国家安全视域下的网络安全
——从攻守平衡的角度
内容摘要
攻守平衡理论认为，当进攻占据优势时，冲突和战争更容易发生；反之，当防守占优时，安全可能会增加。将之运用到网络安全思考中，会产生两个问题：一、互联网有利于进攻还是有利防守？二、如果互联网有利于进攻，这种局面能否、以及如何得到改变？
对第一个问题，互联网的确是有利于进攻的，因其具有以下四个特点：1、超越地理和空间的限制；2、架构的脆弱性；3、攻击不对称性；4、归属难以确定。而这导致冲突甚至战争更有可能在网络空间发生。但这种状况并非无法改变。结合最新技术、法律和国际合作发展，本文也提出缓解“攻击占优”困境和使网络变得更安全的一些可行思路和措施。
关键词：攻守平衡、网络安全、国家安全、互联网治理、网络攻击
英文标题：Cybersecurity under National Security: A Perspective from Offense/Defense Balance
一、 引言：网络时代的国家安全
本文聚焦于网络时代的国家安全。如何从国家安全的高度思考网络安全？什么是“安全”和“不安全”？哪些因素和变量会导致“不安全”？我们又有哪些思路和措施（尤其是法律手段）提升网络安全和国家安全？本文试图对这些问题做一些初步的思考和回答。
国家安全正在成为时代的一个关键词。2013年1月24日，中共中央政治局召开会议，研究决定中央国家安全委员会（以下简称“国安委”）设置，并决定由习近平任主席，李克强、张德江任副主席。[1]2014年2月27日，中央网络安全和信息化领导小组（以下简称“网安小组”）成立，由中共中央总书记习近平担任组长。[2]2015年7月1日，国家安全法通过。2016年11月7日，网络安全法通过，并于2017年6月1日开始施行。此外还有一系列国家安全立法出台或上马，其中包括已经通过的反间谍法、反恐怖主义法、境外非政府组织境内活动管理法、国防交通法，以及正在审议的国家情报法和核安全法。[3]
在国安委第一次全体会议上，国家主席习近平对中国面临的安全挑战如此定性：“当前我国国家安全内涵和外延比历史上任何时候都要丰富，时空领域比历史上任何时候都要宽广，内外因素比历史上任何时候都要复杂。”[4]总体国家安全观正是在这一背景下提出。[5]总体安全观的核心是“总体”。顾名思义，这要求把国家安全视为一个整体，各领域的安全构成国家整体安全不可或缺的一部分。各领域安全都不再是“各人自扫门前雪”，而必须考虑对其他领域和整体安全的影响。
在总体国家安全观的视野下，网络安全与国家安全的关系是什么？首先，网络安全当然是一个领域，是整体国家安全的一个子集。典型代表是国家安全法第25条，该条规定：“国家建设网络与信息安全保障体系，提升网络与信息安全保护能力，加强网络和信息技术的创新研究和开发应用，实现网络和信息核心技术、关键基础设施和重要领域信息系统及数据的安全可控；加强网络管理，防范、制止和依法惩治网络攻击、网络入侵、网络窃密、散布违法有害信息等网络违法犯罪行为，维护国家网络空间主权、安全和发展利益。”从文字和国家安全法的结构看，第25条把网络安全与传统的领土和军事安全（第17、18条）、经济和金融安全（第19、20条）、资源安全（第21条）、粮食安全（第22条）、生态安全（第30条）和核安全（第31条）并列，关注的是某一具体领域的安全，是整体国家安全下的一个子集。
另一方面，网络又与金融、资源、粮食、生态和核等具体领域明显不同：目前只针对网络安全成立了由党和国家最高领导人担任组长的领导小组；同时，紧随着统领性国家安全法出台也只有网络安全法，其他领域尚未见有相同性质立法计划或规划（下文将分析为何正在起草的核安全法与网络安全法不同）。
互联网和网络安全的特殊性在于：它是一个领域，但又不仅仅是一个领域。我们生活在一个网络和“互联网+”的时代，网络是所有领域的基础。网络安全不应只被视为网络领域或信息系统的安全——网络安全应是网络时代的国家安全。在一定意义上，网络安全不仅仅是涉及国家安全，它就是国家安全。
无论是网安小组还是网络安全法，均是从这一角度和高度来认识网络安全的。根据官方通稿对网安小组职责的描述：“该领导小组将着眼国家安全和长远发展，统筹协调涉及经济、政治、文化、社会及军事等各个领域的网络安全和信息化重大问题，研究制定网络安全和信息化发展战略、宏观规划和重大政策，推动国家网络安全和信息化法治建设，不断增强安全保障能力。”[6]不难看出，网安小组的定位是“统筹协调各个领域的网络安全和信息化重大问题”。同样，网络安全法第1条开宗明义，明确保障网络安全的首要目的是“维护网络空间主权和国家安全”。[7]
从国家安全的视角思考网络安全，意味着网络安全中“安全”对应的是“security”，而不仅仅是“safety”。前者直指事关一国生死存亡的头等大事，后者多限于某一具体领域的狭义安全。比如2017年8月人大常委会三审的核安全法，关注的更多就是核领域安全运行、避免事故的safety。之前公布核安全法草案第1条将立法目的表述为：“为了安全利用核能，保证核设施、核材料安全，预防与应对核事故，保护从业人员和公众的安全与健康，保护环境。”[8]这与网络安全法第1条的关注显然不在一个层面。
如何从国家安全的高度来思考网络安全？本文试图借助国际政治和国际关系研究中经典的攻守平衡（offense-defense balance）理论做一尝试。该理论由罗伯特·杰维斯（Robert Jervis）于1978年提出。[9]其核心观点可被表述为：攻击和防御哪个占优（whether the offense or the defense has the advantage）是影响国家安全的一个重要因素。[10][11]当攻击占优时，冲突和战争更有可能爆发；当防御占优时，由于进攻的成本远远高于防守，所以理性主体一般不会选择主动发起攻击，因此冲突和战争的几率会大大减少。[12]由此产生的推论是：人们应想方设法让防守占据优势，因为这有利于维护国家安全和促进共同的安全。本文将会讨论：互联网是有利于进攻还是有利于防守呢？如果互联网是“易攻难守”的，能否从法律和技术上改变这种状况？可能的思路和措施有哪些？
之所以选择攻守平衡这一理论，首先因为这一理论诞生于国际关系和安全研究，关注国家安全是其本质属性。甚至可以说，攻守平衡本就是一种研究国家安全的理论。今天网络安全研究的议题十分广泛分杂，小到个人信息保护、病毒和木马防范，企业网站和系统运转、商业秘密保护，大到国家间的网络攻击甚至网络战，均可被纳入其中。攻守平衡可以帮助我们站在国家安全的高度，聚焦网络安全最宏观的层面——以国家为主体的网络攻击和网络战。这也是目前网络安全研究相对薄弱的地方。其次，突显国际维度。目前对网络安全的研究以国内法视角居多，多从防御的角度，关注如何使己方物理层、代码层和内容层免受攻击。但正像中美元首4月海湖庄园会晤后宣布将网络安全列为中美四个高级别对话机制之一一样，[13]网络安全已经与外交、传统安全、经济和贸易等一道，成为当今双边和多边关系中的最重要和敏感的议题之一。网络法和网络安全研究的“国际化”势在必行。本就侧重国家间博弈与合作的攻守平衡理论或可对我们的思考有所助益。此外，攻守平衡是一个相对可操作、动态的概念，它可以帮助我们摆脱空泛、静态的概念界定。正如本文第三部分将体现的，在讨论如何使网络变得更安全的具体措施时，攻守平衡理论可以为我们的思考提供一些可行的思路甚至“抓手”。
二、 网络安全与攻守平衡：网络有利于进攻吗？
根据杰维斯的理论，当防守占优时，维护国家安全和实现共同安全变得可能；但当进攻占据优势时，摩擦、冲突和战争则更易发生。以此为切入点，本章要讨论：在网络时代，究竟是进攻还是防守占据优势，以及这会对网络安全和国家安全产生怎样的影响？对这一“前法律”问题的讨论，则会为下一章提出具体的建议和思路打下基础。
经常被人们当做经典网络战谈起的案例包括：2007年俄罗斯对爱沙尼亚网络攻击、2008年俄罗斯对格鲁吉亚的攻击、2010年美国和以色列通过“震网”（Stuxnet）病毒对伊朗核设施的破坏，以及今年4月以来，关于美国通过网络战使朝鲜导弹试验频频失败的报道。[14]此外，或许还可算上2014年据称因对电影《刺杀金正恩》（The Interview）不满，朝鲜对索尼计算机系统的破坏。[15]今年5月爆发的勒索软件攻击则更加扑朔迷离。一开始媒体认为攻击所使用的软件来自美国国家安全局的网络武器库，[16]但之后不久纽约时报和华尔街日报等媒体就开始将矛头对准朝鲜，认为“想哭”（Wannacry）勒索软件与之前对索尼的攻击如出一辙。[17]在上述事件中，被怀疑发起攻击的一方均否认或保持沉默。
