安全通論

楊義先　鈕心忻

編者按：網(wǎng)絡(luò)空間安全作為一項(xiàng)新的全球治理議程，已經(jīng)成為世界關(guān)注的焦點(diǎn)、各國(guó)政府的戰(zhàn)略目標(biāo)之一，但人們對(duì)網(wǎng)絡(luò)空間安全的研究，還缺乏全面系統(tǒng)的理論指導(dǎo)，針對(duì)該問(wèn)題，我刊特轉(zhuǎn)載自《科學(xué)網(wǎng)》一篇由北京郵電大學(xué)楊義先、鈕心忻教授編寫的《安全通論》（原文網(wǎng)址：http：//blog.sciencenet.cn/blog-453322-944217.html ）。在該文章中，作者提出需要建立一套基礎(chǔ)的通用安全理論，來(lái)指導(dǎo)包括網(wǎng)絡(luò)空間安全在內(nèi)的所有安全保障工作；并從安全角度出發(fā)，形象地將系統(tǒng)比作完整的“經(jīng)絡(luò)樹”，認(rèn)為對(duì)系統(tǒng)的任何“病痛”都可進(jìn)行有效的“醫(yī)治”。

摘要：從安全角度出發(fā)，用概率方法嚴(yán)格證明了任何有限系統(tǒng)，都存在一套完整的“經(jīng)絡(luò)樹”，使得系統(tǒng)的任何“病痛”，都可以按如下思路進(jìn)行有效“醫(yī)治”：首先梳理出經(jīng)絡(luò)樹中“受感染”的“帶病樹枝”體系，然后對(duì)該樹枝末梢上的“帶病樹葉”（“穴位”或“元誘因”）進(jìn)行“針灸”，醫(yī)治好病葉后，與這些病葉相連的樹枝就治好了；醫(yī)治好所有病枝后，與這些病枝相連的“樹干”就治好了；醫(yī)治好所有“病干”后，整棵經(jīng)絡(luò)樹就醫(yī)治好了，從而系統(tǒng)的病痛就治好了。此處所指的有限系統(tǒng)，既可以是兒童玩具這樣的微系統(tǒng)，也可以是芯片、計(jì)算機(jī)、電信網(wǎng)、互聯(lián)網(wǎng)、物聯(lián)網(wǎng)甚至整個(gè)賽博空間等復(fù)雜巨型有限系統(tǒng)；當(dāng)然也可以是消防、抗災(zāi)、防病、治安、環(huán)保等各類常見的其他系統(tǒng)。

關(guān)鍵詞：網(wǎng)絡(luò)空間安全；國(guó)家安全；健康防御；人體經(jīng)絡(luò)

安全與信息都是至今還沒(méi)有嚴(yán)格定義的概念，但是這并不意味著不能對(duì)它們進(jìn)行深入研究，其實(shí)早在60年前，仙農(nóng)就已經(jīng)創(chuàng)立了信息論，從而為現(xiàn)代通信的飛速發(fā)展奠定了堅(jiān)實(shí)的基礎(chǔ)。但是，至今人們對(duì)安全的研究，特別是網(wǎng)絡(luò)空間安全的研究，還僅僅停留在“兵來(lái)將擋，水來(lái)土淹”的工程層次或技術(shù)層次，既缺乏全面系統(tǒng)的理論指導(dǎo)，又遺留了許多明顯的漏洞，比如雖然大家都承認(rèn)網(wǎng)絡(luò)空間安全是“三分技術(shù)，七分管理”，但全世界都將幾乎90%的精力聚焦于那三分技術(shù)，七分管理竟然無(wú)人問(wèn)津，或者說(shuō)人們只是片面地將管理理解為“頒布幾份規(guī)章制度”而已。

我們夢(mèng)想建立一套基礎(chǔ)的通用安全理論，并以此來(lái)指導(dǎo)包括網(wǎng)絡(luò)空間安全在內(nèi)的所有安全保障工作。文章是努力實(shí)現(xiàn)該夢(mèng)想的第1步，希望能夠激發(fā)學(xué)者們更多的后續(xù)研究。

