布鲁斯·施奈尔

布鲁斯·施奈尔 - 简介

布鲁斯·施奈尔（Bruce Schneier），密码破译者，施奈尔生于纽约市，目前住在明尼苏达州的大城明尼亚波里斯。施奈尔于罗彻斯特大学物理系毕业，并于美国大学取得计算机科学的硕士学位。他曾先后工作于美国国防部与美国电话电报公司（AT&T）的贝尔实验室。

布鲁斯·施奈尔是Counterpane Systems公司的总裁，该公司是一个密码学和计算机安全方面的专业咨询公司。并在主要的密码学杂志上发表了数十篇论文，他是《Dr Dobb’s Journal》责任编辑之一，同时担任《Computer and communications Security Reviews》的编辑，是国际密码研究协会的理事会员、电子隐私信息中心的顾问团成员和新安全范例工作组程序委员会成员。此外他还经常举办密码学、计算机安全和隐私保护方面的学术讲座。 　

无论他所关注的是美国运输安全管理委员会（Transportation Security Administration）最新推出的愚蠢的安保程序，还是诸如12位字符长度的密码的安全性究竟有多高这一类的问题，Bruce Schneier 都对这些你很可能在线上或线下所遇见的计算机安全问题给出了最为清晰的（也是最发人深省的）思考。Schneier新近发表的一系列关于与反恐战争相关联的安全问题的文章 ——无论是关于国际的，还是关于国内的，还是关于互联网空间中的 —— 都非常值得一读。 

布鲁斯·施奈尔 - 密码学著作

施奈尔的《应用密码学：协议、算法和C源程序》（Applied Cryptography:Protocols, Algorithms, and Source Code in C）对密码学造成重大影响。施奈尔（与人合作）设计了许多密码学的算法，其中包含Blowfish、Twofish与MacGuffin的区块加密模式（block cipher），Helix与Phelix的串流加密（stream ciphers），以及Yarrow与Fortuna的拟乱数产生器（cryptographically secure pseudo-random number generator）。而密码学算法Solitaire是施奈尔设计给一般人脑运算使用的密码学算法；该算法以Pontifex的名称出现于尼尔·史蒂芬生（Neal Stephenson）的小说《Cryptonomicon》。施奈尔也独立或与人一起发表过上百篇密码学相关的文献。 　　

然而，施耐尔（现在）认为他自己早期成果的背后隐藏的人用问题（people problem），证明当时只是天真的、仅仅只合乎数理、如同躲在象牙塔一样毫无鸿观的作品。在《应用密码学》一书中指出，正确的建置密码学算法即可达到安全性与机密性，书中所介绍的各种协定将能确保资讯安全；然而，他当时却没顾虑到未来可能遭遇到的问题。施耐尔认为当时由数理证明所提出的安全保证，在实务的应用上达不到实际的安全等级。他在《不能说的谎言》（Secrets and Lies）里描述道，即使一家公司使用最通行的RSA密码学算法来保护这家公司的资料，却不假所思的将金钥（用来加/解密、签署数位资讯的机密资料）交给一位无法信任的员工，或让员工将金钥在一台不可靠的电脑上使用；结果将是资讯安全荡然无存。因此，一个真正的安全资讯应该整体布局于软件、硬件、网络、人、财务与企业活动。施耐尔（现在）着手教育人们去建置一整个安全系统，并与尼尔斯·弗格森（Niels Ferguson）一同完成他的新书《实用密码学》（Practical Cryptography）。

布鲁斯·施奈尔 - 资讯科技相关著作

在2000年，他出版了《不能说的谎言：网络化里的数位安全》。

2003年，则出版了《超越恐惧：认真思考未知世界的资讯安全》。 　　

施耐尔也曾免费于网站上撰写电脑科技与相关安全上的议题。 　　

此外，他在911攻击事件后，数次撰写生物辨识应用于飞行安全的相关文章。

布鲁斯·施奈尔 - 著作一览表

Schneier, Bruce. Applied Cryptography, John Wiley & Sons, 1994. ISBN 0-471-59756-2
Bruce Schneier著作Schneier, Bruce. Protect Your Macintosh, Peachpit Press, 1994. ISBN 1-56609-101-2
Schneier, Bruce. E-Mail Security, John Wiley & Sons, 1995. ISBN 0-471-05318-X
Schneier, Bruce. Applied Cryptography, Second Edition, John Wiley & Sons, 1996. ISBN 0-471-11709-9
Schneier, Bruce; Kelsey, John; Whiting, Doug; Wagner, David; Hall, Chris; Ferguson, Niels. The Twofish Encryption Algorithm, John Wiley & Sons, 1996. ISBN 0-471-35381-7
Schneier, Bruce; Banisar, David. The Electronic Privacy Papers, John Wiley & Sons, 1997. ISBN 0-471-12297-1
Schneier, Bruce. Secrets and Lies: Digital Security in a Networked World, John Wiley & Sons, 2000. ISBN 0-471-25311-1
Schneier, Bruce. Beyond Fear: Thinking Sensibly about Security in an Uncertain World, Copernicus Books, 2003. ISBN 0-387-02620-7
Ferguson, Niels; Schneier, Bruce. Practical Cryptography, John Wiley & Sons, 2003. ISBN 0-471-22357-3 Schneier, Bruce. Schneier on Security, John Wiley & Sons, 2008. ISBN 978-0-470-39535-6

