1、安全是什么？

提到安全，安全专家通常说是保护机密性、完整性和可用性，但只提目标是不够的，要把所有涉及方都列出来。例如企业甲，买了厂商乙的信息技术产品，面临第三方威胁源的攻击，通常的cybersecurity就是甲方去应对第三方，包括外部黑客和内部恶意员工等。乙方例如Intel、微软、Oracle、Adobe、华为和思科，在甲方看来，乙方的技术帮助他们实现了数字化的业务。在安全人员看来，每天要盯着他们出了啥漏洞，催着运维去打安全补丁。甲乙双方是同一战线，共同应对第三方的攻击。

但是厂商会不会也是威胁源的一种呢，会不会作恶呢？把能力和动机分开说，厂商是有作恶的能力的。现在的产品很复杂，随便买一个盒子回来，里面的芯片，硬件和代码，企业是没有闲工夫去分析的，多亏有了安全研究者这个群体，经常披露厂商作恶的事实，例如上海广升在低端安卓手机上的OTA组件会把用户的所有短信回传到自己的服务器，三星电视的语音识别功能会录下客厅的所有谈话并回传，家用路由器故意留的远程后门数不胜数。

一些国际大厂为了透明化，如微软开放了源代码给人们审查，但我们使用的Windows并不是源代码的。学过计算机原理的都知道，源代码是人写的，给人读的，是不能执行的，经过编译器编译成机器能识别的二进制代码才是我们电脑上的东西。编译器是可能出问题的，苹果XCode编译器曾被发现某非官方下载源被人修改，所有下载了该编译器的开发者写的app都有安全问题。即使编译没问题，最终产品经过知名实验室认证拿到CC等证书，企业买回来装上就安心了吗？别忘了还有功能升级包和安全补丁，更直接的，操作IoT的命令在云端，这些都是厂商可以随时修改软件的一种合法能力和途径，保留了可以作恶的技术能力。

2、信任是什么？

即使厂商有作恶的能力，企业仍然购买其产品，除了没得选择（Intel芯片等）之外，主要还是相信厂商不会作恶，这就是信任。信任就是相信对方的正直、诚实和承诺，不会对我使坏。

用囚徒困境来举例，两个人合谋犯案，警察抓到后由于现有证据只能各判1年，警察不爽，想了一招，分别和两人谈话给出2个选择：1、你沉默，如果 a)同伙招供，同伙无罪释放，你判3年；b)同伙也沉默，两人各判1年。2、你招供，如果 a)同伙沉默，同伙判3年，你无罪释放；b)同伙也招供，两人各判2年。

简单来说，如果沉默，是1年或3年。如果招供，是无罪释放或2年。为了个人利益的最大化，招供肯定是最佳选择，因为不管对方做出何种选择，自己要么无罪释放，要么判2年。如果沉默，有可能被判3年，至少也要1年，根本没有自由的可能。但是如果两人互相信任呢？彼此相信对方能为了共同的利益考虑，而不是靠害别人来成就自己，那么两人都会分别选择沉默，实现“双方整体利益”最优的结果：各判1年。

厂商一般不会明目张胆的作恶，因为一旦被公开，得搭上自己的声誉和生意。要做也是偷摸的做，以为不会被发现，但纸终究包不住火，德国大众在汽车尾气检测中作假，相信人们对德国制造的信任度会大大降低。

企业是否要信任某厂商，除了翻看该厂商过去的历史记录，以及少量的购买和试用服务，经过较长时间的合作关系，才能有个判断。这种纯商业活动，照理说有法律和合同等市场经济的规则来遵从就够了，但并不奇怪的是，别的因素也会插上一脚，例如“自己人”和“外人”。中国移动，电信和联通采购华为产品时，肯定是认为从“自己人”手里买东西，对华为的安全信任度很高。英国电信就不同了，因为华为是“外人”，英国电信会提出各种安全问题要求华为回答，以加强自己购买华为产品（为了省钱，没听美国的）的信心。说到底，这是中国和西方意识形态的分歧所造成的阵营区分，存在大量分歧时要建立信任几乎是不可能的。美国肯定认为，如果华为产品遍满全球各国的通信基础设施，风险是无法接受的，未来出现网络战争时，一次毁灭就够，根本不需要参考从成立到今天华为做过什么，以及没做过什么。这估计是特朗普鼓动他的盟友们封杀华为5G的原因。

3、因为安全，所以信任？

建立SDLC流程，在产品开发到发布的各个环节中嵌入安全活动，把产品做的更加安全，这是好事。但遗憾的是，穿格子衫的程序员用技术不可能解开政客们的心结，安全技术是用来应对黑客攻击的，与解决信任问题只有五毛钱关系。

微软2002年成立Trustworthy Computing部门，把Windows和IE整的漏洞是少了，也有政府安全计划GSP与各国政府对话，但是十多年后的如今Windows 10时，微软还是要与国内公司定制出“政府特供版”才能被列入中国政府采购名录。

华为2012年成立安全能力中心，提升安全工程能力，后来改名为安全与用户隐私保护实验室，从部门名称上就知道这都是在技术上的努力。英国政府2015年说“华为产品对英国没有安全威胁”，2018年改成“构成安全威胁”，2019年的最新结论又变成“风险可控”。我相信这5年来华为的产品安全能力是一直在稳步提高，英国这一波三折关于信任的结论，肯定是由别的因素所决定的。

4、因为信任，所以安全？

信任不能带来安全，这个很好理解。中国人信任中国公司，买华为小米OV等安卓手机，但是安卓手机并不见得比苹果手机更安全。杭州与新加坡直飞有两班，分别是中国的河北航空和新加坡航空旗下的廉价酷航，中国人偏好河北航空，新加坡人偏好廉价酷航，实际上河北航空用的是波音737，而酷航则是大得多的787。NSA信任国防承包商Booz Allen，他们派去NSA驻场的工程师却有一位名字叫斯诺登。

声明：本文来自辛巴达历险记，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。