你信任谁?根据爱德华·斯诺登(Edward Snowden)泄露给媒体的文件，美国国家安全局(NSA)正在寻求削弱加密技术或从后门进入电脑，安全行业越来越意识到这一点，于是提出了这个问题。现在，信任也是一个名为trustcon的新会议的主题，该会议将于2月27日在旧金山举行，吸引人们的注意，而针对安全专业人士的大型RSA会议也将在该市举行。
TrustyCon该项目由iSec Partners、电子前沿基金会(EFF)和Defcon联合举办，在上周宣布后的几天内，几乎全部售罄。微软和Cloudflare将赞助此次活动，预计其他公司也会加入，收益将归EFF所有。TrustyCon的兴起是由于业界对NSA的强烈反对，安全行业普遍认为，这削弱了名为Dual Elliptic Curve Deterministic Random Bit Generator (Dual EC DRBG)的加密算法的安全性中情局的后门。
一个文档在美国国家标准与技术协会(NIST)的网站上推荐计算机科学家，他们在那里开设了一个审查，怀疑它也是一个后门，并将建议删除Dual EC DRBG作为NIST标准。
+也在网络世界:奥巴马总统赞扬了国家安全局，但在大规模监控改革方面却鲜有建言|路透社报道:秘密合同束缚了美国国家安全局和安全行业的先驱约瑟夫·门恩(Joseph Menn)的|安全研究员取消RSA会议演讲以示抗议+
truststycon也是对RSA安全公司的强烈反对，RSA公司每年都会组织大型的RSA会议。最近路透社的一篇报道称，RSA从美国国家安全局接受了1000万美元，将Dual EC DRBG作为其BSAFE工具包的默认配置。RSA在12月底尴尬地回应了这则调查新闻，称没有“与美国国家安全局签订‘秘密合同’，将一个已知的有缺陷的随机数生成器整合到其BSAFE加密库中”。我们坚决否认这一指控。”自从BSAFE话题出现以来，RSA强调它不会故意做任何伤害客户的事情。
但是RSA没有——也不会——明确反驳文章的主要观点，即RSA与美国国家安全局签订了与BSAFE工具包中的Dual EC DRBG相关的合同。RSA在12月22日的回应中表示，该公司“既是一个供应商，也是安全社区的活跃成员”，一直与美国国家安全局合作。我们从来没有对这种关系保密，事实上我们公开了它。我们的明确目标一直是加强商业和政府安全。”RSA继续说，它在2004年将Dual EC DRBG添加到BSAFE。“当时，美国国家安全局在社区范围内加强而非削弱加密的努力中发挥着值得信任的作用。”
对企业来说，更大的问题是:你能信任NIST吗?
——亚历克斯·斯塔莫斯(Alex Stamos)， Artemis Internet的首席技术官
来自RSA的消息称，下个月的会议将讨论国安局和信任的话题。RSA执行董事长阿特•科维耶洛(Art Coviello)通常会在数千名与会者面前宣布新产品或新战略，但今年的压力是要解释围绕BSAFE、Dual EC DRBG和NSA的说法。
安全行业的一些人对RSA非常不满，或者至少对BSAFE工具包、NSA和Dual EC DRBG缺乏明确的解释，以至于他们退出了RSA大会的演讲，以示抗议。这些人包括F-Secure的Mikko Hypponen、美国公民自由联盟的Chris Soghoian、谷歌的Adam Langley和Chris Palmer、EFF的Marcia Hoffman、Mozilla的Alex Fowler和卡巴斯基实验室的Roel Schouwenberg。
就这样，TrustyCon终于曝光了。会议组织者亚历克斯·斯塔莫斯(Alex Stamos)是NCC Group旗下Artemis Internet的首席技术官。他说，他对抵制truststycon的想法有复杂的感情，truststycon会议当然不是为了反对rsa。但Stamos确实表示，关于什么可以被信任的主题将会被讨论，他预测trustcon(包括一些RSA大会的抗议者)将会在未来几年举行。当被问及美国国家安全局是否值得信任时，斯塔莫斯表示，该机构的双重角色使得你很难知道在任何特定时间与哪个国家安全局通话。
Stamos说:“在信息保障方面，它为商业制定标准，使美国免受对手的威胁。”但作为一个军事角色，美国国家安全局正在参与许多获取信息和收集数据的做法，这些做法不一定符合企业的利益。他指出，斯诺登揭露美国国家安全局(NSA)如此努力地破坏他们的安全，以获取其想要的信息，这让许多提供各种在线服务的高科技公司感到相当“背叛”。
Stamos说，如今大多数安全专家都相信Dual EC DRBG是美国国家安全局的后门。“对企业来说，更大的问题是:你能信任NIST吗?”他指出，如果与国安局密切合作的NIST也在标准中支持国安局的后门，他们就无法做到这一点。
NIST在2006年标准化的Dual EC DRBG算法已经进入许多网络产品，包括通过EMC安全部门RSA销售的BSAFE工具包。去年秋天，有消息称Dual EC DRBG可能是美国国家安全局的后门，NIST重新启用了这个备受争议的加密标准新评论。
资料(PowerPoint格式)发布在NIST网站上以NIST计算机科学家John Kelsey的名义提出，该机构确实认为Dual EC DRBG可能是NSA的后门，NIST计划将其作为标准删除。Kelsey参与了Dual EC DRBG的最初审批过程，也没有参与NIST的公共事务，可能是因为华盛顿特区下雪了。
NIST的PTT文件题为“800-90和Dual EC DRBG, John Kelsey, NIST”，它简单地说明了NSA的陷阱门可能在哪里。
在Dual EC DRBG的“参数，P & Q”(最终来自NSA Dual EC DRBG的设计师)的技术描述中，基本问题是:“如果你不信任生成P和Q的人怎么办?”
NIST文件接着说，“可以生成P和Q来插入后门”，并指出这个问题多年前就提出了。NIST的文件说，有新闻报道说，美国国家安全局在双EC中安插了一扇陷阱门，这“使讨论从一个完全不同的角度”。NIST在去年秋天发布了一份公告，“通知所有人在进一步通知之前停止使用Dual EC DRBG”。
NIST文件称:“我们目前的计划是移除Dual EC DRBG。”“它的性能相当慢;许多供应商已经在他们的产品中删除或禁用了它。”该文件称，可能会有一个“逐步淘汰期”。
关于美国国家安全局和信任的话题在无数的媒体报道中不断出现。例如，今天在瑞士达沃斯举行的世界经济论坛(World Economic Forum)年会上，雅虎(Yahoo)首席执行官玛丽莎·梅耶尔(Marissa Mayer)在一个小组讨论会上表示，她希望奥巴马政府在NSA收集的数据上提供更大的透明度。“我们需要能够重建与我们的用户之间的信任，不仅在美国，而且在国际上，”她说。
然而,在他的上周关于国家安全局的演讲在美国，奥巴马总统没有讨论国安局后门或加密减弱等棘手话题，也没有表示他会这么做。
Ellen Messmer是IDG网站Network World的高足球竞猜app软件级编辑，主要报道与信息安全相关的新闻和技术趋势。Twitter: MessmerE。电子邮件:emessmer@nww.com