关于软件供应链宁静的几点思考(1)

在国际竞争关系错综庞大、网络空间宁静对抗日益加剧的新形势下，竞争的战场已不再仅是企业之间的业务竞争，而是延伸到重要领域信息技术供应链之间的竞争。继美国总统特朗普于2019年5月签署第13873号政令，禁止“对美国国家宁静或国民宁静造成不可接受的危害”之后，美国商务部陆续宣布将华为集团、大华科技、�？低印⑸烫揽萍肌⒖拼笱斗傻戎泄玖腥氤隹诠苤剖堤迕ィ蛊溆朊拦笠迪嘀饨现厝怕蚁喙毓镜男畔⒓际豕┯α春途赫Γ佣セ骱鸵种浦泄萍忌そ�。不难发明，信息技术供应链的竞争和包管，不但影响着企业的生存和生长，同时也成为大国之间相互竞争与制约的重要手段。由于软件供应链是信息技术供应链中的重要一环，如何在新的生长阶段包管软件供应链宁静，关于我国营造宁静、可控的网络空间情况具有重要作用。

一、软件供应链现状

开源网站的普适化趋势，使众多软件开发人员在软件产品的开发历程中，通常参考或基于已有开源项目的实现框架进行二次开发；而大大都软件开发人员缺少识别和处理代码宁静危害的意识及能力，因此，开源软件�？榛蜃榧闹馗词褂檬票鼗岬贾麓胫械穆┒础⒍褚獯搿ⅰ昂竺拧钡惹痹谝急还惴毫鞔怨倚畔⒛泊囱现匚：Γ佣斐赡岩怨懒康乃鹗�。

1.美国对软件供应链危害的担心及应对举措。出于对供应链完整性和软弱性的担心，美国政府制定了多项政策或步伐，用以包管信息通信技术（ICT）供应链宁静。在供应链宁静的�；ず涂刂品矫妫柚姑拦臼褂迷醋酝夤惺值牡缧偶际酰缁�5G等，美国总统特朗普于2019年5月签署了关于名为《确保信息和通信技术及效劳供应链宁静》的行政令，该行政令的焦点目的在于�；っ拦∩枋┠玻辣讣涞该拦┯α�。别的，在2019年9月举行的CyberCon大会上，美国联邦政府官员标明美国防部早已将五角大楼供应链宁静纳入重点关注规模，其谈话指出：“只凭软件从美国公司购置的，并不料味着所有的代码都是在美国编写的。”因此，美国五角大楼正致力于开发能够审查软件来源的工具，从而包管软件供应链宁静。2019年11月27日，美国商务部宣布了《确保信息通信技术与效劳供应链宁静》的规则草案，该草案旨在对某些可能危及美国要害基础设施或数字经济、美国国家或公民宁静的信息通信技术和效劳交易进行识别和评估，规避软件供应链危害。不难发明，软件供应链宁静是信息时代配景下包管国家机构和企业宁静可连续运行的基��；切实包管软件供应链宁静既体现了国家在技术层面的领先，也有效制止了不法组织或个人滥用信息技术所带来的潜在危害。

2.开源软件代码的使用所面临的危害禁止忽略。软件开发人员从开源库中下载或直接使用已有代码组件，并不检查代码的来源是否宁静、可靠，若是年代较为久远的代码且近年来未经过更新，则此开源组件的漏洞极有可能被不法分子利用，造成巨大的损失。由美国Synopsys公司的网络宁静研究中心宣布的《2019年开源代码宁静和危害剖析报告》中，基于2018年审计的1200多个商业代码库中的匿名数据，对软件产品所挪用开源组件的宁静性进行了讨论。报告指出多个行业的代码库中包括凌驾50%的开源代码，然而能够准确找出开源代码使用情况的企业却寥寥无几。许多软件所使用的开源组件并未生存准确、全面、最新的清单。别的，开源软件的特点在于其更新速度较快，由于开源社区的支持，开源软件的补丁宣布速度要快于专有软件供应商，而大都企业或机构所使用的开源软件产品，很可能并没有装置相应的补丁。

3.软件供应链成为信息时代配景下差别组织和个人的新型攻击工具。软件供应链的宁静问题在当今网络信息时代具有较强的隐蔽性，因此，软件供应链攻击作为庞大网络情况下的一种新型攻击工具，已成为各个国家、组织或个人防备竞争敌手危害己方基础设施或企业的重点关注工具之一。美国担心其敌手通过将供应链泄漏掺杂于网络入侵中威胁美国金融部分或要害基础设施，或利用供应链泄漏等“非古板”要领进行情报运动。作为一种较为隐蔽的新型攻击手段，软件供应链攻击能够绕开古板宁静产品的防护，通过侵入正当软件并改动数据的方法进行伪装，实现大规模的流传并攻击正当软件的用户，造成巨大损失。

pg电子

关于软件供应链宁静的几点思考(1)