案例和样本虽然有限，但网络是有利于进攻的这一结论似乎已成为政策界和学界的共识。在《世界秩序》一书中，基辛格就认为：“实施网络攻击比网络防御更为容易，这也助长了新网络能力的进攻倾向，让情况更加复杂。”[18]美国国防部在2011年的一份报告也称，“进攻目前在网络战争中占有优势。”[19]布鲁金斯学会《网络安全与美中关系》的报告也指出：“网络安全领域的挑战在于试图穿透对方电脑网络的行为者目前为止往往比起防护的这一方占有更大的优势。”[20]总结起来，在网络世界进攻占优主要基于以下四大原因：
1、对地理和空间限制的突破
自古以来，超越空间的限制就是一切军事技术变革的主要追求。杰维斯也把“地理”（geography）视作影响攻守平衡的一个重要因素。[21]
在密集型步兵时代，空间和地理的限制作用十分明显。很多时候，防守方只需要避开人力投掷所能达到的最远距离，就可以确保安全并组织有效防御。人的体能极限和白天昼夜之分，也在很大程度上决定了进攻将在何时发起和能够持续多长时间。更不用说高山、河流和海洋对进攻的减少甚至阻碍作用。弓箭、投石机、火枪、机关枪、大炮和导弹，马车、汽车、铁路、飞机和海运的出现，都是从各方面突破空间限制的尝试。
但即便是在航母、导弹和飞机被发明出的今天，进攻方仍难以彻底摆脱空间和地理的制约。飞机在雾霾和雷雨天无法起飞，台风和洋流会影响海运。即便是相对于航空和海运更为可靠的铁路，同样无法在恶劣天气下运行如常。更何况修建铁路本身对地理和空间的依赖更大，而且对防守一方来说，破坏铁路也要远比进攻方使用和维护铁路容易。这就是为何各国常羡慕美国东西各有一个大洋的地缘环境。直到技术高度发达的今天，有能力越过大洋和天空对美国本土进行打击的国家仍寥寥无几。以朝核问题为例，虽然外界普遍认为朝鲜已经成功试爆了原子弹，但要想对美国本土构成威胁，朝鲜的导弹技术必须具备相应的远程打击能力。[22]即使朝鲜同时具备了核导能力，得天独厚的地理优势仍给美国留出了相对充足的时间预警、拦截和反击。换言之，在物理世界，空间和地理对进攻的限制仍旧无法彻底克服。
但互联网却把战场从现实的“原子世界”转向虚拟的“比特世界”。[23]在虚拟世界中，互联网不仅让世界变成了平的，它甚至取消了空间和地理的概念。正如一个居住在北京的人可以通过微信或Facetime随时与纽约的朋友视频通话一样，从德黑兰或莫斯科向五角大楼发动网络进攻和从费城并无太大区别。如约瑟夫·奈所言，“网络空间比其他环境都可变（mutable）。高山和大海难以移动，但网络空间的一部分却可仅凭点击就开启或关闭。在全球范围内移动电子要远比克服海水阻力挪动一艘巨轮要便宜、快速。[24]朝鲜虽然可能尚未具备对美国本土的远程打击能力，但2014年对索尼的攻击和“想哭”病毒若确为朝鲜所为，这证明朝鲜已经具备了在网络空间“打”到美国的能力。在网络战面前，现实中曾保护美国或任何一国的高山大洋都不再有用。
网络攻击曾被定义为：“故意篡改、中断、欺骗、瓦解或摧毁电脑系统、网络及存储或传输在这些设备上的信息。”[25]其中的关键词是：系统、网络、信息，这都是网络攻击的主要目标。以这些对象为目标，决定了网络攻击或网络战具有双重虚拟化和数字化的特征：一是手段的虚拟化，即网络攻击主要依靠数字手段或某种形式的计算机操作；[26]二是目标的虚拟化，即网络攻击主要瞄准的是系统、网络和信息等“虚拟”目标，而较少造成直接物理破坏。[27]这是导致网络进攻可以突破空间和地理的最主要原因。
在“虚拟对虚拟”和“数字对数字”之外，网络攻击又成功地实现了“虚拟对现实”或“数字对物理”的飞跃。针对关键基础设施的进攻是这方面的典型。在信息化进入“物联网”阶段后，网络世界将前所未有地融合甚至吸纳物理世界。[28]任何关键基础设施背后必然要靠某种信息系统控制，而破坏这些“大脑”可以直接造成物理伤害。比如被称为“网络战争中的广岛”[29]的针对伊朗核设施的“震网”，就是典型针对工业控制系统（industrial control system，ICS）的病毒。根据已知信息，震网打击了伊朗纳坦兹铀浓缩厂的监测控制和数据采集（supervisory control and data acquisition，SCADA）和可编程逻辑控制器（programmable logic controllers，PLC）,导致伊朗五分之一的离心机受到破坏。[30]震网之所以被称为一场“军事革命”(RMA)，[31]因为它代表了网络进攻甚至突破“网络世界”的制约，可以对物理世界产生伤害。
2、架构的脆弱性
互联网的基础架构本身就易攻难守。[32]人们常津津乐道于互联网创新、包容和分享的特性，而这正是源于互联网架构的开放、自由和共有。哈佛法学院教授乔纳森·齐特林称之为“可繁殖性”（generative）。[33]互联网早期架构是围绕以下三种朴素理念构建的：1、对网络架构的设计不会一次完成，而是永远处于“未完成”和“进行中”；2、网络的很多用途要留待将来去设想；3、大众在网络上创造和分享的东西，总体而言不是“坏的”或“危险的”。[34]在齐特林看来，网络时代之所以带来一次技术和创新的大爆发，正是因为个人电脑和互联网在本质上是可繁殖的。
但硬币也有另一面。互联网和数字技术偏向创新、开放和自由的架构，也使其在本质上是不安全的。齐特林在书中强烈批评苹果开发自己封闭的软、硬件系统是在毁掉互联网的未来。[35]但他也承认，安全是促使苹果（和其他企业、政府和组织）从开放走向封闭的一个重要理由。[36]这就带来一个两难：如果互联网继续保持现有开放、创新的架构，那么它就是不安全的；反之，如果互联网想变得更安全，就必须改变初始架构。
自诞生之日起，互联网的目的就是促进传播和流动，而非阻碍和防御。殊不知信息和数据的自由流动是一个中性概念，在良性和无害的信息和数据之外，这也意味着病毒、蠕虫、木马和各种威胁也极易传播和侵入。互联网刚出现时，人们常用“信息高速公路”的概念准确捕捉到了互联网架构的特征。互联网就像一条双向八车道的高速公路，它的目的就是把障碍和停留减到最少，各种交通工具可以快速通过。但“信息高速公路”的想象是基于和平时期和民用目的。换作战时，这条“信息高速公路”会因缺乏防御工事和缓冲让敌军一马平川、长驱直入。互联网平日里的优点在面临攻击时可能全都会转变为致命缺点。
除了“畅通无阻”，互联网另一有利于进攻的特征是：漏洞不可避免。病毒和攻击的基本原理是寻找漏洞，伴随着各种软件、系统和网络日趋复杂，漏洞几乎不可避免。一般iPhone应用的平均代码量在40万，军用无人机的操纵软件是400万，Windows XP和Windows 7的代码量已达到4000万左右，Office 2013在4400万，美国陆军已于2009年宣布放弃的未来战斗系统（Future Combat System，FCS）的代码量在6300万，而苹果Mac OS X “Tiger”已接近8500万。[37]这是防御方代码数量的增长，攻击方呢？根据美国国防部高级研究计划局（DARPA）的统计，过去20年间安全类软件的代码从几千行上升到了几千万行，但与此同时，恶意软件的代码却始终维持在125左右。[38]换言之，面对动辄成百上千万的代码，攻击方有时只需要找到一个漏洞或错误就可以；但要求严防死守，确保每条代码和每个环节都不出错却几乎是不可能的。
网络安全界有“零日漏洞攻击”（the zero-day vulnerabilities attack）的概念，即利用之前从未被发现或披露的漏洞进行攻击。从防守的角度，零日攻击自然防不胜防。但即便是对已知漏洞的攻击，防御和补救也困难重重。[39]网络空间的攻防与病毒制造者和杀毒软件公司的关系十分相似。制造一种病毒总会比发明和运营一个全方位的安全杀毒软件要容易。在每一次重大病毒爆发后，虽然赛门铁克和卡巴斯基这样的公司一般都能很快推出补丁，但有两点仍然无法避免：一是伤害已经造成，大量用户和系统已经被感染或破坏；二是防守永远滞后于攻击。杀毒软件公司尽管可以很快对症下药，但终究是亡羊补牢，很难通过“疫苗”和“预防针”提前预防。
3、攻击的不对称性
在网络世界，发起进攻的成本更低而防守成本更高，具有不对称性。如前所述，互联网自由、开放和共有的架构极大地降低了门槛和准入，在技术创新、新闻报道、文化创造和政治参与等领域都推动了一股“民主化”浪潮。[40]这种降低门槛和民主化的趋势同样体现在军事和安全领域。换言之，在网络世界更容易出现以小博大、以弱胜强。在现实世界，很多进攻会因双方在传统力量上的差距而作罢；但在网络世界，大卫有更多的可能和资本去向巨人歌利亚挑战。
