買比特幣 買比特幣
Ctrl+D 買比特幣
ads

比特幣:從傳統網絡安全視角 區塊鏈安全有何不同?_SAN

Author:

Time:1900/1/1 0:00:00

「更加安全」的區塊鏈為何頻繁發生事故?原文標題:《區塊鏈安全和傳統安全有什么不同》

撰文:衛劍釩

說起傳統安全,很多朋友都比較熟悉,基本而言,就是針對漏洞的攻擊,和針對攻擊的防護。

但說起區塊鏈安全,很多人就不太了解了。有人說區塊鏈本身是安全的,傳統攻擊根本奈何不了它;但也經常看到區塊鏈里的安全事件,似乎一點也不少。

那到底和傳統安全有什么區別呢?

本文就是講一講這個。

1.總體而言

區塊鏈在設計上大量采用密碼學技術,在業務層、通信層、數據層均使用了加密、簽名、Hash等技術,再加上區塊鏈的去中心化設計,使得區塊鏈所承載業務的保密性、完整性、可用性,達到了史無前例的高度。

但從本質上講,區塊鏈仍然是一個軟件系統,軟件可能存在的安全問題,區塊鏈一樣有。

即便區塊鏈在底層無懈可擊,其上層運行的各種Dapp、Web3應用仍可能漏洞百出。

這就好比,地基做得再安全,也不能保障其上的建筑沒有安全問題。

本文的結構:

安全主要看什么?

傳統安全的問題主要在哪里?

區塊鏈,解決了什么安全問題?沒有解決什么?

2.安全主要看什么?

其實,安全說來說去,就三個東西,至今沒有超越:

保密性、完整性、可用性。

這三性簡稱CIA。

即便有其他的說法,也都不在一個層次上,比如認證性、可控性、可審計性、防抵賴性等等,這些都是CIA的附屬或延伸,都是為CIA服務的。

美國立法者敦促白宮解決朝鮮使用數字資產逃避制裁的問題:金色財經報道,美國參議院的三名成員已致函白宮和財政部,敦促打擊朝鮮使用加密貨幣為其核計劃提供資金并逃避制裁的行為。參議員伊麗莎白·沃倫 (Elizabeth Warren)、蒂姆·凱恩 (Tim Kaine) 和克里斯·范·霍倫 (Chris Van Hollen)要求拜登政府提供信息,說明美國政府如何努力解決朝鮮非法使用數字資產的問題。

信中援引的報道稱,過去幾年,朝鮮有條不紊地建立了數字資產方面的專業知識,自2018年以來,朝鮮黑客盜竊了價值超過30億美元的加密貨幣,這些資金被用于資助該國的部分導彈計劃。[2023/8/5 16:19:51]

如何深刻理解CIA?

熟悉UNIX的同學會比較容易理解一些,在UNIX的思維里,一切都是文件,而文件的安全,最終落實到讀、寫、執行上。用戶對某個文件的訪問權限,就是是否可讀、是否可寫、是否可執行。這大體就對應了保密性、完整性、可用性。

保密性,就是不想讓別人知道的就不讓別人知道。

實現的思路無外這么幾種:

不記錄,不留任何書面記錄,只留在腦海里,且不露聲色。

鎖起來,不管是物理性還是技術性的鎖,實現對訪問者的訪問控制,被授權者才能訪問。

藏起來,只讓授權者知道在哪里,其他人不知道在哪里,隱寫術也可以歸到此類中。

加密,使用編碼或者密碼的方式,有密碼本或者密鑰才能訪問。

完整性的概念不太好理解,最簡單的理解就是,如果沒有授權,對一個東西的任何部分都不能添加、減少、更改,如果非授權地做了這些,就破壞了完整性。

杭州Web3 Hub于5月20日揭牌成立:金色財經報道,為更好落實《浙江省元宇宙產業發展行動計劃(2023—2025年)》,重塑杭州數字經濟第一城,加快推動元宇宙技術創新,由杭州上城區委、上城區人民政府主辦的上城區元宇宙產業發展論壇于5月20日舉辦,論壇上杭州Web3 Hub揭牌成立。[2023/5/20 15:15:59]

此外,完整性還有一個比較直觀的含義:一致性。也即系統數據和真實世界一致,正如完整性的英文integrity本身有「誠實」含義一樣,數據被篡改就肯定破壞了一致性。

可用性相對比較好理解,系統癱了、慢了,數據不可用了,都是可用性出了問題。凡是系統提供的服務給人「用不成」、「沒法用」、「不起作用」、「不好使」的感覺,那就是可用性出問題了。

信息系統,要保障的就是這三點。

而通常用來保障CIA的做法,就是認證、授權、訪問控制、校驗、加密、檢測、備份、多活等等。當然,這些工作往往沒有做好,會有各種各樣的漏洞,一方面,發現了趕緊補上,另一方面,從源頭做起,盡量減少漏洞的發生。

傳統安全的主體差不多就是這些。

3.傳統安全的問題在哪里?

