日前，RSA信息安全公司(下称RSA公司)副总裁以及RSA实验室研究中心首席科学家Burt Kaliski首次访华，并于北京接受了信息周刊记者的独家专访。谈起信息安全，巴特· 卡里斯基（Burt Kaliski）有很多的感触和想法。
信息周刊：中国很多首席信息官（CIO）都曾看到您之前针对无线射频识别（RFID）技术应用提出的安全方面的担忧，我们想进一步了解的是，目前的研究对于解决RFID的安全问题有哪些帮助？
巴特·卡里斯基:RFID是一项很强的技术，它可以应用在很多方面。但是任何一项技术都有两面性，一方面它可以带来效率的提高，另一方面它可能也会带来一些负面的影响。作为研究机构，我们的目的是在两者之间寻找一种平衡。RFID可以让你在任何时候都能追踪到贴有标签的物体的位置，但是对于谁有访问权，它就没法控制。这样，公司的物流等信息可能被对手窃取，这对于商业竞争是一种阻碍。比如，装货的卡车在高速公路上行驶，如果货物上的射频标签可以对任何阅读器做出回应。那么信息窃取者就可以通过在高速公路上放阅读器，了解到车上所装货物的信息，不同的情况可以有不同的截取信息的手段。我们的研究就是要提供访问控制的解决方案，对RFID标签上的信息进行保护，从而不会被非法的阅读器获取。
信息周刊：阅读器在多大的范围内能读到RFID标签的信息？
巴特·卡里斯基:这取决于标签的类型、频率以及阅读器的能量。标准的阅读器只能阅读到较小范围内的标签。因为企业不可能用太多的能源，他们也没有必要去阅读另一房间里物品的信息。所以，标准的阅读器阅读范围是有限的。非标准阅读器因为有其他组件在里面，阅读能力就比较强大。打个比方，标准的阅读器只能阅读直径2米以内的标签，那么非标准的阅读器可能可以读取直径10米以内的标签。这只是打个比方，并不是说实际使用中的距离就是这么多。因为不同的技术，能达到的阅读范围是不一样的。但是有一点可以肯定的是，像有些人说的，通过卫星读取RFID标签上的信息，那是不可能的，因为标签实在太小了。
信息周刊：目前已经有初步的解决方案保护RFID标签上的信息吗？
巴特·卡里斯基:有一些方法可以帮助改善这个问题。比如，如果我要知道你是谁，你可能需要先知道我是谁，所以最好我们要先交换一下信息。那么对于RFID阅读器来说，它要获取标签上的信息，标签可能先要对阅读器进行验证。他们需要先交换信息，从而对彼此进行验证。
信息周刊：他们交换的信息是什么？是密码吗？还有其他的解决途径或者尝试么？
巴特·卡里斯基:这是一个非常好的问题。另外一个科学家Ari Juels正在寻找解决RFID安全问题的方案，他的方案是尽可能少地利用密码。原因是因为标准的RFID标签非常微小，没有电池，支持能力非常小，所以在标签上面进行加密的可能性也非常小。Juels博士就提出了一个设想，多数标签的设计是对于所有的阅读器，它所提供的识别信息都是一样的。如果你不想让别人知道你的信息，那最好的办法是每次都更换识别信息。而且他们也担心阅读器可能会复制信息。
所以，除了改变标签自己的身份信息（ID），标签也可以要求阅读器提供阅读器的ID信息。在标签上有两个清单，一个是标签的ID列表，另一个是阅读器的ID列表。阅读器的ID信息也在改变，它读取标签信息后，要把下一个ID提供给标签，否则，标签就不再和阅读器通讯。这里没有涉及到密码。只是不断地更换ID信息，这个信息是在前一次阅读时标签和阅读器互相提供给对方。当然，到清单的最后一行了肯定有麻烦，但是到最后一行清单的时候，可以重新生成一份清单。
当然这不是唯一的解决方案，有很多种方法去解决这个问题。我们必须思考不同的技术，尝试不同的解决方案。在我们有这个想法之前，人们认为，标签的ID总是固定的，所有的阅读器都可以跟踪他们或者没有阅读器能够跟踪他们。所以我们尝试另外的方案，只有被认可的阅读器才能对标签进行静态的和动态的跟踪。这也是我为什么对密码学感兴趣的原因。
信息周刊：除了RFID的安全技术，您或者RSA公司重点研究的方向是什么？
巴特·卡里斯基:我目前正在做一些研究项目，可以向你介绍其中的一个。在过去的四年里，我一直和另一位同事致力于研究解决钓鱼网站的问题。
信息周刊：网络钓鱼目前在中国非常频繁，并已令很多人深受损害。您能谈谈更详细的想法以及具体进展吗？
巴特·卡里斯基:用户通常在网络中输入密码后就不知道接下来会发生什么。一些钓鱼网站就是利用这一点骗取密码我们不知道这些密码的去向，这是界面的问题所在。因为网站很容易仿造，用户不一定察觉这是假的网站。
这种密码输入方式在以前主机时代是可行的，但是在网络时代就变得很危险了。因为30多年以前，我们的电脑是和一个主机相连，但是现在我们的电脑不是和一个主机相连，我们是和一个网络服务器连接，而那个服务器我们是看不到的。
