地址在几周内的活动，并确定IP地址的使用者就是LulzSec的领袖“Sabu”。6月7日晚间，联邦调查 局接到报告称，有人在网上发布了“Sabu”的真实姓名和住址。执法部门担心，“Sabu”在看到这则信息之后将会离开住所并销毁黑客活动的证据，因此他 们必须立即行动。

联邦调查局此前已经获得了“Sabu”的Facebook帐户，发现他曾向其他黑客出售窃取的信用卡号码。因此，联邦调查局已有足够证据以重度 身份信息窃取的罪名起诉他，并使他面临至少两年的监禁。不过对调查者来说，“Sabu”如果愿意合作，那么能带来更有价值的信息。

根据一名目击者的说法，在房门打开之后，蒙赛格表示：“这不是我，你们找错了人。我没有计算机。”然而探员看到，在蒙赛格的身后，他的网线连接在DSL调制解调器上，而绿灯仍在闪烁。

探员以先礼后兵的方式使蒙赛格就范，并搜查了他的房间。蒙赛格最终放弃了狡辩，将所有工具都交给了执法部门。其中一名探员回忆称：“这是由于他的孩子。他愿意为孩子做一切。他不希望进监狱，而使孩子无人照管。这就是我们说服他的方式。”

蒙赛格以重度身份信息窃取的罪名被起诉，随后被保释。8月15日，他对于一系列与黑客活动相关的指控表示认罪，并同意与联邦调查局合作。知情人士称，蒙赛格继续与他的孩子生活在公寓里，与他们一起生活的还包括他的5个兄弟和1个姐妹。

成长经历

自那时以来，蒙赛格开始为政府部门工作，而这一雇主正是他此前试图攻击的对象。根据知情者的说法，蒙赛格的网名“Sabu”来自纽约斯塔顿岛的 一名职业摔跤手Sabu the Elephant Boy。这名摔跤手曾声称自己是沙特阿拉伯裔，从而引起了当地群众的不满。Sabu the Elephant Boy活跃于80年代和90年代的独立职业摔跤比赛中，并有一定的声誉。

了解蒙赛格的人表示，蒙赛格反对政府、反对资本主义的态度是促使他进行黑客活动的主要原因。他的人际交往技巧、技术能力、在街头的声望，以及所 进行的黑客活动使他很快在黑客圈中崛起。蒙赛格的活动很多出于政治目的，他曾经因反对亚利桑那州的移民法而公布了该州司法部门工作人员的个人信息。

Anonymous和LulzSec成员自称为黑客活动家，他们有着明确的日程和活动主题。此前，蒙赛格曾供职于一家名为Limewire的公司，该公司开发P2P分享软件，帮助用户“解放”音乐。

这样的文件分享软件很明显存在侵权行为。而在Napster之后，一些新的文件分享网络也被迫关闭。Limewire最终也被关闭，并遭到美国唱片业协会RIAA的起诉，被索赔1.05亿美元。蒙赛格随后失去了工作，并一直处于失业状态。

不过知情者表示，考虑到他出色的能力，蒙赛格本可以再找到很好的工作。一名司法部门官员表示：“如果加入大公司的IT安全部门，‘Sabu’可以赚到数百万美元。不过，他现在已经穷困潦倒，依靠公共援助和求助于朋友为生。他还可能在监狱中度过一生。这确实非常悲惨。”

 

转自：乌有之乡  作者：马海群 范莉萍

http://www.wyzxsx.com/Article/Class20/201202/293786.html

【内容提要】俄罗斯联邦已经形成了以宪法为立法依据，以一般信息法为立法基础，以若干纲领性文件为立法的政策指导和理论依托，以具体的法律规范为立法支撑的信息安全立法体系。俄罗斯信息安全立法在法制观念、立法及时性、政策引导、国际合作等方面的经验，有助于引导我国科学制定信息安全立法规划，把握立法的完整性，从主体、客体和内容三方面完善信息安全立法框架，并选择适当的立法模式。