1 不安全事件的素分解

安全是一個(gè)很主觀的概念，與角度密切相關(guān)。同一個(gè)事件，對(duì)不同的人，從不同的角度來(lái)說(shuō)可能會(huì)得出完全相反的安全結(jié)論，比如，政府監(jiān)聽公民通信這件事，從政府角度來(lái)看，能監(jiān)聽就是安全；而對(duì)公民來(lái)說(shuō)，能監(jiān)聽就是不安全。所以，我們研究安全，只鎖定一個(gè)角度，比如，“我”的角度。

安全是一個(gè)與時(shí)間密切相關(guān)的概念。同一個(gè)系統(tǒng)，在昨天安全，絕不等于今天也安全（比如，若用現(xiàn)代計(jì)算機(jī)去破譯古代密碼，簡(jiǎn)直是易如反掌）；同樣，在今天安全，也絕不等于明天就安全。當(dāng)然，一個(gè)在昨天不安全的系統(tǒng)，今天也不會(huì)自動(dòng)變?yōu)榘踩?。因此，我們研究安全時(shí)，只考慮時(shí)間正序流動(dòng)的情況，即立足當(dāng)前，展望未來(lái)。

安全是一個(gè)與對(duì)象密切相關(guān)的概念。若A和B是兩個(gè)相互獨(dú)立的系統(tǒng)，若我們只考慮A系統(tǒng)的安全，B系統(tǒng)的安全就應(yīng)該完全忽略。因此，我們研究安全時(shí)，只鎖定一個(gè)有限系統(tǒng)，即該系統(tǒng)由有限個(gè)“元件”組成。

假設(shè)A是一個(gè)封閉的獨(dú)立系統(tǒng)，如果直接研究其安全，根本就無(wú)處下手！不過(guò)，幸好有“安全”=不“不安全”，所以，若能把不安全研究清楚了，安全也就明白了。

假設(shè)A系統(tǒng)中發(fā)生了某個(gè)事件，如果它是一個(gè)對(duì)“我”來(lái)說(shuō)的不安全事件，那么 “我”就能夠精確且權(quán)威地判斷這是一個(gè)不安全的事件，因?yàn)樵撌录暮蠊恰拔摇辈辉敢饨邮艿模⌒枰⒁猓撼拔摇敝?，“別人”的判斷是沒(méi)有參考價(jià)值的，因?yàn)?，文中只從一個(gè)角度來(lái)研究安全。如果將該不安全事件記為D，該事件導(dǎo)致系統(tǒng)A不安全的概率就記為[P（D）]。我們只考慮0<[P（D）]<1的情況，因?yàn)槿绻鸞P（D）=0]，這個(gè)不安全事件就幾乎不會(huì)發(fā)生，故可以忽略，因?yàn)闊o(wú)論是否對(duì)造成事件D的環(huán)境進(jìn)行改進(jìn)，都不影響系統(tǒng)A的安全性；如果[P（D）=1]，D則是不安全的確定原因，這時(shí)只需要針對(duì)事件D單獨(dú)進(jìn)行加固，就可以提升系統(tǒng)A的安全性了。

從理論上看，給定系統(tǒng)A之后，如果A是有限系統(tǒng)，則可以通過(guò)各種手段，發(fā)現(xiàn)或測(cè)試出當(dāng)前的全部有限個(gè)不安全事件，比如，D1、D2、……、Dn。在不引起混淆的情況下，我們用Di同時(shí)表示不安全事件和造成該事件Di的原因。于是，系統(tǒng)A的不安全概率就等于[P（D1?D2?...?Dn）]，或者說(shuō)，系統(tǒng)A的安全概率等于[1-P（D1?D2?...?Dn）]。

換句話說(shuō)，本來(lái)無(wú)處下手的安全研究，就轉(zhuǎn)化為了安全數(shù)學(xué)問(wèn)題，即在概率0<[P（D1?D2?...?Dn）]<1的情況下，使該概率[P（D1?D2?...?Dn）]最小化的問(wèn)題，或者使[1-P（D1?D2?...?Dn）]最大化的問(wèn)題。