以小博大在传统领域当然也存在，比如伊拉克武装分子在与美军作战时经常使用的“简易爆炸装置”（improvised explosive devices, IEDs）。在伊拉克战争第一年，就有5670次爆炸发生。到2006年，每个月就有2500枚简易爆炸装置被安装。[41]这种装置制作成本极低，但为了应对它们，美国国防部却投入了61亿美元。[42]与制造和安装简易爆炸装置相比，研发攻击程序和病毒对技术的要求或许略高，但网络黑市和暗网（dark web）的存在，使得不具备技术原创能力的国家、组织和个人也可以通过购买获得网络武器。而一旦拥有，网络武器并不需要专人安装；与“一次性”的炸弹相比，网络攻击还可以在短时间内无限重复使用。此外，简易爆炸装置的效果顶多可算作骚扰，但针对关键信息系统和信息基础设施的网络攻击，却能在战术甚至战略层面产生影响。
另一种常拿来在非对称性上与网络攻击相比较的是核武器。小国自知在常规武器上无法与大国抗衡，一心发展核武器变成了小国“弯道超车”的选择。网络的出现为小国和一些组织提供了新的选项。美国已将网络战和恐怖主义袭击、大规模杀伤性武器一起，并列为自身面对的三大非对称威胁。[43]与核武器相比，网络武器优势有三：一、网络武器的技术门槛和成本要低得多。诚然，类似震网和APT（Advanced Persistent Threat）这种复杂的技术，需要大量技术人员长期的投入，但也存在很多技术相对简单的病毒和程序。之前提到过的黑市和暗网也为获取各种攻击技术提供了新途径。二、对网络武器的研发和使用仍处于灰色地带。换言之，使用网络发动进攻不会像核武器一样面临国际法和规范严厉和明确的限制。一国（比如朝鲜）进行核试验无疑会受到国际社会的谴责和制裁，但一国若发动网络攻击（比如对朝鲜对索尼的攻击和“想哭”勒索病毒），这违反了什么规范以及应受到何种惩罚却无明确答案。三、与上一点有关，网络时代更难防止“武器”的扩散。传统时代防止核扩散主要针对的是有形物，比如小型核武器、浓缩铀等原材料或是掌握了关键技术的个人（比如向朝鲜、伊朗和利比亚扩散核武器的巴基斯坦科学家阿卜杜勒·卡迪尔汗）。但在网络时代，病毒、程序和技术却以数字形式通过网络“无形”地扩散出去。很难想象美国某款先进战机或导弹落入他人之手，但就像近期勒索病毒事件表明的，来自美国国安局网络武器库的武器却更可能和容易发生扩散。[44]
4、归属难以确定
归属（attribution）问题是指人们很难追溯或证实网络攻击的源头。归属难题与网络攻击的形式有关。今天很多网络攻击都是多阶段的（multi-stage）。[45]假如A试图攻击D，A会先进入B，把后者当作进入C的平台，最终通过C向D发起进攻。[46]这种捕获行他人电脑的行为被称作“pwn”，捕获行为多发生在电脑主人不知情的情况下。[47]捕获行为使得人们很难确定攻击行为的源头来自哪里，或者由谁发起。分布式拒绝服务攻击（Distributed Denial of Service，DDoS）多采取这种方式，它首先会建立一个僵尸网络（botnet），然后指令被控制的机器在同一时间向目标服务器或链接发起攻击。[48]当A 国发现自己受到攻击时，尽管可以通过技术手段发现攻击来自B国，但很难断定B国电脑的确就是攻击源头，还是只是被C国捕获。
由于允许攻击方隐藏身份，难以确定归属会更鼓励进攻。就像匪徒在抢银行时会带上面具或头套一样，在多少能隐藏自己真实身份时，人们会倾向于做更危险的事情。在一定程度上，归属问题很像网络空间中的匿名制。在存在匿名时（哪怕仅仅是前台匿名），人们在社交媒体上的言论会更激烈，攻击、侮辱和诽谤性也会增加；反之，在实名或彼此熟悉的平台，言论会倾向于克制和温和。在现实世界，如果一国发动偷袭，或向另一国发射导弹，总有办法在相对短的时间内查清“敌人”是谁。但在网络世界，却很难拿出确凿的证据。2007年4月27日，爱沙尼亚决定重新安置苏联为纪念二战牺牲将士所立的纪念碑，这引发了爱沙尼亚国内讲俄语居民的抗议。从4月底开始，爱沙尼亚开始遭受大规模DDoS攻击，攻击形式主要包括：基层网络数据包洪流、租用的网络数据洪流、网站篡改和垃圾邮件。[49]多种迹象都表明是俄罗斯是攻击的源头。有人甚至发现，在攻击开始前，俄罗斯的一些专业论坛上已经出现了相关讨论。[50]但俄罗斯对此断然否认，而西方国家也拿不出更加强有力的证据。相似地，刻毒虫病毒（Conficker）曾经攻击包括英国议会、法、德军方和部分中国计算机在内的700万台电脑。在确定归属时，调查者发现病毒程序中的一部分与乌克兰语的键盘有关。但人们还是无法判断乌克兰就是攻击发起方，还是有人故意嫁祸。[51]
第二，难以确定归属容易产生误判甚至陷害。比如，在美国政府和媒体的叙事中，中国政府是大量幕后攻击的主导者。[52]当美国的系统遭受来自中国的攻击时，美方会倾向于认为中国就是攻击的源头——而不是中国电脑被捕获——然后采取反击或反制。显而易见，有人会利用这种心理，为了隐藏身份或故意挑拨，专门捕获中国的电脑发起攻击。在针对爱沙尼亚的网络攻击中，欧洲、中国和美国的电脑都被捕获用于进攻，而黑客留下了许多指向北京的“痕迹”。[53]
最后，难以确定归属影响“威慑”（deterrence）的建立。在国际关系和安全领域，威慑是建立平衡和稳定的一个重要因素。[54]但归属问题却破坏了建立威慑的最基本条件：威慑的核心是报复，但报复却要求明白无误地知道攻击来自何处。[55]核大国（尤其是美苏间）基于“确保相互摧毁”原则（Mutually Assured Destruction，MAD）建立起的威慑和制衡正基于此。但在网络领域，攻击方因可以隐藏身份而变得肆无忌惮，防守方却因归属难以确定而无从复仇，威慑何从建立？这导致进攻——而不是防守——成为了大家最理性和安全的选择。
三、 如何让网络变得“易守难攻”：法律与技术
如果互联网是“易攻难守”的，那么是否存在一些措施——尤其是法律和准法律的手段——可以使互联网变得更加安全？如果有，它们可能是什么？
本文认为这些措施和手段是存在的。根据攻守平衡理论，如果我们可以改变互联网“易攻难守”的特征，让防守占据优势，是可以降低冲突和战争在网络空间发生的可能的。本章接下来的讨论也主要遵循这一思路和方向。
当然，一个前置问题是：互联网的架构是可以改变的吗？回答同样是肯定的。本文第二部分的结论是互联网现有架构是有利于进攻，但这并不是宣扬技术决定论，认为互联网在本质上是有利进攻和不安全。恰恰相反，主张互联网现有架构和设计有利于进攻并不等于鼓吹互联网现在是什么样就永远是什么样。如果说互联网有什么本质特征的话，那就是技术上的高度可塑性。用莱斯格的话说，就是“可规制性”。[56]不管我们把什么样的形容词赋予互联网——自由的、开放的、共享的、可繁殖的、安全的、不安全的……，都不是因为互联网本质上具有这些特征，而是由于互联网被设计成如此。齐特林对互联网未来的忧虑，是由于新技术和设计正在毁掉网络原本开放、创新的架构，但他的担忧恰恰说明网络的架构是可以被改变的。同样，莱斯格之所以喊出“代码就是法律”，绝非主张代码一旦写出，就会定型甚至锁死互联网的发展，而是看到了代码所具有的强大塑造力。换言之，即使现在的互联网是“易攻难守”和不安全的，但这并不意味着我们只能束手无策。关键在于如何以及从何处着手？
撬动这一难题的杠杆可能仍在于莱斯格“代码就是法律”的论断。这一命题所描绘的代码与法律的关系至少包含两个维度：首先，代码和法律间是一种替代和竞争的关系，这也是最为读者所熟悉的一层含义。就像封掉迅雷、电驴等下载软件的端口有时要比版权法更加有效一样，在数字时代，通过改变技术或代码可能实现比单纯依靠法律更好的规制效果。
但另一方面，代码和法律间也有促进和辅助的关系。这意味着“通过代码的规制”和“通过法律的规制”可以相互配合、互相作用。莱斯格在《代码》中就曾为我们勾勒出一个规制网络的模型：如下图所示，如果把规制对象想象成中心圆点，架构（architecture）、市场（market）、法律（law）和规范（norms）这四种因素或手段均可以对规制对象产生影响：[57]
本文接下来的讨论在很大程度上是基于上述模型和思路。换言之，要改变互联网“易攻难守”的特征，除了传统直接通过法律的规制，还可以让法律作用于架构（即代码）、市场或规范，进行间接和综合的规制。鉴于互联网在技术高度的可塑性，让法律作用于代码或法律与代码相结合可能是最有效的方式。