俄罗斯在近20年来历经了政治制度和经济体制的重大变革。为了顺应全球信息化的必然趋势，俄罗斯政府制定、颁布了为数不少的信息安全纲领和法律。俄罗斯在历史发展、制度变革等方面不仅具有典型性，且与中国改革开放和市场经济发展有相通之处。从信息纲领、法律的制订与内容等方面研究入手，探索其宝贵经验，对于我国现阶段的信息安全立法，大有裨益。
一、俄罗斯联邦信息安全立法体系分析
俄罗斯联邦重视信息领域的政策研究和法律规范制定，已经形成了以联邦宪法规定为立法依据，以《信息、信息技术和信息保护法》为立法基础，以《俄罗斯国家安全构想》、《国家信息安全学说》及《2020年前俄罗斯国家安全战略》等若干纲领性文件为立法的政策指导和理论依托，以具体的法律规范为立法支撑，以专门机构的具体措施为立法保障的较为完善的信息安全立法体系。
（一）以《俄罗斯联邦宪法》为立法依据
1993年12月12日通过的宪法作为俄罗斯联邦基本法对于信息安全问题做了明确而又原则性的规定。根据宪法第23条，宪法保障个人和家庭隐私权，保护通信、电话交谈、邮递、电报等隐私；第24条第2款，国家权力机关和地方自治机关及其公职人员必须保证每个人均有可能接触直接涉及其权利和自由的文件与资料，如果法律未另作规定的话；第29条，保证通过任何合法手段自由搜集、获取、传递、制造和传播信息的权利；第41条，保证对可能对人们的生命和健康造成威胁的事实和环境的知情权；第42条，保证对环境现状可靠信息的知情权，并规定，原则上信息权利可通过印刷技术手段实现，但在现代条件下对于公民更实际和方便的手段是，创建相应的信息主页的立法、执法与仲裁机构保证网页上提供的信息的可获取性和完整性，即保障网页的信息安全。这些规定的现代诠释包括在利用计算机网络传递数据过程中保证数据的隐私以及获取信息保护。因此，俄罗斯联邦宪法成为俄联邦信息安全立法的根本依据。
（二）以《信息、信息技术和信息保护法》为立法基础
在俄罗斯的法律中，国家杜马2006年7月通过并颁布的联邦第149号法律《信息、信息技术和信息保护法》被认为是专门讨论信息安全问题的基本法。该法是在1995年2月《信息、信息化与信息保护法》基础上，为适应信息领域的新变化，更好地维护信息主体尤其是公民的信息权利，促进信息技术在各领域的应用，保障信息安全，而于2006年重新颁布的。该法成为俄罗斯信息安全立法的基础。《信息、信息技术和信息保护法》中确立了信息安全领域立法发展的基本规范，对信息收集、获取、传递、生产和传播权利实现时、使用信息技术时、保障信息保护时出现的各种法律关系进行调节。该法中对于信息、信息技术、信息系统、信息通信网络、信息拥有者、信息访问、信息隐私、信息提供、信息传播、电子邮件、记录信息、信息系统操作员等概念进行了界定；对保障公民和组织的信息权利，如信息获取权、隐私权等给予了充分的关注。强调在调整信息法律关系时遵循信息可通过任何合法手段自由地搜集、获取、传递、生产和传播；只有联邦法律可以规定对信息的限制获取；国家机构和地方自治机构业务信息应公开，并可自由获取；公民私生活不可侵犯等基本原则。《信息、信息技术与信息保护法》调整的法律关系非常广泛，对于俄罗斯信息安全立法产生很大影响，为该领域立法奠定了重要基础。
（三）以系列纲领性文件为立法的政策指导和理论依托
俄罗斯联邦在进行信息安全立法时十分重视纲领性文件的作用，陆续制定了《俄罗斯国家安全构想》、《俄联邦信息安全纲要》、《国家信息安全学说》、《2002～2010年俄罗斯信息化建设目标纲要》、《2020年前俄罗斯国家安全战略》等若干纲领性文件。这些纲领性文件成为立法的重要政策指导和理论依托。
1997年出台的《俄罗斯国家安全构想》明确提出：保障国家安全应把保障经济安全放在第一位，而信息安全又是经济安全的重中之重。
1998年的《国家信息政策纲要》形成了以建立信息社会为核心的统一的国家信息政策，明确了俄罗斯向信息社会过渡中的政策要点和具体的实施措施。
1999年出台《俄罗斯联邦信息安全法律保障完善构想》草案，把信息安全提到信息环境下国家利益保护高度，将俄罗斯信息环境作为国家和社会生活的组成部分。保障信息环境下俄罗斯国家利益将会有利于加强俄罗斯国家安全。构想列出了哪些属于信息环境下的国家利益，阐述了俄罗斯信息安全法律保障状况，确定了信息安全立法保障目标和原则以及完善构想。
2000年生效的《俄罗斯联邦信息安全纲要》旨在帮助俄罗斯从法律、方法、技术和组织方面为信息安全制定出具体计划。纲要讨论了俄罗斯联邦的信息安全现状以及改进的目标；阐明了关键信息基础设施保护的法律、组织、技术和经济方法；描述了信息安全在经济、国内政策、外交政策、科技、信息和电信系统、国防、执法和紧急情况等诸多方面的特点；介绍了信息安全领域的国际合作、确保信息安全的国家政策的主要规定以及需要优先执行的措施，着重强调的一个方面是，为信息安全创建一个法律基础。
2000年6月俄总统普京签署了国家安全委员会提交的《国家信息安全学说》。这是俄罗斯第一部正式颁布的有关国家信息安全方面的重要文件，也是继《俄罗斯国家安全构想》之后又一部“非常及时且重要的纲领性文件”。该学说表明了俄罗斯对信息安全保障的目的、任务、原则和基本内容的看法，首次明确公布了俄罗斯在信息领域的利益、信息安全面临的内在和外在威胁以及为确保信息安全应采取的措施。学说将国家信息安全保护作为国家的重要战略任务，为俄联邦信息安全保护国家政策的形成，为从法律、方法、科学技术和组织上完善俄联邦的信息安全保障体系以及制定俄联邦信息安全保障的整体方案提供了建议和政策导向。该学说从俄联邦在信息领域重大利益面临的威胁入手，全面系统地阐述了俄联邦信息安全保护的目的、任务、方法、政策原则以及组织基础，几乎分析了社会生活各个领域信息安全状况及保护措施，具有很强的系统性、全局性和前瞻性，表明了俄罗斯政府对国家在信息领域安全的高度重视，这在俄罗斯历史上还是第一次。《国家信息安全学说》可以说是一个成功的典范，在世界范围内也是屈指可数的。学说的发表，表明俄罗斯已经将信息安全提升到国家战略高度，它将为俄“构建未来国家信息政策大厦”奠定基础，被视作是加强信息安全的重要举措，为该领域国家政策的制定和专门立法活动提供了纲领性指导。
在《国家信息安全学说》之后公布的《俄罗斯联邦信息和信息化领域立法发展构想》对俄罗斯信息和信息化领域法制建设的条件和优先等级进行了剖析，指出俄罗斯信息和信息化领域立法工作的优先方向。