假設(shè)D和B是系統(tǒng)A的兩個(gè)不安全事件，[（D?B）]則也是一個(gè)不安全事件，但是[（D?B）]或者[（D＼B）]等就不一定再是不安全事件了。如果事件D是B的真子集，并且D的發(fā)生會(huì)促使B也發(fā)生，則稱事件D是事件B的“子事件”。

在時(shí)間正序流動(dòng)的條件下，假設(shè)系統(tǒng)A的過(guò)去全部不安全事件集合為D，若當(dāng)前又發(fā)現(xiàn)一個(gè)新的不安全事件B，則有系統(tǒng)A的當(dāng)前不安全概率=[P（D?B）]≥[P（D）]=系統(tǒng)A的過(guò)去不安全概率。于是，不安全性遵從熱力學(xué)第二定律：系統(tǒng)A的不安全概率將越來(lái)越大，而不會(huì)越來(lái)越小（除非有外力，比如采取了相應(yīng)的安全加固措施等）；或者說(shuō)安全與信息一樣都是負(fù)熵。

假設(shè)Z是一個(gè)不安全事件，如果存在另外兩個(gè)不安全事件X和Y（它們都是Z的真子集），同時(shí)滿足如下兩個(gè)條件：[X?Y]= ?（空集）；[Z=X?Y]，我們就認(rèn)為不安全事件Z是可分解的。此時(shí)X和Y都是Z的子事件。如果某個(gè)不安全事件是不可分解的，即它的所有真子集都不再是不安全事件了，我就稱該事件為不安全的素事件。

定理1（不安全事件分解定理）：對(duì)任意給定的不安全事件D，都可以判斷出D是否可分解，如果是可分解的，也可以找到它的某種分解。

證明：由于有限系統(tǒng)A的全部不安全事件只有有限個(gè)，即D1、D2、……、Dn，所以至少可以通過(guò)窮舉法，對(duì)每個(gè)Di（i=1，2，…，n）測(cè)試一下D＼Di，看看它是否也是不安全事件。如果至少能夠找到某個(gè)這樣的i，那么D就是可分解的，而且Di與（D＼Di）就是它的一個(gè)分解；否則，如果這樣的i不存在，那么D就是不可分解的不安全素事件，這是因?yàn)镈1，D2，…，Dn是全部不安全事件。證畢。

定理2（不安全事件素分解定理）：若反復(fù)使用上述的不安全事件分解定理來(lái)處理不安全事件[（D1?D2?...?Dn）]及其被分解后的不安全子事件，那么就可最終得到分解[D1?D2?...?Dn]=[B1?B2?...?Bm]，這里對(duì)任意的i和j（i，j=1，2，…，m）都有Bi是不安全素事件并且[Bi?Bj]=?（空集）。

證明：若[D=D1?D2?...?Dn]已經(jīng)是不可分解的了，則有m=1，并且[D1?D2?...?Dn=B1]。

如果D是可以分解的，并且X是D分解后的一個(gè)不安全子事件。如果X已經(jīng)不可分解了，則可以取B1=X；如果X還可以再分解，再對(duì)X的某個(gè)不安全子事件進(jìn)行分解。如此反復(fù)，直到最終找到一個(gè)不能再被分解的不安全子事件B1。