在这方面，归属问题、“爱国黑客”和增加攻守区分度是可能的“抓手”或突破口：
1、归属问题
归属常被称为网络安全的“头号难题”。[58]特朗普政府2017年12月8日发布的《美国国家安全战略》（National Security Strategy of United States of America）中，就把加强归属视为美国增强自身在网络领域能力的头号任务。[59]这在很大程度上是互联网原有架构造成的，僵尸网络、各种代理、网络地址转换（Network Address Translation，NAT）以及动态IP地址分配均已深深嵌入互联网之中。[60]但正如本章开头讨论的，这种架构是可以被新的设计和技术发展改变甚至重塑的。
IPv6为解决归属难题提供了一个契机。作为取代IPv4的新一代网络协议，IPv6最显著的改进就是弥补IPv4网络地址资源不足的问题。IPv4诞生于上世纪70年代，其形式是人们所熟悉的xxx.xxx.xxx.xxx，x可以是0-255中任一数字。整个IPv4所允许的地址约为43亿个。IPv4的发明者、人称互联网之父的温特·瑟夫（Vint Cerf）在70年代认为43亿个网络地址绝对够用，但事实证明他大大低估了互联网的发展，在2011-2015年间，亚洲、欧洲和北美的IPv4地址已纷纷告急。IPv6的出现解决了这一问题。IPv6的地址长度为128比特，是IPv4地址长度的4倍，可以提供340兆兆兆个IP地址。正如很多IPv6的支持者和推广者所宣称的，IPv6可以“为全世界的每一粒沙子编上一个网址”。对解决归属问题来说，升级到IPv6意味着每一台接入互联网的设备或硬件——台式机、笔记本、移动设备、汽车、智能家居——都可以拥有专属的IP地址。换言之，IPv4时代多台设备共享一个IP地址的情况将会得到彻底解决，而“一机一IP”无疑会极大地提升进行技术归属（technical attribution）的能力。[61]因此，如果各国可通过立法和行政指令全面升级和部署IPv6，至少会为解决或缓解归属难题奠定技术基础。
如果说IPv6主要涉及基础设施的物理层，与此相关的则是在代码和内容层推行实名制立法。目前对实名制的研究多从国内法的角度，主要批评实名制对表达自由、隐私等个人权利的威胁。[62]这无疑是合理且正当的关切。但从国际关系和网络安全的角度看，各国在国内推行实名制的确可以在一定程度上缓解归属困难。美国战略与国际问题研究中心（CSIS）在给奥巴马关于网络安全的报告中，就将“网络安全的身份管理”单独作为一章进行建议。[63]其中要求在设计关键网络基础设施时，必须包含严格的当面证明（in-person proofing）和对设备核查（verification）在内的身份认证；而消费者在从事网络活动时，应持有政府证件或基于政府证件的企业认证。[64]事实证明，在使用通用通行证（Common Access Card）后，美国国防部网络被入侵的次数下降了近50%。[65]
实名和认证的具体方法可以争论，但思路和逻辑是相对清晰的：从事前预防的角度，实名制和身份认证可以防止或阻挠攻击或破坏，毕竟当一切网络行为和活动都需要与本人的真实身份相联系时，多数人会三思而后行。从事后追责来看，实名制也可以帮助受到攻击的国家更准确地锁定“凶手”；同时，成为怀疑或“栽赃陷害”对象的国家也相对容易自证清白。当然，在此过程中，必须顾及对表达自由、隐私等个人权利的保护，在安全和自由间取得更好的平衡。
此外，还可以在归属问题上建立某种“举证责任倒置”规则。[66]鉴于网络攻击归属难以确定，应将自证清白的责任在一定程度上转移到被怀疑国。具体来说，假如A国有比较确定的证据表明攻击来自B国，那么B国应有义务配合调查并在合理范围内承担举证责任；如果B国不配合调查，那么则可以推定攻击是其所为。
2、“爱国黑客”与私掠船
“爱国黑客”（patriotic hackers）通常被用来指国家网络“正规军”外，得到授权或默许的“民兵”。[67]无论是当年爱沙尼亚事件，近期围绕俄罗斯干预美国大选的争论，还是美国政府和媒体对中国网络攻击的渲染，背后的主角都是“爱国黑客”。可以说，“爱国黑客”已经成为影响国际关系（尤其是中美、美俄关系）的一大不稳定因素。
在很多方面，今天的“爱国黑客”与历史上的私掠船有很高的相似性和可比性。[68]私掠船（privateer）又称捕获特许船或捕获私船，是指拥有一国政府颁发的特别许可，可以在公海抢劫、消灭敌国船只和捕获运输禁运品的中立国船只。私掠船捕获的船舶或货物，经法院审判后即可据为己有。这一制度始于罗马帝国晚期，最早颁发捕押敌船及采取报复行动特许证（letters of marque and reprisal）的记录出现于1354年的英国。[69]在此之后，私掠船和捕押敌船及采取报复行动特许证被广泛使用。[70]以至于有学者形容：“曾几何时，美国人对捕获法的熟悉就像今天他们对棒球规则的熟悉一样。”[71]私掠船的普遍和流行可见一斑。
如前所述，几乎近年每次重大网络攻击事件背后都有“爱国黑客”的影子。作为被怀疑一方，最具代表性的辩护来自普京。在普京看来，“爱国黑客”是“像艺术家一样自由的人”，他们“早上起床后看到新闻就会基于爱国冲动自行其是”。[72]换言之，被怀疑国往往否认黑客行为有政府因素，强调黑客行为来自民间和出于自愿。但在被攻击国看来，“爱国黑客”就是政府授意或者压根就是正规网络部队的伪装。如果把互联网比作海洋的话，21世纪的“爱国黑客”就是17-18世纪的私掠船。
由于网络攻击的虚拟性和难以溯源，围绕每次攻击展开的指责和辩解都会沦为乱战和糊涂账。更危险的是，一旦A国认为“爱国黑客”背后有B国政府的支持（不管事实是否真的如此），A国多半会采取相应的防范和反制措施，而这些措施又会催生B国新一轮的动作，这无疑会增加各国间的猜忌和擦枪走火的可能。[73]
因此，若能解决或缓解“爱国黑客”问题，其价值相当于拆除网络安全最大的定时炸弹之一。可以参考的是，1856年克里米亚战争结束后，英、法、俄等欧洲七国在巴黎议和会议期间签署了《巴黎海战宣言》（Paris Declaration Respecting Maritime Law，以下简称《巴黎宣言》）。针对当时海上秩序的混乱，《巴黎宣言》提出了海上作战三项原则，其中就包括各国都承诺不再颁发私掠许可证，私掠船制度从此退出历史舞台。[74] 有鉴于“爱国黑客”和私掠船间的相似性，《巴黎宣言》废除私掠船的经验或可值得借鉴。
具体而言，首先，私掠船船主和船员很多是“前海盗”或“准海盗”，而他们的生存离不开像牙买加的罗亚尔港（Port Royal）等提供补给、避难的港口和市场。[75]打击海盗和私掠船，一项重要的工作就是打击这些避难港和栖息地。类比到“爱国黑客”，这意味着各国可以分别和合作打击黑客所必须的平台、黑市和暗网，这对于黑客活动来说无异于釜底抽薪。
第二，如果“爱国黑客”短时间内难以禁止，各国至少可以规范自身的“外包”行为。从经济和技术角度看，各国政府有时的确需要将部分网络安全工作“外包”给私人。[76]但如何避免承担这些工作和职能“承包方”成为发动攻击的黑客？关键就在于划清界限，即被雇佣黑客的工作范围应被限定在追踪和防守（tracking and defense）。[77]借用攻守平衡理论的术语，“爱国黑客”只可被用于防御，但不能用来进攻。换言之，各国政府可以雇佣黑客和私人部门来追踪和定位针对自己的攻击，或用于发现和阻止敌方的攻击，但绝不能动用“爱国黑客”主动发动攻击。
最后，《巴黎宣言》体现了当时大国间的妥协和共识。美国虽未加入，但在内战和美西战争期间，美国均声明遵守并实际执行了《巴黎宣言》。[78]虽在越战和911后美国国内也出现过恢复私掠许可的呼声，[79]但美国在1812年战争后也未再使用这一手段。《巴黎宣言》被认为是世界上第一个国际海上武装冲突法条约，也是第一部国际武装冲突法公约。它确立了海上作战规则，并在一定程度上维持了海洋秩序的稳定。在国际法上有“海牙规则”和“日内瓦规则”之分，简单来说，前者更关注“怎么打”，而后者则将注意力转向如何防止和惩罚战争行为——即尽量“不要打”。[80]对网络空间治理而言，各国的重点当然应放在“不要打”上；但就像一些学者所呼吁的，我们可能也同时需要一部互联网时代的《巴黎宣言》来规范“怎么打”的问题。[81]
3、增加攻守区分度
