金色薦讀 | 區塊鏈的安全 誰來保障？_數字資產:TPS

近幾年，區塊鏈技術的發展非常迅猛，安全形勢也越來越嚴峻，僅安全事件導致的直接經濟損失就高達幾十億美元，給行業帶來了巨大的經濟損失和慘痛的教訓。由于區塊鏈技術是一個分布式的共享賬本和數據庫，具有去中心化、不可篡改、全程留痕、可以追溯、共同維護、公開透明等特點，為信任奠定了基礎。但區塊鏈技術存在的安全風險和技術特點也給廣泛應用及安全監管帶來了諸多挑戰，隨著區塊鏈商業落地，安全需求也變得十分緊迫。可以說，安全是區塊鏈的“立身之本”， 是區塊鏈落地的第一要素！

中國政府將區塊鏈視為構建未來智能城市的下一代關鍵IT 基礎設施，將5G 鏈接的加密安全數據庫連接到可擴展的云和數據管理基礎設施，以便大數據/AI 分析能夠高效地在上面運行

根據中國公司信息門戶網站，在中國運營的區塊鏈業務超過37000家. 僅在過去一年中，就有超過三分之一的實體注冊

世界知識產權組織（WIPO）數據顯示，2019年10月，中國區塊鏈相關專利申請達到1.3萬件，占全球專利申請總量的53%以上

中國央行已就數字貨幣DC/EP申請了84項專利

中國人民銀行DCEP在4個主要城市進行試點，在連鎖店星巴克、賽百味和麥當勞等19家當地企業進行試點

中國人民銀行《金融分布式賬本技術安全規范》

中國人民銀行于2020年2月發布了《金融分布式賬本技術安全規范》（JR/T 0184-2020），這份長達35頁的規范文件闡述了安全要求的各個方面，規定了金融分布式賬本技術的安全體系，包括：基礎硬件、基礎軟件、密碼算法、節點通信、賬本數據、共識協議、智能合約、身份管理、隱私保護、監管支撐、運維要求和治理機制等方面。

大中華區云安全聯盟（CSA GCR）區塊鏈安全工作組

國際著名非贏利組織云安全聯盟大中華區CSA GCR（www.c-csa.cn）成立了專門的區塊鏈/分布式賬本技術工作組，專注于區塊鏈安全（利用最新的安全技術，保障區塊鏈的安全和隱私保護）和區塊鏈技術在網絡信息安全的應用（使用區塊鏈和分布式賬本技術提高網絡信息的安全性），工作組整合國內外的先進經驗及實踐，建立和發展區塊鏈安全指南、最佳實踐以及測試標準等，并發布相應的白皮書、評測規范和檢查清單等，希望幫助廣大的區塊鏈從業者和關注區塊鏈安全的人們，以及改進區塊鏈和網絡信息的安全性。

金色相對論 | 初夏虎：國內區塊鏈基礎技術和應用落地是占據優勢的:在今日的金色相對論中，元界創始人初夏虎發言指出：海外和國內的氛圍很不同，其實國內的基礎區塊鏈技術并不輸給海外，比如密碼學技術。區塊鏈應用落地，我們國內是領先于海外的，如同互聯網一樣，我們國內的應用場景非常豐富，用戶數量很大，培養用戶的習慣比海外用戶容易，資金也非常充足，所以我們區塊鏈落地應用會比海外要容易很多。但是，DEFI，分布式金融的研究和項目，在海外已經大有取代傳統金融之勢，我希望這個國內的區塊鏈研究者能快速跟上。[2020/1/22]

區塊鏈安全：CSA GCR目前有9個區塊鏈安全工作組（https://www.c-csa.cn/），包括智能合約安全、錢包安全、共識算法安全、交易所安全、dApp安全、用戶自治數字身份、網路通訊層安全、數據層的安全、合規KYC/AML 等，未來還會根據需要增加其它相關工作組（如Token經濟激勵安全，治理DAO安全等）。每個工作組都由一位知名的專家領導，共有100多名網絡信息安全專家和區塊鏈安全專家在各個小組工作。