仿照上面分解D的過(guò)程，來(lái)試圖分解D＼B1，便可以找出不能再被分解的不安全子事件B2。再根據(jù)[D＼B1?B2]的分解，便可得到B3。

最終，當(dāng)這個(gè)分解過(guò)程結(jié)束后，全部的Bi就已經(jīng)構(gòu)造出來(lái)了。證畢。

于是，根據(jù)不安全事件素分解定理，便有[Bi?Bj]= ?（空集），并得出[P（D1?D2?...?Dn）=P（B1?B2?...?Bm）][=P（B1）+P（B2）+...P（Bm）]，因此換句話說(shuō)，我們可以將引發(fā)有限系統(tǒng)A的不安全事件D1、D2、……、Dn，分解為另一批彼此互不相容的不安全素事件B1、B2、…、Bm，并且，還將有限系統(tǒng)A的不安全概率轉(zhuǎn)化為[P（B1）+P（B2）+...+P（Bm）]。所以，有限系統(tǒng)A的不安全概率[P（D1?D2?...?Dn）]的最小化問(wèn)題，也就轉(zhuǎn)化成了每個(gè)彼此互不相容的不安全素事件的概率[P（Bi）] （i=1，2，…，m）的最小化問(wèn)題。

定理3（分而治之定理）：任何有限系統(tǒng)A的不安全事件集合，都可以分解成若干個(gè)彼此互不相容的不安全素事件：B1、B2、…、Bm。使得只需要對(duì)每個(gè)Bi（i=1，2，…，m）進(jìn)行獨(dú)立加固，即減小事件Bi發(fā)生的概率[P（Bi）]，就可以整體上提高系統(tǒng)A的安全強(qiáng)度，或者說(shuō)整體上減少系統(tǒng)A的不安全概率。

分而治之定理回答了前面的熱平衡問(wèn)題，即有限系統(tǒng)A的不安全狀態(tài)，將最終穩(wěn)定成一些彼此互不相容的不安全素事件之并。該定理對(duì)全球網(wǎng)絡(luò)空間安全界的啟發(fā)意義在于：過(guò)去那種“頭痛醫(yī)頭，足痛醫(yī)足”的做法雖然值得改進(jìn)，但也不能盲目地“頭痛醫(yī)足”或“足痛醫(yī)頭”，而是應(yīng)該科學(xué)地將所有安全威脅因素，分解成互不相容的一些“專科”（B1、B2、…、Bm），然后，再開設(shè)若干“?？漆t(yī)院”來(lái)集中精力“醫(yī)治”相應(yīng)的病癥（即減小[P（Bi）]）。

2 系統(tǒng)“經(jīng)絡(luò)圖”的邏輯分解

設(shè)X是B的一個(gè)真子集，如果事件X發(fā)生，將促進(jìn)B也發(fā)生（即[P（BX）-P（B）>0]），我們就稱X為B的一個(gè)誘因。

針對(duì)任何具體給定的有限系統(tǒng)A，因?yàn)锽是有限集，所以從理論上看，總可以通過(guò)各種手段發(fā)現(xiàn)或測(cè)試出當(dāng)前B的全部有限個(gè)誘因，比如，X1、X2、…、Xn，即[B=X1?X2?...?Xn]。

設(shè)X和Y是B的兩個(gè)誘因，而且還同時(shí)滿足：[X?Y=?]（空集）；[B=X?Y]。我們則認(rèn)為B是可分解的，并且[X?Y]就是它的一種分解。如果某個(gè)B是不可分解的（即它的所有真子集都不再是其誘因了，或者說(shuō)對(duì)B的所有真子集Z，都有條件概率[P（BZ）=P（B）]），我們就稱該事件為素事件。

若Y、Y1、Y2都是B的誘因，并且[Y1?Y2=?]（空集）；[Y=Y1?Y2]，我們則認(rèn)為B的誘因Y是可分解的，并且[Y1?Y2]就是它的一種分解。如果誘因Y是不可分解的（即它的所有真子集都不再是B的誘因了），我們就稱該誘因Y為B的素誘因。如果誘因Y的所有子集Z，都不再是Y自己的誘因了，我們就稱Y為元誘因，或形象地稱為“穴位”。

定理4（事件分解定理）：對(duì)任意給定的事件B，都可以判斷出其是否是可分解的，如果是可分解的，也可以找到它的某種分解。

證明：由于系統(tǒng)B的全部誘因只有有限個(gè)，即X1、X2、……、Xn，所以至少可以通過(guò)窮舉法，對(duì)每個(gè)Xi（i=1，2，…，n）測(cè)試一下B＼Xi，看看它是否也是B的一個(gè)誘因。如果至少能夠找到某個(gè)這樣的i，那么B就是可分解的，而且Xi與（B＼Xi）就是它的一個(gè)分解；如果這樣的i不存在，那么B就是不可分解的，這是因?yàn)閄1、X2、……、Xn是B的全部誘因。證畢。

