开源不是避风港，我们需要什么样的信息安全

大嘉购官网整理编辑：

最近一段时间，由于中美贸易战的影响。国内信息行业希望通过开源项目规避掉一些风险。避免因为贸易战的因素遭受到突然打击，让正常业务难以开展。

理论上来说，开源项目并不为一个公司，一个国家掌控，不应该被贸易战所影响。在全球互联网中，是不应该有政治因素的。

然而，现实却并非如此。

一、 伊朗程序员的呐喊

前不久，因为美国和伊朗的争端。一名伊朗开发者发现自己在开源网站github的个人账户无法正常使用，且不被允许导出数据。

于是，他于25日在个人推特上@了 Nat Friedman 的质疑信息，是获得 1.9k 的转发和2.8k 的赞赏。

迫于舆论压力，Github CEO Nat Friedman 打破多日沉默，昨日亲自在个人推特上回应此事，同时还@了该名伊朗籍开发者，态度尚属诚恳。

在这份公开对外的非正式声明中，Nat Friedman 主要表达了以下几点：

1. Github 受到美国出口管理条例的管制。听闻贸易战如何对人们造成伤害，这让我感到异常痛苦。 我们尽量不做超出法律要求的事情，但无论如何人们仍然受到了影响。GitHub 受美国贸易法的约束，就像任何在美国开展业务的公司一样。

2. 开源 repo 不受影响

为了遵守美国的制裁，我们不得不对伊朗、叙利亚和克里米亚的私人 repo 和付费账户实施限制。

公开 repo 依然能被所有开发人员访问 —— 开源的 repo 不回受到影响。

3. 限制主要基于用户所在地

限制主要基于用户的居住地和身处位置，而非国籍。 如果某人被错误标记，只要填写相应表格，账户就会在数小时内获得解禁。

4. 制裁不会提前通知用户

私人 repo 受到限制的用户，可以选择将其公开。 法律不允许我们将限制事宜提前通知任何人。

声明的最后，Nat Friedman 大打感情牌，称我们这么做并非出于自愿，而是因为我们必须这样做。 GitHub将继续与各国政府一起，积极倡导保护软件开发者与全球开源社区的政策。

这份声明立即引发了轩然大波，因为这意味着所谓的开源项目，其实并不自由，小小的一点政治因素，都立即能让这个虚幻的公平世界瞬间崩塌。

二、 脆弱的信息安全

在1978年以前，中国基本是隔离于世界的。改革之后，当中国重新接入世界的时候，信息产业都是全新的。

此后，四十年的各种建设，所有的信息化基础都来自于欧美国家，而美国是最重要的角色。

中国开展数字化建设、信息化建设，是从80年代开始，到90年代发展，在2000年后基本建成的。

这个基础是美国的软硬件，最初的金融电信部门的信息系统，是IBM、HP在建设，后来各个行业的桌面系统，用的是微软和英特尔的产品，再后来移动互联网，用的苹果、谷歌、ARM。

从硬件到软件，从通信协议到基础网络，所有的核心技术与标准都是美国公司所掌握。

尽管我们有很多一流的科技企业，互联网企业，但是一旦与美国公司切断了联系，就会瞬间停摆。

譬如，我们所有的机关都使用英特尔的处理器和微软的操作系统，所有信息终端都要采购美国的产品。一旦像华为一样遇到断供，中国所有的机构都无法完成技术升级。

如果，美国企业在产品中保留什么后门，让产品停止工作。那么整个社会都会瞬间混乱。所有科技企业，立即停摆。

面对这种风险，中国企业一直寄希望于一些开源项目，希望不被商业公司控制的开源项目能够绕开封锁，保证信息安全。

但是从最近伊朗开发者的遭遇看，开源项目也不是避风港。

实际上，无论一个企业，一个组织在互联网上如何自由。在现实中，一个警察小队的暴力，就能强迫他做任何事情。

而政府的决定背后是国家的暴力，所谓开源组织，根本无法抗衡。

如果有一天美国政府以贸易战为由，要求美国企业断供中国的信息产品供货，美国企业也丝毫没有抵抗能力。

我们的信息安全就是如此脆弱。

三、 开源的拿来主义

对中国来说，自主的信息安全，不能依赖任何境外的组织和公司。中国可以学习国外的先进技术，把世界通用的标准和技术用起来。但是必须有自己的备胎。

这个备胎，平时应用在安全敏感的领域，必要时则可以快速复制到所有领域，避免因为政治因素导致停摆。

对于开源项目，中国可以拿来主义。拿到一个可用的开源成果，不需要一直跟随着开源项目走，而是拿来以后把应用配套做齐全了，真正用起来，解决实际的问题。

譬如，RISC-V指令集是开源的，我们也可能造出处理器，关键是把造出来的处理器用起来。

Linux是开源的，我们可以做自己的操作系统，关键也是自己的操作系统用起来。

可以先从最简单的领域开始，譬如超市收银的机器，税控的机器，教育用的机器……

从简单到复杂，逐步到各种智能家电，各种Iot设备，最后到手机、桌面电脑，服务器。

要有一个国家推动，各个企业参与的联盟。只让一两个企业搞不行，要让搞硬件的，搞软件的，搞通信的，搞最终电子产品的一起来做。先政府采购，然后商业领域，最后民用市场。

这样扶持一个庞大的生态系统，才能保证自己的信息安全。

特别声明：本文为DoNews签约作者原创，文章版权归原作者及原出处所有。转载请联系DoNews专栏获取授权。