驳牟承晋的“TCP/IP是互联网安全危害根源说”丨兼论互联网安全问题解决之道

　　日前，牟承晋撰文称“近日发布的Treck公司TCP/IP协议栈漏洞，证明互联网TCP/IP协议是造成互联网安全威胁的根本原因”。牟承晋此次的矛头指向是互联网体系结构的核心协议“TCP/IP”，但显然这个“TCP/IP是互联网安全危害根源说”是站不住脚的。

　　一、问题的性质

　　首先，互联网协议的安全问题宏观上可以分为两种：（1）协议本身的设计缺陷；（2）协议本身是安全的，但实现时存在缺陷。

　　TCP/IP协议本身确实存在缺陷。TCP/IP的全称是Transmission Control Protocol/Internet Protocol，既传输控制协议/网际协议。准确地说TCP/IP协议不仅指的是TCP 和IP两个协议，而是一个由FTP、SMTP、TCP、UDP、IP等协议构成的协议簇，它是互联网最基本的通信协议，主要作用是实现在多个不同网络间的信息传输。

　　首先，TCP/IP传输协议对互联网中各部分进行通信的标准和方法进行了规定，它包含和确立了一个四层的体系结构——应用层、传输层、网络层和数据链路层，保证网络数据信息及时、完整的传输和获取。但TCP/IP没有明显区分服务、接口和协议的概念。

　　其次，协议的链路层并不是通常意义上的一层。它是一个接口，处于网络层和数据链路层之间。

　　第三，TCP/IP模型不区分物理层和数据链路层。加上TCP/IP协议是建立在可信环境下，网络互连本身缺乏对安全方面的考虑。

　　同时，互联网的开放性也给“黑客”们以可乘之机，最常见的TCP/IP安全攻击包括：IP源地址欺骗、网络窥探、路由攻击、IP地址鉴别攻击等。

　　牟承晋提到的“Treck公司TCP/IP协议栈漏洞”事件显然不属于这个范畴。据CNCERT日前发布的Treck TCP/IP协议栈漏洞“Ripple20”影响产品分析指出，Treck TCP/IP协议栈系列安全漏洞命名为“Ripple20”，共涉及19个漏洞。Treck公司的嵌入式TCP/IP协议栈主要部署在包括制造、信息技术、医疗保健和运输系统等领域。此次披露的Treck协议栈漏洞中最严重的是Treck HTTP Server组件中基于堆的缓冲区溢出漏洞（CVE-2020-25066），该漏洞能让攻击者崩溃并重置目标设备，甚至执行远程代码。

　　从以上的调查和分析数据可以看出，Treck公司TCP/IP协议栈漏洞主要影响的领域，是“应用层的表像”（引用牟承晋原文说法）。显然不是TCP/IP协议本身的安全缺陷，而是协议实现问题。

　　二、如何保证协议本身的安全

　　互联网并非无懈可击，但要保证协议本身的安全，就要遵循互联网的规律和规则。TCP/IP的演进历史证明，“开放，透明的技术过程”，“在协议的设计和使用中迭代改进”，“大规模部署考验”，是TCP/IP成功的基石。

　　TCP/IP协议能够成为互联网体系结构最核心的协议标准，关键是其不依赖于任何特定的计算机硬件或操作系统。基于开放性和互信原则，TCP/IP协议构建了互联网体系结构“窄腰”模型，使互联网能够向下兼容任何网络技术和传输体系，向上最大程度支撑各种各样的应用，同时也保证任何创新的出现都能够得到支持。统一的网络地址分配，标准化的高层协议，可以提供多种可靠的用户服务。因此TCP/IP协议成为一种集成各种硬件和软件的“网络空间”体系。

　　"We reject kings, presidents and voting. We believe in rough consensus and running code. （我们拒绝国王、主席和投票。我们相信共识和运行的代码。）"是互联网国际标准组织IETF（国际互联网工程任务组The Internet Engineering Task Force）的工作原则。

　　自1986年成立以来，IETF始终坚持这样工作流程和机制。IETF成员主要来自网络设计者、网络设备供应商，网络运营者和学术界的研究人员，以及所有对此行业感兴趣的人士，主要任务是负责互联网相关技术规范的研发和制定，当前绝大多数国际互联网技术标准出自IETF，比如TCP/IP协议、HTTP协议等。

