自主可控是国家安全基石 应严防特洛伊木马

　　9月下旬，整个伊朗的网络系统遭遇了不明来源的大规模攻击，其中重点攻击目标在于伊朗的石油和金融设施。在金融和石油设施迅速瘫痪后，伊朗求助于俄罗斯，在俄罗斯介入后，才使伊朗逃过一劫。伊朗方面表示，俄罗斯已经确定攻击来源正是美国中央情报局。中情局希望用这种手段，让伊朗暴露出自己的弱点，最终达到使得伊朗方面屈膝投降的目的。在看到伊朗的前车之鉴的同时，我们也应当想到，一旦美国用这套手法对付我国的政府机构、金融、电信、交通、电力等关键行业，后果不堪设想。

　　当下，我们面临的威胁无非是“正面捅刀子”和“背后捅刀子”。“正面捅刀子”指的是境外攻击者利用其发现的漏洞进行攻击。而“背后捅刀子”则是指境外攻击者利用在我国各行各业使用的国外硬件或软件中事先植入的后门进行攻击。

　　对于“正面捅刀子”，关键是加强自身的能力建设，通过完善基础软件和硬件，以及在真实环境下进行攻防演练提升这方面的能力。而对于“背后捅刀子”，最好的办法就是把国外的芯片和软件，全部换成本土产品。

　　想必正是因此，相关单位一直呼吁制定自主可控测评评估标准，还搞了AK项目，在体制内开始逐步进行国产化替代。正所谓道高一尺魔高一丈，一些外国公司纷纷改变过去严格技术封锁的套路，向国内企业授权，然后包装为自主可控，冲击党政采购。这方面，欺骗性最强的莫过于ARM CPU。从过去几年的实践中，一些单位是不认可X86的，但对ARM却没有多少防备心理。个别商业公司为了商业利益，高举ARM自主可控旗帜冲击体制内采购，是非常值得商榷的。

　　过去，对自主可控没有制度保证，川普这次掀起贸易摩擦，根源就是在底层技术上和关键器件上国内企业受制于人，让川普抓住了把柄。即便是现在，由于受短期利益驱动，外国公司游说等影响，仍有在招标中帮助外国技术中标的事件出现。甚至出现将不能自主可控的外国技术“穿上写甲，打扮成国产自主可检技术，进入政府采购和重要领域。或者影响文件拟定，影响自主可控的采购活动，结果使本来应当体现扶持自主技术的政府采购，无法体现自主可控要求，严重影响了政府等重要部门的网络安全。

　　在本轮贸易摩擦后，中方付出了较大的代价，换取了产业升级的时间，可谓是花钱买时间。铁流希望这些时间不要随意挥霍。就ARM来说，这玩意就是洋人的技术，是不符合自主可控标准的，何况ARM制裁中兴和华为历历在目，不能因现在ARM发布一个声明就彻底洗白了。对于ARM应该列入不可靠实体清单，而不是像现在这样，“ARM虐我千百遍，我待ARM如初恋”，这实在太自轻自贱，没骨气。

　　何况，ARM说的很清楚，前提是必须“合规”————只要合规，ARM就卖授权，只要不合规，ARM就制裁。至于什么时候合规，什么时候不合规，从实践上看，这个川普说了算。

　　在这类制裁事件中，西方科技公司也是在赚钱和政治风险找平衡，当政治风险大的时候，打着“不合规”的旗号，立马翻脸制裁你。当政治风险变小了，就一幅“中国人民的老朋友”的样子，标榜“合规”，在中国做生意，从中国赚取高额利润。甚至和联合中国合资企业或合作伙伴高举自主可控旗帜。可谓司马昭之心，路人皆知。大家千万不能好了伤疤忘了疼。

　　作为商业公司，基于市场惯性和ARM在移动端具备较好的性能、功耗和生态，将ARM用于商业市场是没有问题，但ARM也只能局限于商业市场。在体制内市场和8大行业央企市场，切不可把ARM这个特洛伊木马往里塞。而应当把真正自主可控的技术送到体制内市场，实现自主技术的螺旋式提升。

　　文末，铁流引用倪光南院士的一段话：

　　为了保障工业互联网安全，我国制订自主可控测评评估标准意义重大，势在必行。如同性能指标、经济指标，自主可控作为一种属性是可评估的，旨在客观、科学地从知识产权、技术能力、发展主动权、供应链安全和“国产”资质等多方面进行考量自主可控程度，形成制度保障。在事关网络安全的重大问题上，自主可控测评应当起到“一票否决”的作用。

　　如果中国在网络安全空间不能实现技术的自主可控，将会有很大风险。目前“穿马甲”情况值得关注，不能自主可控的外国技术假冒国产自主可控技术混入政府采购和重要领域，很可能成为特洛伊木马，严重影响工业互联网领域的健康良性发展。我们需要严格地对那些“引进”或“合作”的技术产品进行自主可控测评，防止那些“美国技术含量”远远超过25%的技术产品通过“穿马甲”，被引入工业互联网的基础设施和重要系统，构成重大的安全隐患。