增加网络空间进攻与防守间的区分度是另一可能的着手点。影响安全困境中的一个重要因素是进攻/防守的区分（offense/defense differentiation）。[82]当进攻和防守难以区分时，安全困境可能加重；但当进攻和防守相对容易区别时，安全困境可能会减轻。[83]换言之，一国在增加自身安全时，应尽可能采取那些明显属于防御的措施（而不是偏向进攻或攻守难以区分的方式）。
互联网上如何区分攻守呢？传统观点认为这很难。奥巴马就曾形容网络世界的攻守更像篮球而不是美式橄榄球，因为“攻防之间没有明确的界限。一些都是你来我往。”[84]曾任美国网络司令部作战主任的布列特·威廉姆斯（Brett Williams）也认为：“在网络空间，防御和进攻很难分开。”[85]
但正如有学者指出的，一些纯粹防御或明显偏防御的手段是存在的，这包括但不限于防火墙、反病毒扫描、用户账户管理软件、软件补丁、验证机制等。[86]虽然在网络空间各国高度不信任，但一国若采取纯防御性手段来提升自身安全，会大大降低别国误判和盲动的可能。“信号”（signal）在军事和安全领域的重要性不言而喻。[87]由于网络世界防守的成本远高于进攻，单边采取明显防御性措施的意义正在于以一种成本极高方式释放友好信号。“零日漏洞”通报机制就属于此类。[88]具体来说，当A国发现B国系统存在漏洞，A国有三个选择：1、利用漏洞发动攻击；2、将漏洞告诉第三方；3、将漏洞主动告知B国或软件提供商。[89]现实中第二种情况较少出现。对A而言，最常见和理性的选择如果不是马上将漏洞为己所用，也是开始着手研究，以备未来之需。而主动向B国通报漏洞乍看之下都不符合A国的利益和普遍理性。但正是因为看似不符合理性和利益，主动通报零日漏洞才会释放特殊的信号，它表明一国愿意放弃“零日漏洞”可能带来的巨大优势。一来二去，某种常态化、相互的漏洞通报机制若能建立，将会对营造一个共同安全的网络十分有益。无论在技术还是心理上，这都是建立互信的关键一步。
与主动通报零日漏洞相似的是加密（encryption）。[90]战争需要情报，加密和破解则是网络间谍（cyber espionage）活动的核心。很多政府对加密都持矛盾的心态。一方面，他们希望己方的通讯越保密越好；另一方面，也担忧加密使自己无法窥探敌方（敌对国家、组织和个人）的情报。目前在加密领域一个突出的问题是：如何避免加密技术上具有优势的国家，在推销和输出本国加密技术的过程中悄悄留下后门或漏洞。美国国安局（NSA）就曾被爆出在加密技术中植入漏洞，美国国家标准与技术研究院（National Institute of Standards and Technology，NIST）甚至也不顾标准和操守认证了该技术的安全性。[91]但国安局却通过私下给网络安全公司付费，作为使用后门和漏洞的交换。[92]这种做法一旦曝光，其伤害和影响是显而易见的。与之相反的是荷兰政府的做法。荷兰政府在2016年声明表示“不会采取任何法律手段限制荷兰境内加密技术的发展、提供和使用”，同时“不会强迫公司在产品和服务中‘留后门’”。[93]与主动告知零日漏洞一样，荷兰政府的做法看似反理性和反直觉，但正是这种做法会释放明确友好的信号，在增加自身安全的同时不减损他人的安全。[94]
在上述三种相对具体的措施外，网络安全领域也已出现了一些构建整体框架性规则的努力。
多边努力中最常被提及的是《网络犯罪公约》（Convention on Cybercrime，又称《布达佩斯公约》）。该公约于2001年11月23日在布达佩斯开放签署，已于2004年7月1日开始生效。截止到2017年6月2日，已有55个国家批准，4个国家签署但尚未批准。[95]该公约虽由欧盟国家发起，美国、日本、澳大利亚、加拿大、以色列和南非等非欧委会成员国也纷纷批准加入。[96]《网络犯罪公约》通常被欧美国家视为未来打造网络世界通行行为规范的重要基础。[97]如其名字所示，该条约针对的是网络犯罪，而非网络战。其序言即写明，公约的目的是“作为优先目标，通过适当的国内立法和促进国际合作等措施，探求共同的犯罪政策，以保护社会免于网络犯罪。”[98]不过公约旨在打击的“危害计算机系统、网络和计算机数据的机密性、完整性和可用性”的行为和“对此类系统、网络和数据实施本公约定义的滥用行为”与网络战中的攻击有相当的重合。[99]《网络犯罪公约》代表了网络空间治理中的“小团体模式”，它通常由立场和利益接近的国家发起，能在较短时间内吸引较多相似国家加入，并达成较高的共识。上合组织成员国于2015年1月向联大提交的《信息安全国际行为准则》也属此类。[100]但这种模式面临的挑战就在于如何吸引小集团外、立场不那么一致的国家加入，否则仍难改变网络治理割据、碎片化的状态。
与“小集团模式”对应的是“联合国模式”。[101]中国政府在网络国际治理的立场一直是“主张在联合国框架下制定各国普遍接受的网络空间国际规则和国家行为规范”。[102]目前，联合国框架下取得的最大共识体现为联合国信息安全政府专家组于2015年7月出具的《国际安全背景下信息和通讯领域发展报告》（Developments in the Field of Information and Telecommunications in the Context of International Security，A/70/174）。[103]该政府专家组于2013年12月根据联合国大会68/243决议成立，由来自美国、中国、俄罗斯、英国、德国、日本、巴西、巴基斯坦等20国的政府专家组成。报告主要关注如何构建负责任国家行为规范、规则或原则，并提出相应的建立信任措施、国际合作和能力构建办法。[104]在2015年12月23日，联大又通过70/237决议，要求安理会成立新一任政府专家组并预计于今年出具新的报告。[105]“联合国模式”在代表广泛性和吸纳性上具有无可比拟的优势，但如何改变联大、安理会、经济和社会理事会和国际电信联盟（ITU）等主体分散多头治理的现状，[106]以及提高效率和效力是这一模式亟待解决的问题。
在多边之外，国际社会也不乏双边的互动。在中、美、俄三个大国间，中俄互动和共识最多，其中以《中俄关于协作推进信息网络空间发展的联合声明》为代表。[107]在中美之间，2015年9月两国决定建立打击网络犯罪及相关事项高级别联合对话机制。[108]在2017年4月中美元首海湖庄园会晤中，两国又决定把之前的中美战略与经济对话升级，网络安全与外交安全对话、全面经济对话、社会和人文对话一样，成为四个高级别对话机制之一。[109]中美间关于网络空间的对话已从相对狭窄的“网络犯罪”扩展至更广泛的“网络安全”，对话的级别也得到了前所未有的提升。2017年10月4日，首轮中美执法及网络安全对话在美国华盛顿举行，对话由国务委员、公安部长郭声琨与美国司法部长塞申斯、国土安全部代理部长杜克共同主持，[110]会后两国公布了成功清单。[111]即便是在摩擦较多的俄美之间，两国在2013年就签订协议，建立网络安全领域的实时沟通机制。[112]今年7月，特朗普和普京又表示考虑设立美俄网络安全小组。[113]
此外，还存在来自非政府组织和机构的努力，其中最著名的成果之一是《塔林手册》（Tallinn Manual）。[114]塔林是支持和发起本项目的北约合作网络防御示范中心（NATO Cooperative Cyber Defense Centre of Excellence）所在地，它也是爱沙尼亚的首都，2007年那场网络攻击正是从这里开始。该手册有各国专家和学者参与，历时四年由剑桥大学出版社在2013年出版。[115]显然，《塔林手册》旨在模仿规范海战的《圣雷莫手册》（San Remo Manual）[116]和哈佛大学人道主义政策与冲突研究项目（Program on Humanitarian Policy and Conflict Research at Harvard University，HPCR）的《空战和导弹战手册》（HPCR Manual on International Law Applicable to Air and Missile Warfare）[117]，目的是将现行国际法框架和议题适用网络战中。2017年3月，《塔林手册2.0》出版，其中也首次有了中国专家的参与。[118]
四、尾声：网络安全法的道路
当然，无论是相对具体的建议还是《网络犯罪公约》等努力，目前看来仍停留在初步甚至讨论阶段。应该看到，在网络安全领域乃至整个网络空间，很多问题的实践和讨论都还处在不断变化中，而法律的发展又往往滞后于技术和政策发展。这导致短时间内，似乎的确没有什么“灵丹妙药”来改变互联网的“易攻难守”和不安全的状态。
