區塊鏈技術近年來快速發展,技術應用已延伸到數字金融、物聯網、智能制造、供應鏈管理、數字資產交易等多個領域。
作為核心技術自主創新的重要突破口,安全問題被視為當前制約行業健康發展的一大短板,區塊鏈安全事件屢屢發生,甚至成為黑客攻擊的“重災區”。公鏈的安全問題對于公鏈發展的影響已經不言而喻,而聯盟鏈的安全問題也不容忽視,今天我們主要來跟大家探討下聯盟鏈的安全問題。
什么是聯盟鏈?
聯盟鏈是由多個機構共同參與管理的區塊鏈,每個組織或機構管理一個或多個節點,其數據只允許系統內不同的機構進行讀寫和發送。?聯盟鏈的各個節點通常有與之對應的實體機構組織,通過授權后才能加入與退出網絡。各機構組織組成利益相關的聯盟,共同維護區塊鏈的健康運轉。
國內常見的聯盟鏈有:螞蟻鏈、BSN聯盟鏈、騰訊至信鏈、百度超級鏈、京東智臻鏈、新版鏈、天河鏈、趣鏈、網易星球區塊鏈、長安鏈等。
聯盟鏈優缺點??
優勢
1)更高的處理效率
聯盟鏈的信任環境允許少數節點參與生態的治理,商業決策的處理能力較高。
2)可擴展性更高
英國考慮將加密資產引入投資交易清單,以支持加密資管行業發展:6月24日消息,英國考慮將加密資產引入投資交易清單,目前已宣布就英國投資經理豁免(IME)可能擴大到加密資產進行公開咨詢。此舉旨在為基金投資者提供管理加密資產投資組合的安全港,并讓其享受稅收優惠政策,從而鼓勵新的加密資產投資管理企業在英國建立。[2022/6/24 1:29:59]
聯盟鏈可以根據復雜的商業環境進行技術迭代。聯盟鏈在落地時,考慮更多的是如何將過去的數據孤島打通,同時讓聯盟中流通的數據是可信的,不用像過去一樣做頻繁的校驗。
3)智能合約應用場景更多
基本上可以實現中心化機構所有的業務邏輯,且具交易最終性。
4)可控性較強
公有鏈是一旦區塊鏈形成,就不可篡改,而聯盟鏈,只要所有機構中的大部分達成共識,即可將區塊數據進行更改。
5)具有更大的隱私性
不同于公有鏈,聯盟鏈的數據不會默認公開,只限于聯盟里的機構及其用戶才有權限進行訪問,隱私性更強。
缺點
1)容易被惡意用戶攻擊
由于聯盟鏈半中心化結構的原因,它很容易被惡意玩家所攻擊。在有限的節點內,可以假定多個參與者會出現合謀的可能性。
動態 | 比特幣協會聘請Ella Qiang擔任東南亞經理發展BSV業務:據官方消息,比特幣協會(Bitcoin Association)聘請Ella Qiang擔任東南亞經理發展BSV業務。據悉,Ella Qiang為BSV錢包RelayX創始團隊成員。[2020/2/26]
2)缺少行業統一標準
因為缺少行業統一標準,在解決方案上免不了會有各種障礙,但是目前整個生態距離聯盟鏈的統一框架還是很遙遠。
聯盟鏈的典型應用場景??
聯盟鏈技術可以用來優化大多數傳統信息化系統的業務流程,特別適用于沒有強力中心、多方協作、風險可控的業務場景。聯盟鏈的共享賬本機制可以極大降低該類場景下的對賬成本、提高數據獲取效率、增加容錯能力、鞏固信任基礎、以及避免惡意造假。
隨著區塊鏈技術的不斷發展,越來越多的機構與企業開始加大對區塊鏈的研究與應用。相比公鏈而言,聯盟鏈具有更好的落地性,受到了許多企業與政府的支持。
目前,聯盟鏈的典型應用場景有:商品溯源、公益慈善、供應鏈金融、電子政務、互助保險、物聯網等,另外在數字版權、數字身份、教育、醫療、能源、文化娛樂及民生等垂直產業和領域也都有聯盟鏈的身影。
聲音 | 福州市大數據委主任:促進產業聚集,加速推進福州區塊鏈產業發展:金色財經報道,在第二屆區塊鏈產業與企業家國際峰會上,福州市大數據委主任張青雅表示,福州正加快區塊鏈經濟綜合試驗區建設,推動區塊鏈技術和行業應用的融合發展,打造一批標桿示范應用,引進和培育一批區塊鏈創新企業,讓福州成為全國重要的區塊鏈創新聚集地、產業集聚地和人才聚集地。借助峰會,也希望匯聚行業優秀企業家到福州考察投資,吸引區塊鏈產業、技術、人才、項目落地福州,促進產業聚集,營造區塊鏈行業發展的良好氛圍,加速推進福州區塊鏈產業發展。[2019/12/21]
聯盟鏈有哪些安全問題?