如果你已經是安全圈的老手,可以跳過這一節。

安全漏洞有很多種,本文不會一一列舉,只是簡單舉一些例子,讓大家看看大致情況。

從最高層面上講,漏洞的共同特點是:攻擊者的行為,使得軟硬件的行為,超出了系統設計者的預期,產生了負面的效果。

例1:SQL注入

所謂SQL注入,就是在頁面輸入欄中或者在URL等處,黑客沒有按照程序員預期的內容輸入正常數據,而是在夾雜了SQL關鍵字,程序在處理輸入數據時,用到了SQL,并把輸入內容作為SQL語句的參數。這樣,SQL語句可能就會執行黑客巧妙插入的SQL內容,使得黑客可以執行程序員預期外的數據庫操作。

中非共和國的Sango項目將其代幣上市時間推遲幾周,稱正待政府完善法律:4月3日消息,中非共和國的國家加密項目Sango在其Telegram群組中的一條消息中表示,中非共和國政府(CAR)在制定法律法規方面取得了“重大進展”,這將允許其加密貨幣Sango Coin在加密貨幣交易所上市。然而,根據該項目,在框架最終確定之前,Sango Coin的上市將推遲幾周。

Sango項目表示:“這些法律還將帶來其他一些新的驚喜。”“這次延遲是必要的,以確保Sango完全符合所有相關法規,并確保我們的產品以最安全和最負責任的方式推出。”

據悉,中非共和國于2022年7月25日推出基于比特幣側鏈的Sango平臺,并開啟SANGO代幣預售,SANGO是該生態系統的原生加密貨幣。SANGO總供應量為210億枚。(Cointelegraph)[2023/4/3 13:41:18]

程序員應該多檢查一下的,絕不能允許輸入中含有這類攻擊嘗試,但大多數程序員并沒有安全知識,即便有一點,也未必能做好,黑客就還有可能繞過。

黑客破壞了什么安全性質?黑客寫入了系統預期外的數據,破壞了系統的完整性。黑客如果通過SQL語句還拖了庫,就進一步破壞了系統的保密性。

程序什么地方沒有做好?訪問控制,就不該讓什么數據都進來的。

例2:緩沖區溢出漏洞

緩沖區是內存中存放數據的地方,通常都會有一個預設的大小。在將用戶輸入的數據放到內存中時,如果不做好檢查,就可能超出內存預先設定的空間,發生緩沖區溢出。由于程序的運行代碼也在內存中,如果黑客設計得足夠精巧,就可以通過溢出覆蓋掉原先的代碼,使計算機最終執行了黑客的代碼。

數據:持有超過1萬枚以上ETH的地址數量達到1個月低點:金色財經報道,據glassnode數據,持有超過1萬枚以上ETH的地址數量剛剛達到1,162個的1個月低點。[2022/10/24 16:36:23]

這和SQL注入有異曲同工之妙,黑客利用輸入數據的機會,寫入了可執行代碼,而受害主機居然執行了它!

后來,為了抑制此類攻擊,CPU廠商提供了DEP功能,在內存頁標志了是否可執行,操作系統如果利用這個功能,就能在很大程度上防范此類攻擊。此外,操作系統推出ASLR技術,通過對堆、棧、共享庫映射等線性區布局的隨機化,增加攻擊者預測目的地址的難度。不過,使用這兩項技術不代表攻擊者就無法繞過。黑客肆意亂寫內存區,一樣是破壞了系統的完整性。

程序則沒有做好訪問控制。

例3:文件上傳漏洞

比如一個網站給了用戶上.jpg "/>照片的入口,由于未做檢查,黑客成功上傳了JSP文件,然后黑客找到該上傳文件的URL,就可以執行他寫好的腳本,這個腳本完全可以是一個木馬。

和前面一樣,由于檢查不嚴,讓黑客鉆了空子,寫了設計者預期外的文件,運行了設計者預期外的程序。

程序的訪問控制沒有做好。

例4:中間人劫持漏洞

劫持有很多種,比如TCP劫持、HTTP劫持、DNS劫持、證書劫持、密鑰協商劫持等等。

共同的特點是,A以為自己是在和B交互,B以為自己在和A交互,但實際上,他們都是和中間的C在交互。A和B的所有內容都經過了C,C看得見A和B通信的內容,C還可以修改A、B間通信的內容。

這至少破壞了A和B通信的保密性,如果C還修改了數據,就破壞了完整性。

巴西交易平臺 Nox Bitcoin以1美元錨定價格補償UST客戶:金色財經報道,巴西交易平臺Nox Bitcoin以1美元的錨定價格補償旗下所有UST持有者客戶,這些客戶將會收到Tether穩定幣USDT,創下行業先例。據悉,該公司總計花費了62萬雷亞爾(約合12.7萬美元)來補償Terra崩盤中巨額虧損的客戶。

