本文為萬向區塊鏈技術中心負責人沈育敏在“2021云上中國國際軟件產品和信息服務交易博覽會:全球開源大會技術分論壇-安全與可信專題論壇”上的演講內容。沈育敏從國內外開源現狀講起,分析了開源技術面臨的風險和治理,以及區塊鏈在開源安全和可信治理中的應用,最后以萬向區塊鏈底層開源平臺“萬納鏈”為例,進一步解析了區塊鏈在開源技術中的應用。注:本文在原文基礎上略有刪減大家好!我是萬向區塊鏈技術中心負責人沈育敏。今天很榮幸受邀和大家一起聊聊“開源的安全可信治理與區塊鏈”。我的演講主要分為以下五部分:第一,開源現狀;第二,面臨的風險;第三,安全和可信治理;第四,開源與區塊鏈;第五,萬納鏈。
一、開源現狀及開源在中國的現狀
開源軟件從上世紀末開始興起,大家最初使用開源軟件的理由主要是因為其無需成本,以及能夠幫助項目快速交付。但隨著時間的推移,大家的關注點從早期的快速交付,逐漸轉變為開源軟件的可靠性。而如今,大家更加關注開源軟件的安全與可信。
隨著計算機技術的發展,尤其是互聯網企業的興起,開源軟件在操作系統、編譯工具、數據庫、服務器、中間件等各方面已經成為了主流。據Gartner調研顯示,99%的組織在IT系統中依賴于開源軟件,因為其開發模式、理念與精神、社區文化吸引了一大批開源貢獻者。當然,目前開源貢獻者絕大部分還是靠愛發電。大家愿意主動貢獻的原因,除了對開源理念與精神的認可,也有開源能幫助程序員、技術人員提高項目質量的因素。
萬向區塊鏈肖風:數字經濟中使用權比所有權更重要,Token或是互聯網平臺反壟斷的最佳解決方案:2月12日消息,萬向區塊鏈實驗室創始人肖風近期在新躍社科大學 DBAC 論壇主題演講時發言表示,數字經濟會造就一個虛擬資產或者叫數字資產這樣的一個市場體系。而且未來 20 年或者 30 年后可能會和現在的股票市場一樣具有同樣的規模,也具有同樣的價值。數字化的產品和服務,具有高固定成本、低邊際成本的價值規律,這造成了目前全球互聯網平臺造成壟斷的現象。同時,在追求價值最大化的路徑當中,使用權顯得比所有權更重要,區塊鏈時代把這個使用權的新價值規律發揮到了極致,而 Token 在數字經濟中即代表了使用權。
區塊鏈的分布式賬本幫助我們從數字化的產品和數字化的服務當中,把使用權單獨的抽取出來。其個人認為 Token 可能是反對互聯網平臺壟斷的最佳解決方案。[2023/2/12 12:01:41]
首先,項目開源后不僅可以獲得社區其他成員的貢獻,對技術人員來說,開源項目也是非常好的展現以及推銷自身技術的窗口。開源相對于閉源來說,最大的區別在于公開、透明。開源軟件中一些Bug的發現、修復,以及新功能的提出都可以在公開的論壇中進行,對使用者來說,所有的這一切都是可溯源的,也可以做到心中有數,能夠更加放心地使用。此外,開源軟件的代碼質量往往會較好,開發人員對于要公之于眾的代碼,顯然會更加注重代碼的可讀性、可維護性等一些引擎項。不僅如此,社區成員對代碼檢查之后的評論、建議、貢獻也能夠為代碼質量的提高帶來顯著的幫助。
萬向區塊鏈首席經濟學家:央行數字貨幣與狹義銀行是不同層次的概念:萬向區塊鏈首席經濟學家鄒傳偉表示,包括DC/EP在內的央行數字貨幣與狹義銀行是不同層次的概念。央行數字貨幣并不必然導致狹義銀行。需要看到的是,DC/EP的“100%準備金”與狹義銀行意義下的“100%存款準備金率”不是一回事。前者指DC/EP發行有100%的準備金支撐,后者指商業銀行存款準備金與存款之間的比率。(第一財經)[2021/1/20 16:34:04]
