作者：奇安信集团行业安全研究中心主任 裴智勇
RSA是一种密码，也是三个人的名字
RSA这三个字母实际上是由三个人名组成。而且RSA不仅仅代表了RSA公司和RSA大会，还代表着一种全球文明的非对称加密算法——RSA公钥加密算法，简称RSA算法。
RSA公钥加密算法是1977年由罗纳德·李维斯特(Ron Rivest)、阿迪·萨莫尔(Adi Shamir)和伦纳德·阿德曼(Leonard Adleman)一起提出的，该算法于1987年7月首次在美国发布。当时其三人都在麻省理工学院工作实习。RSA这三个字母就是由他们的姓氏开头字母组成的。此后，他们共同创建了RSA公司，RSA大会由RSA公司于1991年创办。
RSA算法及RSA公司的三位创始人
RSA算法是一个极具影响力和生命力的密码算法，算法简单易用，安全性极高，被ISO推荐为公钥数据加密标准。现如今很多勒索软件使用RSA算法对计算机中的数据文件进行加密。
从某种角度来说，RSA大会的名称也隐喻是：密码技术是网络安全的基础。密码技术在西方一直倍受重视，但国内早期的网络安全实践很多时候忽略了密码的重要性。2020年1月1日《中华人民共和国密码法》开始实施。我们在这个时候关注RSA大会，或许能够给我们这些安全工作者更多的启示。
RSA公司与RSAC大会
RSA大会始于1991年，由RSA公司发起，是全球最受瞩目的网络安全大会，每年2-4月在美国旧金山举行，今年的会期是2月24日-28日。
2006年RSA公司被EMC收购。2016年， EMC公司又被戴尔收购。而最新传出的消息是，戴尔公司有意将RSA以20.8亿美元出售给STG（Symphony Technology Group）公司。
不过，不管东家是谁，RSA都是目前全球公认的最权威的安全盛会，每年都有来自世界各地的大约4万人参会。每年会期前后，主会场MOSCONE Center周边的各种酒店价格暴涨，平常200刀一天，现在就得800刀，甚至1000多刀。MOSCONE Center是旧金山市内最重要的一个会议区，有点像北京的国家会议中心。
RSA大会的主题
从1995年开始，每年的RSA大会都会选定一个独特的主题，主题取决于与信息安全相关的具体贡献或说明。会议主办方会设计一个故事并将其贯穿整个会议。其市场营销材料、标志和网站的设计初衷都是为了最大限度体现这一主题。
历年主题简析
2015 Change: Challenge today's security thinking 变化：挑战今天的安全思维
互联网环境正在不断变化，威胁也变得越来越复杂，安全思维也随着周围环境不断演变，而我们要通过新的方式创新，创造新机会，挑战现有的思维和程序，来保护未来的数字世界。
2016 Connect to Protect 连接到保护
互联网以无法想象的方式把我们联系到了一起，给了是世界巨大的发展机会，但特也有缺点就是连接更多，威胁更多，所以专业人员需要联合起来，共同应对日益增长的网络安全威胁，RSA给予更多的连接平台，无数的联系从这里开始，通过知识共享和协作，更好地保护我们的数字世界。
2017 Power of Opportunity 机会的力量
在初学者的头脑中，有很多可能性。在专家的心目中，很少有人说：“当我们拥抱更多的可能性时，灵感接踵而来。在RSA会议上，这些想法被给予了成长的机会，就像把一块石头扔进水中的涟漪效应。这是行业中最优秀的人才聚集在一起的地方。这就是抛石头的地方，“是什么”激发了新的思维方式，并产生新的课程去追求。这就是机遇的力量，迎接数字时代的挑战。
2018 Now Matters 现在很重要
世界一半人口使用互联网，信息以空前的速度传播，我们的生活不断地数字化，相应的网络威胁比以往任何时候都要大，近几年发生的事件，使我们意识到网络威胁的解决方案等不到明天，现在就要找到它们。推进网络安全领域一直是RSA的使命。RSA会议2018是采取行动的时刻，并保护世界免受网络威胁。因为现在很重要。
2019 Better 更好
