2022年3月3日，美國(guó)國(guó)會(huì)政府問(wèn)責(zé)局（GAO）網(wǎng)站發(fā)布報(bào)告，題為《Cybersecurity: Internet Architecture is Considered Resilient, but Federal Agencies Continue to Address Risks》。報(bào)告要點(diǎn)如下：
互聯(lián)網(wǎng)是一個(gè)龐大的互聯(lián)網(wǎng)絡(luò)系統(tǒng)，使用者達(dá)數(shù)十億人。它的架構(gòu)（互聯(lián)網(wǎng)的骨干）由世界各地的組織擁有和管理。沒(méi)有任何組織對(duì)其政策、運(yùn)營(yíng)或安全負(fù)責(zé)。
通常，互聯(lián)網(wǎng)架構(gòu)被認(rèn)為具有彈性，部分原因在于其分散的性質(zhì)。但是，我們的審查報(bào)告和主題專家已經(jīng)確定了互聯(lián)網(wǎng)關(guān)鍵運(yùn)營(yíng)的風(fēng)險(xiǎn)。
許多聯(lián)邦機(jī)構(gòu)都參與了應(yīng)對(duì)這些風(fēng)險(xiǎn)的工作，采取了諸如威脅信息通告和加入全球互聯(lián)網(wǎng)治理團(tuán)體等行動(dòng)。
研究目的
互聯(lián)網(wǎng)是一個(gè)全球互聯(lián)網(wǎng)絡(luò)系統(tǒng)，全球數(shù)十億人使用它來(lái)執(zhí)行個(gè)人、教育、商業(yè)和政府任務(wù)。隨著時(shí)間的推移，美國(guó)政府已經(jīng)放棄了對(duì)互聯(lián)網(wǎng)的監(jiān)督作用。由許多組織構(gòu)成的全球多方利益共同體塑造了互聯(lián)網(wǎng)政策、運(yùn)營(yíng)和安全性。但對(duì)互聯(lián)網(wǎng)持續(xù)和日益增長(zhǎng)的依賴強(qiáng)調(diào)了了解其底層架構(gòu)風(fēng)險(xiǎn)的必要性。
隨威廉 M.（Mac）索恩伯里2021財(cái)年《國(guó)防授權(quán)法案》一起發(fā)布的眾議院軍事委員會(huì)報(bào)告，包括一項(xiàng)要求 GAO 審查互聯(lián)網(wǎng)架構(gòu)安全性的條款。本報(bào)告：（1）確定了與互聯(lián)網(wǎng)架構(gòu)相關(guān)的安全風(fēng)險(xiǎn)，（2）確定了美國(guó)聯(lián)邦機(jī)構(gòu)采取行動(dòng)解決互聯(lián)網(wǎng)架構(gòu)安全風(fēng)險(xiǎn)的程度。
GAO 收集并分析了來(lái)自聯(lián)邦和非聯(lián)邦組織的公開(kāi)報(bào)告，以確定互聯(lián)網(wǎng)架構(gòu)各組成部分（互聯(lián)網(wǎng)交換點(diǎn)、海底電纜、域名系統(tǒng)和邊界網(wǎng)關(guān)協(xié)議等）的風(fēng)險(xiǎn)。GAO還審查了聯(lián)邦法律和政策及其先前的工作，以確定聯(lián)邦互聯(lián)網(wǎng)架構(gòu)安全角色和責(zé)任機(jī)構(gòu)。GAO根據(jù)各機(jī)構(gòu)的職責(zé)，收集并分析了相關(guān)文件，還與責(zé)任機(jī)構(gòu)的官員進(jìn)行了面談。
此外，GAO還召集了兩個(gè)主題專家小組。小組成員在互聯(lián)網(wǎng)架構(gòu)的各個(gè)方面都有經(jīng)驗(yàn)，例如演掌管基礎(chǔ)設(shè)施的組成部分以及對(duì)其進(jìn)行運(yùn)營(yíng)、參與標(biāo)準(zhǔn)制定組織并為其做出貢獻(xiàn)，以及研究和參與各種多方利益相關(guān)治理實(shí)體。
在小組會(huì)議期間，GAO 提出了先前確定的賽博和物理風(fēng)險(xiǎn)，并要求專家識(shí)別尚未確定的其它風(fēng)險(xiǎn)或擔(dān)憂。GAO和專家們還討論了聯(lián)邦政府參與應(yīng)對(duì)風(fēng)險(xiǎn)的問(wèn)題。
