如何应对区块链基础设施安全风险?

区块链资讯人民邮电报2020-01-15 13:17:40  阅读 -评论 0

区块链技术提供了一种颠覆性的数据存储、传播和管理机制,已然成为全球科技和经济发展新热点。2019年10月,习近平总书记在主持中共中央政治局第十八次集体学习时强调,“要把区块链作为核心技术自主创新的重要突破口”“要加强对区块链安全风险的研究和分析”“探索建立适应区块链技术机制的安全保障体系”。区块链基础设施通过建立区块链底层架构和平台,为区块链技术、产业和应用提供落地所必需的存储、传输、计算、开发和测试等区块链底层核心能力、资源和服务,有力清扫区块链落地进程中必须解决的区块链底层性能不足和开发技术门槛过高等障碍。对其开展安全风险研判和安全保障能力建设既响应了习近平总书记讲话精神,也可为区块链应用落地提供必要、安全、可靠的基础能力。

如何应对区块链基础设施安全风险?

区块链基础设施安全保障势在必行
近年来,政府和行业已紧密推出区块链基础设施建设项目,加强区块链基础能力建设。欧盟多国自2018年起开展合作共建欧洲区块链服务基础设施(EBSI);以微软、IBM、亚马逊、阿里云为代表的行业巨头作为区块链基础设施服务商,陆续推出区块链即服务(BaaS)这一新兴区块链基础服务,预测到2024年BaaS全球市场总价值将达到305.9亿美元;2019年由国家信息中心规划,中国移动、中国银联等多方联合研发的区块链服务网络(BSN)开始公测,旨在提供全国性区块链服务基础设施平台。区块链基础设施可为上层应用落地提供满足计算能力、带宽、能耗、存储、时延、吞吐量等多项性能需求的底层能力、资源与服务,加快其能力建设是“区块链﹢”服务在通信、零售、银行、贸易、政府等关乎国计民生的各大行业落地成功的关键所在,也是推动区块链行业发展的必然所需。
区块链基础设施作为对上承载各类区块链应用、对下衔接网络基础设施的核心枢纽,其所面临的漏洞利用及DDoS攻击等威胁,将对其上的区块链应用、用户数据乃至整个区块链生态带来由点及面的安全影响。因此,加强区块链基础设施安全能力建设已成为构建安全、健康、可靠的区块链生态中不可或缺的一环。当前,国内外已初步开展相关工作,安全体系仍待进一步完善。欧盟于2017年推出研究项目以评估区块链基础设施覆盖欧盟全境的潜力,包含安全保障机制评估;通信行业标准协会也已开展区块链基础设施安全系列标准研制工作。
区块链基础设施面临多种安全风险
区块链基础设施融合了密码协议机制、P2P网络协议、共识机制、智能合约等传统技术和新技术,不仅面临着因安全特性而愈发严峻的传统机制安全风险,还面临区块链核心机制带来的新型安全风险。
1、传统机制安全风险
节点设备安全风险:包括来自网络节点、存储设备自身以及所处环境的安全风险,如LevelDB、Redis等数据库中可能存在未及时修复的安全漏洞,导致对网络节点、存储设备的未经授权的访问和入侵。
传统网络安全风险:包括DDoS攻击、病毒木马攻击、DNS污染、路由广播劫持等传统网络安全风险。
2、区块链核心机制安全风险
P2P组网安全风险:面临因节点故障、网络连接断裂以及内部恶意节点等带来的组网安全风险,导致数据不一致性、拒绝服务、节点隔离等。如可用于攻击比特币以太坊P2P协议的日蚀攻击,通过垄断一切与攻击目标节点的连接,使得攻击目标只能收到来自攻击者的选择性转发的信息,实现对攻击目标的算例等共识资源的控制。
共识机制安全风险:内部和外部攻击者可利用共识机制自身设计漏洞、节点失效或链路断裂、虚假身份等脆弱性,破坏共识机制的一致性、可靠性、可用性,导致共识无法收敛、收敛时间较长超出可用范围、记录分叉等情况。当攻击者算力或比例达到一定程度时,可开展算力攻击、分叉攻击等攻击手段,实现对共识过程和结果的控制。
智能合约安全风险:面临来自智能合约运行环境漏洞以及智能合约自身代码、逻辑漏洞等风险,包括合约编程Solidity安全漏洞、编译器错误、以太坊虚拟机错误等,攻击者可挖掘并利用智能合约中的逻辑漏洞和代码漏洞实施不符合智能合约约定的操作。
密码机制安全风险:密码学机制的固有安全风险在区块链系统中仍然存在,包括密钥分发管理风险、密码算法设计后门和开发漏洞等。此外,随着量子计算技术的飞速发展,或可在秒级时间内破解非对称密码算法中的大数因子分解等难度问题,破坏加密算法安全性,成为密码机制面临的潜在安全威胁。
保障区块链基础设施安全
针对区块链基础设施系统平台面临的传统与新型安全风险,一方面需部署结合传统安全机制从事前到事后开展有效的防护检测;另一方面,还需根据区块链基础设施核心技术采用特有的安全应对措施。
P2P组网安全:应采用核心节点冗余配置,保障在断网断线情况下的业务可用性;通过心跳连接等方式实时反馈全网网络拓扑连接情况,及时检测并应对节点失效、节点异常、攻击入侵等情况;同步机制应确保节点断线重连后,可与其他节点实现状态一致性,并可及时检测攻击者垄断连接的情况。
共识机制安全防护:共识协议应具备容错能力,即可容忍一定范围的节点物理或网络故障导致的非恶意节点断线和网络分区,还应可抵御合谋攻击、女巫攻击等恶意攻击行为。
密码机制安全:密码机制应符合密码相关国家要求,密码实现过程中应进行有效的代码混淆,确保攻击者无法提取核心密码算法和密钥信息。
智能合约安全:提供在运行安全、接口安全、安全配置等方面的智能合约开发规范,以及必要的代码安全检查,包括智能合约基线安全检测、框架性安全检测等。
传统加密认证机制:在核心业务接入、网络接入等环节中设计实现身份鉴别、访问控制、数据安全管理、密钥管理等传统加密认证机制,防范缓解恶意节点、非授权访问、数据泄露等风险。
传统入侵防范与检测机制:通过部署资源监控和入侵检测等防范机制,对网络资源使用情况、网络运行情况进行监测分析,实现对恶意节点、DDoS等入侵攻击的有效检测和联动处置。
物理环境和管理安全:包括区块链基础设施所处物理环境在机房位置、电力供应、防外界灾害等方面的安全防护,制定并落实管理制度、人员管理、灾难恢复预案等管理制度。
本文作者:中国信息通信研究院安全研究所 查选 孟楠

