構建系統安全“堡壘” OpenHarmony技術(shù)大會(huì )OS安全分論壇意義深遠

隨時(shí)工業(yè)4.0時(shí)代的到來(lái),數據已成為企業(yè)數字化、智能化發(fā)展的基石。然而,面對呈爆發(fā)式增長(cháng)的數據量,如何確保系統安全、防止數據被竊取,已成為全球用戶(hù)關(guān)注的焦點(diǎn)。在這樣的背景下,2023年11月4日舉辦的第二屆開(kāi)放原子開(kāi)源基金會(huì )OpenHarmony技術(shù)大會(huì )OS安全分論壇上,眾多專(zhuān)家學(xué)者就系統安全、數據安全、大模型安全以及軟件安全分析等方向展開(kāi)了熱烈探討,并且針對OS安全所關(guān)注的前沿技術(shù)和實(shí)踐應用提出了建設性意見(jiàn),一同為OpenHarmony提倡的萬(wàn)物智聯(lián)筑起了堅實(shí)的安全保障。華為副首席科學(xué)家、終端BG/車(chē)BU首席安全架構師付天福擔任論壇出品人。

論壇匯聚了中國科學(xué)院信息工程研究所二級研究員、副總師、“百人計劃學(xué)者”李鳳華,上海交通大學(xué)教授、OpenHarmony技術(shù)俱樂(lè )部主任夏虞斌,華為系統安全實(shí)驗室主任、系統安全首席專(zhuān)家譚寅,清華大學(xué)網(wǎng)絡(luò )研究院副院長(cháng)、副教授、博士生導師張超(臨時(shí)時(shí)間沖突委托朱文宇博士),OpenHarmony安委會(huì )產(chǎn)業(yè)安全使能與標準化工作組副組長(cháng)翟世俊,華為OS內核安全專(zhuān)家、形式化驗證助理科學(xué)家李屹,北京中科微瀾科技有限公司CEO楊牧天,北京郵電大學(xué)副教授、博士生導師梁洪亮,中國科學(xué)院軟件研究所特別研究助理凌祥等十位技術(shù)學(xué)者,共同探討了OpenHarmony安全的前沿技術(shù)和未來(lái)發(fā)展方向。

OS安全分論壇現場(chǎng)

首先,中國科學(xué)院信息工程研究所二級研究員、副總師、“百人計劃學(xué)者”李鳳華在《數據要素流通的安全挑戰與對策》分享中介紹了萬(wàn)物智慧互聯(lián)是推動(dòng)數據廣泛傳播的關(guān)鍵驅動(dòng)力,促進(jìn)了數據泛在共享,使得數字經(jīng)濟高度依賴(lài)于數據要素的流通。然而,隨著(zhù)數據從傳統的共享模式演變?yōu)橐亓魍?現有的安全技術(shù)無(wú)法滿(mǎn)足數據多輪交易的安全需求,因此急需構建一套全面的解決方案,以確保數據要素流通的安全性。李老師提出隱私計算整體的一套理論體系和技術(shù)方案,正確利用不同技術(shù)解決泛在共享環(huán)境中不同環(huán)節的數據安全與隱私保護問(wèn)題。

付天福補充說(shuō)明,OpenHarmony原生提供了全套數據生命周期的創(chuàng )建、存儲、流通、使用和銷(xiāo)毀的安全機制,為數據成為數字經(jīng)濟最重要的生產(chǎn)要素,提供了基礎保障能力。

中國科學(xué)院信息工程研究所二級研究員、副總師、“百人計劃學(xué)者”李鳳華主題分享

隨后,華為副首席科學(xué)家、終端BG/車(chē)BU首席安全架構師付天福談到,安全是OpenHarmony內嵌在基因里的核心架構,為了應對大數據時(shí)代的安全挑戰, OpenHarmony 提供了對數據整個(gè)生命周期的標記、加密、隔離、訪(fǎng)問(wèn)控制等全套機制,為數據在虛擬世界建立了一套完備的保障措施。他表示,在智能汽車(chē)時(shí)代,安全是最為核心的競爭力,安全是最大的豪華。智能輔助駕駛安全已經(jīng)成為OpenHarmony賦能汽車(chē)行業(yè)的獨特優(yōu)勢,而網(wǎng)絡(luò )安全對功能安全的影響也日益增大,OpenHarmony基于分級安全架構,天生就適合智能汽車(chē)這樣的分布式計算機體系,充分發(fā)揮了強安全部件的能力為整車(chē)提供保護,為智能汽車(chē)提供了網(wǎng)絡(luò )安全上的領(lǐng)先解決方案。