主要發(fā)現(xiàn)
通信部門運(yùn)營(yíng)著構(gòu)成互聯(lián)網(wǎng)基礎(chǔ)的多個(gè)獨(dú)立網(wǎng)絡(luò)。為了支持網(wǎng)絡(luò)流量的交換，服務(wù)提供商管理和控制具有眾多組件的核心基礎(chǔ)設(shè)施元素，包括連接到國(guó)內(nèi)和國(guó)際網(wǎng)絡(luò)的互聯(lián)網(wǎng)交換點(diǎn)和海底電纜登陸站（見(jiàn)圖）。多家美國(guó)服務(wù)提供商運(yùn)營(yíng)著不同的核心網(wǎng)絡(luò)，這些網(wǎng)絡(luò)遍布全國(guó)并在多個(gè)點(diǎn)相互連接。
盡管專家認(rèn)為互聯(lián)網(wǎng)架構(gòu)具有彈性，但它仍然面臨著可能影響其組件的各種網(wǎng)絡(luò)和物理風(fēng)險(xiǎn)；此類風(fēng)險(xiǎn)可能是有意或無(wú)意的。特別是，與網(wǎng)絡(luò)相關(guān)的風(fēng)險(xiǎn)可能會(huì)影響確?；诨ヂ?lián)網(wǎng)的服務(wù)中所用名稱的唯一性和為數(shù)據(jù)包路由提供便利所需的兩組協(xié)議。具體來(lái)說(shuō)，域名系統(tǒng)將名稱（例如 www.gao.gov）轉(zhuǎn)換為計(jì)算機(jī)和其它設(shè)備用來(lái)路由數(shù)據(jù)的數(shù)字地址。此外，邊界網(wǎng)關(guān)協(xié)議用于交換網(wǎng)絡(luò)可用性和有關(guān)各個(gè)網(wǎng)絡(luò)（即目的地）的路由信息。這兩種協(xié)議都受到惡意行為者故意濫用以及無(wú)意失敗的威脅。此外，互聯(lián)網(wǎng)架構(gòu)可能會(huì)受到物理風(fēng)險(xiǎn)的影響，例如切割或移除光纖電纜。
如果意識(shí)到的話，一些風(fēng)險(xiǎn)可能會(huì)導(dǎo)致互聯(lián)網(wǎng)正常運(yùn)行中斷的事件，包括中斷、性能降級(jí)和流量攔截。在GAO召集的兩個(gè)小組中任職的小組成員還表示，故意事件影響互聯(lián)網(wǎng)架構(gòu)的風(fēng)險(xiǎn)取決于惡意行為者的能力和動(dòng)機(jī)。GAO和其它機(jī)構(gòu)報(bào)告了犯罪集團(tuán)和主權(quán)國(guó)家等構(gòu)成的威脅，這些威脅可能會(huì)利用其能力影響互聯(lián)網(wǎng)架構(gòu)的組件。例如，2017年國(guó)土安全部完成的信息技術(shù)相關(guān)風(fēng)險(xiǎn)評(píng)估將有組織犯罪和主權(quán)國(guó)家確定為對(duì)域名路由運(yùn)營(yíng)服務(wù)的威脅。heavy fuel engine
隨著美國(guó)政府減少其在互聯(lián)網(wǎng)架構(gòu)組件方面的作用，包括停用其開(kāi)發(fā)的早期網(wǎng)絡(luò)并放棄其對(duì)互聯(lián)網(wǎng)技術(shù)功能的監(jiān)督作用，這些責(zé)任轉(zhuǎn)移到了全球多方利益相關(guān)共同體。沒(méi)有一個(gè)組織負(fù)責(zé)整個(gè)互聯(lián)網(wǎng)政策、運(yùn)營(yíng)和安全。然而，聯(lián)邦政府履行了許多直接應(yīng)對(duì)互聯(lián)網(wǎng)架構(gòu)風(fēng)險(xiǎn)的不同角色。為了履行這些職責(zé)，一些機(jī)構(gòu)已采取行動(dòng)。例如，國(guó)土安全部與通信和信息技術(shù)關(guān)鍵基礎(chǔ)設(shè)施等部門的成員合作，對(duì)這些部門提供互聯(lián)網(wǎng)功能的能力進(jìn)行風(fēng)險(xiǎn)評(píng)估。此外，聯(lián)邦通信委員會(huì)通過(guò)發(fā)放海底電纜和登陸站許可證，以及管理一項(xiàng)計(jì)劃即移除和更換被確定對(duì)國(guó)家安全構(gòu)成不可接受風(fēng)險(xiǎn)的設(shè)備，從而影響互聯(lián)網(wǎng)架構(gòu)的安全性。
?