1. <nav id="9tq2v"><big id="9tq2v"><video id="9tq2v"></video></big></nav>
        1. <label id="9tq2v"></label>
          设为首页 - 加入收藏 镇江站长网 (http://www.uswotlk.com)- 中小站长必上的网站 - 聚焦镇江站长前沿资讯!
          热搜: 手机 优酷 中国 创业者
          当前位置: 主页 > 新闻资讯 > 评论 > 正文

          一文看懂区块链安全6大分类3大问题

          发布时间:2018-10-28 10:58 所属栏目:[评论] 来源:佚名
          导读:副标题#e# 一、导语 2018年8月6日,腾讯安全发布《2018上半年区块链安全报告》,报告显示,目前在全球范围内,已出现了1600余种加密数字货币,2018年上半年,区块链领域因安全问题损失超27亿美元,而且因区块链安全事件损失的金额还在不断攀升。从IOTA邮件

          一、导语

          2018年8月6日,腾讯安全发布《2018上半年区块链安全报告》,报告显示,目前在全球范围内,已出现了1600余种加密数字货币,2018年上半年,区块链领域因安全问题损失超27亿美元,而且因区块链安全事件损失的金额还在不断攀升。从IOTA“邮件门事件”、USDT“假充值漏洞”、EOS“彩虹攻击”,到BEC与SMT“整数溢出攻击漏洞”、BTG“51%算力攻击”等等,这一系列的事件引发了大家的广泛关注与思考。

          区块链安全威胁主要有哪些?为什么智能合约的安全问题如此重要,会引起这么多人关注?智能合约的安全类型有多少种?现在主流的安全监测方法有哪些?最有效的方法又是什么?大家如何能获得安全无漏洞的智能合约代码?针对这一系列问题,我们对安比实验室(SECBIT)创始人郭宇进行了采访,为大家系统介绍区块链行业安全问题及主流解决方案。

          二、区块链安全六大类型

          从安全角度来看,区块链技术可分为五层,相应安全问题则为六大类。

          一文看懂区块链安全6大分类3大问题

          区块链2.0版本技术架构

          第一层,密码学。密码学是区块链最底层的支撑技术,包含了哈希算法、数字签名、随机数等,如果这些密码学技术存在问题或者漏洞,那么基于此的整个区块链构建的信任将会坍塌。

          虽然目前密码学技术已经颇为成熟,存在巨大漏洞的可能性比较小,但是仍然不排除一些项目存在问题。2017年7月15日,具有“物联网世界第一币”之称IOTA收到了麻省理工学院附属的学术研究组DCI的邮件,提醒IOTA团队,IOTA的哈希算法Curl-P存在弱点,DCI可以对该系统进行成功的攻击,窃取用户资金。虽然IOTA随后对DCI的邮件进行了质疑和反驳,到目前为止,也没有用户因为此漏洞而发生资金被盗的情况,但这一事件引起了大家对IOTA和其他项目在密码学技术安全上的关注。

          第二层,用户私钥的生成、使用与保护。用户参与区块链的凭证是一对公私钥,每个人通过区块链产生交互行为的前提就是他拥有安全的私钥、并且能保管好自己的私钥,因此私钥的生成、试用与保护问题就非常重要。

          今年7月,EOS就因私钥生成工具存在安全隐患,创建的私钥被黑客发现漏洞,并实施“彩虹”攻击,导致账户数字资产被盗,造成上千万数字资产损失。

          第三层,节点系统安全漏洞。这一问题归属于传统安全范畴,比如区块链节点不能存在缓冲区溢出等传统的安全漏洞。另外区块链节点的实现要能忠实地正确实现区块链的共识协议;节点不能暴露不该暴露的API接口,导致黑客可以无障碍的获取一些节点关键信息。无论是以太坊还是EOS都曾经被爆出过比较严重的安全漏洞。这一部分安全也是至关重要的。