但互联网不是人类第一次面对一个全新的空间或武器，也不会是最后一次。在互联网之前，无论是作为新空间的海洋、天空、太空和极地，还是作为新技术和武器的核武器，都曾给人类带来不同程度的挑战。但历史经验表明，人类也基本成功“驯服”了上述新的空间或技术，或将风险维持在可控范围之内，我们没有理由认为网络会成为例外。不过在保持乐观的同时，也应看到前路的曲折，通过法律去规范和治理互联网将是一个循序渐进的系统工程。
1897年，霍姆斯在波士顿大学发表《法律的道路》。[119]在演讲中，霍姆斯这样预测：“对法律的理性研究而言，现在所需要的或许是精通文字的人，而未来所需要的则是精通统计和经济学的人。”[120]现在看来，霍姆斯似乎准确预见了法律经济学以及法律与其他学科交叉研究的兴起。《法律的道路》的另一遗产则是，在霍姆斯之后，当法律人面对一个新问题或新领域时，“某某法的道路”似乎已成为一种“标配”题目。比如，莱斯格关于网络法研究的经典之作就名为《网络法的道路》。[121]在人工智能方兴未艾之际，耶鲁法学院杰克·巴尔金名为《机器人法的道路》的论文又横空出世。[122]
今天，我们或许又站在了一条新路——网络安全法之路——的起点。如何才能走出一条“网络安全法的道路”呢？霍姆斯的提醒或许仍然有用：我们需要不同角度和学科的帮助。在法学内部，这意味着需要对宪法、行政法、国际法、战争法、网络法和各个部门法进行整合；在法学之外，我们更需要借助信息技术、国际关系、政治学、管理学、经济学和历史学的知识和方法。此外，大数据、云计算、物联网、人工智能等技术的发展也使对这一领域的研究处于不断变化甚至被革命的阶段。或许唯有如此，我们才有可能接近霍姆斯所说“法律中更为深远和更为概括的方面”，“听到无限苍穹的一缕回音，瞥见它那深不可测的变化过程”。[123]本文可看作在这条道路上一个非常粗浅、初步的尝试。
[1] “中共中央政治局研究决定中央国家安全委员会设置”，中华人民共和国政府网，2014年1月24日，http://www.gov.cn/ldhd/2014-01/24/content_2575011.htm，最后访问日期：2017年7月23日。
[2] “中央网络安全和信息化领导小组成立：从网络大国迈向网络强国”，新华社，2014年2月27日，http://news.xinhuanet.com/politics/2014-02/27/c_119538719.htm，最后访问日期：2017年7月23日。
[3] 张德江：“全国人民代表大会常务委员会工作报告”，http://www.npc.gov.cn/npc/xinwen/2017-03/15/content_2018935.htm，最后访问日期：2017年7月23日。
[4] “习近平主持国安委首次会，阐述国家安全观”，新华社，2014年4月16日，http://news.xinhuanet.com/video/2014-04/16/c_126396289.htm，最后访问日期：2017年7月23日。
[5] 习近平：“坚持总体国家安全观 走中国特色国家安全道路”，2014年4月15日，http://news.xinhuanet.com/politics/2014-04/15/c_1110253910.htm，最后访问日期：2017年7月23日。更详细论述，见《总体国家安全观干部读本》，人民出版社2016年版。
[6] 见前注1。
[7] 第1条：“为了保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，制定本法。”
[8] 核安全法草案，中国人大网“核安全立法”，http://www.npc.gov.cn/npc/lfzt/rlyw/node_31534.htm，最后访问日期：2017年7月23日。
[9] Robert Jarvis, Cooperation under the Security Dilemma, World Politics, Vol.30, No.2, Jan 1978, at 167-214. 对很多读者来说，杰维斯更著名的是安全困境（security dilemma），即运用博弈论分析“当一个国家增加自身安全的行为为何往往会降低其他国家的安全”。攻守平衡理论在一定程度上是安全困境的一个“副产品”。不过，这一“副产品”后来逐渐获得独立的生命力，并刺激大量研究的出现。参见Michael E. Brown, Owen R. Cote Jr., et al. eds., Offense, Defense and War, The MIT Press, 2004.
[10] Id., at 186-187.
[11] Id.
[12] 攻守平衡主要是一种分析范式和理论框架，而非历史叙述。但在一定程度上，攻守平衡理论也可以得到历史的印证。比如在十二至十三世纪晚期，要塞在欧洲给进攻带来极大的困难。之后直到十五世纪末，火枪的发展又逐渐摧毁了要塞的优势。到了十七世纪，特别是1660年到1740年奥地利王位继承战这段时间，防守又重新夺回优势。在一战前，重型火炮再次让进攻占优。但一战中广泛使用的壕沟、堡垒和机关枪又给防守带来优势。二战中，德国对闪电战的运用给人进攻重夺优势的感觉，坦克和战术空中力量也进一步加深了这一趋势。而核武器则被普遍认为使防守重新占据优势。
更多讨论，supra note 9, at 197.
[13]外交部：“王毅介绍中美元首海湖庄园会晤情况”，2017年4月8日，http://www.fmprc.gov.cn/web/wjbzhd/t1452260.shtml，最后访问日期：2017年7月23日。
[14] “Trump Inherits a Secret Cyberwar Against North Korean Missiles”, New York Times, March 4, 2017, https://www.nytimes.com/2017/03/04/world/asia/north-korea-missile-program-sabotage.html; “North Korea's Embarrassing Missile Failure May Have Been Due to US Cyber Sabotage”, Business Insider, April 17, 2017, http://www.businessinsider.com/us-hack-north-korea-missile-system-2017-4, 最后访问日期：2017年7月23日。
[15] “North Korea Denies Sony Hack But Warns U.S.: Worse Is Coming”, CNN, December 22, 2014, http://edition.cnn.com/2014/12/21/world/asia/north-korea-us-sony/index.html, 最后访问日期：2017年7月26日。
[16] “微软抨击美国政府囤积‘网络武器’”，FT中文网，2017年5月15日，http://www.ftchinese.com/story/001072582，最后访问日期：2017年7月23日。
[17] “In Computer Attacks, Clues Point to Frequent Culprit: North Korea”, New York Times, May 16, 2017, https://m.cn.nytimes.com/world/20170516/nsa-hacking-shadow-brokers/en-us/’, 最后访问日期：2017年7月23日。
[18] （美）亨利·基辛格：《世界秩序》，胡利平等译，中信出版社2015年版，页452。
[19] U.S. Department of Defense, Cyberspace Policy Report, November 2011, at 2, available at https://fas.org/irp/eprint/dod-cyber.pdf, 最后访问日期：2017年7月23日。
[20] Kenneth Lieberthal & Peter W. Singer, Cybersecurity and U.S. – China Relations, Brookings Institution, February 2012, at 13.