區塊鏈技術在網絡信息安全領域的應用：此外，還有可以將區塊鏈和分布式賬本技術應用于傳統網絡信息安全領域，以改進和完善傳統網絡信息安全（如抗DDOS、身份管理、數據安全和隱私保護、防范盜版及權限管控等），也由其它工作組（如IAM工作組、數據/大數據安全工作組、零信任/SDP工作組、IOT工作組、云/邊緣計算工作組、智慧城市安全工作組、AI安全工作組等），與區塊鏈安全工作組一起協作進行。

OWAS的中國區列出區塊鏈安全十大問題

OWASP中國收集、整理和分析了2011年至2019年間160多個典型區塊鏈安全事件，給出了區塊鏈安全TOP10：

高級可持續威脅

失控的幣值通脹

失效的權限控制

不安全的共識協議

考慮不充分的程序邏輯

不嚴謹的業務策略

金色晨訊 | 孫宇晨：去中心化存儲系統將在4天后公布 b1買入330萬EOS的RAM:1.歐洲央行官員：零售央行數字貨幣可能對金融穩定產生積極影響。

2.孫宇晨：去中心化存儲系統BTFS將在4天后正式公布。

3.日本外相河野太郎：朝鮮正通過竊取加密貨幣等手段逃避經濟制裁。

4.央行狄剛：央行試點“灣區貿易金融區塊鏈平臺” 迄今總金額已超40億。

5.日本雅虎旗下加密貨幣交易所TAOTAO將于5月30日正式運營。

6.凱文·凱利：區塊鏈概念過熱 比特幣在價格停止波動前很難派上大用場。

7.Stellar發布五月綜合報告：Stellar測試網已遷移到Protocol 11。

8.b1買入330萬EOS的RAM，可能與六月即將發布的新產品有關。

9.與螞蟻公司合作區塊鏈信披不充分 塞力斯收上交所發監管函。[2019/5/28]

校驗不嚴格的交易邏輯

脆弱的隨機數機制

存在缺陷的激勵機制

日志記錄和監控不足

http://www.owasp.org.cn/owasp-project/533a575794fe5b895168top10

國內部分區塊鏈安全公司

目前一些中國的區塊鏈安全公司，在過去的幾年里，也發表了許多安全事件報告和分析：

https://www.knownsec.com/

https://www.slowmist.com/and https://slowmist.io/

https://secbit.io/

https://peckshield.cn/

https://beosin.com/#/

https://noneage.com/

區塊鏈安全技術書籍

2018年機械工業出版社出版的<<區塊鏈安全技術指南>>一書，對區塊鏈技術潛在風險的進行詳盡細致的分析：不僅包括區塊鏈技術本身帶來的風險（比如加密技術、身份管理技術、共識技術，以及“智能合約”技術可能涉及的風險），還包括區塊鏈應用方面的風險（例如激勵機制、數據安全和網絡安全等方面可能面臨的風險）。有對區塊鏈技術各種安全機制的深度解剖，還有區塊鏈應用遭受攻擊的案例分析。理論與實際結合，對潛在風險的預期和評估置于現實背景之下。

分析 | 金色盤面：BTC期貨合約持倉變化:金色盤面綜合分析： 據OKEX數據顯示，OKEX的BTC期貨合約持倉達到89069左右。做多賬戶60%，做空賬戶38%，短線看多頭倉位從高位64%減至61%；主力多頭平均持倉比例為23.34%，主力空頭平均持倉比例為19.15%，由于短線累計升幅較大，空頭主力開始試探性增倉，多頭主力依然占優。截止發稿，OKEX現貨價格為6555，期貨合約當周BTC0817價格為6514，貼水接近40點。[2018/8/18]

第1章詳解區塊鏈的安全屬性CIA，主要從保密性、數據完整性、可用性、物理安全性4個方面對區塊鏈的安全屬性進行詳解。

第2章特意挑選了一些主流數字貨幣（包括比特幣、以太幣和Zcash），對其安全屬性進行分析。

第3章為應用與智能合約層的安全控制。主要從Web或者移動客戶端應用程序、智能合約，以及身份與訪問控制3個方面對安全問題以及區塊鏈的身份管理與訪問控制進行了分析。

第4章為激勵層安全機制設計。從激勵的產生和分配以及激勵層安全兩方面進行了分析，并從激勵模式的安全隱患、安全事件、法律風險以及安全措施等方面，對激勵層安全進行了分析，以及如何設計才能有效避免區塊鏈激勵層安全事件的發生。