布鲁斯·施奈尔 - 施奈尔的《应用密码学》

施奈尔的《应用密码学》（（Applied Cryptography）对密码学造成重大影响。施奈尔（与人合作）设计了许多密码学的算法，其中包含Blowfish、Twofish与MacGuffin的区块加密模式（block cipher），Helix与Phelix的串流加密（stream ciphers），以及Yarrow与Fortuna的拟乱数产生器（cryptographically secure pseudo-random number generator）。而密码学算法Solitaire是施奈尔设计给一般人脑运算使用的密码学算法；该算法以Pontifex的名称出现于尼尔·史蒂芬生（Neal Stephenson）的小说《Cryptonomicon》。施奈尔也独立或与人一起发表过上百篇密码学相关的文献。

然而，施耐尔（现在）认为他自己早期成果的背后隐藏的人用问题（people problem），证明当时只是天真的、仅仅只合乎数理、如同躲在象牙塔一样毫无鸿观的作品。在《应用密码学》一书中指出，正确的建置密码学算法即可达到安全性与机密性，书中所介绍的各种协定将能确保资讯安全；然而，他当时却没顾虑到未来可能遭遇到的问题。施耐尔认为当时由数理证明所提出的安全保证，在实务的应用上达不到实际的安全等级。他在《不能说的谎言》（Secrets and Lies）里描述道，即使一家公司使用最通行的RSA密码学算法来保护这家公司的资料，却不假所思的将金钥（用来加/解密、签署数位资讯的机密资料）交给一位无法信任的员工，或让员工将金钥在一台不可靠的电脑上使用；结果将是资讯安全荡然无存。因此，一个真正的安全资讯应该整体布局于软件、硬件、网络、人、财务与企业活动。施耐尔（现在）着手教育人们去建置一整个安全系统，并与尼尔斯·弗格森（Niels Ferguson）一同完成他的新书《实用密码学》（Practical Cryptography）。 

布鲁斯·施奈尔 - 重要影响

Bruce Schneier，BT 集团首席安全技术官，是国际知名的安全技术专家和作家，现任BT 集团首席安全技术官，并且是 BT Counterpane 的创始人和首席技术官，BT Counterpane 是世界领先的网络信息保护者 — 外包安全监控的发明者以及有效缓解新兴 IT 威胁方面的首要权威。

Bruce负责保持BTCounterpane 在世界级信息安全技术及其实用高效实施方面的技术领先地位。Bruce 在信息安全方面的经验使他在制定公司研究方向方面拥有独一无二的优势，并成为BT在安全问题和解决方案方面的代言人。

BruceSchneier是国际知名的安全技术专家和作家。《经济学家》杂志称他为“安全大师”，作为安全评论家，他以坦诚、直言不讳、思路清晰著名。他的第一部畅销书《实用密码技术》介绍了神秘的密码科学的实际工作原理，被《连线》杂志称为“国家安全局永远都不想出版的书籍”。其关于计算机与网络安全的著作《秘密与谎言》被《财富》杂志称为“可以实际使用的充满惊喜的珠宝盒”。他最新的著作《超越恐惧》阐述了由小到大的各类安全问题：个人安全、犯罪、公司安全、国家安全。

Schneier的讲话经常被媒体引用，他曾多次就安全问题在美国国会作证，并为许多重要出版物撰写过文章和专栏评论，包括纽约时报、TheGuardian、Forbes、Wired、Nature、TheBulletinof the Atomic Scientists、The Sydney Morning Herald、The Boston Globe、The San Francisco Chronicle 和 华盛顿邮报。

Schneier还出版了一份免费通讯月刊—Crypto-Gram，读者超过 130,000 人。Crypto-Gram 已定期出版 7 年，现已成为读者自由讨论、尖锐批评和严肃争论有关安全问题的最重要论坛之一。作为该论坛的首席评论员，Schneier经常解释和揭秘安全新闻发生的缘由，并总结从中吸取的教训。

Bruce设计了流行的Blowfish和 Twofish 加密算法，后者入围了新的联邦高级加密标准 (ABES)。Bruce 是国际密码研究协会的董事会成员，并且是电子隐私信息中心的顾问委员会成员。