          第四层,底层共识协议。目前市场上主流的区块链共识协议有以下几种,POW、POS、DPOS、PBFT。底层共识协议决定了区块链整个架构是否可信,能不能真正做到形成一个具有共识的区块链。现在真正被证明安全的共识协议并不多,因为共识协议本身无论从理论、还是从技术实现上都不简单。而经过长时间验证的共识协议是比较安全的,比如像比特币的POW。 共识协议有一个不可能实现的三角关系:安全、去中心化和效率,这三者只能同时实现两样。如果追求效率,要么牺牲去中心化,要么牺牲安全。

          一个区块链系统的共识协议是不是安全这个问题至关重要。

          理论上,基于底层共识协议创建的所有数字货币都是存在51%算力攻击风险。今年上半年,就有至少4种数字货币分别受到了51%算力攻击,分别是Monacoin 、Bitcoin Gold、Verge和Electroneum,给用户造成数千万美元损失。

          美剧《硅谷》中“51%算力攻击”

          第五层,智能合约。智能合约是一套以数字形式定义的承诺(promises),包括合约参与方可以在上面执行这些承诺的协议。任何参与方都能在应用层创建合约,也就是所谓的DAPP(去中心化应用)。这也是目前出现安全问题最多的地方。

          智能合约安全隐患包含了三个方面:第一,有没有漏洞。合约代码中是否有常见的安全漏洞。第二,是否可信。没有漏洞的智能合约,未必就安全,合约要保证公平可信。 第三,符合一定规范和流程。由于合约的创建要求以数字形式来进行定义承诺,所以如果合约的创建过程不够规范,就容易留下巨大的隐患。

          目前市场上很多智能合约均存在安全漏洞问题,比如,6月3日,安比实验室(SECBIT)发现Ethereum上出现81个合约带有相同错误,ERC20 Token合约中的transferFrom函数存在巨大隐患,一旦部署后出现问题,将造成不可挽回的损失;6月6日,安比实验室(SECBIT)发现ERC20代币合约FXE由于业务逻辑实现漏洞,任何人都可以随意转出他人账户中的Token,Token随时面临彻底归零风险。

          作为区块链行业从业者、智能合约使用者或是加密货币拥有者,应该学习相应的密码学和智能合约编程知识,切不可随意复制使用涉及资金安全的合约和公私钥等的代码。如果恶意攻击者,将带有严重漏洞的代码公开在网络上进行传播,诱导技术开发能力欠缺的组织使用,将会给使用者造成毁灭性打击和不可挽回的损失。

          第六层,激励机制设计。智能合约要完成协作,通常是要设计相应的经济激励机制。经济激励是区块链技术里面非常有突破性的一个概念。一个真正健康有活力的区块链生态,需要一个很好的激励机制。但是经济激励设计得不够安全,可能生态就无法建设起来,比如典型的类庞氏游戏,这一点大家要警惕。

          三、智能合约三大问题

          前面介绍的六层区块链安全问题,都是依托相应的技术层级来划分的,越底层的技术越稳定,比如密码学从一开始选定之后,就不会轻易改动。

          智能合约由于比较灵活,任何人都可以创建,所以相对容易出安全问题。

          任何用户都能创建一个有共识基础的合约,就好像是每个老百姓都可以基于某部法律写一份合同,这个法律是一种共识机制(平台),这个合同也是有内在的约束条款,使用DAPP就像签订合同,所有行为都要按照这个合同条款执行。因此,智能合约的安全隐患,直接关系到用户的财产损失。

          到目前为止,安比实验室(SECBIT)发现了市场上智能合约的三大问题:

          【免责声明】本站内容转载自互联网,其相关言论仅代表作者个人观点绝非权威,不代表本站立场。如您发现内容存在版权问题,请提交相关链接至邮箱:bqsm@foxmail.com,我们将及时予以处理。

          网友评论
          推荐文章
          金亚洲游戏