阿裡雲首席安全科學家吳翰清的思考：彈性安全網絡，建構下一代安全的網際網路

8月16日，《麻省理工學院科技評論》（mit technology review）雜志揭曉2017年全球青年科技創新人才榜評選結果，阿裡巴巴人工智能實驗室首席科學家王剛、阿裡雲首席安全科學家吳翰清脫穎而出，獲此殊榮。

前些天得知自己入選了mit的tr35，非常開心。我想這是中國安全技術在國際上被認可的一次證明。但這個榮譽不僅屬于我一個人，更屬于我團隊中所有為此做出過努力和貢獻的人，也屬于那些敢于和我們一起嘗試最新技術的客戶們，因為新技術在誕生之初往往是生澀的，但缺少了孵化過程中的磨難，我們永遠見不到美麗綻放的那天。我也非常感謝王堅博士、弓峰敏博士、華先勝老師、dawn song教授能夠成為我的tr35推薦人，感謝你們對我所從事的工作的認可。

自從參加工作以來，我一直執着于将中國技術推向全球，我認為中國有着最好的安全技術和最好的人，隻是缺乏了讓他們成長的土壤和展示的舞台。是以我也希望這次mit對我個人的認可，能夠成為一次鼓勵中國安全産業的優秀人才和優秀技術成果走向世界的契機。長期以來，我們享受了很多開源技術的紅利，但中國技術對世界網際網路發展的貢獻卻非常微薄。我認為這中間有語言的障礙，有文化的障礙，但沒有能力的障礙。現在是時候讓我們去跨越這些障礙，去解決全球網際網路發展過程中遇到的那些問題了。隻有中國本土的優秀人才成長起來，中國才會變得更加強大。

回顧我十多年的工作生涯，期間從事和研究過非常多的技術工作，但我認為唯有「彈性安全網絡」的研究是最獨特的。「彈性安全網絡」不是對現有技術的一種應用，它是真正的發明了一項此前所沒有的技術，提出了一種全新的方法，采用了一個全新的角度來看待現有世界。也是以它能跳出現有的技術架構，帶來一些突破性的驚喜。這些驚喜，往往連創造者都沒有辦法在一開始就想清楚。正如從比特币中抽象出了區塊鍊技術一樣，最早我們建構的産品「遊戲盾」是用來防禦超大流量ddos攻擊，最後抽象出來的「彈性安全網絡」技術，卻讓我們看到了建構下一代網際網路的可能性。

簡單來說，彈性安全網絡是将ddos防禦前置到網絡邊緣處。但是，未來真正要做的事情是通過端到端的連接配接，通過風險控制技術，重新建構一個幹淨的、安全的網際網路。

前些天《麻省理工學院技術評論》的記者對我做了一次采訪，我完整的闡述了一次關于彈性安全網絡的構想。我把這次采訪的錄音放在這裡，分享給所有對這項技術感興趣的人，并附上整理後的文字稿（但依然強烈推薦聽錄音原文）。未來我希望有更多人參與到對「彈性安全網絡」的建設中來。

為什麼要做彈性安全網絡

網際網路的流量就像流淌在管道裡的水，但網際網路發展到今天，流量裡已經摻雜了太多的東西，變得不再純粹和健康了。比如說，這些流量裡面包含了很多攻擊請求，也有很多惡意爬蟲請求和一些欺詐行為的請求。

理想狀況下，我們希望未來的流量是幹淨、健康的，希望把所有的網絡攻擊前置到整個網絡的邊緣處。就是說進入這張網絡的時候，流量本身就是幹淨的。這就是clear traffic的概念。

為了實作這個想法，我們遇到了很多的困難。我們在思考，需要用一個什麼樣的架構去實作它。剛巧這個時候，我們有一些客戶嘗試用快速切換的思路來對抗ddos攻擊。這給了我靈感。最終，我把兩個東西結合起來，産生了做彈性安全網絡的想法。

什麼是彈性安全網絡

彈性安全網絡真正想要去做的，是替換掉整個網際網路最核心的心髒，替換掉dns，進而讓網絡變得有彈性，能夠快速排程資源，形成一個全新的網絡架構。

事實上， dns誕生在網際網路早期，是網際網路1.0時代的産物，是一個開放的協定。到今天，也沒有一個獨立的營運商來營運整個網際網路的dns server。它分散在各家不同的營運商。全球可能有上百家營運商，都在提供自己的dns服務。營運商跟營運商之間的打通，是通過标準的dns協定進行資料交換。

這也是為什麼這麼多年dns協定都沒辦法進步的原因，過于碎片化。

目前，dns有三個顯著問題。第一個，是dns完全解析的時間過長，這是整個dns使用中遇到的一個非常大的痛點。

比如，對于一個大型網站，要把使用者的所有流量指向一個新位址。把dns的解析修改之後，可能需要花兩到三天時間，流量才會百分之百的切到新位址去，不會在舊位址上還有殘餘流量。

為什麼需要兩到三天時間？原因是有很多營運商的dns遞歸解析伺服器，都需要更新自己的資料。而有的營運商還有自己的省級營運商，甚至更下面的地市級的dns的遞歸解析。過于碎片化，使得難于進行統一的資料管理，這是今天現實存在的問題。

第二個問題是今天dns server軟體中的解析數遇到了瓶頸，沒有辦法一個名字解析到幾千個、甚至上萬個，甚至未來十幾萬個不同位址。一個名字可能最多也就解析到十幾個或幾十個位址就不能再擴大了。這種瓶頸限制了我們的一些能力拓展。

第三個就是，原本可以基于dns去實作的一些安全機制，比如風險控制，并沒有建立起來。其實也比較好了解，在網際網路1.0時代并沒有如今天這般強大的資料能力和計算能力。

