區(qū)塊鏈本身的不可篡改性是具有安全屬性的，它有效地保證了數(shù)據(jù)的完整性。但是不可篡改性是一把雙刃劍，當(dāng)鏈上出現(xiàn)漏洞的時(shí)候這些漏洞往往無(wú)法彌補(bǔ)。當(dāng)我們將安全性與區(qū)塊鏈集成時(shí)，需要采用深度防御方法。區(qū)塊鏈的一些頂級(jí)安全控制包括：智能合約安全，DAPP安全，共識(shí)節(jié)點(diǎn)強(qiáng)化，加密交換安全性，身份和訪問(wèn)管理，節(jié)點(diǎn)到節(jié)點(diǎn)流量加密，鏈上和鏈下數(shù)據(jù)加密等。
智能合約由于一經(jīng)發(fā)布無(wú)法修改，這樣如果存在漏洞，往往會(huì)產(chǎn)生直接經(jīng)濟(jì)損失并且難以挽回，而智能合約的審計(jì)和驗(yàn)證費(fèi)用高昂，就算經(jīng)過(guò)審計(jì)也難以避免其中存在安全隱患。目前這個(gè)領(lǐng)域的研究方向大多希望通過(guò)形式化證明的方式來(lái)確保只能合約的安全性，雖然已經(jīng)有大量研究人員進(jìn)入這個(gè)領(lǐng)域，但是仍然在發(fā)展過(guò)程中還未成熟，對(duì)于復(fù)雜的合約邏輯依然難以滿(mǎn)足。
共識(shí)安全，比如POW的51%攻擊，分叉等等情形正是因?yàn)镻oW在某些情況下依然無(wú)法達(dá)到非常安全的情況。由于不可能三角的存在，安全性，去中心化和可擴(kuò)展性不能同時(shí)兼得，極大的限制了區(qū)塊鏈技術(shù)的發(fā)展。如何按照具體應(yīng)用，在不可能三角找到最佳的平衡是區(qū)塊鏈項(xiàng)目需要研究的課題。
節(jié)點(diǎn)安全涉及到區(qū)塊鏈底層實(shí)現(xiàn)邏輯的漏洞，譬如EOS爆出過(guò)遠(yuǎn)程攻擊漏洞，ETH的RPC端口暴露，以太坊默認(rèn)對(duì)RPC不做鑒權(quán)的設(shè)計(jì)引起資金被盜的問(wèn)題等。這種安全隱患往往難以察覺(jué)，一般都是在區(qū)塊鏈系統(tǒng)運(yùn)行過(guò)程中爆出類(lèi)似漏洞，這樣需要在區(qū)塊鏈上線前進(jìn)行大量的重復(fù)測(cè)試和驗(yàn)證。
數(shù)據(jù)加密安全和之前提到的漏洞不太一樣，由于區(qū)塊鏈本身是公開(kāi)透明的，很多隱私數(shù)據(jù)無(wú)法在鏈上流轉(zhuǎn)，這個(gè)時(shí)候可以通過(guò)多種密碼學(xué)算法譬如零知識(shí)證明，MPC等技術(shù)達(dá)到在不暴露信息的情況下進(jìn)行驗(yàn)證。
當(dāng)然，其他一些信息安全包括私鑰管理、通信安全、加密算法、錢(qián)包多簽名漏洞等等也是區(qū)塊鏈技術(shù)所要研究的方向之一。
聯(lián)系客服