为了推动信息产业化的发展，俄联邦政府又相继出台了《2010年前俄罗斯信息化发展纲要》和《2002年至2010年电子俄罗斯联邦目标规划》（2001年作为政府决议出台，分别于2004年7月和2008年8月进行了修订），这些政策针对俄罗斯的信息基础设施建设、信息权、信息资源组织和利用、信息安全、信息资源数字化和共享、信息立法等专题提出了解决方案。《电子俄罗斯联邦规划》是俄罗斯政府近10年来制定的最具影响力的信息化政策，该规划的目的是通过促进现代信息技术和互联网的广泛应用，提高经济运行和国家管理的效率，为自由地查询、获取、传递、生产和传播信息提供保证，加强对信息和远程通信技术领域的人才及用户培养。2008年俄罗斯政府公布了《俄罗斯联邦信息社会发展战略》，该战略部署了俄罗斯至2015年信息社会建设的基本任务、基本原则、实施措施，以及预期目标。
2009年5月，俄联邦总统梅德韦杰夫批准了《2020年前俄罗斯国家安全战略》。梅德韦杰夫此前在俄联邦安全会议上说，新国家安全战略“保持了国家安全领域政策的延续性”，充分反映了“俄国家发展重点及国家利益体系”，其主要思想是解决发展中出现的安全问题。新的国家安全战略被俄称为国家“综合性基础文件”。《安全战略》指出，保证国家安全的基本方针是实现国家稳定发展，保证国家领土完整和主权，决定国家最重要的社会、政治和经济变革的战略方针。国家安全的力量和资源将集中用于政治、经济和社会领域，用于科学教育、国际、精神、信息、军事、军工、生态领域和社会安全。《安全战略》还提出，俄罗斯“克服了由苏联解体导致的政治及社会经济领域的系统性危机后果”，维护了国家领土和主权的完整，并开始恢复在国际舞台上的影响。与此同时，俄国家安全也面临与10年前完全不同的世界政治、经济和社会领域的新挑战。新国家安全战略正是在这一基础上诞生的。新战略强调为保障国家安全，在实现国家安全重中之重的同时，俄联邦将集中人力物力确保下列持续发展的重点：通过保障个人安全和高标准的生活保障提高俄罗斯公民的生活质量；在保障国家安全方面未来长期的出发点是，必须不断完善护法措施，以发现、警告、消除和揭露恐怖主义、极端主义行为以及其他蓄意侵害公民权利和自由、公民财产、社会秩序、公共安全和宪法制度的犯罪行为。未来长期对保障国家安全和公共安全有帮助的还有，提高护法机关和情报机构的工作效率，建立统一的国家预防犯罪（首先是未成年人）和预防其他违法行为的制度，包括进行监督，评估护法工作效率，制定和采取专项措施，以减少受贿现象，降低犯罪现象渗透到社会关系的程度。该文件是形成俄国内外政策的决定性文件。
上述纲要与规划作为俄罗斯信息化建设的纲领性文件，为信息化建设在俄罗斯的全面展开以及提高俄罗斯国际竞争力和国际地位提供了重要的政策导向和理论依据。
（四）以具体的法律规范为立法支撑
俄罗斯从维护信息时代国家根本利益的高度认识信息安全的重要性，非常重视日益突出的信息安全问题。为此，俄联邦政府根据国情从国内与国际、个人与国家等方面入手，制订了一系列保障信息安全的法律法规。内容涵盖国防、内政、外交、司法、经济、科学技术、精神生活等领域信息化问题，为俄罗斯联邦信息安全立法体系日趋科学与完善提供了支撑。
俄罗斯联邦先后颁布的有关信息安全保护的法律包括：20世纪90年代的《安全法》、《国家秘密法》、《政府通信和信息联邦机构法》、联邦《信息、信息化与信息保护法》、《国际信息交换法》；进入21世纪后颁布的《电子数字签名法》、2002年版俄罗斯联邦《刑法典》增加了计算机信息领域犯罪规定、《商业秘密法》、《信息、信息技术和信息保护法》、《个人数据法》、《政府信息公开法》。还起草和修订了《信息权法》、《俄罗斯联邦因特网发展和利用国家政策法》、《电子文件法》、《电子合同法》、《电子商务法》、《产品和服务认证法》、《信息保护设备认证法》、《有关遵守加密设备的研制、生产、实现和应用以及提供加密信息领域服务的合法性措施》等一系列法律规范。
除了联邦法律外，俄政府还不断颁布总统令和政府决议等规范性文件，对信息安全给予多方面保障。该领域比较重要的总统令有：《禁止生产和使用未经批准许可的密码设备》、《关于核准机密资料清单》、《关于使用国际信息交换通信信息网络过程中俄罗斯联邦信息安全保障措施》等；重要的政府决议包括：《信息技术保护活动许可》、《关于在个人数据信息系统中加工个人数据过程中保障个人数据安全条例核准》、《关于联邦国家信息系统特别接入信息通信网络》等。此外，俄罗斯还制定和颁布了《信息安全标准体系和测评认证制度》等信息安全法规文件。诸多法律规范对信息安全立法形成有效支撑。
（五）以国际合作作为信息安全立法视角
俄罗斯政府认为，为了确保俄罗斯在国际上的信息安全，必须同世界上其他国家在信息安全领域进行国际合作。合作应依据现行国际法的准则和原则，最基本的原则是“对等安全原则”。为此还专门制订了有关参与国际信息交换的法律法规，并对这一问题给予足够的重视。2000年7月22日，俄罗斯与美国、日本、德国、英国、法国、意大利、加拿大八国领导人在日本冲绳举行首脑会议并发表《全球信息社会冲绳宪章》，旨在促进信息通讯技术发展，缩小国家间、地区间信息技术发展差距，建设全球信息化社会。
俄杜马还通过了《联合国打击跨越国界有组织犯罪公约》，致力于加强国际合作，打击跨国有组织犯罪。俄罗斯联邦政府认为其信息安全面临的外部威胁巨大，必须加强该领域的国际合作，特别是与独联体国家的合作；积极参与所有确保信息安全的国际组织，包括对信息手段和信息保护手段实行标准化和发证制度的组织，保障国际信息交流的安全；协调各国执法机关在防止计算机犯罪活动中的行动；防止窃取国际银行网络和国际商务信息网络的秘密信息；防止未经许可地获取正在进行反跨国团伙犯罪、国际恐怖主义、毒品扩散、走私军火和贩卖人口斗争的国际执法机关的信息。俄罗斯也积极推动国际社会建立一个互信的国际信息安全系统，避免信息安全领域的威胁，限制和预防网络安全冲突，反对网络军备竞赛。俄专家建议，世界各国应积极参与制订统一的合理利用网络资源的法律，主张在联合国、欧洲安全组织、上海合作组织等国际组织框架内拟定一份具有普遍性的国际法律文书来规范和限制网络空间的战争和制定网络战条约。俄罗斯曾向联合国提交了一份名为“国际电信和信息领域发展安全”的议案，希望能把未来的信息安全和网络战等问题条约化。此外，与其他国家联合将网络战技术用于打击网络犯罪和恐怖主义也是俄罗斯关注的重点。
二、俄罗斯联邦信息安全立法的主要经验
（一）信息安全法制观念深入人心