　　IETF的工作机制保证了一种默契——“你是谁并不重要，只要得到大多数人的赞同，或者代码成为可运行的程序，你的标准就有可能成为整个互联网的标准”。

　　IETF大量的技术性工作均由其内部的各种工作组承担和完成。这些工作组依据各项不同类别的研究课题而组建。在成立工作组之前，先由一些研究人员通过邮件组自发地对某个专题展开研究，当研究较为成熟后，向IETF申请成立兴趣小组开展工作组筹备工作。筹备工作完成后，经过IETF认可即成立工作组。工作组在IETF框架中展开专项研究。

　　通常，绝大部分网络标准都是以RFC的形式开始。当某家机构或团体开发出了一套标准或提出对某种标准的设想，想要征询外界的意见时，就会在Internet上发放一份RFC，对这一问题感兴趣的人可以阅读该RFC并提出自己的意见。

　　一个RFC文件在成为官方标准前一般要经历4个阶段：互联网草案、建议标准、草案标准、互联网标准。IETF虽然自己制定标准，但并不硬性推广标准，更不谋求控制互联网。RFC要经过大量的论证和修改过程，形成“可以运行的程序”，这其实就是邓小平同志提出的“实践是检验真理的惟一标准”的IETF表述，充分体现了自由、开放、合作、共享的精神，是互联网的核心价值观。

　　从事实上看，TCP/IP协议并不完美，但由于上述的保证机制，现在的TCP/IP协议与几十年前相比，安全性已经有了很大提高。因此我们可以肯定地说，TCP/IP协议本身并没有致命性的安全缺陷存在，且基于“开放，透明的技术流程”，“在协议的设计和使用中迭代改进”，“大规模部署验证”的完善过程，TCP/IP协议将继续作为互联网的核心协议而长期存在，随着互联网的规模扩大和不断迭代演进，其发挥的作用和价值将被更加清楚地认识。

　　三、如何保证协议实现的安全

　　回到本文的起因，既然Treck公司TCP/IP协议栈漏洞是一次协议实现的安全缺陷。那么如何保证协议实现的安全？

　　多个独立的实现版本

　　以TCP/IP协议的演进过程为例。早期的互联网协议研究同时开发了不同的版本。美国的道路是从ARPANET到Internet。英国是NPL协议的路子，法国建立了自己的CYCLADES协议，前苏联设立了OGAS网络项目。在开展研究的时间上，前苏联与美国的ARPANET研究不相上下。

　　1957年，前苏联发射了人类历史上第一颗人造卫星，这一事件对美国刺激很大，因此在1958年美国成立了ARPA。1959年，前苏联军方的Anatoly Kitov提出了“RED BOOK”计划，他认为军用网络可以移植到民用，于是演进出了著名的OGAS项目。

　　与OGAS同期的互联网技术路线主要是分组交换技术路线，包括美国Paul Baran提出的分组交换传输网络（message block switching），英国人Donald W. Davies提出包交换网络(packet switching network)的NCP协议，以及法国Louis Pouzin提出的CYCLADES协议。

　　NCP协议提出在每一台电脑或者每一个网络之间建立一种接口，使网络之间可以相互连接。这种连接完全不需要中央控制，只是通过各个网络之间的接口直接相连。在这种方式下，网络通信不象由中央控制那样简单地把数据直接传送到目的地，而是在网络的不同站点之间像接力赛一样地传送。

　　CYCLADES网是1972年法国开发的计算机网络协议，由Louis Pouzin设计完成，并于1973年进行了首次演示。CYCLADES网率先提出了由每台主机而不是由网络负责传送数据的概念。

　　比较NCP、TCP和CYCLADES协议，其实NCP本身基于IMP，是路由到路由的端对端模式，没有充分考虑主机的端对端模式。在这方面CYCLADES更有优势，它更类似现在的TCP/IP协议的传输模式，因此可以说今天互联网直接的基因，更多是来自CYCLADES协议，而不是NCP。

　　因此，从传承的序列来看，互联网协议形式上的祖先是从NCP演进到TCP，但TCP/IP真正本质的技术原理和设计思路，是从法国的CYCLADES方案继承来的。

　　在TCP/IP版本的演进过程中，每个版本都有多个实现。例如，在1975年至1977年在BBN, University College London，Stanford和MIT进行了四个版本的测试，终于在1981年发布了IPv4的网络标准（RFC791）。TCP/IP的成功证明了多独立版本竞争研究的优势。它最大限度地避免以偏概全的设计思路，充分保证开放透明的基础上，取长补短，形成尽可能“最优”的实现方式。虽然不可能做到尽善尽美，但却可以“尽力而为”规避协议在实现中可能存在的问题。