安全與信任的半毛錢關係
1、安全是什麼？
提到安全，安全專家通常說是保護機密性、完整性和可用性，但只提目標是不夠的，要把所有涉及方都列出來。例如企業甲，買了廠商乙的資訊科技產品，面臨第三方威脅源的攻擊，通常的cybersecurity就是甲方去應對第三方，包括外部黑客和內部惡意員工等。乙方例如Intel、微軟、Oracle、Adobe、華為和思科，在甲方看來，乙方的技術幫助他們實現了數字化的業務。在安全人員看來，每天要盯著他們出了啥漏洞，催著運維去打安全補丁。甲乙雙方是同一戰線，共同應對第三方的攻擊。
但是廠商會不會也是威脅源的一種呢，會不會作惡呢？把能力和動機分開說，廠商是有作惡的能力的。現在的產品很複雜，隨便買一個盒子回來，裡面的晶片，硬體和程式碼，企業是沒有閒工夫去分析的，多虧有了安全研究者這個群體，經常披露廠商作惡的事實，例如上海廣升在低端安卓手機上的OTA元件會把使用者的所有簡訊回傳到自己的伺服器，三星電視的語音識別功能會錄下客廳的所有談話並回傳，家用路由器故意留的遠端後門數不勝數。
一些國際大廠為了透明化，如微軟開放了原始碼給人們審查，但我們使用的Windows並不是原始碼的。學過計算機原理的都知道，原始碼是人寫的，給人讀的，是不能執行的，經過編譯器編譯成機器能識別的二進位制程式碼才是我們電腦上的東西。編譯器是可能出問題的，蘋果XCode編譯器曾被發現某非官方下載源被人修改，所有下載了該編譯器的開發者寫的app都有安全問題。即使編譯沒問題，最終產品經過知名實驗室認證拿到CC等證書，企業買回來裝上就安心了嗎？別忘了還有功能升級包和安全補丁，更直接的，操作IoT的命令在雲端，這些都是廠商可以隨時修改軟體的一種合法能力和途徑，保留了可以作惡的技術能力。
2、信任是什麼？
即使廠商有作惡的能力，企業仍然購買其產品，除了沒得選擇（Intel晶片等）之外，主要還是相信廠商不會作惡，這就是信任。信任就是相信對方的正直、誠實和承諾，不會對我使壞。
用囚徒困境來舉例，兩個人合謀犯案，警察抓到後由於現有證據只能各判1年，警察不爽，想了一招，分別和兩人談話給出2個選擇：1、你沉默，如果 a)同夥招供，同夥無罪釋放，你判3年；b)同夥也沉默，兩人各判1年。2、你招供，如果 a)同夥沉默，同夥判3年，你無罪釋放；b)同夥也招供，兩人各判2年。
簡單來說，如果沉默，是1年或3年。如果招供，是無罪釋放或2年。為了個人利益的最大化，招供肯定是最佳選擇，因為不管對方做出何種選擇，自己要麼無罪釋放，要麼判2年。如果沉默，有可能被判3年，至少也要1年，根本沒有自由的可能。但是如果兩人互相信任呢？彼此相信對方能為了共同的利益考慮，而不是靠害別人來成就自己，那麼兩人都會分別選擇沉默，實現“雙方整體利益”最優的結果：各判1年。
廠商一般不會明目張膽的作惡，因為一旦被公開，得搭上自己的聲譽和生意。要做也是偷摸的做，以為不會被發現，但紙終究包不住火，德國大眾在汽車尾氣檢測中作假，相信人們對德國製造的信任度會大大降低。
企業是否要信任某廠商，除了翻看該廠商過去的歷史記錄，以及少量的購買和試用服務，經過較長時間的合作關係，才能有個判斷。這種純商業活動，照理說有法律和合同等市場經濟的規則來遵從就夠了，但並不奇怪的是，別的因素也會插上一腳，例如“自己人”和“外人”。中國移動，電信和聯通採購華為產品時，肯定是認為從“自己人”手裡買東西，對華為的安全信任度很高。英國電信就不同了，因為華為是“外人”，英國電信會提出各種安全問題要求華為回答，以加強自己購買華為產品（為了省錢，沒聽美國的）的信心。說到底，這是中國和西方意識形態的分歧所造成的陣營區分，存在大量分歧時要建立信任幾乎是不可能的。美國肯定認為，如果華為產品遍滿全球各國的通訊基礎設施，風險是無法接受的，未來出現網路戰爭時，一次毀滅就夠，根本不需要參考從成立到今天華為做過什麼，以及沒做過什麼。這估計是特朗普鼓動他的盟友們封殺華為5G的原因。
3、因為安全，所以信任？
建立SDLC流程，在產品開發到釋出的各個環節中嵌入安全活動，把產品做的更加安全，這是好事。但遺憾的是，穿格子衫的程式設計師用技術不可能解開政客們的心結，安全技術是用來應對黑客攻擊的，與解決信任問題只有五毛錢關係。
微軟2002年成立Trustworthy Computing部門，把Windows和IE整的漏洞是少了，也有政府安全計劃GSP與各國政府對話，但是十多年後的如今Windows 10時，微軟還是要與國內公司定製出“政府特供版”才能被列入中國政府採購名錄。
華為2012年成立安全能力中心，提升安全工程能力，後來改名為安全與使用者隱私保護實驗室，從部門名稱上就知道這都是在技術上的努力。英國政府2015年說“華為產品對英國沒有安全威脅”，2018年改成“構成安全威脅”，2019年的最新結論又變成“風險可控”。我相信這5年來華為的產品安全能力是一直在穩步提高，英國這一波三折關於信任的結論，肯定是由別的因素所決定的。
4、因為信任，所以安全？
信任不能帶來安全，這個很好理解。中國人信任中國公司，買華為小米OV等安卓手機，但是安卓手機並不見得比蘋果手機更安全。杭州與新加坡直飛有兩班，分別是中國的河北航空和新加坡航空旗下的廉價酷航，中國人偏好河北航空，新加坡人偏好廉價酷航，實際上河北航空用的是波音737，而酷航則是大得多的787。NSA信任國防承包商Booz Allen，他們派去NSA駐場的工程師卻有一位名字叫斯諾登。
宣告：本文來自辛巴達歷險記，版權歸作者所有。文章內容僅代表作者獨立觀點，不代表安全內參立場，轉載目的在於傳遞更多資訊。如需轉載，請聯絡原作者獲取授權。