定理5（事件素分解定理）：若反復(fù)使用上述的事件分解定理來(lái)處理事件B，就可以最終得到分解，即[B=Y1?Y2?...Ym]，這里對(duì)任意的i和j（i，j=1，2，…，m）都有[Yi?Yj=?]（空集），并且每個(gè)Yi都是B的素誘因。

證明：若B已經(jīng)是不可分解的了，則有m=1，B=Y1。

假設(shè)B是可以分解的，且Y是B分解后的一個(gè)誘因。如果Y已經(jīng)是B的素誘因了，則可以取Y1=Y；如果Y還可以再分解，則再對(duì)Y的某個(gè)誘因進(jìn)行分解。如此反復(fù)，直到最終找到一個(gè)不能再被分解的素誘因，請(qǐng)將它記為Y1。

仿照上面分解B的過(guò)程，來(lái)試圖分解B＼Y1，便可以找出B的不能再被分解的素誘因Y2。

再根據(jù)B＼（[Y1?Y2]）的分解，便可得到Y(jié)3。

最終，當(dāng)這個(gè)分解過(guò)程結(jié)束后，全部的Yi就已經(jīng)構(gòu)造出來(lái)了。證畢。

有了上面各定理的準(zhǔn)備后，我們現(xiàn)在就可以給出如下的有限系統(tǒng)A的經(jīng)絡(luò)圖算法步驟。

第0步：針對(duì)系統(tǒng)A的不安全事件D。

第1步：利用定理2，將D分解成一些互不相容的不安全素事件[B1?B2?...?Bm]，這里對(duì)任意的i和j（i，j=1，2，…，m）都有Bi是不安全素事件并且[Bi?Bj=?]（空集）。在繪制經(jīng)絡(luò)圖時(shí)，可以從左至右，按照[P（Bi）]的遞減順序排列。

第2.i步（i=1，2，…，m）：利用定理5，把第1步中所得到的Bi分解成若干Bi的素誘因，在繪制經(jīng)絡(luò)圖時(shí)，可以從左至右，對(duì)Bi的素誘因，按照其發(fā)生概率大小值的遞減順序排列。為避免混淆，我們將所有第2步獲得的素誘因，稱為第2步素誘因。這些素誘因中，有些可能已經(jīng)是元誘因（穴位）了。

第3.i步（i=1，2，…， m）：針對(duì)第2步所獲得的每個(gè)不是元誘因（穴位）的素誘因，利用定理5，將其進(jìn)行分解，由此得到的素誘因，稱為第3步素誘因（這些誘因的從左到右的排列順序也與前幾步相似）。這些素誘因中，有些可能已經(jīng)是元誘因（穴位）了。

……

第k.i步（i=1，2，…， m）：針對(duì)第k-1步所獲得的不是元誘因（穴位）的每個(gè)素誘因，利用定理5，將其進(jìn)行分解，由此得到的素誘因，稱為第k步素誘因（這些誘因的從左到右的排列順序也與前幾步相似）。這些素誘因中，有些可能已經(jīng)是元誘因了。

由于上面各步驟的每次分解，都是針對(duì)真子集進(jìn)行的，所以這種分解的步驟不會(huì)無(wú)窮進(jìn)行下去，即一定存在某個(gè)正整數(shù)，比如N，使得在第N.i步（i=1，2，…， m）中，針對(duì)第N-1步所獲得的不是元誘因的每個(gè)素誘因，利用定理5，將其進(jìn)行分解，由此得到的素誘因全部都已經(jīng)是元誘因（穴位）了（每一個(gè)素誘因下面的元誘因排列順序，也是采用了概率從大到小進(jìn)行）。

