10、PC Pro 記者：您現(xiàn)在提到的是基于空口的無線通信，現(xiàn)在擔(dān)心的是基礎(chǔ)設(shè)施層面。

徐直軍：5G是手機(jī)到基站，基站上去就是網(wǎng)絡(luò)，華為在英國網(wǎng)絡(luò)只提供了基站設(shè)備?；疽陨系木W(wǎng)絡(luò)跟華為沒直接關(guān)系。

Robert的文章也特別說了，網(wǎng)絡(luò)的“核心”部分華為沒有進(jìn)入。

基站以上跟華為沒關(guān)系，都是其他廠商的設(shè)備。

11、金融時報 記者：剛才的解釋是在英國華為只提供基站，從用戶的端口到基站是加密的過程，到了基站以后數(shù)據(jù)被解密進(jìn)入IP網(wǎng)絡(luò)？

徐直軍：解密是運(yùn)營商或者政府的事情，加密也是運(yùn)營商或者政府的事情。

金融時報：通過你們的設(shè)備做出加密？

徐直軍：我們不能掌握密鑰，掌握全球的密鑰不就翻天了嗎？各個國家掌握自己的密鑰。

12、 金融時報 記者：關(guān)于去年的NCSC 2018年的報告，主要的問題是關(guān)于華為軟件中第三方部件，有人說這樣的問題是因為華為的公司文化，華為比歐洲公司更愿意從不同來源得到部件。極端一點說美國起訴書中提到華為之前鼓勵員工拿到別的公司技術(shù)這個例子，這是一個很極端的例子。你們怎么用計劃的20億美元開發(fā)解決第三方部件的問題，您認(rèn)為第三方部件問題來自于哪里？是公司文化還是怎樣的原因？這個時間段怎么解決這個問題？

徐直軍：首先，你的理解是錯誤的，你提到的第三方軟件主要是美國風(fēng)河公司的操作系統(tǒng)叫“VxWorks”，我們原來以為用美國公司的操作系統(tǒng)英國政府最相信了，后來發(fā)現(xiàn)不是這樣的。

任何一個產(chǎn)品無論是硬件還是軟件都會基于一個操作系統(tǒng)來開發(fā)，就像所有軟件商都基于windows、Linux開發(fā)一樣。我們做基站軟件也要基于一個操作系統(tǒng)來開發(fā)，英國網(wǎng)上運(yùn)行的華為基站用的就是VxWorks。當(dāng)然，還有一些第三方的軟件和開源軟件。報告中提到是，對所有第三方軟件管理中有改進(jìn)的地方，而不是不能用（第三方軟件），（如果）不能用的話，就要靠每家公司把所有的軟件做出來，每家都要做一個windows，每家都要做一個Linux，每家都要做Oracle類似的數(shù)據(jù)庫，這是不可能的。

我們后來找到了風(fēng)河公司，他們告訴我們，這個軟件以及華為正在用的這些版本，在英國各行各業(yè)，甚至一些比電信行業(yè)更敏感的行業(yè)里都在大規(guī)模使用。華為在軟件開發(fā)過程中使用其他公司的操作系統(tǒng)、數(shù)據(jù)庫以及開源軟件，這些跟華為文化沒關(guān)系，這是所有做產(chǎn)品的企業(yè)必然的選擇，因為（一家公司）不可能做所有的東西。

現(xiàn)在大家有一個疑問，華為軟件工程能力的提升為什么要花三到五年時間，為什么還要投20億美金額外的投資？

把這個問題說明白了需要比較長的時間，不知道大家愿不愿意聽。

華為最早跟英國政府合作成立HCSEC，主要是因為英國政府擔(dān)心華為產(chǎn)品有后門。我們把源代碼送到HCSEC，讓英國有DV認(rèn)證的英國公民看源代碼，以此證明沒有后門，看出來的結(jié)果也是沒有后門。這是最初的目的。

全世界都知道華為敢于把源代碼放到英國的HCSEC，讓英國有DV認(rèn)證的英國公民來看源代碼，證明了我們沒有后門。Robert在文章上也講了，GCHQ也清楚了，所以現(xiàn)在其他國家擔(dān)憂的后門的問題，其實在英國早就解決了。在我們決定把源代碼拿到英國這個過程中，后門問題就解決了。

解決這個問題之后，HCSEC要看一看華為產(chǎn)品的防攻擊、防滲透、防各種威脅的能力怎么樣。在增強(qiáng)華為產(chǎn)品的防攻擊、防滲透能力上，我們做了八年的工作。經(jīng)過八年的努力，可以說，這個行業(yè)中華為產(chǎn)品在這方面是最強(qiáng)的，而且不是我們自己說的，是一家美國公司，Cigital公司通過評估和調(diào)查做的結(jié)論。

Cigital是一家專業(yè)的軟件安全工程成熟能力進(jìn)行評估的美國公司，從2013年開始，每年對我們產(chǎn)品的安全管理進(jìn)行評估，有12個評估項目，我們有9項達(dá)到了業(yè)界最高級水平，其他三項也高于業(yè)界的平均水平。

但是大家很清楚，安全威脅的環(huán)境在發(fā)生變化，攻擊滲透的技術(shù)不斷進(jìn)步，黑客能力水平越來越高。單單安全能力強(qiáng)，防攻擊、防滲透能力很強(qiáng)，就好比是一個椰子，外殼很堅硬。萬一外殼攻破了會怎么樣？不能像椰子一樣里頭是一堆水。

所以，我們共同的關(guān)注點就從外面轉(zhuǎn)到了里面。里面怎么樣涉及到韌性，涉及到開發(fā)過程是不是高質(zhì)量，是不是可信。從結(jié)果角度上升到了過程角度，結(jié)果要好，過程也要好。

HCSEC是可以看到華為的源代碼的，（代碼）是不是可讀，是不是易修改、易構(gòu)建都知道，好比一個人是赤裸在那里。

現(xiàn)在CESC的問題是，你們的代碼不夠漂亮。代碼是華為三十年在通信行業(yè)，像windows一樣累積起來的三十年代碼，華為的代碼要在不漂亮，易讀、易修改等方面進(jìn)行改進(jìn)，還要把過程改進(jìn)。不但結(jié)果是高質(zhì)量，可信的，過程也要是可信的，才能證明可信。這就把焦點聚焦到整個軟件的生產(chǎn)過程，我們叫做軟件工程與實踐，而且用面向未來的標(biāo)準(zhǔn)來對應(yīng)歷史上三十年的所有代碼。

過去面臨的安全風(fēng)險、使用的軟件技術(shù)、編程能力跟現(xiàn)在是有差別的，跟未來要求肯定更有差別。把歷史上三十年的所有代碼進(jìn)行重構(gòu)、重寫。這個投資是巨大的，而且對華為現(xiàn)在進(jìn)行的滿足客戶需求進(jìn)度產(chǎn)品上是有沖擊的。

在這件事情上，我們跟NCSC有相當(dāng)一段時間劇烈的沖突，（華為）只愿意對新增代碼達(dá)到要求，而不愿意對歷史的代碼進(jìn)行重構(gòu)。幾乎所有的高管都去碰撞過，但在碰撞過程中，不斷地加深理解，重構(gòu)也好、過程質(zhì)量做好也好，這不是一件簡單的事情，對于華為公司未來的發(fā)展、未來真正建立可信是有價值的。