開源軟件的好處多多,除了透明、高質量外,免費、定制性、自由等等也是開源軟件的好處。正是因為有這些好處,使用開源軟件的公司在逐年遞增,吸引了越來越多的開發者。近些年,全球開源貢獻者的數量持續增加,2020年GitHub平臺有5600萬貢獻者,相較于2019年增長了1600萬。
接下來,聊聊開源當前在中國的現狀。2020年,GitHub上美國貢獻者數量位居第一,其次就是中國的貢獻者,占到了14%,而且中國貢獻者逐年增長的速度是最快的,尤其是從2016年開始,基本上呈現了指數級的增長。據調研數據顯示,國內開發者對于開源的理解日趨成熟,70%的開發者認為開源吸引開發者的原因主要是在于其公開、透明的代碼,還有就是知識共享、開源的理念與精神。GitHub預測,到2030年中國開發者將成為全球最大的開源群體。
萬向區塊鏈首席經濟學:央行要考慮如何激勵支付寶等參與推廣數字人民幣:萬向區塊鏈首席經濟學家鄒傳偉認為,數字貨幣的確會對第三方支付產生一定影響。在零售支付場景下,數字人民幣和第三方支付之間會有某種相互替代關系。數字人民幣的份額漲起來了,就意味著支付寶和微信份額會下降。這個環節中,央行要考慮如何激勵支付寶、微信等機構參與推廣數字人民幣,數字人民幣應用還需依賴于支付寶、微信等線下場景拓展、二維碼滲透。鄒傳偉稱,可以設想一個激勵相容設計,支付寶、微信支付如果幫助推廣了數字人民幣應用,它們存管在央行的支付備付金就可以獲得更多利息收入。(第一財經)[2020/11/19 21:18:01]
2020年,中國已經使用開源技術的企業占比達到了近九成,阿里、百度、京東、PingCAP的項目在GitHub的中國項目活躍度Top20的榜單中都非常亮眼。阿里巴巴的數據在多項指標上的表現都非常不錯,有些指標甚至是其他指標之和,并且阿里在社區、文化、開放等方面也做得很好,大家日常開發工作中所用到的Notify、RocketMQ等中間件都是阿里的開源項目。
可以看出,各大互聯網企業近年來均在不斷加大開源社區的生態建設。同時,增加開源的影響力,對于企業的招聘也會產生一些顯著的助力。
聲音 | 萬向區塊鏈肖風:在區塊鏈底層技術上做商業應用應積極擁抱監管:3月8日,在由上海區塊鏈技術協會、上海區塊鏈技術創新與產業化基地、萬向區塊鏈、矩陣元聯合主辦的區塊鏈信息服務備案技術交流會上,萬向區塊鏈董事長兼CEO肖風指出,區塊鏈底層技術的發展,需要上層商業應用的支持。在區塊鏈底層技術上做商業應用,不能固守絕對去中心化的傳統觀念,而應積極擁抱監管,在合法合規的前提下,去開發符合市場需求的優質應用,進而推動區塊鏈技術及整個產業的蓬勃成長。[2019/3/8]
二、開源軟件的風險
就像硬幣有著兩面,任何事物都有兩面性,開源有著諸多好處。隨著各領域使用開源技術的企業逐步增長,開源的劣勢逐漸在閃現出來。
開源項目技術迭代快,運維成本高。數量宏大,使用很多開源依賴后統籌管理比較困難。安全漏洞威脅。開源許可證和知識產權問題。可能存在大修改許可或收費問題。尤其是近年來,開源軟件的安全漏洞風險越來越顯著。2020年,熱門的開源項目中含有至少一個漏洞的項目占到了84%,比2019年增長了9個百分點。含有高危漏洞的項目甚至占到了60%,比2019年增長了11個百分點。通過掃描數以百萬計的GitHub代碼庫以及程序包,對其中500個開源項目的維護者進行調研后發現,只有8%的開源項目維護者自認為有比較高的信息安全技術和意識,另外有近半數的開源項目維護者不太做代碼的審計,只有10%的維護者能夠做到每個季度審核代碼。此外,開源軟件漏洞從發現到公布,再到修復的周期非常久。漏洞從公布到被修復的最長時間為94天,平均時間也有16天。