第5章為網絡層安全與控制。網絡層的安全與控制直接影響區塊鏈的價值，從P2P加密、客戶端與節點通信加密、防御DDoS等攻擊3個方面進行了分析，描述了網絡層安全與控制等的相關安全內容。

第6章為數據層與共識安全。數據層是區塊鏈設計的基礎部分，是影響區塊鏈能否正常運行的關鍵。對區塊鏈數據加密技術、數據傳輸、區塊鏈交易簽名、共識攻擊、區塊鏈安全性考慮5個方面進行分析，闡述了數據層安全的知識以及保障區塊鏈的正常運行的價值。

第7章為私鑰的安全。從私鑰的重要性、使用方法、存在的問題等多個方面對私鑰的安全進行了全面的分析，給出任何使用私鑰才能有效避免安全問題的出現以及私鑰的更新、找回與吊銷等方法和措施，提高區塊鏈的安全性。

金色財經現場報道 云鏈科技CEO：區塊鏈在物流行業大規模應用時間為3-5年:金色財經現場報道，在2018大數據產業峰會上，中國物流與采購聯合會區塊鏈應用分會執行秘書長云鏈科技CEO潘海洪表示，區塊鏈可以很好的解決物流行業效率低，中介等問題，未來物流行業大規模應用的時間為3-5年左右，區塊鏈目前需要在性能、安全、規則方面作出突破才可以進行應用。[2018/4/19]

區塊鏈的安全包括下面幾個方面：

智能合約安全

智能合約承載有價值的數字資產是黑客主要攻擊目標。黑客通過“重入攻擊”、“整數溢出”、“偽隨機數漏洞”等方式盜取數字資產。新的攻擊方法也層出不窮。對于智能合約的案例進行分析，制定測試標準，探索形式化證明在智能合約安全的應用，和智能合約安全的最佳實踐進行研究非常重要。

錢包安全

數字錢包存儲數字資產的私鑰，包括云錢包、在線的熱錢包、離線的冷錢包等等Form Factor。安全隱患主要存在于用戶使用上和錢包的安全技術設計上。數字錢包需要分析案例、制定測試標準和開發與應用最佳實踐，提高錢包的安全性。

共識算法安全

共識算法是區塊鏈底層技術的關鍵。共識算法的安全漏洞包括遠程攻擊、無利害關系攻擊、51%攻擊、自私挖掘、Eclipse攻擊等，主要研究算法的(security)和活躍性（liveness)，包括對常用的共識算法POW、POS、DPOS、BFT、POC、POA算法等的安全性研究；希望建立制定測試標準和算法開發最佳實踐，提高共識算法的安全性。

交易所安全

交易所是數字資產價格發現和價值交換的主要工具。主要有中心化和去中心化交易所。交易所安全漏洞頻發，研究交易所安全，保護用戶數字資產安全是區塊鏈發展的必要條件之一。需要分析案例，制定測試標準和開發與應用最佳實踐，Check list 等等。

dApp安全

分析主流公共鏈上dAPP開發（以太坊、EOS、Tron等）的安全案例，提出最佳實踐、安全指南以及測試標準等，并發布相應的白皮書、評測規范和檢查清單等，希望幫助廣大的dApp從業者，提高dApp的安全性。在目前，DeFi的應用非常火，但是安全問題經常發生。主要是項目方對于安全重視不夠。

金色財經獨家分析 業界對區塊鏈階段判斷總體一致:近期對于區塊鏈所處的位置有幾種判斷，是應用的元年、是互聯網的1980年代、是經濟的1776等等。雖然這些判斷中時點上跨度很大，但都認為是行業早期。對于階段判斷的意義主要是為經濟策略作準備。產業初期的技術尚不完備，需求沒有被廣泛發掘，政策、理論基本沒有形成，成本的投入也十分巨大。產業初期判斷的聲音也體現了整個行業要求被保護和扶植的訴求，盡管是為了消除“中心化”的而生，追求更加透明與平等，但現在客觀情況就是，區塊鏈仍需要來自權威和中心的支持與引導。[2018/4/16]