聯盟鏈中存在的安全問題主要包括網絡安全、主機安全、鏈平臺安全和智能合約安全。
網絡安全:聯盟鏈也易遭受到傳統的網絡安全威脅,包括網絡釣魚攻擊、DNS劫持攻擊、DDos攻擊、IP欺騙、會話劫持、域名劫持等。
主機安全:主機安全主要包括服務器基礎策略配置、防火墻配置策略、權限管控、第三方模塊安全、應用服務安全、端口安全、數據庫服務安全等。
下面重點給大家介紹下鏈平臺安全和智能合約安全問題。
?聯盟鏈鏈平臺安全問題??
聲音 | 上海市委常委:運用區塊鏈等新技術 發展積極健康向上的網絡文化:上海市委常委、宣傳部長周慧琳近日發文指出,當前,上海正全面推動《新時代公民道德建設實施綱要》,我們要主動適應上海網絡產業發達、網民占比較高的實際,持續深化“網德工程”,并積極運用區塊鏈、人工智能等新技術,微電影、短視頻等新載體,發展積極健康向上的網絡文化,推動互聯網這個最大變量成為公民道德建設的最大增量。(新浪財經)[2019/11/26]
聯盟鏈鏈平臺安全問題包括:交易安全、共識安全、賬戶安全、合規性、RPC安全、端點安全、P2P安全等。
聯盟鏈的安全事故大多發生在其算法和底層設計本身,但依然有黑客出于商業目的進行攻擊。黑客攻擊聯盟鏈的手法包括:內部威脅、DNS攻擊、MSP攻擊、51%的攻擊等。
以MSP攻擊為例:MSP是Fabric聯盟鏈中的成員服務提供商(Membership Service Provider)的簡稱,是一個提供抽象化成員操作框架的組件,MSP將頒發與校驗證書,以及用戶認證背后的所有密碼學機制與協議都抽象了出來。一個MSP可以自己定義身份,以及身份的管理(身份驗證)與認證(生成與驗證簽名)規則。
聲音 | IOTEdge負責人:新的通證經濟將促進物聯網生態發展:IOTEdge.co負責人表示,據中國物聯網研究發展中心預計,到2020年我國物聯網產業規模將達到2萬億,產業鏈發展潛力顯著。但目前的物聯網缺乏標準化,打破行業壁壘與信息孤島、建立統一的互聯互通標準變得非常重要。
她還表示:iotedge.co正在利用區塊鏈技術解決物聯網遇到的一些問題,以去中心化的思想,利用現有邊緣節點(Edge Node),打造新的共識系統。新的通證經濟將大大促進物聯網的生態發展,使得實現不同產品、不同協議之間互聯互通,而避免信息孤島的出現,加速物聯網行業的快速普及。[2019/4/7]
針對MSP的攻擊,一般來說,可能存在如下幾個方面:
(1)內部威脅
a)如果某個內部人員持有了可以管理MSP的證書,他將可以對Fabric網絡進行配置,比如添加或撤銷訪問權限,向CRL添加身份(本質上是列入黑名單的身份);
?b)如果有傳感器等物聯網設備接入聯盟鏈,其可能傳播虛假信息到鏈上,并且因為傳感器自身可能不支持完善的安全防護,可能導致進一步的攻擊。
(2)私鑰泄露
節點或者傳感器的證書文件一般存儲在本地,可能導致私鑰泄漏,進而導致女巫攻擊、云中間人攻擊(Man-in-the-Cloud attack)等。
(3)DNS攻擊
當創建新參與者的身份并將其添加到MSP時,在任何情況下都可能發生DNS攻擊。向區塊鏈成員創建證書的過程在許多地方都可能發生攻擊,例如中間人攻擊,緩存中,DDOS。
(4)CA攻擊
數字證書和身份對于MSP的運行至關重要。Hyperledger Fabric允許用戶選擇如何運行證書頒發機構并生成加密材料。選項包括Fabric CA,由Hyperledger Fabric,Cryptogen的貢獻者構建的過程,以及自己的/第三方CA。
這些CA本身的實現都有其自身的缺陷。Cryptogen在一個集中的位置生成所有私鑰,然后由用戶將其充分安全地復制到適當的主機和容器中。通過在一個地方提供所有私鑰,這有助于私鑰泄露攻擊。除了實現方面的弱點之外,MSP的整體以及因此區塊鏈的成員資格都在CA上運行,并且具有信任證書有效的能力,并且證書所有者就是他們所說的身份。
對知名第三方CA的攻擊如果成功執行,則可能會損害MSP的安全性,從而導致偽造的身份。
? 聯盟鏈智能合約安全問題??