俄罗斯将信息安全纳入国家安全战略，对国家信息安全给予高度重视，是因为政府始终认为社会的稳定、公民权利和自由的保障、法制秩序以及国家财富直至国家完整的维护，在很大程度上都取决于保障信息安全和信息防护等问题的有效解决。“法制国家”已明确写入俄罗斯联邦宪法第一条。俄罗斯法学家把法律的至高无上视为法制国家最重要的准则，认为法治国家是对人权和自由的最大保障，而完善的法律体系、法律的普遍适用及对法律的严格遵守、公民法律意识是法治国家的重要条件和保证。俄罗斯法学家从探讨“法治国家”之初就认为，实现法制国家的构想是为了确立民主和人道的社会制度、国家和社会的法律基础，创建具有高度法律、道德规范和公民意识的法律社会。俄罗斯人的传统是习惯于重视集体活动，习惯于借助国家和社会的帮助改善自己的状况，而国家权威是秩序的源泉和保障，这些在俄罗斯经过考验的传统价值观与市场经济、民主、自由等全人类价值观的结合，构成了公民的法治意识。俄罗斯素来以国民素质高著称，公民的守法意识极强，法治观念已经深入人心，法律至上的观念得以牢固树立，立法十分重视法律的可操作性。2008年2月8日，普京在《2020年前俄罗斯国家长期发展计划》中全面阐述了“普京计划”并强调：“要加强司法建设、维护法院的独立性，要通过建立有效、负责任和诚实的政府，来保障公民权利，增进人民福利”。“普京计划”强调建立宪政制度，使社会各阶层逐步形成宪法至上、服从法律、遵守契约、依法参政的观念。
（二）重视纲领性文件的制定
俄联邦非常重视具有长期指导作用的纲领性文件的制定。纲领性文件对信息化立法的意义、目标、方法的认识的统一具有良好的政策导向作用，为俄罗斯信息安全立法的细化和完善提供保障。随着第一次车臣战争的爆发，俄罗斯于1997年出台了《俄罗斯国家安全构想》。2000年，俄总统普京上台伊始，就发表了前所未有的《国家信息安全学说》，这一直是指导俄罗斯信息安全的纲领性文件。而后随着国际安全形势的演变、俄国内车臣等问题的逐渐平息以及“梅普”安全领导架构的确立与稳定，俄罗斯需要有一个长期的安全战略指导纲领。与此前推出的《2020年前俄罗斯联邦社会经济长期发展构想》相适应，2009年5月13日，俄联邦总统梅德韦杰夫签署命令，正式发布了《2020年前国家安全战略报告》，表明这份国家安全战略报告至少将在未来10年内对俄国家安全领域建设发挥指导作用。可见，俄联邦在国家安全方面实行长期的国家政策，具体做法就是，制定一系列基本的构想性、纲领性文件，正是在这些指导性、纲领性文件的指导下，信息立法工作才得以有序地进行。
（三）及时修订现行法律
俄罗斯将信息安全摆在与国家安全同等重要的位置，历来重视信息安全立法。进入21世纪，俄罗斯国内外形势更是不容乐观，信息安全保障正面临着诸多内外威胁，因此普京曾反复强调：“信息资源和信息基础设施已经成为争夺世界领先地位的舞台，未来的政治和经济将取决于信息资源。因此，解决这方面的问题，对国家的前途、国家利益和国家安全至关重要”。在这种严峻的形势下，强化法律手段保障俄联邦的信息安全是极其必要且行之有效的。
2006年通过的联邦《信息、信息技术和信息保护法》就是在1995年颁布的《信息、信息化与信息保护法》基础上修订并重新颁布的；2007年生效的《个人数据法》分别于2009年11月、2009年12月、2010年6月进行了三次修订；2009年，梅德韦杰夫总统签署了《俄罗斯联邦刑法典修正案和修改俄罗斯联邦刑事诉讼法典第151条》的联邦法律；同年签署了《关于修改民法典的联邦法》；2002年颁布的《电子数字签名法》于2007年及时进行了修订。当《联邦信息安全保障法》草案通过后，所有与之相关的联邦法律文件都做了不同程度的相应的更改或补充，其中包括2001年的《关于紧急状态的联邦宪法》、1995年的《信息、信息化与信息保护法》、1996年的《国际信息交换法》、1991年的《大众信息手段法》等。俄罗斯还重视法典的修订。可见，俄罗斯政府非常注重对原有法律或现行法律中的相关条款进行确认和修订，以适应现代社会的需求。
（四）重视加强国际合作
网络的跨国性和传播信息的特殊性决定了国家间必须通过国际合作来维护信息安全。国际社会应该共同建立平等互利的“国际信息安全新秩序”，以确保国际信息安全。各国应就信息安全国际立法进一步加强合作，制定信息安全国际性法规和政策，签订国际多边公约，达成共同打击和制裁国际信息犯罪的共识，为开展国际信息合作提供规范的法律框架，在缔约方之间建立共同一致的法律政策和法律体系，为实施国际联合行动提供有效的法律依据，有效打击网络犯罪。积极推动信息安全危机预警通报、信息安全灾害救援协作等一系列国际信息安全合作机制的建立和完善，构建长远有效的国际信息安全合作机制。
三、结论和启示
（一）树立正确的立法指导思想，科学制定立法规划
从完善国家信息安全组织体系，建立国家信息安全技术保障体系，保证国家重要信息系统等全局出发进行全面规划，统一与协调法律的制订与管理，积极有序地开展信息安全立法的基础性工作，是提高立法质量的重要措施。科学制定立法规划可以整合立法需求，使立法项目之间相互协调，增强立法的科学性和预见性。应从法律效力的角度权衡刑法、基本法、行政法规、部门规章等不同效力层次，做到上位法与下位法之间在原则上保持一致，同级法之间也要相互协调。
当前，我国必须加强信息安全领域的立法体系与我国现有法律体系之间的衔接与统一，正确协调不同法律部门的规范性法律文件之间的矛盾关系，及时进行调整、完善和补充，避免出现法律滞后，真正达到保障信息安全，促进信息化建设健康发展的最终目标。
（二）把握立法的完整性，进一步增强立法的具体性和操作性
立法完整性指信息安全立法应该包括信息内容、信息系统、信息网络、人员等信息安全保护问题，贯穿信息收集、获取、传播、保存整个信息生命周期。法律的生命在于实施。法律的可操作性如何，是一个社会法治成熟程度的重要指标。立法的准确性和权威性强调信息网络法律的概念术语表述上要科学、严密，同时要明确、易解，能为人们所掌握、执行，法律所反映的内容也必须是科学的，客观和可操作的。法律制定得具体，可操作性强，就会减少争议的发生，使法在执行时，职责清晰，有法可依。因此，在信息安全立法过程中，要努力增强立法的具体性和可操作性．     目前，国务院正在起草完善《信息安全条例》、《电信设施保护条例》。在此之前，原国务院信息化工作办公室牵头，已经形成2004年5月《信息安全条例（草稿）》、2004年8月《信息安全条例（初稿）》、2004年9月《信息安全条例（征求意见稿）》、2006年12月《信息安全条例（送审稿）》等多个版本。2009年，在原有工作的基础上，工业和信息化部信息安全协调司牵头，又提出了2009年7月《信息安全条例（部内审议稿）》，并正式提交部政策法规司审议。《信息安全条例（部内审议稿）》主要规定了“总则”、“网络与信息系统安全”、“网络信息服务安全”、“信息技术产品和服务”、“监督管理”、“法律责任”、“附则”等内容，其中在“网络与信息系统安全”、“网络信息服务安全”、“信息技术产品和服务”等方面提出了许多具有重要价值的制度创新设计。希望有关部门在信息安全相关法律法规的起草过程中多方考虑，进一步增强立法的具体性和操作性。