今天，我們要解決這些問題。在整個彈性安全網絡的架構下面，我們在構思下一代的網際網路應該是什麼形态？答案就是通過可靠的快速排程技術把網際網路心髒重構掉。

首先，就是它的快速解析的能力，一定要非常實時以及幹淨。其次，就是它本身支援的排程能力，要能達到上萬的這個級别，規模特别的重要，就是一個名字能夠解析到上萬個位址、甚至是十幾萬個位址。

我們以防禦ddos攻擊為切入點，進行嘗試。過去防禦ddos攻擊時，必須要做的是儲備單點大帶寬。因為ip是變不了的（在中國的網絡環境下由于政策原因暫不考慮anycast的方案）。是以在dns架構下，就是去硬抗這個ip遇到的流量攻擊。比如說300g的流量打過來，必須要有300g的帶寬在這裡，才能夠扛得住。如果隻有100g的帶寬，那整個機房就被堵死了，甚至可能會影響到營運商的網絡穩定。

這是在過去攻防對抗的思路，就是你攻擊打過來多少，我就必須要有多少帶寬儲備在這兒。這比的是資源，比的是單純的帶寬儲備。

我們現在的思路是，你攻擊這個ip，我馬上就把這個ip拿掉，不要這個ip了，然後啟用一個新的位址，并告訴所有客戶，你來通路新位址。

當然，這時候攻擊者會跟随，但是攻擊者跟随是有成本的。一般，攻擊者跟随到一個新位址，需要大概10多分鐘。

在這個10分鐘裡，通過資料分析的方式，我們可以分析出攻擊者到底是誰，把好人和壞人分離出來，阻止壞人的流量，并同時放幹淨的流量繼續通路，這就是整個彈性安全網絡的核心思想。

如何實作彈性安全網絡

彈性安全網絡的實作，是通過快速完成上萬個位址的排程，從根本上改變過去需要在單點儲備大帶寬的一種防禦方式能力。

就是，你不需要在單點儲備大帶寬了，你需要的更多的位址，更強的資料分析能力。

要知道，單點儲備大帶寬的價格非常貴。改用這種方式之後，ddos防禦成本可以下降兩到三個數量級，因為不需要再單點儲備大帶寬。

做完這個之後，我們就發現，其實這個事情，最重要的不是多了一種對抗ddos攻擊的方法，而是改變了dns本身，這是本質的東西。是以，我們是用一種新技術去解決了一個老問題。

彈性安全網絡将誕生最大的人工智能

沿着彈性安全網絡的思路，我們希望通過風險控制來管理整個網際網路的資源。

未來，彈性安全網絡将重新定義網際網路的入口。通過為每一個通路者建立“足迹庫”，分析他是好人還是壞人的機率。一旦判斷這次通路請求可能是有風險的，則可以随即讓他通路不到這個資源。

是以，未來最大的人工智能應該是誕生在彈性安全網絡，因為整個網際網路的資源都被管理起來了，而且是基于每一個通路者的行為沉澱，來判斷風險。

相當于想要進入這個封閉的網絡，每個訪客要先過安檢。隻有通過安檢才能通路到這個資源。而且，訪客所有的曆史行為會被積累下來，為未來的風險判斷做儲備。而今天網際網路的心髒 -- dns，由于其開放性和碎片性，已經失去了将所有通路資料統一彙聚後進行分析的可能性。

在一個自成閉環的體系裡面，由一家基礎設施的提供商，去營運整個網絡心髒的這種解析服務。然後也基于這種解析服務，它能夠對整個網内的所有訪客進行智能分析，最終就能夠實作這張網内的所有訪客的請求，都是在風險控制之下的，進而建構一個全新的網際網路。

彈性安全網絡的未來

今天，一些阿裡雲上的遊戲客戶，就是通過彈性安全網絡的技術，來排程他們所有的遊戲資源，同時對所有玩家進行風險控制的。

彈性安全網絡自成閉環。也就是說，這些使用彈性安全網絡的遊戲，已經從我們現在的網際網路，也就是今天以dns為支撐的這個網際網路裡，消失掉了。

一個玩家，通過dns，是通路不到彈性安全網絡這張網裡的所有資源的。未來我們要做的事情就是，不斷地去擴大這張網，直到網内可排程的資源覆寫整個網際網路的資源。

目前來看，主要機會就是在iot和移動網際網路，因為這兩者實際上是沒有dns的需求的。過去，之是以需要dns，是因為有一個浏覽器，浏覽器裡面有一個位址欄，這個東西必須通過輸入一個好記的位址，才能通路到資源。

在移動網際網路時代，今天手機不需要浏覽器，而是直接打開一個app。那這個app通路的是什麼東西，它不一定需要dns來解析。

這是我們看到今天這個技術有可能走下去的一個非常重要的原因。

延伸出來，在iot時代，也是不需要有一個浏覽器去通路你所需要通路的服務和資源的。

是以這是我看到，這張網在未來有可能更新今天整個網際網路最重要的一個原因。

阿裡将開放彈性安全網絡技術能力

未來，阿裡會開放彈性安全網絡的技術。

類似dns，彈性安全網絡本身也不涉及任何通路資源，它隻是知道你今天到這個地方來了。就像，一個人今天到某個國家去，需要入關和出關，是一個道理。

事實上，在很多關鍵領域，彈性安全網絡非常有價值。

比如，各個國家政府，或者大型企事業機關的專網或内網。如果它是以dns為核心的話，那這是一個暴露在整張網内的弱點。因為dns是一個公開的服務。一旦dns這個單點被癱瘓掉，整張網可能就沒法工作了，是以這是非常大的風險。

是以，彈性安全網絡技術，不是為某一個客戶設計的，它是為整個網際網路設計的。