Nox Bitcoin稱,他們會按照UST當前匯率與之前錨定價格之間的差額進行補償,如果UST價格為0.06美元,那么持有100 UST的客戶將會獲得94 USDT退款,該交易平臺首席執行官 Jo?o Paulo Oliveira 解釋說:“Nox Bitcoin沒有義務承擔客戶損失,這次之所以要這么做,是為了維持客戶信心,客戶信任比其他任何事情都更有價值。”[2022/5/22 3:33:14]

程序的認證沒有做好。

例5:口令暴力破解

如果用戶口令比較弱,黑客嘗試多次后,可能破解出口令并進入系統。

這種事,有人可能認為責任在用戶,但一般而言,現代的應用系統都會對用戶所設口令的強度進行強制要求。

因為黑客一旦得手,系統的完整性會遭到破壞,并可能造成進一步的破壞,比如黑客進入后看到了不該看的東西,保密性被破壞。

系統的認證沒有做好。

例6:越權漏洞

在某個網站里,用戶A和B都是普通用戶,按道理只能操作自己的個人信息,A如果通過某種黑客手法,可以操作B的個人信息,這就是平行越權;如果A是普通用戶,B是管理員,A如果能通過某種黑客方法,執行B才能做的操作,這就是垂直越權。

越權漏洞通常是權限校驗邏輯不夠嚴謹導致的。

程序的權限管理沒有做好。

例7:高峰期網站癱掉

明星在網站官宣新聞,導致大量群眾涌入圍觀,以至于該網站癱掉或者響應很慢。

這是典型的系統可用性出現問題。

系統什么沒有做好?可擴展性沒有做好。

例8:自然災害導致系統數據丟失

2015年,谷歌位于比利時的數據中心由于遭遇了4次閃電襲擊,導致磁盤受損,雖然谷歌對這些磁盤進行了緊急修復,但部分數據仍然永久丟失了。谷歌特別強調,丟失的數據非常非常少,只占該數據中心的0.000001%。即便如此,一些谷歌用戶永遠失去自己的部分個人數據。

這典型地破壞了數據的可用性。

系統的容災備份沒有做好。

4.區塊鏈解決了什么安全問題?

區塊鏈和傳統系統的最大區別就是兩點:一是使用了大量的密碼技術,二是使用了去中心化的結構。

前者使得保密性和完整性大為增強,后者使得可用性大為增強。

先說一下密碼技術使用帶來的好處。

在早期的WEB世界里,比如在IP協議里,在HTTP中,在FTP、TELNET中,都不太使用密碼學技術。因為當時互聯網處于早期,主要目的是互聯互通,而且主要在高校和科研機構之間使用,并沒有太多精力和心思去考慮惡意攻擊。程序員在這些方面總是心思純凈的,總以為別人都是可以信任的,總認為沒有人「那么無聊」。

后來他們才發現,現實世界充滿了攻擊、破壞、仿冒和入侵,程序員們不得不引入各種安全技術,密碼學也被因此被引入,SSL、SSH、HTTPS、IPSec這些新一代的網絡協議紛紛出現。

但這些大都處于傳輸層,主要是給傳輸數據加密的,并沒有上升到業務層面或用戶層面,最終用戶并不能感受到密碼學的好處。什么是用戶層面的加密?舉個例子:office文檔的口令加密、winrar加密、truecrypt全盤加密、網銀中的U盾等等。

而區塊鏈在設計的一開始,就內置了的加密算法,這使得:

1、區塊通過hash鏈接起來,從第一個區塊,直到最后一個區塊,所有區塊是否正確,都可以很容易地驗證,這保證了所有區塊數據的完整性。

2、偽造區塊的hash并不容易,只有符合特定難度的hash,才會被認可,偽造這樣的hash,需要付出大量的計算,和挖礦相匹敵的算力。

3、每個用戶有一個私鑰,用私鑰對應的公鑰生成一個可以公開的地址。攻擊者無法通過暴力破解的方法獲得私鑰。

4、由于用戶體系是建立在公鑰體制之上的,對用戶的認證、用戶的簽名,對稱密鑰的建立都變得極為容易和便利。

5、區塊中的每個交易,都要提供簽名才能完成。攻擊者沒有私鑰,無法簽名,無法偽造交易;同時,有了簽名,用戶無法抵賴自己發出過的交易。

可以看到,區塊鏈對hash和公鑰體制的內置采用,直接提供了密碼學級別的完整性、保密性。

而密碼學技術,經過近一個世紀的發展,已經建立起相當堅實的基礎,現代密碼學的一些公開算法提供著全球頂尖級別的安全保障。這些算法中的佼佼者,目前沒有任何國家力量可以破解。