用戶自治數字身份

去中心化數字身份（DID：Decentralized ID）或者自治數字身份（SSI：Self Sovereign Identity)是區塊鏈落地應用的基礎，目前對于這方面的安全研究才剛剛開始，但具有十分重要的意義。需要研究歐盟的SSI標準、北美為主的DID標準以及元界的Avatar數字身份和EID數字身份鏈，探索安全方面的最佳實踐、安全指南以及測試標準等，并發布相應的白皮書、評測規范和檢查清單等，希望幫助廣大的DID/SSI開發者和使用者，提高其安全性。

網絡通訊層安全

區塊鏈網絡的安全運行是區塊鏈系統可靠運行的關鍵。黑客利用“日蝕攻擊”、“巫婆攻擊”、“交易溯源”等方法破壞數據完整性和系統可用性，對交易機密性進行攻擊給區塊鏈技術的落地實踐帶來了巨大的隱患。此外，基于區塊鏈可以構建一個新的安全通信系統。需要分析案例，制定測試標準，探索區塊鏈交易溯源、隱私保護、數據完整性等技術，開展基于區塊鏈網絡層的數據隱蔽通信等應用，研究5G技術對區塊鏈網絡的影響。

數據層的安全區塊鏈數據安全問題：

數據隱私保護（數據變形、數據加密、限制數據發布等）

數據可用性保護（網絡可追溯性、連通性）

數據完整性保護（雙花攻擊防御、挖掘攻擊防御）

數據可控性保護（智能合約的邏輯和語義分析、訪問控制、安全審計）等以提高區塊鏈數據安全和隱私保護。

合規（AML/KYC等技術與安全）

隨著加密數字資產價值的不斷提高，它越來越被人們所接受和使用。由于數字資產的匿名性，世界各國都在加緊對鏈上資產加密交易的監管，對KYC的需求也在不斷增加。AML/KYC工作組通過對鏈上數據的分析，討論了區塊鏈上的異常交易、識別鏈上對應地址（KYC）背后實體的方法，以及追蹤匿名數字貨幣的方法。

區塊鏈開發安全工具

利用區塊鏈的不可篡改性對于數據的完整性進行保護，包括美國的國家安全部在研究的區塊鏈數據完整性系統就是把中心化需要保護的數據的Hash(相當于數據的指紋）進行上鏈，在使用的過程中檢測數據庫里面的數據的Hash與區塊鏈上的相對應的Hash是否相同來判斷數據的完整性。

密碼學在區塊鏈的應用

零知識證明，同態加密，和安全多方計算在區塊鏈和云安全領域有非常大的應用。目前，美國斯坦福大學，伯克利分校，和美國灣區的一些初創公司非常重視這方面的研究。比如，零知識證明可以用于隱私保護，性能擴充，和跨鏈交易證明。因此各種零知識證明的優化方法層出不窮。零知識證明用于隱私保護主要是保護交易雙方的地址和具體交易的內容。零知識證明用于性能擴充，主要是利用零知識的遞歸證明減少驗證所需要的時間和內存，從而既能保證隱私，又能提高效率。在多方交易的情況下（比如供應鏈金融）安全多方計算是一個非常有用的算法。另外，同態加密意味數據可以在不被解密的情況下進行處理，處理的結果只有數據的擁有者才能解密。這個對于云安全和區塊鏈都有重大的意義。目前能夠滿足全同態加密的算法的速度還不夠，但是這方面的研究正在學術界如荼如火地進行。

公鏈和聯盟鏈安全

公鏈和聯盟鏈的主要兩個區別：公鏈不需要身份就可以進入公鏈的網絡。聯盟鏈必須經過身份或者證書的驗證才能進入聯盟的網絡。另外一個區別是共識算法。公鏈的共識算法對安全要求比較聯盟鏈的共識算法安全要高。在公鏈與聯盟鏈結合的時候需要考慮到他們之間不同的安全的要素。