保持威胁意识，始终把安全成为头等大事。最重要的是，永远不要忘记我们站在这里的理由：帮助打造一个更加安全的世界，以便其他人能够继续把世界变得更美好。这一愿望是RSA会议的使命。我们来到这里，是为了体验更好的解决方案，集思广益，并提醒自己，当我们有动力、力量和远见共同努力创造世界时，一个更美好、更安全的世界就在前方。
2020 Humen Elements 人是安全的要素
人类的行为具有超越时间、世代和产业的普遍性。许多会谈将提供关于如何更好地利用共同框架的见解，在风险管理方面向决策者提供信息，减轻新的和正在出现的威胁，并建立以安全为中心的生产文化。
Sandbox（创新沙盒）
每届RSA大会的创新沙盒（Innovation Sandbox）环节都是万众瞩目的焦点，每年入选此环节的安全创新公司都代表了最近一年的安全技术创新方向，在随后或成为资本追逐的热点。据统计，每年的赢家都在获胜后的一年内成功获得投资。有的公司发展成为业界领跑者，
RSAC Sandbox有多成功呢？看下面的数字，140家曾参与创新沙盒比赛的企业，筹集了$ 52亿美元资金，48家成功退出。
解释一下，什么叫“成功退出”呢？不做投资的朋友可能还真不知道：简单的说，一家创业公司成功的以好价格被收购或者成功上市了，就叫成功退出。退出以后，创业者和投资人都可以获得丰厚的回报，能找新创业或者投资机会。
退出，这种创业模式在西方非常流行，被广泛认可，就连RSA大会的创始者RSA公司，也是一个成功退出的企业。但在国内，创业者则往往认为：卖掉公司是一种创业失败。
我们说回到今年的Sandbox。我来带大家看看这些公司五花八门的创业方案吧。
1、 BluBracket——帮助客户追踪一段特定的程序代码会被什么人调用，从而发现代码中是否暗藏后门，并可以进一步追踪漏洞利用者。
2、 Obsidian——保护企业服务器上的核心数据不被心怀不轨的员工窃取，也不被第三方应用非法调用或滥用。
3、 Securiti——帮助企业实现用户隐私保护的合法合规，以应对诸如GDPR和各类美国本土的隐私保护法案的监管。
4、 Tala Security——利用可视化技术监测浏览器或第三方应用对网站的访问细节，以发现其中的暗藏风险。这对于交易类或电子商务网站意义重大。
5、 Vulcan Cyber——在为企业系统提供漏洞扫描的同时，还能够进行自动化的修复工作，并给出推荐的安全策略。
6、 AppOmni——将安全、合规和IT管理工具集成起来应用于SAAS，使SAAS应用更易于管理和更安全。
7、 Elevate Security——提供安全意识和安全行为的可视化管理平台，可以对员工的安全意识相关行为进行跨领域跟踪。
8、 Sqreen——通过在应用中植入微代理，实现应用的连续自动化、可视化安全管理，并使应用本身能够免疫流行网络攻击。
9、 ForAllSecure——给出了一种新型模糊测试法，可以根据被测程序的测试输出，自动生成更有攻击性的测试输入，反复循环，就可以发现更多的漏洞。
10、 Inky——利用计算机视觉、人工智能和机器学习等技术来判断邮件是否为恶意，希望能够识破复杂的邮件攻击行为。
仅就个人的观点而言，从Sandbox参赛公司的技术特点来看，虽然大多脑洞清奇，但单靠一两个核心技术创新点，我们很难想象它们全部都可以独立的做大做强。放在中国，可能很多公司都做不下去。如果没有“退出”机制，我们很难想象某些公司的创业有什么长远意义。如果放在国内，可能你的想法刚一说出来，就已经有行业巨头开始研究怎么抄袭你了。
但在西方国家做安全创业，您有一两个核心技术创新点就足够了。你大可不必整天想着如何做大做强，而只需考虑如何让自己创造的技术快速应用，快速成熟，之后您可以选择继续做，也可以选择成功退出。而大公司也没有必要一定去抄袭你，反之，等你把技术做成熟了再跟你合作，或者是投资收购你的公司，可能是成本最低“研发方案”。