華為副首席科學(xué)家、終端BG/車(chē)BU首席安全架構師付天福主題分享

上海交通大學(xué)教授、OpenHarmony技術(shù)俱樂(lè )部主任夏虞斌在報告中提出了“智能終端操作系統的個(gè)人數據處理與保護”的新思路。該方法利用人工智能和機密計算等新技術(shù),實(shí)現對個(gè)人數據的存儲、使用和保護。他指出,智能終端作為個(gè)人的數字世界主要入口,記錄了大量的個(gè)人數據,合理利用這些數據將帶來(lái)效率的極大提升。通過(guò)提供一個(gè)端云一體化的機密計算能力,既滿(mǎn)足了AI時(shí)代對數據驅動(dòng)模型下的智能化廣泛應用,又保障了個(gè)人隱私不泄露企業(yè)數據不泄密,OpenHarmony有望成為大模型的入口,為個(gè)人數據的安全和隱私提供更強大的保障。

上海交通大學(xué)教授、OpenHarmony技術(shù)俱樂(lè )部主任夏虞斌主題分享

華為系統安全實(shí)驗室主任、系統安全首席專(zhuān)家譚寅在報告中提出了面向OpenHarmony的軟硬協(xié)同系統安全底座的構筑方法。當前操作系統安全技術(shù)已經(jīng)取得了長(cháng)足的進(jìn)展,但隨著(zhù)軟件功能復雜性和體量急劇提升,攻擊面也持續擴大。即使采用了大量的系統安全防護方法,還是避免不了高危漏洞被利用并最終導致系統被攻破的情況。在此背景下,面向OpenHarmony體系化構筑安全底座,突破關(guān)鍵安全技術(shù),從機制上打造OpenHarmony的安全架構就尤為重要。本報告拋磚引玉介紹當前在OpenHarmony安全防護的工作,以期促進(jìn)系統安全領(lǐng)域學(xué)者與研究人員共同構筑OpenHarmony安全。

華為系統安全實(shí)驗室主任、系統安全首席專(zhuān)家譚寅主題分享

清華大學(xué)網(wǎng)絡(luò )研究院副院長(cháng)、副教授、博士生導師張超老由于臨時(shí)時(shí)間沖突,委托博士生朱文宇博士代為分享了題為《閉源軟件安全智能化分析》的主題報告,深入探討了在安全對抗場(chǎng)景下閉源軟件分析的挑戰,并指出了傳統分析技術(shù)的局限性。他強調,提取和恢復閉源程序的結構和語(yǔ)義信息對分析其安全性具有重要意義,但由于編譯過(guò)程中的信息損失,二進(jìn)制程序分析相較于源碼分析更具挑戰性。令人欣喜的是,張超分享了團隊近期的研究成果,展示了流行的大語(yǔ)言模型在二進(jìn)制程序分析中的顯著(zhù)效果。這一創(chuàng )新方法為閉源軟件安全智能化分析提供了新的思路和解決方案,為未來(lái)的軟件安全研究開(kāi)辟了廣闊的前景。

清華大學(xué)網(wǎng)絡(luò )研究院副院長(cháng)、副教授、博士生導師張超委托朱文宇博士主題分享

OpenHarmony安委會(huì )產(chǎn)業(yè)安全使能與標準化工作組副組長(cháng)翟世俊對OpenHarmony發(fā)行版證通電子的LightBeeOS獲得CCRCEAL4+認證做了介紹,介紹了中國網(wǎng)絡(luò )安全審查技術(shù)與認證中心(CCRC)評估保障級(EAL)認證情況,CCRCEAL4+認證對操作系統的安全提出了非常高的要求,需要對系統的安全架構進(jìn)行全面嚴格的審核。首先對LightBeeOS的安全功能進(jìn)行全面測評,并結合詳細設計、源碼審計、滲透測試、現場(chǎng)審核等對LightBeeOS安全進(jìn)行全面評估,證明LightBeeOS以及OpenHarmony具有較高的安全水平,為萬(wàn)物互聯(lián)期待提供了一套堅實(shí)的底座,生態(tài)廠(chǎng)商可基于OpenHarmony開(kāi)發(fā)更多高安應用場(chǎng)景的發(fā)行版OS,聚焦業(yè)務(wù)場(chǎng)景,減少對安全的巨大投入。

OpenHarmony安委會(huì )產(chǎn)業(yè)安全使能與標準化工作組副組長(cháng) 翟世俊 主題分享

本次論壇同時(shí)也邀請到了證通電子公司董事、安全支付事業(yè)部總經(jīng)理、OpenHarmony研究院院長(cháng)程勝春先生,程總表示:拿通用的整套操作系統,而且是國產(chǎn)自主的基于OpenHarmony的操作系統進(jìn)行這么高級別的安全認證我們是第一次,這次LightBeeOS通過(guò)EAL4+認證,我們感到非常開(kāi)心也深受鼓舞,非常感謝在整個(gè)認證過(guò)程當中,各位專(zhuān)家老師們給予證通電子的寶貴意見(jiàn)與幫助。證通電子LightBeeOS通過(guò)Eal4+認證,首先證明我們OpenHarmony數字底座本身的具有基礎的安全能力;其次,融合證通在金融安全上的安全組件等安全技術(shù)優(yōu)勢,整體上讓這樣的一個(gè)發(fā)行版操作系統信息安全保障能力達到了較高水平。