[21] Jarvis, supra note 9, at 194-196.
[22] 对朝核问题更深入讨论，可参见Fu Ying, The Korean Nuclear Issue: Past, Present and Future: A Chinese Perspective, Brookings Institution, April 20, 2017, available at https://www.brookings.edu/research/the-korean-nuclear-issue-past-present-and-future/,最后访问日期：2017年7月23日。
[23] 对此讨论，参见胡凌：《网络法的政治经济起源》，上海财经大学出版社2016年版，页212-214。
[24] Joseph S. Nye Jr., Cyber Power, May 2010, at 4, available at http://www.belfercenter.org/sites/default/files/legacy/files/cyber-power.pdf, 最后访问日期：2017年7月23日。
[25] （美）P·W·辛格、艾伦·弗里德曼：《网络安全：输不起的互联网战争》，中国信息通信研究院译，电子工业出版社2015年版，页61。
[26] 同上注。
[27] 同上注，页62。
[28] 更多讨论，见（美）塞缪尔·格林加德：《物联网》，刘林德译，中信出版社2016年版。
[29] （英）托马斯·里德：《网络战争：不会发生》，徐龙第译，人民出版社2017年版，页9。
[30] 对震网病毒的更多讨论，见Congressional Research Service, The Stuxnet Computer Worm: Harbinger of an Emerging Warfare Capability, December 9, 2010, available at https://fas.org/sgp/crs/natsec/R41524.pdf, 最后访问日期：2017年7月23日；（美）保罗·沙克瑞恩、亚娜·沙克瑞恩、安德鲁·鲁夫：《网络战：信息空间攻防历史、案例与未来》，吴奕俊等译，金城出版社2016年版，页262-278。
[31] 沙克瑞恩，同上注，页263。
[32] Andrea Locatelli, The Offense/Defense Balance in Cyberspace, Analysis No.203, October 2013, at 8.
[33] 可繁殖系统的五大特点是：杠杆效应（leverage）、适应性（adaptability）、容易掌握（ease for mastery）、可获取（accessibility）和传输性（transferability）。更多讨论，见（美）乔纳森·齐特林：《互联网的未来：光荣、毁灭与救赎的预言》，康国平等译，东方出版社2011年版，页55-57。
[34] 同上注，页32。
[35] 同上注，页1-9。
[36] 同上注。
[37] Codebases, Information Is Beautiful, http://www.informationisbeautiful.net/visualizations/million-lines-of-code/, 最后访问日期：2017年7月23日。
[38] Regina E. Dugan, Testimony Before the House Armed Services Committee, Subcommittee on Emerging Threats and Capabilities, March 1 2011, at 16-17, available at https://cps-vo.org/node/885, 最后访问日期：2017年7月23日。
[39] Ben Buchanan, The Cybersecurity Dilemma: Hacking, Trust and Fear between Nations, Oxford University Press, 2017, at 107-108.
[40] See Jack M. Balkin, Digital Speech and Democratic Culture: A Theory of Freedom of Expression for the Information Society, 79 N.Y.U. L. Rev. 1 (2004).
[41] （美）P·W·辛格：《机器人战争：21世纪机器人技术革命与反思》，逯璐等译，华中科技大学出版社2016年版，页17。
[42] 同上注。
[43] Center for Strategic and International Studies (CSIS), Securing Cyberspace for the 44th Presidency, December 8, 2008, at 18, available at https://csis-prod.s3.amazonaws.com/s3fs-public/legacy_files/files/media/csis/pubs/081208_securingcyberspace_44.pdf, 最后访问日期：2017年7月23日。
[44] An NSA Cyber Weapon Might Be Behind a Massive Global Ransomware Outbreak, Forbes, May 12, 2017, https://www.forbes.com/sites/thomasbrewster/2017/05/12/nsa-exploit-used-by-wannacry-ransomware-in-global-explosion/#68d50a5fe599, 最后访问日期：2017年7月23日。
[45] David D. Clark & Susan Landau, Untangling Attribution, 2 Harv. Nat'l Sec. J. 323 (2011), at 334.
[46] Id.
[47] Lieberthal & Singer, supra note 20, at 10.
[48] Clark & Landau, supra note 45 at 228-330.
[49] 沙克瑞恩，同前注30，页22-23。
[50] Laura DeNardis, The Global War for Internet Governance, Yale University Press, 2015, at 87.
[51] Lieberthal & Singer, supra note 20, at 12-13.
[52] Id., at 11.
[53] CSIS, supra note 43, at 25-26.
[54] 对威慑的经典研究，见Thomas C. Schelling, Arms and Influence, Yale University Press, 1967. 关于网络中的威慑，见（美）马丁·C·利比基：《兰德报告：美国如何打赢网络战争》，薄建禄译，东方出版社2013年版，页25-34。
[55] CSIS, supra note 43, at 25.
[56] 同上注，页27-28。
[57] （美）劳伦斯·莱斯格：《代码2.0：网络空间中的法律》，李旭等译，清华大学出版社2009年版，页137-140。
[58] Lieberthal & Singer, supra note 20, at 10.
[59] White House, National Security Strategy of United States of America, December 8 2017, at 32, available at https://www.whitehouse.gov/wp-content/uploads/2017/12/NSS-Final-12-18-2017-0905.pdf
[60] W. Earl Boebet, “A Survey of Challenges in Attribution”, in Committee on Deterring Cyberattacks (ed.), Proceedings of a Workshop on Deterring Cyberattacks, National Academies Press 2011, at 48.
[61] Id.
[62] 对网络实名制的讨论，可见周永坤：“网络实名制立法评析”，《暨南学报(哲学社会科学版)》2013年第2期；杨福忠：“公民网络匿名表达权之宪法保护——兼论网络实名制的正当性”，《法商研究》2012年第5期；韩宁：“微博实名制之合法性探究——以言论自由为视角”，《法学》2012年第4期；李丽：“‘秩序’还是‘自由’——有关网络实名制的思考”，《法制与社会》2009年第23期。
[63] CSIS, supra note 43, at 61-65.
[64] Id., at 61.
[65] Id., at 62.
[66] 里德，见前注29，页187。
[67] 辛格、弗里德曼，见前注25，页170。
[68] Peter W. Singer & Allan Friedman, Shiver My Interwebs: What Can (real) Pirates Teach Us about Cybersecurity?, Slate, January 1 2014, http://www.slate.com/articles/technology/future_tense/2014/01/cybersecurity_and_cyberwar_excerpt_what_real_pirates_can_teach_us.html, 最后访问日期：2017年10月3日。
[69] Nathaniel Garrett, Taming the Wild Wild Web: Twenty-First Century Prize Law and Privateers as a Solution to Combating Cyber-Attacks, 81 U. Cin. L. Rev. 683 (2013), at 688.
[70] Id., at 688.
[71] Donald Petrie, The Prize Game: Lawful Looting on the High Seas in the Days of Fighting Sail, US Naval Institute Press 1999, at 2.
[72] 普京：“爱国”黑客可能自发干预外国大选，FT中文网，2017年6月2日，http://www.ftchinese.com/story/001072825，最后访问日期：2017年7月23日。
[73] 比如，为反制“爱国黑客”，美国国内甚至出现重新恢复私掠制度的声音。有学者建议应根据美国宪法第一条第八款，允许国会在网络领域颁发捕押敌船及采取报复行动特许证（letters of marque and reprisal）。Garrett, supra note 76, at 698-704。美国国防部发布的网络空间五大战略倡议（strategic initiatives），第三条也强调要加强与私人部门的合作。见Department of Defense, U.S. Department of Defense Strategy for Operating in Cyberspace, April 2015, available at https://www.defense.gov/Portals/1/features/2015/0415_cyber-strategy/Final_2015_DoD_CYBER_STRATEGY_for_web.pdf, 最后访问日期：2017年10月9日。作为响应，美国国防高级研究计划局（DARPA）已经开始资助民间黑客抵御针对美国的网络攻击和维护国家安全。Spencer Ackerman, DARPA Begs Hackers: Secure Our Networks, End 'Season of Darkness' , Wired, November 2011, https://www.wired.com/2011/11/darpa-hackers-cybersecurity/ , 最后访问日期：2017年10月9日。“摩根原则”（The Morgan Doctrine）等试图在网络空间建立私掠制度的尝试也已开始出现。见The Morgan Doctrine, http://www.themorgandoctrine.com/,最后访问日期：2017年10月9日。
[74] 另两项原则分别是确立海上封锁的时效性和统一海上捕获规则。更多讨论，见邢广梅：“国际海上武装冲突法形成的标志——1856年《巴黎海战宣言》”，《军事历史》，2007年第1期，页40-41.