正是这样的创业与投资环境，使得西方，特别是美国的安全创业更加活跃。而反观国内，很多安全企业的创业往往举步维艰。造成这种差异的一个重要的原因就是文化环境，投融资环境的巨大差异。
RSA大会的会议组织
数百场会议的大集合
与国内的各类安全会议相比，RSA大会的特点就是：会议多、嘉宾多、参展多、形式多。特别是RSA这样规模的大会上，还会针对不同人群进行的各种各样的培训，这在国内是比较少见的。
下表是对历届会议的一些统计（根据RSAC官网公布的资料进行人工统计，可能不完整，不精确，仅供参考）。
可以看出，RSA大会期间，各类会议多达300-600场。尽管很多会议的规模非常小，可能也就是二三十人或三五十人，但同时组织这么多场次的会议，对于国内的会议组织者来说，还是非常难以想象的。目前，国内规模最大的安全会议，北京网络安全大会（BCS），虽然参会人数规模也可以达到数万人，但会议场次也只能达到50场左右，和RSA大会的几百场，还是难以相比的。
这种差距，与国内的会场环境，会议模式、会议文化都有一定的关系。比如，如前所述，RSA大会及其组织团队，本身就是一个身价高达20.8亿美元的公司型组织。这种牛X的，单一领域的会议公司，在国内还没有。
超级昂贵的票价
当然，票价也是相当高的。如2020年的全票价格，高达2895美元。20人以上的团体票也是1545-2645美元一张。按照4万人的参会规模计算，一次RSAC大会的收入，仅门票都能有几千万美元。加上赞助，参展的费用等，一次RSA大会的营收，就超过了国内很多安全公司的年产值。
目前，国内安全类会议的门票还远买不上RSA大会这样的价格，2000-3000元人民币的门票，就已经是天花板了。而且国内的各类会议（不只是安全会议），往往还会有很多的赠票。
Track，欧美流行的会议模式
在RSA大会的数百场会议中，绝大多数采用的是一种有趣的形式：Track。这种方式在国内非常少见。直到2019年，我们才在首届北京网络安全大会（BCS）上，首次引入了这种会议模式，并给这种形式起了一个本土化的名字：安全沙龙。
我们中国人开会，一般都会设置主论坛和分论坛。而每个分论坛，一般都要有一个主题方向。这种方式比较符合中国人的习惯——做什么事总得有个明确的主题和目标。
而Track，则是欧美国家比较流行的一种非常自由的会议方式，也是RSA大会的主要会议方式。
所谓，Track就是指一种议题方向或议题类型。同一个Track的多个议题，并不特意集中在一起演讲，而是可能分散在不同时间、不同场地进行演讲。不同时间、不同地点的相同的议题方向或议题类型串在一起，就成了Track。Track的筹备与组织，一般是需要等所有议题都确认了，才能确认出具体的时间表
Track的形式特别适合纯粹的技术议题，也适合关注技术的人员来参会。它的主要优点有以下几个方面：
1）如果一个人对两个以上的议题方向都感兴趣，那么在“分论坛模式”下，对于同时召开的多个论坛，就难免顾此失彼。而Track模式，将同类型的议题分散在不同的时间（甚至不是同一天）和空间，就可以使一个听者即能在一天之内听到多个方向的议题，也能通过多日参会，听全自己关心的方向。
2）在“分论坛模式”下，每个论坛总要在同一个大方向下凑足4-6个议题才能召开，这就往往难以避免论坛只有部分议题精彩，但部分议题乏味的问题。而Track模式则不受议题数量和议题方向的限制，组织起来比较灵活。即使是一个完全独立的议题，也能顺利演讲。
所以，Track的形式可以大大的扩展议题方向的总体容量，同时可以保证和提升议题的质量。
2019年，当我们在筹备BCS大会是，我就受命把Track的形式引入大会。我和很多人一样，一开始也非常担心这种组织形式会让中国人很不习惯，会议的组织会变得非常混乱。但实践结果表明：用这种方式组织纯技术类的议题，是非常受欢迎的，特别是省去了枯燥的各类领导致辞，让技术人员很是开心。只要议题质量高，观众们还是非常欢迎的。
在中国，我们把Track这种形式，称为“安全沙龙”。
声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