（三）加快立法步伐，从主体、客体和内容三方面完善信息安全立法框架
信息安全涉及问题内容繁多，纵横交错，十分复杂，需要综合考虑信息安全立法的整体结构。要在这样一个领域内形成有效的法律保护，需要组成权威的立法领导部门，精通信息领域的专业立法队伍。安全技术标准是立法体系的前提，权威性的管理机构统筹规划，具体执法部门职责清晰，是立法体系运行的保障。
俄联邦《国家信息安全学说》就提出了明确要求，“从立法上分清联邦国家权力机关与联邦主体国家机关对保障俄联邦信息安全所拥有的职权范围，明确社会团体、组织和公民在这方面的目的、任务和参与机制。”同时还明确，在这方面负有主要职能的是联邦政府通信和情报署、国防部、联邦安全局和国家技术委员会。明确规定了国家信息安全工作的管理机构以及各个机构的职责范围，在各个层次上都力求做到分工负责、各司其职。2008年11月俄联邦立法设立了总统直属的信息社会发展委员会，该委员会是总统直属的一个咨询机构，在商讨与俄联邦信息社会发展有关的问题时，负责保障联邦国家权力机关，俄罗斯联邦主体国家机关，地方自治机关，协会，科学及其他组织之间的互动协作。
我国也可以通过立法的形式设立国家信息安全委员会，负责宏观决策国家信息安全的重大事件和重大信息安全基础设施的建设，发布国家信息安全政策，制定统一信息技术安全标准，协调各信息安全法律法规之间的矛盾和冲突，协调各国家机关之间有关信息安全方面的矛盾和冲突，从而避免多头管理。要重视体现管理与发展并重的原则，明确监管主体，避免相关监管部门的职责出现交叉甚至冲突而给法律的执行带来困难的情况。要为我国信息安全立法设计整体框架，增加法律层级比例。一方面，尽快从主体入手，就公民个人等主体的信息权利和义务制定法律，比如《个人隐私保护法》、《个人数据保护法》等，规范和保障信息主体的信息安全；另一方面，从客体入手，就知识产权保护、设施系统安全、信息犯罪、跨国数据流动等方面制定法律，比如《计算机网络犯罪法》、《国际信息交换法》、《网络信息安全法》、《数据库保护法》、《数字媒体法》、《计算机安全监管法》、《信息基础设施保护法》等。最重要的是，亟待制定一部《信息安全法》，确立信息安全的基本原则、基本制度并将风险评估等一些核心内容纳入其中，提升立法的层次和效力，从而使信息安全立法的框架更趋合理。
（四）选择适当的立法模式，突出立法重点，缩短立法周期
选择适当的立法模式是信息安全立法体系构建的重要一环。究竟是选择法典式立法模式、还是单行法与相关立法相结合的立法模式，要根据我国国情综合考量。笔者建议：
1．制定一部综合法典式的《信息法》，将信息安全内容作为一编来设计。通过这部法典化的《信息法》可以对各种涉及信息领域的活动进行规定。可以不再对信息安全单独立法，而是把相关法律规定写入统一的信息法典中，作为整部信息立法的一个组成部分。
2．制定一部名为《信息安全法》的基本法，将其纳入信息安全立法体系中，和其他专门法、单行法共同调整信息安全方面的各种法律关系。除了有以信息安全为名称的专门法以外，可能还有诸如网络信息安全法、个人信息安全法、信息系统保护法、信息安全监管法、信息安全风险评估法、计算机犯罪法、网络信息犯罪法、电子签名法、电子信息犯罪法、个人电子信息隐私法、电子信息知识产权保护法、电子信息密码法等涉及信息安全领域的单行法；也可能同时存在对信息安全做出一般性或整体性规定的各种行政法规，这些法律法规相辅相成，构成了一个统一的家族式整体。
就上述两种立法模式而言，当务之急，笔者更倾向于第二种更适合我国的立法体例和法律传统的立法模式，姑且就称作“族性立法模式”。与第一种相比较，其系统性和整体性以及针对性更强，优势更加明显。制定《信息安全法》这样的基本法可以解决信息安全领域共性和共通的、战略性的、根本性的、长远性的问题。基本法和单行法可以结合起来，平行而不交叉。作为我国信息安全的基础性法律，既要做出信息安全的基本制度设计，也要突出重点。选择这种立法模式，就可以维护法律的长期稳定性，突出立法重点。目前关于信息安全法律内容包括在刑法中，其他均属规制力度不够的行政法规范畴，这种相对僵化的立法模式对新情况的反应能力不足，刑法的更新速度落后于技术进步的速度，容易造成保护信息安全的刑事法律滞后于社会生活的变迁。所以，应审时度势地选择目前适当的立法模式，以惩治各种新型计算机网络犯罪为重点，尽快制定信息安全基本法，切实保护信息的安全。同时，信息安全法的制定最好与完整的信息法的制定融为一体，以保证法律的一致性与严肃性，避免过去许多法律、法规共有的支离破碎、捉襟见肘的缺点。
（五）充分借鉴各国立法经验，主动融入国际信息安全的法律体系
人类信息社会原本是建立在国际互联基础之上的，信息化也变成了全球范围内的各国一体的信息化，各国信息政策和法律的制定也就必然要与国际接轨。互联网的出现是以信息资源的共享为基础的，人类在开放的网络上自由获取信息的同时，也面临着更为复杂的安全问题，诸如：泄密与窃密、“黑客”破坏、病毒、网络欺诈、网络走私、网络战争等。这些问题严重威胁着各国的信息安全，不是一个国家制定几部法律就能完全制止和避免的。1998年，俄罗斯在第53届联合国大会向裁军和国际安全问题委员会提交了一份《信息安全领域现有和潜在威胁》的议案，建议联合国重视全球性信息安全威胁，得到了通过。欧盟、西方七国财长会议、欧洲理事会先后制定《网络刑事公约》、《打击资助恐怖主义活动的行动计划》、《关于网络犯罪的公约》等国际公约，致力于建立国际信息安全法律体系新秩序。在当今全球化时代，只有积极地介入到一切与国家信息安全相关的国际事务中去，尽可能参与国际新秩序的制定，才能更好地维护本国的利益和安全。因此我们在制订信息安全法律政策的时候，要特别注意在立法思想、立法方法和具体规定等各方面与现有的国际规则相兼容，要积极主动地参与国际法律规则的创设，真正融入国际信息安全法律体系的大环境当中去。