[75] Singer & Friedman, supra note 68.
[76] Garrett, supra note 69, at 698-699.
[77] Id., at 702.
[78] 更多讨论，见（美）约翰·法比安·维特：《林肯守则：美国战争法史》，胡晓进、李丹译，中国政法大学出版社2015年版，页121-125。
[79] Garrett, supra note 69, at 694, 695.
[80] 更详细讨论，可参见朱雁新：《数字空间的战争——战争法视域下的网络攻击》，中国政法大学出版社2013年版，页17-45。
[81] Singer & Friedman, supra note 68.
[82] Jarvis, supra note 9, at 199.
[83] Id.
[84] Liz Gannes, “How Cyber Security Is Like Basketball, According to Barack Obama”, Recode, February 14, 2015, https://www.recode.net/2015/2/14/11559050/how-cyber-security-is-like-basketball-according-to-barack-obama, 最后访问日期：2017年7月23日。
[85] David Perera, “Offense and Defense Not Clearly Separable in Cyberspace, Says CYBERCOM General”, FierceGovernmentIT, February 25, 2013.
[86] Buchanan, supra note 39, at 111-112.
[87] Id., at 169-170. 更多讨论，见（美）罗伯特·杰维斯：《信号与欺骗：国际关系中的形象逻辑》，徐进译，中央编译出版社2017年版。
[88] Buchanan, supra note 39, at 171-174.
[89] Id., at 172.
[90] Id., at 174.
[91] “Revealed: The NSA’s Secret Campaign to Crack, Undermine Internet Security”, Pro Publica, 5 September 2013, https://www.propublica.org/article/the-nsas-secret-campaign-to-crack-undermine-internet-encryption, 最后访问日期：2017年7月23日。
[92] Joseph Menn, “Exclusive: Secret Contact Tied NSA and Security Industry Pioneer”, Reuters, 20 December 2013, http://www.reuters.com/article/us-usa-security-rsa-idUSBRE9BJ1C220131220, 最后访问日期：2017年7月23日。
[93] Dutch Government: Encryption Good, Backdoors Bad, 1 January 2016, https://arstechnica.com/tech-policy/2016/01/dutch-government-encryption-good-backdoors-bad/, 最后访问日期：2017年7月23日。
[94] Buchanan, supra note 39, at 176-177.
[95] Council of Europe, Chart of Signatures and Ratifications of Treaty 185，http://www.coe.int/en/web/conventions/full-list/-/conventions/treaty/185/signatures, 最后访问日期：2017年7月23日。
[96] Id.
[97] 辛格、弗里德曼，同前注25，页179。CSIS，supra note 43, at 22.
[98] Convention on Cybercrime, http://www.europarl.europa.eu/meetdocs/2014_2019/documents/libe/dv/7_conv_budapest_/7_conv_budapest_en.pdf, 最后访问日期：2017年7月23日。
[99] 不过包括中国在内的发展中国家对《网络犯罪公约》也不乏批评之声，认为其代表了发达国家的利益和观点。可参见，徐宏，“在中国国际法学会2017年学术年会上的报告”，https://mp.weixin.qq.com/s?__biz=MjM5MTU4MTQyOQ==&mid=2650870983&idx=2&sn=bcb5512c2c14833eb5d9cbd1b7adbdcc&pass_ticket=GNcjIW%2BZN4MmeGns7rumwJFjZmocb7o5ELk5XnaS3Z1utGV9YXlh6alZBw1ahPWS, 最后访问日期：2017年7月23日。
[100] 外交部：《信息安全国际行为准则》，http://infogate.fmprc.gov.cn/web/ziliao_674904/tytj_674911/zcwj_674915/P020150316571763224632.pdf, 最后访问日期：2017年7月23日。
[101] 对联合国模式更详细分析，见（美）蒂姆·毛瑞尔：“联合国网络规范的出现：联合国网络安全活动分析”，曲甜、王艳译，载王艳主编：《互联网全球治理》，中央编译出版社2017年版，页135-179。
[102] 中共中央网络安全和信息化领导小组办公室：《网络空间国际合作战略》，2017年3月1日，http://www.cac.gov.cn/2017-03/01/c_1120552617.htm, 最后访问日期：2017年7月23日。
[103] United Nation: Group of Governmental Experts on Developments in the Field of Information and Telecommunications in the Context of International Security, 22 July 2015, available at http://undocs.org/A/70/174, 最后访问日期：2017年7月23日。
[104] https://www.un.org/disarmament/topics/informationsecurity, 最后访问日期：2017年7月23日。
[105] Resolution adopted by the General Assembly on 23 December 2015, https://unoda-web.s3-accelerate.amazonaws.com/wp-content/uploads/2016/01/A-RES-70-237-Information-Security.pdf, 最后访问日期：2017年7月23日。
[106] 申晨：“网络空间国际治理的联合国模式”，人民法治网，2017年9月8日，http://www.rmfz.org.cn/news/show-96264.html，最后访问日期：2017年10月8日。
[107] 《中华人民共和国主席和俄罗斯联邦总统关于协作推进信息网络空间发展的联合声明》，新华社，2016年6月25日，http://news.xinhuanet.com/politics/2016-06/26/c_1119111901.htm，最后访问日期：2017年7月23日。
[108] Fact Sheet: President Xi Jinping’s State Visit to the United States, The White House
Office of the Press Secretary, 25 September 2015, https://obamawhitehouse.archives.gov/the-press-office/2015/09/25/fact-sheet-president-xi-jinpings-state-visit-united-states, 最后访问日期：2017年7月23日。
[109] 同前注13。
[110] 《首轮中美执法及网络安全对话在美国华盛顿举行》，新华社，2017年10月4日，http://news.xinhuanet.com/world/2017-10/05/c_1121764067.htm，最后访问日期：2017年10月9日。
[111] 《首轮中美执法及网络安全对话成果清单》，新华社，2017年10月6日，http://news.xinhuanet.com/world/2017-10/06/c_1121766852.htm，最后访问日期：2017年10月9日。
[112] U.S. and Russia Sign Pact to Create Communication Link on Cyber Security, The Washington Post, June 17 2013, https://www.washingtonpost.com/world/national-security/us-and-russia-sign-pact-to-create-communication-link-on-cyber-security/2013/06/17/ca57ea04-d788-11e2-9df4-895344c13c30_story.html?utm_term=.a95acf3fb058, 最后访问日期：2017年7月23日。
[113] Russia Says Talks Underway on Joint U.S. Cybersecurity Unit, CBS, 20 July 2017, http://www.cbsnews.com/news/russia-talks-united-states-joint-cybersecurity-unit-donald-trump/,最后访问日期：2017年7月23日。
[114] Michael N. Schmitt ed., Tallinn Manual on the International Law Applicable to Cyber Warfare, Cambridge University Press, 2013.
[115] Michael N. Schmitt ed., Tallinn Manual 2.0 on the International Law Applicable to Cyber Warfare, Cambridge University Press, 2017. 更多信息，见NATO Cooperative Cyber Defense Centre of Excellence官方网站，https://ccdcoe.org/research.html
[116] International Institute of Humanitarian Law, San Remo Manual on International Law Applicable to Armed Conflicts at Sea, Cambridge University Press, 1995.
[117] Program on Humanitarian Policy and Conflict Research at Harvard University, HPCR Manual on International Law Applicable to Air and Missile Warfare, Cambridge University Press, 2013.
[118] 中方专家为武汉大学法学院国际法研究所黄志雄教授。
[119] Oliver Wendell Holmes Jr., 10 Har. L Rev. 457 (1897). 本文中文版见（美）小奥利弗·温德尔·霍姆斯：《霍姆斯读本：论文与公共演讲选集》，刘思达译，上海三联书店2009年版，页11-43。
[120] 霍姆斯，同上注，页29。
[121] Lawrence Lessig, “The Path of Cyberlaw”, 104 Yale L. J. 1743 (1995).
[122] Jack Balkin, “The Path of Robotics Law”, 6 Calif. L. Rev. Circuit 45 (2015).
[123] 霍姆斯，同前注119，页43。