跨鏈安全

跨鏈可以有同構的跨鏈和異構鏈之間的跨鏈。同構的跨鏈的安全方面較為簡單。因為同構的區塊鏈具有相同共識算法，共同的數據格式和交易確認時間。如果其中某一條鏈分叉了，另外一條鏈應該在規定的時間可以收到信息并且進行處理。但是異構鏈之間的跨鏈，如果其中某一條鏈分叉了，怎么辦？這還是一個沒有解決的問題。所以，跨鏈之間的安全是非常值得深入探討的問題。

節點配置安全

區塊鏈的共識節點決定數據的一致性問題。如果共識節點因為配置的不夠安全，遭到黑客攻擊，成為錯誤的節點。那么在這種情況之下，就有可能造成區塊鏈網絡的不安全。

運維安全及安全預算建議

區塊鏈項目在上線以前必須通過第三方的安全審計。即使在上線以后也要做定時的安全監測，因為新的安全攻擊經常發生。如果有新的智能合約或者新的應用案例上線以前，必須進行安全的檢測。在運維過程之中，需要建立一系列的工具去檢測區塊鏈網路的運行狀況，一般來說，整個區塊鏈項目10%到20%的預算必須用于安全。低于10%安全預算的區塊鏈項目基本上在上線6個月內就會有重大的安全問題發生。

區塊鏈安全與企業組織關系

一個企業如果決定利用區塊鏈部署應用落地項目，那么這個公司必須有區塊鏈安全的專職人員。公司的CEO必須對于安全負責。分析以前在國內或國外的區塊鏈安全事件，100% 都是因為公司的主要負責人（CEO）對于安全不重視，有的即使有區塊鏈安全的專職人員，因為不能得到公司的支持，不能真正發揮作用，最終還是導致安全事件發生。因此區塊鏈安全與企業組織關系必須有利于安全的技術開發和落地，也必須有利于第三方的安全審計。

隱私計算（Privacy Computing）

隱私計算是指在保護數據本身不對外泄露（隱私保護）的前提下，實現數據分析計算的一類信息技術，主要分為密碼學和可信硬件兩大領域。

密碼學中重要的技術有多方計算MPC、同態加密、零知識證明ZKP、差分混淆等。多方安全計算技術核心思想是設計特殊的加密算法和協議，從而支持在加密數據之上直接進行計算。目前MPC通過秘密分割、不經意傳輸、混淆電路或同態加密等專門技術實現，通用性相對較低、性能處于中等水平，但近年來性能提升迅速、應用價值極高。

可信硬件技術目前主要指可信執行環境（TEE），其核心思想是構建一個硬件安全區域，數據僅在該安全區域內進行計算。TEE將信任機制交給硬件方（Intel的SGX、ARM的TrustZone、AMD的SEV等產品），嚴格來講并不屬于“數據可用不可見”，但其通用性高、開發難度低，使得在數據保護要求不是特別嚴苛的場景下存在價值發揮的可能。

此外，還有了聯邦學習、共享學習、知識聯邦、聯邦智能等一系列“聯邦學習類”技術，以實現機器學習、數據建模、數據預測分析等具體場景為目標，通過對上述技術改進融合，在算法層面進行調整優化而實現

綜上所述，區塊鏈安全目前面臨的主要問題有共識過程的中心化、智能合約代碼漏洞、算法漏洞、系統實現代碼漏洞等，分析區塊鏈安全性CIA需要從綜合系統安全性、算法安全性、使用安全性、實踐安全性與協議安全性等方面進行分析完善。行業需要從學術、技術和實踐等方面研究區塊鏈安全，探究其中存在的安全風險、對抗風險所需采取的措施，以及實踐經驗，最后形成一個安全規范，作為檢測、開發、應用的具有開放性和經濟性的指導標準，以解決“區塊鏈的安全，誰來保障？”的問題，為打造一個更安全的數字經濟和數字時代DT的到來打下堅實的基礎和保障。

作者：Larry, 黃連金

Tags：區塊鏈HTTTPS數字資產區塊鏈的未來發展前景肖磊CHTT價格tps幣圈數字資產管理系統

MANA