 

 

转自： 陈广成  http://security.zdnet.com.cn/security_zone/2012/0216/2079067.shtml

 

ZDNET至顶网安全频道 2月16日 编译：“信息安全就如同一条环环相扣的链条，实际等级取决于其中最薄弱环节的情况”。现在可能需要订正一下该观点的具体内容了。

这是因为微软首席研究员科马克·赫尔利与同事迪内·弗洛伦西奥共同撰写的一份论文。如下所示：

“无法对互联网实际安全状况进行有效判断的原因在于没有认识到真正的核心情况所在。如果安全情况与最薄弱环节所处等级相同的话;那么，所有由于选择弱口令、跨账户使用认证、拒绝听取安全警告以及忽视补丁和更新等方面原因所导致的问题都将会遭遇黑客攻击，并且这种情况将会呈现出周期性以及重复不断发生的趋势。

显然，在现实的环境中并没有发生这种情况。”

接下来给出的就是科马克提出的观点。

卡斯勒：回顾以往我们对安全研究问题的合作讨论，我一直期待——实际上可以说是渴望——你向读者介绍这类“创造性”观点。现在就又遇到了相同的情况，因此我们就从提出问题开始：

为什么不是所有人随时都可能遭遇黑客攻击?

这一问题确实属于“非常创造性”的。究竟是什么原因促使你选择研究这方面课题的?

赫尔利：当预计要发生的情况与现实所出现的真正问题出现差别时，我就会对造成这种现象的实际原因究竟是什么产生浓厚兴趣。而具体到安全领域，就是传统安全观点所预测的现象与现实中真正发生的情况并不一致，这就导致其成为了一种非常好的研究对象。

公众们被告知，如果希望确保数字化资产安全的话，就需要清除掉所有的漏洞。然而，这项要求实际上属于无法完成的情况。绝大部分使用者都不会关注软件更新和防病毒工具运行情况，还经常会选择忽略操作系统和浏览器发出的警告，并随意点击各种恶意连接。

此外，我们也不应该忘记人们在密码使用方面存在的各种陋习。使用者经常会选择弱密码，使用通用名称，并将具体内容写在所有人都能看到的即时贴上，甚至还会重复使用三到四个相同密码来作为多处账户的保障。

然而，在全球使用互联网的20亿人中，每年都仅仅只有5%遭受重大攻击。那么，究竟是什么原因导致剩余的95%逃脱攻击的呢?