將上面的分解步驟結(jié)果，用圖形表述出來(lái)，我們便得到了有限系統(tǒng)A的不安事件“經(jīng)絡(luò)圖”，由于它的外形很像一棵倒立的樹，所以我們也稱這為“經(jīng)絡(luò)樹”，如圖1所示。

現(xiàn)在我們就比較清楚，該如何頭痛醫(yī)足了：實(shí)際上，只要系統(tǒng)A“病”了，就一定能夠從系統(tǒng)A的完整經(jīng)絡(luò)圖中找出某個(gè)“生病的子經(jīng)絡(luò)圖”M，使得（1）M的每層素誘因或元誘因（穴位）都是病的；（2）除了M之外，系統(tǒng)A的經(jīng)絡(luò)圖的其他部分都沒(méi)病。為了治好該病，只需要將M中的所有元誘因（穴位）的病治好就行了，即只需要對(duì)這些元誘因（穴位）扎針灸就行了。（說(shuō)明：這里某個(gè)第k步誘因病了，指它的至少一個(gè)第k+1步誘因發(fā)生了；而如果某個(gè)第k步誘因的全部第k+1步誘因都沒(méi)有發(fā)生，那么這個(gè)第k步誘因就沒(méi)病！除了元誘因（穴位）之外，M中的其它非元誘因是可以自愈的！）

更具體地說(shuō)，頭痛醫(yī)足的過(guò)程是：首先將最底層，比如第N層的元誘因（穴位）治好，第N-1層的素誘因就自愈了；然后，再扎針灸治好第N-1層的元誘因（穴位），第N-2層的素誘因就自愈了；然后，再扎針灸治好第N-3層的元誘因（穴位），如此繼續(xù)，最終到達(dá)頂層，就可以了。

經(jīng)絡(luò)圖的用途顯然不僅僅是用來(lái)頭痛醫(yī)足，它還有許多其他重要應(yīng)用，比如：

（1）只要守住所有相關(guān)的元誘因（穴位），系統(tǒng)A就安然無(wú)恙。

（2）同理，只要所有炮火瞄準(zhǔn)相關(guān)元誘因（穴位），那么就能夠穩(wěn)準(zhǔn)狠地打擊對(duì)手。

（3）除了元誘因（穴位）之外，經(jīng)絡(luò)圖中平均概率值大的“經(jīng)絡(luò)”是更脆弱的經(jīng)絡(luò)（即安全“木桶原理”中的短板），也是在系統(tǒng)安全保障中需要重點(diǎn)保護(hù)的部分，同時(shí)也是攻擊過(guò)程中重點(diǎn)打擊的部分。

（4）平時(shí)就可繪制和補(bǔ)充經(jīng)絡(luò)圖，在關(guān)鍵時(shí)刻就可以排上用場(chǎng)了！

3 結(jié)束語(yǔ)

仙農(nóng)在研究信息論時(shí)，雖然發(fā)現(xiàn)了信道容量的上限值，但是他沒(méi)能給出如何才能達(dá)到該上限值，從而使全世界通信界的科學(xué)家們?cè)谶^(guò)去60余年里，設(shè)計(jì)各種編碼方法來(lái)努力逼近仙農(nóng)界，至今沒(méi)有成功。

與此相似，文章中雖然證明了有限系統(tǒng)的安全經(jīng)絡(luò)圖是存在的，但是并未給出如何針對(duì)具體的系統(tǒng)，來(lái)繪制其安全經(jīng)絡(luò)圖。估計(jì)未來(lái)的學(xué)者們也不得不花費(fèi)巨大的精力，針對(duì)具體系統(tǒng)來(lái)繪制具體的經(jīng)絡(luò)圖。

必須指出：繪制經(jīng)絡(luò)圖絕非易事。想想看，為了繪制人體經(jīng)絡(luò)圖，中醫(yī)界的祖先們奮斗了數(shù)千年！如今我們也需要很長(zhǎng)時(shí)間才能繪制出網(wǎng)絡(luò)空間安全經(jīng)絡(luò)圖。