声明:链世界登载此文仅出于分享区块链知识,并不意味着赞同其观点或证实其描述。文章内容仅供参考,不构成投资建议。投资者据此操作,风险自担。此文如侵犯到您的合法权益,请联系我们kefu@lianshijie.com

参与讨论 (0 人参与讨论)

相关推荐

中国2019年区块链投资总额比2018年减少40%

中国2019年区块链投资总额比2018年减少40%

2019年全年,中国共有245笔投资和融资交易,比上年减少近60%。因此,根据数据显示,2018年至今仍是中国区块链投资支出的最高峰,全年发生超过600笔交易,而2017年仅占168笔交易。

【理论研究】通证数字经济实现路径:产业数字化与数据资产化

【理论研究】通证数字经济实现路径:产业数字化与数据资产化

本文着眼于传统经济向数字经济转型的路径和工具的分析,首先要厘清产业数字化和数据资产化这两个主要概念。产业数字化和数据资产化必然会形成大量的数字资产。

币安宣布已投资区块链社区媒体TokenClub

区块律动 BlockBeats 消息,据加密货币交易平台币安昨日公告,币安此前已经投资区块链社区媒体 TokenClub,但未披露投资金额。币安同时宣布,TokenClub 的代币 TCT 将于香港时间 1 月 21 日 22 时上线币安,并开通 TCT/BNB、TCT/BTC、TCT/USDT 交易对。

2019年Github开发最活跃的区块链项目:Cardano、以太坊及Kusama分列前三

2019年Github开发最活跃的区块链项目:Cardano、以太坊及Kusama分列前三

区块律动BlockBeats 消息,CryptoDiffer 今日发布 2019 年 Github 上每日平均开发最活跃的区块链项目排行,该数据统计由 Santiment 团队完成。Github 上开发活跃排名第三名的是波卡的平行测试网络

提示集(tipsets)-进一步了解Filecoin构建区块

提示集(tipsets)-进一步了解Filecoin构建区块

协议实验室不拘一格, 推出了IPFS,旨在使网络更快,更安全,更开放。我们正在凭借Filecoin逐步在区块链上建立一个去中心化的存储市场,用户可以针对额外的存储空间进行租用。 区块链建立在由唯一的加密哈希表示的块上,并永久记录在区块链上。 所有这些人信息块串连在一起构成了区块链,并带来了一组对状态进行编码的给定系统的更新。 区块链使用共识协议来确定如何扩展其账本。 包括可以更新

中信银行打造“区块链”信用证结算!

中信银行打造“区块链”信用证结算!

科技不会改变金融的实质,但却能让金融服务更高效,能让资金供、需方信息不对称的问题更好地解决。近期,中信银行首个区块链项目——基于区块链的国内信用证信息传输系统(简称BCLC)(一期)成功上线,这是国内银行业第一次将区块链技术应用于信用证结算领域。 据中信银行国际业务部总经理助理张栩青介绍,将现在流行的区块链技术应用在国内信用证中,改变了银行传统信用证业务模式,信用证的开立、通知、交单、承兑报文

中国信息技术部门成立区块链研究实验室

中国信息技术部门成立区块链研究实验室

暴走时评:本月初,中国政府对国内的ICO和数字货币交易所的打击在世界范围内引起了强大反响,但政府已经多次声明不会将区块链与数字货币划等号,依然非常重视区块链技术在中国的发展。鉴于中国工业和信息化部成立了一个专门研究区块链的实验室,这一论调也得到了进一步的证实。 虽然中国政府最近在大力打击比特币交易所和ICO,但仍然致力于开发区块链在其他领域的潜力。 据财新网报道,中国工业和信息化部已经成立了一

 分布式账本中的生命科学

分布式账本中的生命科学

生物科学是医学领域涉及遗传研究,疾病预防和生活方式治疗(lifestyle treatments)的学科。它已经存在了很长时间,但区块链技术的基础设施应用给该学科提供了重大进步的可能性。 根据Pistoia Alliance进行的2016年6月份高级制药和生命科学领袖调查,83%的受访者表示,他们预计在五年内将全面采用区块链技术。 Pistoia Alliance是一个全球性的非营利组织,致

麦妖榜
更新日期 2019-09-03
排名用户贡献值
1牛市来了30910
2BitettFan24187
3等待的宿命23810
4区块大康20369
5六叶树20310
6linjm122719429
7天下无双16192
8lizhen00215280
9让时间淡忘14586
10yelanyi050511349
返回顶部 ↑