金色財經現場報道,萬向區塊鏈首席技術官:區塊鏈解決生產關系問題:金色財經現場報道,在新金融100人主題論壇上,萬向區塊鏈首席技術官羅榮閣表示,人工智能、大數據解決企業內部生產力問題,區塊鏈解決有博弈關系的主體間生產關系問題。[2018/4/27]
美國近十年來最嚴重的一次數據泄露,是1.4億多位美國征信巨頭Equifax消費者的敏感數據被黑客所竊取,而這一數字占到美國人口的近一半。這起事件的源頭是因為Equifax使用的軟件中,有依賴于Struts框架的軟件。Struts框架是開源的MVC框架,該框架中存在著安全缺陷,該安全缺陷被黑客首先發現并利用這一安全缺陷盜取了數據。由此可以看出,開源軟件公開的代碼能夠獲得更多貢獻者幫助的同時,對于黑客來說,也是一個非常好的機會。
近期,在我們身邊也發生了非常嚴重的開源軟件安全問題。12月,LOG4J被爆出了安全漏洞,該安全漏洞不需要用戶執行多余操作即可被觸發,漏洞可以幫助攻擊者遠程控制受害者的服務器,當今90%以上的JAVA開發應用平臺都會受到影響。這個漏洞涉及的范圍及危害程度堪比2017年的“永恒之藍”漏洞。我相信大部分的技術公司可能在12月份都會抽出精力做這一漏洞的修復和彌補。
開源軟件風險防范共有四項:系統信息的泄露、密碼管理、資源注入和安全缺陷。其中,安全缺陷是最重要的一部分。之所以會有非常多的安全缺陷,一個是因為開源軟件貢獻者普遍來說安全意識還不夠高,另一個原因是開源軟件的貢獻者是用愛發電,所以確實沒有多余的預算對所編寫的編碼進行安全性測試。還有另外一個問題,開源軟件的安全漏洞雖然可以被社區中的其他貢獻者所發現以及上報,但是只有84%的安全漏洞出現在NVD中,很多安全漏洞散落在幾百個不同的資源中,這對三方開源軟件的使用者提出了非常高的要求,需要自己去收集以及對接,不然就很有可能對自己的軟件或平臺產生安全的風險。開源的代碼既可以被開源社區中的一些貢獻者看到,也可以被網絡犯罪分子或者黑客所利用,黑客可以發現代碼中的漏洞并利用漏洞進行攻擊。開源軟件因為引用方眾多,所以一旦攻擊了一個漏洞,影響范圍可能是非常大的。
除了安全缺陷外,許可證的違規使用也是一個比較大的問題。據統計,當前超過三成的項目并沒有嚴格遵守開源軟件的許可證使用方式。另外一個風險是開源軟件項目隨著時間的推移,迭代可能會變慢、變少,甚至中斷,有數據顯示有近九成的代碼庫中引用到的三方開源軟件,在過去兩年內沒有任何開發跡象,這除了增加安全的風險外,在版本控制中落后太遠也會有非常大的威脅,一些非常小的變更甚至都可能帶來一些基礎性的問題。
三、安全和可信治理
所以,開源軟件的風險治理成為使用開源軟件必不可少的工作之一。首先,要梳理、依賴以及分析,當前不少工具都可以幫助開源軟件的使用者輕松做到這些。梳理軟件物料清單時需要注意,除了第一次梳理,之后的每一次迭代都要維護清單、更新清單。大家可以根據迭代后的清單,找到當前不需要的依賴。我們發現開發人員在維護依賴的時候,即使發現不適用的依賴也會懶得刪除,這顯然會增大黑客的攻擊范圍,因此需要定期去檢查,并刪除不需要的依賴。漏洞源的對接相對來說會比較復雜一些,如剛才所提到的,并沒有唯一的對接源可以包含所有漏洞的報告。所幸當前已經有一些開源組織提供了一些免費的漏洞庫,對接幾大組織的漏洞庫之后,大部分情況下可以覆蓋當前市面上大部分的漏洞。最后,對比版本的依賴,以及發現問題、修復問題。