為了提升效率,支持更加友好的設計,各聯盟鏈在智能合約上出現了不同的發展方向。聯盟鏈智能合約相較于常規公鏈在規范性、和安全性都有一定的提升,但在以下幾個方面仍可能存在安全風險:
?代碼語言安全性問題?
一種是繼續沿用主流公鏈編程語言,并在其基礎上改進(如:BCOS使用的solidity),另一種則是以通用編程語言為基礎,指定對應的智能合約模塊(如:fabric的Go/Java/Node.js),不管使用什么語言對智能合約進行編程,都存在其對應的語言以及相關合約標準的安全性問題。
合約執行帶來的安全問題??
整型溢出:不管使用的何種虛擬機執行合約,各類整數類型都存在對應的存儲寬度,當試圖保存超過該范圍的數據時,有符號數就會發生整數溢出。
堆棧溢出:當定義方法參數和局部變量過多,字節過大,可能使程序出現錯誤。
拒絕服務攻擊:主要涉及到的是執行合約需要消耗資源的聯盟鏈,因資源耗盡而無法完成對應的交易。
系統機制導致的合約安全問題? ?
這里主要是指多鏈架構的聯盟鏈:
合約變量的生成如果依賴于不確定因素(如:本節點時間戳)或者某個未在賬本中持久化的變量,那么可能會因為各節點該變量的讀寫集不一樣,導致交易驗證不通過。
全局變量不會保存在數據庫中,而是存儲于單個節點。因此,如果此類節點發生故障或重啟時,可能會導致該全局變量值不再與其他節點保持一致,影響節點交易。因此,從數據庫讀取、寫入或從合約返回的數據不應依賴于全局狀態變量。
在多鏈結構下進行外部鏈的合約調用時,可能僅會得到被調用鏈碼函數的返回結果,而不會在外部通道進行任何形式的交易提交。
合約訪問外部資源時,可能會暴露合約未預期的安全隱患,影響鏈碼業務邏輯。
業務安全問題??
聯盟鏈的智能合約是為了完成某項業務需求執行某項業務,因此在業務邏輯和業務實現上仍是可能存在安全風險的,如:函數權限失配、輸入參數不合理、異常處理不到位。
成都鏈安賦能聯盟鏈生態安全發展
隨著聯盟鏈生態的快速發展,基于成都鏈安“鏈必安—一站式區塊鏈安全服務平臺”,我們可以為聯盟鏈平臺提供全生命周期的整體安全解決方案,為聯盟鏈生態的安全發展保駕護航。
一方面,我們可以為聯盟鏈鏈平臺提供安全監測、聯盟鏈智能合約安全審計等服務;另一方面,還可為聯盟鏈的落地應用,諸如:區塊鏈政務、區塊鏈供應鏈金融、區塊鏈物流等用提供“區塊鏈+應用+安全”的綜合安全解決方案。
發展在左,安全在右,重視安全發展應該也必須是聯盟鏈生態發展的重中之重。成都鏈安將繼續積極發揮區塊鏈安全頭部企業優勢,依托我們的聯盟鏈安全整體解決方案,助力聯盟鏈安全健康發展。
在 Alameda、Zhusu、Hashed 和 DCG 發起的公鏈戰爭之后,盡管市場情緒日益消極,但加密貨幣風險投資公司繼續在不同領域積極擴張.
1900/1/1 0:00:00會議內容一: 4月30日,PoST第一階段升級測試完成,召開了全球早期的前20大測試節點第一次大會,對“技術如何支持QTC生態和全球共識發展”做了論證,并達成最終決議.
1900/1/1 0:00:00如圖所示,目前BTC已經從頂部69000下滑至圖中綠線支撐區域,目前點位36800-37000區間,從前期1月首次觸碰反彈在回落,到目前已有3個多月時間位于這一帶消磨震蕩,到目前還未有效跌破.
1900/1/1 0:00:00頭條 ▌比特幣正式進入第三個減半周期的后半段金色財經報道,比特幣的減半每四年發生一次。每次減半后,BTC的供應率會下降50%,該系統將持續到大約2140年,即最后一個比特幣被開采出來.
1900/1/1 0:00:00今天和大家聊一下無聊猿的投資價值。在4月30日,《寫在無聊猿賣地之前》一文中,我寫了下面這段話:“我相信這場盛宴會以皆大歡喜的局面結束,但我又隱隱地感覺到,盛極之時恐怕也是其由盛轉衰的轉折點.
1900/1/1 0:00:001970年4月24日,中國第一顆人造地球衛星“東方紅一號”成功發射升空,拉開了中國人探索宇宙、和平太空和造福人類的序幕.
1900/1/1 0:00:00