所以解决这个问题的第一步是，用户不应该把密码输入在网页上，相反他们应该输入在一个可信任的界面上。可信任的界面对你的口令用哈希函数进行计算，得出一个计算结果，发送给你要去的网页。如果那个网页存有用户的口令。它也可以通过哈希函数计算出一个结果，两个结果一致。用户的请求就被接受。由于哈希函数是不可逆的，也就是只能通过口令得到一个哈希函数值，不能通过哈希函数值推算出口令，所以即使钓鱼网站截取了哈希函数值，它也无法得到正确的口令。同时，他所发送的哈希函数值和可信任界面得到的哈希函数值不同的话，可信任界面就会提醒用户，这个网页是假的。
信息周刊：您说的这个方法听起来令人兴奋，它会以什么样的形式提供给用户呢？
巴特·卡里斯基:目前这还是一个概念性的想法。虽然RSA在安全方面作了很多事情，但是我们不可能仅靠自己的力量去改变全球互联网的安全体系,这个解决方案也要得到用户的认可以及其他力量的参与。所以我们正在向相关部门、其他国家的研究机构等提供建议,并向其他公司描述我们的想法。我们希望通过各种研讨，让更多的人了解这个设想，然后付诸于实践。RSA会提供一些相关的软件、其他公司可能提供其他的相关产品。
信息周刊：对于企业，他们还面临着各种复杂、种类繁多的安全威胁，他们应该怎样利用密码保护信息安全？这种保护方式可靠性在哪里？
巴特·卡里斯基:有很多方式可以利用密码。传统意义的密码只是一些编码，但是现在密码的意义发生了改变。它更多的是指你提供信息的方式。密码保护你的信息不被非法访问，认证保护你的信息未被修改。数字签名实际上就是一种认证。数字签名的特点是只有一个人可以签署，但是许多人可以对它进行验证。对于商业信息来说，安全非常重要。为了保证信息的完整性和隐密性，我要对信息进行加密和权限设置。如果我允许你看，我就把密码的钥匙给你。系统根据这个密钥第一来确定你是有访问权限的人，第二保证你能访问这个信息。应该说，许多系统有很好的密码，但是并不一定有很好的安全，这是因为密码系统架构中的其他组件并不完善。
信息周刊：作个最坏的打算，哈希函数是目前在密码算法上应用最广泛的，如果这个算法不够可靠的话，是不是意味着密码体系有危险？您怎么看待去年王小云教授找到密码碰撞这件事的影响？
巴特·卡里斯基:王小云教授的成绩非常显著。我非常欣赏她在这一领域的努力,其他的密码学研究者需要有她的耐心和毅力。我想这是作为一个研究者所需要的素质。她的研究成果对于密码学来说，正面影响大于负面影响。密码系统是一个非常严密的系统，由多种因素共同起作用。王教授发现的碰撞并不会对密码系统的安全产生不良影响。但是密码学专家们对于密码系统的要求是非常高的，王教授的发现使得我们现在不能确保任何一个哈希函数都是安全的。我们需要对所有的哈希函数进行验证，发现并修改某些算法上的不足。
信息周刊：现在生物密码也是一个比较热的话题，而且应用上不断增多。您怎么看待生物密码的发展？它有没有可能取代传统密码的地位？
巴特·卡里斯基:生物密码有很多好处，比如比较方便易用，另外私人化程度高，不容易被窃取。但是它也有一些弊端，比如你只有10个手指，如果有人复制了你的指纹，你就没有办法改变你的密码了。而且他很难应用到互联网上，传输是一个问题，判断和确认又是一个问题。所以，我认为生物密码可以被用于两个领域，一个是用于向你自己的信息设备证明你自己的身份，比如你的电脑、密码器、手机等。第二个领域是固定的场所，比如建筑物门禁系统、出入境港口等。
信息周刊：最后是关于您个人的问题。您今年才42岁，却已经成为RSA的首席科学家，并且在全球密码安全领域享有盛誉，哪些因素在推动您在研究领域获得成功？是不是需要很强的数学能力？
巴特·卡里斯基:我唯一的兴趣就是做好工作。做好工作无论对于我个人还是公司甚至整个行业都是非常重要的。我的公司对我们的专利有很好的保护。对于研究人员来说，新的想法能够得到公司的支持和保护是非常重要的。所以我的研究成果获得了很多专利。我的数学能力和其他人相比，没有特别突出。关键是我对这个领域非常感兴趣。而且我有一种应用的思维，把密码学相关的理念应用到实际需要中，并通过某种方法实现。
信息周刊：您在密码学领域非常杰出。当初您选择密码学作为您研究领域的触动因素或者契机是什么？
巴特·卡里斯基:我喜欢密码，我成为了RSA实验室Ron的学生。Ron是RSA第一个字母所代表的人物。我后来发现密码学非常有意思，而且也是一个不错的职业生涯，所以我就在这个领域一直研究下去。
人物简介：巴特·卡里斯基（Burt Kaliski），现为RSA信息安全公司副总裁以及RSA实验室研究中心首席科学家。领导实验室研究人员和开发者，创造和开发了许多新的概念和技术。多年的研究兴趣涵盖了公共密钥加密、加密算法的有效实施、阻止密码破译、椭圆形曲线加密、用户认证和隐私保护领域，并获得了8项发明专利，还有许多发明正在审核当中。(fengminxing) |