然后看看去中心化的好處:

1、多一個節點,多一個備份。

以比特幣為例,全球接近10000個節點提供服務,導致比特幣系統自誕生以來,一直穩定地運行,任何人都未能讓它停擺。因為即便有8000個節點同時失效,還有2000個在工作。事實上,即便全網只有幾個節點工作,這個網絡就仍然可以運轉。

2、部分變節,仍可工作。

系統的穩健性并不建立在某個操作系統或某種數據庫的安全之上,而是建立在其獨特的區塊式數據結構之上,部分節點即便失陷,即便故意作惡,也不影響大局。具體能容忍多少個失陷變節,要看具體的共識算法。

3、不依賴于某人或機構

只要你愿意,下載一份軟件,你就可以加入比特幣或以太坊或任何一個公鏈,你不用征求任何人意見,也不會因為任何人的失蹤和退出而擔心這個軟件的前途,你只是根據你的判斷、你的興趣和你的利益運行它,也就是說,沒有單人、單機構可以控制它。

去中心化,大大增強了可用性。

5.區塊鏈無法解決什么安全問題?

從最基本的邏輯講,區塊鏈只是大大提升了安全性,但并不能確保沒有問題。

我們已經在區塊鏈安全經典案例「922億個比特幣」和「TheDAO被盜」中看到:

比特幣因為程序員未能注意到整數溢出的問題,鬧了大笑話,說好的總量2100萬個比特幣,居然在某個交易中出現了1845億個比特幣!

構建在以太坊之上的TheDAO,由于開發者對重入攻擊一無所知,導致用戶眾籌而來的300多萬以太幣被人盜走,落得尷尬收場。

這至少告訴我們兩點:

1、作為區塊鏈本身,雖然在設計上使用了大量密碼學算法,但如果設計或編碼不慎,就可能會有大漏洞。

2、即便區塊鏈本身經過千錘百煉,提供了讓人完全放心的安全,其上的智能合約也不能保證安全。

因為智能合約代碼中的邏輯,如果和需求、設計、編碼的預期不符,就會出問題。

這和傳統安全沒有任何不同。

此外,還有一點非常關鍵:

3、區塊鏈所使用的密碼學技術,可能本身也有漏洞。

畢竟,密碼學也是人搞出來的。

只要是人做出來的東西,就總會有漏洞。

來源:金色財經

Tags:區塊鏈SAN比特幣COI區塊鏈個人怎么買santos幣怎么樣比特幣最新價格行情美元BBSCoin

以太坊價格
元宇宙:AVATAR將成為新紀元游戲世界的開拓者和重磅參與者_raca幣是元宇宙龍頭幣

AVATAR是一個集DeFi、NFT、GameFi、元宇宙等為一體的全球頂尖區塊鏈復合型生態應用平臺。依靠共識性的分散式博弈系統直擊傳統中心化游戲的痛點,成為新紀元游戲世界的開拓者和重磅參與者.

1900/1/1 0:00:00
FED:本周前瞻 | Aptos 激勵測試網 3 將于 8 月 26 日截止注冊_aptos幣價最高

一覽未來一周最值得關注的行業大事件及項目重要進展。數字資產金融服務公司EQONEX將于北京時間8月22日16:00停止其加密交易所的交易業務,客戶需在9月14日之前提取資金.

1900/1/1 0:00:00
BTC:#BTC為何突然暴跌_Titania Token

昨天點美元指數就其中出現了一些重要的結果,1美元有很大的價值原因是貨幣從市場“的原因,但無論投資如何”的引發開始上升的風險,導致更多的市場風險法幣持有者會偏向于直接出現.

1900/1/1 0:00:00
區塊鏈:以太坊分叉可能注定 失敗 但 郭 全力以赴 真的是機會嗎_COIN

ChandlerGuo比大多數人更了解以太坊。郭出生在中國農村,那里有藍領行業和數不勝數的農田,他在一個以煤礦開采聞名的省份的卑微出身,培養了一批著名的加密貨幣追隨者.

1900/1/1 0:00:00
LLE:加密市場正在經歷類似于 2008 年崩盤的多米諾骨牌效應_加密貨幣是什么意思

2022年對于加密貨幣交易所和公司來說并不是一個好年頭。自今年年初以來,大約有10家加密貨幣公司已暫停提款,其中一些公司不得不申請破產保護.

1900/1/1 0:00:00
以太坊:項目周刊 | 以太坊合并進度完成96.54% 全網算力跌破900 TH/S_比特幣

金色周刊是金色財經推出的一檔每周區塊鏈行業總結欄目,內容涵蓋一周重點新聞、行情與合約數據、礦業信息、項目動態、技術進展等行業動態。本文是項目周刊,帶您一覽本周主流項目以及明星項目的進展.

1900/1/1 0:00:00
ads