卡斯勒：按照该论文所提出的观点，造成预测和实际相差如此悬殊的真正原因是攻击者所使用的是综合效果模式而不是追逐最薄弱环节所造成的。这究竟意味着什么呢?

赫尔利：综合效果模式意味着攻击者需要确保在对所有攻击进行统计平均后依然可以做到有利可图，而不是仅仅限于特定情况下。原因就在于每次攻击都会产生成本，并且没有攻击可以完全成功。

为了保证最终平均实现赢利，攻击者必须确保有足够的成功来填补失败所造成的全部损失。

举例来说，让我们先假设爱丽丝利用自己狗的名字来作为网络银行账户密码的情况。按照公众被告知的传统安全理论，这属于弱密码的情况，将会导致她成为攻击者的盘中美餐。但实际上，只有在满足下列条件的情况下，攻击者才能获得成功：

· 如果用户名也被获知。

· 如果攻击者可以猜出狗的名字。

· 如果银行没有关注这笔业务。

· 其它网络窃贼没有先下手。

因此，问题现在就变成了，攻击者需要进行多少次攻击才能获得成功。举例来说，假设攻击者需要在每名客户身上都花费一小时时间，并且：

· 有5%的用户会选择他们狗的名字作为密码。

· 有5%的情况中，密码会被破译出来。

· 有5%的情况中，用户名会被猜测出来。

以此为基础，我们现在就可以计算出攻击者每获得一个账户就需要攻击20×20×20=8000个帐户。

这时，我们再假设攻击者的最低时薪是每小时7.25美元。现在，为了破获账户需要所耗费的平均资金就变成7.25×8000=58000美元。

现在，如果我们进一步假设银行对于攻击者的非法企图有75%的确认率的话，就意味着攻击者现在需要232000美元的资金才能获得一个账户。在这里，我们还没有讨论到其它攻击者竞争所带来的问题。

即便攻击者愿意接受只有美国最低工资十分之一的报酬，并且在每名用户上花费的时间也降低到十分钟(而不是一小时)，获得账户的平均成本依然高达3866美元。所以，这种看起来很容易赚钱的方式实际上是很难用于谋生的。

现在，我们再换个角度来考虑一下。如果攻击属于无利可图的，因而就不会被利用的情况;这就意味着，5%的弱口令将可以逃脱一劫了。所以说，真正的事实应该是针对弱口令的攻击将很难变得有利可图，因此系统才能保持安全;这一情况也证明了安全与系统中最薄弱环节相关的观点显然属于不切合实际的。

卡斯勒：该文件声称

“尽管在特定情况下，很多攻击都可以说属于成功的;但只要利用总体数据进行一下统计平均，立即就会变成亏损的。即便在包含很多有利可图目标的案例中，这种情况也是经常发生的;从而进一步很好地解释了为什么攻击类型如此之多但实际观测到的损害却少之又少的现实情况。”

我了解到其中的逻辑所在，但下一句却又变得云雾缭绕：

“因此，对于常规安全策略来说，效果强弱的关键就在于薄弱环节的数量情况。”

现在，我彻底糊涂了。快帮帮我。

赫尔利：好的。在这里，我们还以狗名字为密码作为示范。假定50%而不是5%的使用者利用自己狗的名字来作为密码。现在(其余参数不变)，攻击者一次针对的账户总数就从八千个大幅降低到八百个。仅仅由于更多的人选择该策略，就导致攻击带来的回报率上升了十倍之多。

因此，这就意味着如果一项策略变得普及和可预见，就极易被攻击者所利用，从而导致非常危险的后果出现。由于很多人都选择在离家时将门钥匙放在花盆底下，这就会导致该项策略变成存在极大风险的类型。但如果世界上只有一个人这么做，那就会属于毫无风险的;造成这种结果的原因就在于，在这种情况下，窃贼检查花盆底下是否有钥匙将变成纯粹属于浪费时间几乎不可能成功的举动。

简单地说，攻击者就如同在玩数字游戏。对用户使用密码情况预测的越准确，获得的回报就越大。

卡斯勒：我也曾试图通过数学来确认这一模式是否成立——但最终惨遭失败了。因此，我会让数学专家来检查你的工作。现在，你觉得自己是否有可能简要地解释一下相关结论的意义所在呢?

赫尔利：与其它类型的经济活动相比，盗窃本身并无不同之处。这就意味着需要关注的并不是限于特定具体事件上，只有在统计平均上获得成功才意味着真正存在价值。换句话说，攻击者必须承担每次攻击所带来的成本，并只有获得成功才能收到回报。如果每次攻击成本要一美元，而成功率为0.1%的话，那么每次成功必须带来一千美元才能保持收支平衡。对于收入增长来说，极低的攻击成功率带来了非常严峻的现实挑战。

卡斯勒：按照我的理解：你是在担心由于安全专家们使用了错误的建模方法，从而会导致出现宣称“狼来了”之类的虚假警告?