風險的治理貫穿于研發的生命周期,我個人建議把對于安全的把控左移到設計階段,在設計階段就引入安全人員,對于需要引用的開源軟件,除了做調研、對比選型、性能測試以及漏洞源數據對比外,還要關注該項目開源社區的活性,以及該項目相關的許可證。
安全風險的治理需左移,要求我們在設計的時候就對此加以關注。在設計階段,需要對新引用的三方依賴做調研、對比選型、使用驗證,甚至會安排性能測試,最終給出選型文檔、性能測試報告等等。尤其需要關注該開源項目的社區活性,對于社區活性較弱的開源項目,選擇使用的時候需要尤其謹慎。在設計階段,對于軟件物料清單的更新以及許可證的調研等等,都需要在這個階段加以考慮以及分析。同時,在之后的研發、測試、生產流程中,也是需要有一些手段確保開源軟件使用的安全性。
同樣,在之后的研發測試等環節中,也有需要執行相對操作來確保安全。開源軟件的安全治理在我們公司是在安全治理中非常重要的組成部分。我們公司安全平臺的框架中,項目漏洞追蹤、開源安全開發模塊都是為了幫助并確保引用開源軟件時避免安全缺陷。
四、開源與區塊鏈
區塊鏈是去中心化的,天然符合開源的理念。央行數字貨幣研究所副所長狄剛曾經說過:區塊鏈與開源是互相促進的,區塊鏈有了開源才能走得更遠。
為什么這么說呢?其實很簡單,區塊鏈的機制是不可篡改,由此減弱信息不對稱現象,從而建立信任。但這個不可篡改是建立在理論基礎上的,如果區塊鏈不開源,對使用者來說是個黑盒,即時的信任可信度是會被打折扣的。縱觀區塊鏈發展史我們知道,以太坊等都是通過開源來獲得信任,從而凝聚共識的。
另外,區塊鏈對于開源會有什么幫助呢?區塊鏈天然內置激勵,能夠解決開源社區的激勵不足問題。Gatecoin就是國外開源軟件開發激勵平臺,其愿景是通過區塊鏈支持各類開源項目,幫助不同規模的開源項目尋求資獲得資金的機會。此外,智能合約的自動執行,也能減少社區大規模協作的成本。
1.以太坊分叉Bellatrix將把當前鏈與新的PoS信標鏈合并2.Tether、Synonym和OmniBOLT今年致力于通過將代幣帶入閃電網絡推動比特幣經濟發展數據:本周解鎖金額超1000萬.
1900/1/1 0:00:00對NFL球迷來說,2021年是偉大的一年。在2020年賽季被縮短,上座率有限的情況下,體育場又恢復了滿員。體育場的停車場再次充滿了追尾者的熱情期待.
1900/1/1 0:00:00來源:TheBlock年度研究報告編譯:冰河web3實驗室Web3的未來將依賴于一個跨越多個區塊鏈的分布式、安全且不可變的分布式數據的基礎層.
1900/1/1 0:00:00文章作者:JoshStark&EvanVanNess文章翻譯:Blockunicorn原標題:《以太坊的2021年》 以太坊是數字文明的基礎 它是堅固、安全和可靠的.
1900/1/1 0:00:001月15日,據khaleejtimes報道,本周五,歷史悠久的Pontifex地毯的NFT以25Ether的價格被售出,用于為阿富汗籌集資金.
1900/1/1 0:00:00巴比特訊,12月24日,HuobiGlobal發布官方公告,宣布將于2021年12月31日有序完成中國大陸用戶的清退.
1900/1/1 0:00:00