Bruce拥有美利坚大学的计算机科学硕士学位以及罗彻斯特大学的物理学学士学位。

布鲁斯·施奈尔 - Bruce语录

“每年被猪杀死的人超过了被鲨鱼杀死的人，这可以让您了解我们在评估风险方面的表现。”

“数字文件无法做到不可复制，就像水永远是湿的一样。”

“技术问题可以纠正，而不诚实的企业文化更难以修复。”

布鲁斯·施奈尔 - 地位及思想

Bruce Schneier在安全业界，Bruce Schneier无异于一个摇滚明星，一个密码学专家，一个计算机安全专家，写过大量的畅销书，无数的专题文章，在他的博客www.schneier.com/blog可以找到这些文章，并且每个月有一本专刊，全球读者大约有13万。同时Bruce Schneier在“IT安全界全球最有影响力的人”名单中榜上有名。今天我们来看下Bruce Sshneier是如何看待“安全是可以解决的问题吗？还是一场无休止的战争”。

“安全是可以解决的问题吗？还是一场无休止的战争”

问题：最近几年里各个公司和组织机构对安全的态度主要有哪些变化？人们真的意识到了安全的重要性了吗？是否已经把安全提高到了战略性的高度？还是仍旧认为安全是一个附属品。

Bruce Schneier：有一些变化，可以看到许多可管理的安全服务正在涌现，这些服务通常只注重结果，而不是技术了；这也表明现在的集团组织越来越不关心具体的技术细节。同时随着集团对塞班司法案的重视，安全预算也随之增加。您可以质疑CXO们是否真的意识到了安全的重要性，还是只是应付了事，但结果是一样的。

我认为安全有深层次的心理因素，人们习惯把安全当作附属品。诈骗盛行好几百年了，银行对此非常重视，因为银行花了几个世纪来处理安全问题。计算机和网络安全还很年轻，可能也需要几代人才能认识到安全是产业核心的一部分。但是现在这样也好，因为专家似乎总是首先能够更好的权衡利弊。

问题：人们仍旧认为安全是可以单纯用技术可以解决的吗？像好多人提起安全就是“加个防火墙”。最近几年也看到一些文章讨论安全是一个真正的人为事件，并不是单纯靠技术就可以解决的。为什么这种争论这么吸引人？


Bruce SchneierBruce Schneier：我们的社会对技术有种崇拜，技术可以解决很多问题，在计算机世界，很多也确实如此。过几年时间，文字处理、图表、网络等等问题都可以解决，但是安全基本上是一个由人产生的问题，所以技术只是很小一部分。

最终，随着集团组织不断开展各种业务，包括安全，他们就不会关心安全是怎么解决的了，安全已经成了一部分。MSM（Mobile Station Modem，移动台调制解调）提供商就认为安全是人、操作、技术的综合体，他们把安全当作一个整体销售。

问题：在当今这个IT驱动的世界，我认为从概念上大多数人都认为安全是一个重要的元素，但实际应用上与之并不一致。还需要什么呢？

Bruce Schneier：安全100%是一种激励，如果没有经济，再好的安全方案也不可能被实施，和经济绑到一块，安全公司就会全心全意地来解决安全问题。在计算机世界，我一直认为正确的激励是责任，软件厂商需要为不安全产品负责，集团组织需要对人们的个人信息负责，这种经济最终会使IT界越来越安全。

问题：难道必须要把安全作为一项服务的内嵌功能，没有更好的办法？

Bruce Schneier：无疑服务提供者能够更好的处理安全问题。我的公司在自己的网络内有反垃圾邮件、反钓鱼、反恶意软件等等安全措施，连上来没有安全问题，所以当用户没有从ISP那里得到同级别的安全保证应该是一种犯罪，还是一个激励的问题。ISP没有动力来做这些安全措施，如果这是他的责任，那么就不一样了。

问题：最后，从用户的角度看，安全是可以解决的吗？还是会演变成一场IT版的恐怖大战。

Bruce Schneier：到目前为止有已经被完全解决掉的安全问题吗？谋杀、抢劫这些问题已经存在了几千年了。如果还有人问计算机安全能够解决，那只能证明我们对技术的崇拜。

计算机安全当然不可能被完全解决。它是一个包含人为因素的问题，自从猿猴进化成人以来，类似的问题就存在，并且将会一直存在下去。安全一直都是一种攻防对抗。“恐怖大战”这种说法最终也会消失并成为一段尴尬的历史，但攻防对抗之间的较量将会一直进行下去。

面对今天的安全挑战，并没有一种简单的解决方案，而且很多公司经常希望以一种错误的方式达到安全。

与安全专家Bruce Schneier谈话，并不能给人带来安全感。因为Schneier并不售卖简单的解决方案。相反，他迫使企业、政府以及个人认真检查、审视他们所面临的风险，并让他们在不断寻觅答案的过程中，渐渐接受这样一个事实：没有一个系统是绝对安全的。