證通電子董事、安全支付事業(yè)部總經(jīng)理程勝春先生和付天福、翟世俊博士合影

在《操作系統視角看大模型安全挑戰》的主題演講中,華為OS內核安全專(zhuān)家、形式化驗證助理科學(xué)家李屹指出,操作系統是軟件棧的底座,操作系統的安全性在各種場(chǎng)景都具有舉足輕重的意義。隨著(zhù)大模型等AI應用的廣泛興起,數據安全正在面臨前所未有的挑戰。所以,他認為行業(yè)有必要站在操作系統的視角,來(lái)觀(guān)察我們將如何應對這些挑戰。李博提出了以隔離、跟蹤、協(xié)同一體化的思路,希望以操作系統為底座,以數據安全為第一原則,逐步構建可信的原生智能,為大模型時(shí)代構建堅實(shí)的數據和系統安全底座。

華為OS內核安全專(zhuān)家、形式化驗證助理科學(xué)家李屹主題分享

北京中科微瀾科技有限公司CEO楊牧天談到了建設安全可靠的OpenHarmony生態(tài)軟件倉庫的重要性。他認為,盡管OpenHarmony生態(tài)的軟件數量眾多,但如何確保它們的安全性仍然是一個(gè)關(guān)鍵問(wèn)題。因此,他介紹了OHPM在OpenHarmony生態(tài)中三方軟件管理方面的完善安全運營(yíng)機制,旨在預防和處理開(kāi)源三方庫常見(jiàn)的風(fēng)險,保障OpenHarmony生態(tài)的安全可靠發(fā)展。

北京中科微瀾科技有限公司CEO楊牧天主題分享

北京郵電大學(xué)副教授、博士生導師梁洪亮在《軟件缺陷漏洞分析》的主題演講中分享了他的深刻見(jiàn)解。他認為,軟件缺陷或漏洞廣泛存在,攻擊者可以利用它們竊取信息或控制系統。因此,在部署之前,檢測和分析軟件中的缺陷或漏洞至關(guān)重要。鑒于傳統測試方法效率的局限,梁老師提出了一種序列引導的多目標混合模糊測試的方案LeoFuzz,通過(guò)創(chuàng )新的技術(shù)手段,大大提升了軟件系統的缺陷的發(fā)現效率和準確率。為開(kāi)源社區軟件安全分析提供了一種高效的解決思路,為安全的OpenHarmony生態(tài)安全助力。

北京郵電大學(xué)副教授、博士生導師梁洪亮主題分享

中國科學(xué)院軟件研究所特別研究助理凌祥在主題演講中強調了正確使用OpenHarmony等開(kāi)源操作系統的API對系統穩定性和安全性的重要性。由于A(yíng)PI更新頻繁且使用復雜,開(kāi)發(fā)者容易發(fā)生誤用,導致系統安全漏洞。因此,他介紹了一種基于自動(dòng)挖掘API路徑模式的API誤用缺陷檢測方法APP-Miner,此方法在針對開(kāi)源操作系統和大型軟件系統的缺陷檢測中發(fā)揮了顯著(zhù)效果,發(fā)現了隱藏很深的多個(gè)Linux內核API誤用缺陷。希望類(lèi)似的創(chuàng )新方案能為社區安全治理助力,共同推動(dòng)開(kāi)源軟件社區安全發(fā)展。

中國科學(xué)院軟件研究所特別研究助理凌祥主題分享

隨著(zhù)萬(wàn)物智聯(lián)時(shí)代的到來(lái),設備聯(lián)網(wǎng)數量不斷增加,技術(shù)發(fā)展帶來(lái)的大模型的機遇,隨之而來(lái)的安全和隱私問(wèn)題也日益突出。大量的數據將被傳輸和存儲,包括敏感數據如醫療記錄、銀行信息和公司機密。這些數據的泄露可能會(huì )導致巨大的經(jīng)濟損失和信任危機。因此,OpenHarmony將充分發(fā)揮其操作系統的安全優(yōu)勢,從數據安全、系統安全、AI安全、軟件安全分析等各個(gè)維度,打造堅固的“堡壘”,構建分布式全場(chǎng)景協(xié)同的開(kāi)源操作系統底座與生態(tài)系統,以保障萬(wàn)物智聯(lián)產(chǎn)業(yè)的繁榮發(fā)展。