Black Hat USA 2000 - We Need Assurance

布萊恩·斯諾開場即明確表達意圖：NSA不再只是宣傳自身產品，而是請求業界協助解決當今安全市場的根本問題。過去48年NSA以提供加密硬體自豪，但隨著商用安全市場發展，NSA客戶（尤其是受政策限制的政府機構）越來越希望採用成本更低的商業方案。然而，斯諾發現最大障礙並非功能差距，而是保障缺失。

他以汽車產業做比喻。1930年代汽車雖然外形迷人、速度達60英里，卻在遭遇突發狀況（如路況打滑）時常導致致命事故。到了2000年，汽車擁有相同的基本功能，卻配備安全氣囊、ABS防鎖死煞車、牽引力控制等防護機制，使駕駛員在同樣情況下能夠安全脫險。當今安全產業正處於1930年代的階段——產品在預期環境內表現不錯，但一旦面對惡意攻擊（如駭客入侵），就會崩潰。問題在於，大多數攻擊不是利用產品缺乏的新功能，而是利用既有機制中的脆弱點。

斯諾進一步解釋保障的精確定義：建立信心的活動，透過結構化設計流程、文件與測試，證明系統功能滿足所需屬性集且僅滿足這些屬性。更全面的流程、文件與測試雖會增加成本與延長上市時間，但這些成本是可控的。問題在於現今業界未充分投入這些已知有效的保障技術。

在具體措施上，斯諾提出六個技術領域。作業系統應強制數位簽章檢查（成本不超過2-3%）以防惡意程式碼替換，並執行最小權限原則。軟體模組需完善文檔、經認證開發環境與邊界條件測試，特別是針對非預期輸入或不正確順序命令。硬體可考慮採用智慧卡與硬體令牌處理關鍵功能，雖成本高但安全性提升顯著。

最高性價比的改善在於系統工程。斯諾特別強調效法銀行業做法：設計系統使任何單一模組或個人都無法掌握足以發動完整攻擊的知識。例如計算帳戶利息時，執行程序不應完全接觸使用者資料，而只應傳遞必要參數（金額與利率）給子程序。這種盲化介面、最小權限的設計確保各模組相互懷疑、相互審計。同時，開發流程應禁止「黑盒」組件——所有程式碼與原理圖需由獨立第三方逐行詳細審查，確保品質與合規。

市場與法律機制同樣關鍵。NSA與NIST透過國家資訊保障合作實驗室（NAAP）提供第三方獨立測試，但前提是使用者意識到需要超越廠商「充分性聲明」的證據。此外，業界應採行類似其他產業（如汽車、製藥）的法律標準，讓產品責任明確化。斯諾甚至援引「吸引力妨礙」法律原理：若產品設計得如此誘人以至於駭客無法抗拒，廠商應承擔責任。

最後，斯諾駁斥了一些常見誤解。新功能或新程式語言有幫助但非必需——適當流程與獨立審查可走得很遠。開源軟體則取決於活躍程度——若有眾多人參與積極審查，其責任歸屬反而可能優於聲稱「無人發現缺陷所以很好」的閉源產品。