赫尔利：由于这种说法听起来有点带有一种欺骗的意味，所以我不知道自己是否应该将此类情况形容为“狼来了”。对于安全人员来说，职责就是寻找漏洞，预测事情变坏时将会发生的情况。因此，提醒人们加强注意属于很正常的选择。同时，我觉得大家必须承认，已经有20亿人在使用互联网，尽管确实存在着安全方面的问题，但绝大部分用户都获得了良好的体验。

对于安全专家来说，“从攻击者的角度进行思考”属于重复再三的口头禅。但就我个人而言，这属于相当不现实的要求。除非用户象针对一项感兴趣的智力游戏一样全身心投入，否则从攻击者的角度进行思考并不能让大家避免被攻击或者入侵。

如果对于攻击相关的总体效果感兴趣，我们就必须象攻击者一样继续下去，找出可以用来扭亏为盈的方法。这就意味着不应该限制于在可能出现问题的时间寻找漏洞和途径，而且要计算出攻击的单次成本为多少，成功率有多高。现实中的攻击者肯定需要这么来进行思考，但普通用户由于懒惰就会跳过这一部分的分析。

卡斯勒：现在到了棘手问题时间。在谈及到安全方面的建议时，你会对我们的用户说什么?

赫尔利：在这里我要强调一下。在本文中，我们的目的是解释预测和观察之间的不匹配情况。因此，就选择了人们使用自己狗的名字当作密码这一例子来进行示范，但对于现实中的安全策略来说，我绝对不建议真的这么做!

谁都不会想成为很容易被预测和利用人群中的一员。而为其它人提供建议则是一项非常棘手的工作。我个人的建议和其它人所提供的并无不同之处。但还有一点我想补充的就是——绝对应该避免可预见情况的出现。

最后的思考

我想大家应该认为自己属于非常幸运的情况。互联网上的绝大多数坏蛋都选择转向盈利领域。否则如果涉及到其它方面动机的话，我认为公众将会遇到真正的麻烦。或者，换句话说，尽管我们可能就属于好捏的柿子，但由于攻击者选择这么做付出的代价将显得过高，结果反而变成安全的了。

 

转自：人民网 http://world.people.com.cn/GB/14549/17025416.html

网络安全是第四十八届慕尼黑安全政策会议最后一个议题。会议方设定的主题是：“主动进攻是否是保护网络安全的最佳方式？”美国前中央情报局局长海顿、意大利国防部长迪保拉、俄罗斯网络安全公司卡巴斯基公司总裁卡巴斯基等在发言中对“网络进攻”这一建议的必要性和可行性提出了反驳，认为当前重要的是 加强网络安全意识教育，以及进行国际间对话。

网络安全不等于网络战

海顿认为，加强网络安全最重要的不是技术的难易，而是战略思维。早在10多年前，美国军方就将网络空间列为陆地、海洋、天空、太空之外的“第五空间”，促使美方进一步警觉的，是一年多前的“震网”蠕虫病毒。

海顿说，“震网”足以让人回想起1945年的原子弹实验。因为这是人类历史上第一次由软件系统攻击造成物理破坏的先例，宛如出现了一种“新式武器”。

卡巴斯基说，网络安全问题应当根据不同表现归成4类。

首先是网络犯罪，比如盗用信用卡。其次是网络黑客行为。政府机构如不加强管理，网络黑客容易演变成网络恐怖主义。第三类网络安全问题是网络间谍。最后是网络战争。后两类同主权国家相关，需要加强国际间的谈判与协调。

中国是网络袭击的受害者

讨论会上，一些与会者屡屡提及“中国和俄罗斯的网络窃密问题”。主持人、德国电信公司董事克莱门斯质问卡巴斯基，俄罗斯和中国为什么拒绝参加1月底在伦敦召开的网络安全会议，为什么这两个国家不加入欧洲理事会推出的反网络犯罪公约？著名学者约瑟夫・奈则要求研究如何阻止所谓中国利用网络盗取工业机密这一行为。

迪保拉对此表示，在网络安全方面需要同中国加强接触，而不是批评。正如卡巴斯基指出的，网络是匿名的，很难确定网络攻击的真正来源。欧盟委员会副主席克洛斯则说，中国和印度是网络安全比较薄弱的国家，欧盟正同它们展开对话，加强合作。

据路透社3日报道，一名欧洲网络安全专家指出，至少有一部分强加给中国的罪名其实并非来自中国，批评者出于各种目的，让中国“成了毫无疑问的替罪羊”。

日本《外交官》网络杂志主编杰森・迈克斯2日撰文指出，很多人宣称中国发动了网络袭击，实际原因是由于中国网络安全基础薄弱，导致自身受到了网络袭击和操纵。

根据麦克菲网络安全公司不久前公布的报告，瑞典、以色列和芬兰在网络安全防护方面准备最好，而中国、印度等国家面临很多挑战。战略与国际问题研究中心专家赛格尔指出，为了加强网络安全，中国需要整合相关机构和保持政策的连贯性。

网络安全政策引发质疑

克洛斯表示，欧盟内部正在讨论网络安全问题，希冀出台系统对应措施。德国新责任基金会研究员安克此前撰文指出，北约正在讨论是否要将传统意义上的防务同盟扩展到网络安全和基础设施保护领域。“网络安全挑战着防卫专家的传统思维，并带动相应对策的演进”。

但是强化网络安全同保护个人隐私形成矛盾的两个方面。在专题讨论上，不少与会者提出了如何保证互联网使用自由的问题。克洛斯也承认，西方“需要互联网自由来推动民主革命”。意大利国防部长迪保拉强调，他主张互联网使用自由，但必须加强政府监管。美国智库“宪法项目”不久前发布报告说，美国考虑出台的网络安全措施有建立一个全国性监听网络的风险，导致所有网络用户的通信不再保密。

在有关国家政府是否需要制订网络先发制人战略方面，海顿表示此举不具备可行性。迪保拉也认为，相对于制订攻击战略，不如加强网络用户的安全意识和国际间对话。卡巴斯基则警告称，网络武器是一把双刃剑，受攻击的一方也可用它来反制对方