2018年-中国信通院_《区块链安全白皮书-技术应用篇》2018_70页_3mb

区块链安全白皮书（技术应用篇）2018年总结

核心内容

《区块链安全白皮书（技术应用篇）》由中国信息通信研究院和中国通信标准化协会牵头编写，联合多家单位共同研究。白皮书从网络安全视角出发，系统分析了区块链技术在发展与应用过程中所面临的安全风险和监管挑战，并提出风险应对框架和促进安全应用的建议，旨在推动区块链技术的安全、有序、健康发展。

主要观点

1. 区块链技术发展迅速：区块链技术从数字货币起步，已扩展至金融、医疗、物流、工业互联网等多个领域，成为新一轮技术创新的重要力量。
2. 安全问题日益凸显：随着技术应用的扩展，区块链面临存储层、协议层、扩展层、应用层等不同层面的安全挑战，包括基础设施漏洞、共识机制缺陷、智能合约漏洞、私钥管理不当等。
3. 监管面临新挑战：区块链的去中心化、匿名性、分布式存储等特性，给传统网络安全监管手段带来追溯困难、责任模糊、跨境数据流动管理复杂等问题。
4. 标准化是关键路径：国际标准化组织（如ITU、ISO、W3C等）以及国内各行业正在推进区块链安全标准化工作，以规范技术发展、提升安全水平。
5. 技术与政策双轮驱动：各国政府和企业已开始从政策引导、技术研究、安全实践等方面推动区块链安全应用。

关键信息

全球区块链发展与安全现状

• 技术生态基本成型：全球区块链项目数量超过1100个，亚洲地区占比最高，尤其是中国香港、新加坡、日本等地在区块链金融应用方面较为成熟。
• 安全事件频发：2011年至2018年4月，全球因区块链安全事件造成的损失高达28.64亿美元，包括交易所被攻击、智能合约漏洞、私钥泄露等。
• 国际监管与标准化：英国、美国、欧洲等国家和地区纷纷推动区块链监管新模式，如“技术+法律”、“沙盒监管”等，同时推进区块链安全标准制定。

我国区块链发展与安全情况

• 技术生态与国外相似：我国区块链项目数量占亚洲总量的85.5%，应用层和底层技术项目占比分别为55.4%和31.6%，安全服务类项目仅占4.5%，表明我国区块链安全产品和服务市场尚不成熟。
• 政策推动安全发展：国家层面多次强调区块链技术应用价值，2016年《“十三五”国家信息化规划》首次提出区块链安全体系；2018年《中国区块链产业白皮书》进一步分析区块链面临的安全问题。
• 地方政策支持：北京、深圳、贵阳、南京、上海等地相继出台区块链相关政策，鼓励技术应用，同时强调对区块链安全的重视。

区块链技术分层架构与安全风险

区块链技术分为存储层、协议层、扩展层、应用层四层：

• 存储层：存在基础设施安全风险、网络攻击威胁、数据丢失和泄露等问题。
• 协议层：面临协议漏洞、流量攻击、恶意节点等安全缺陷。
• 扩展层：主要依赖智能合约，存在合约开发漏洞、合约运行安全等风险。
• 应用层：涉及私钥管理、账户窃取、应用软件漏洞、DDoS攻击、环境漏洞等传统安全隐患。

安全风险应对框架

针对不同层次的安全风险，提出了以下应对措施：

• 安全开发：规范开发流程，使用安全工具，预留测试周期。
• 代码审计：通过静态分析、交互式审计等方式发现代码漏洞。
• 安全评估与测试：评估基础设施、协议、智能合约等各层面的安全性。
• 安全配置：限制服务访问，采用“最小特权原则”，配置冷备份等。
• 输入校验：对关键输入进行合法性检查，降低逻辑错误和恶意代码风险。
• 加密存储/传输：使用TLS等加密技术，保障数据传输和存储安全。
• 节点/数据安全验证：识别和阻止恶意节点，提升网络安全性。
• 身份认证与权限管理：对用户、节点进行身份认证和权限控制。
• 流量清洗：实时监控流量，识别并剥离异常攻击流量。
• 安全防护产品/服务：部署防火墙、入侵检测、安全审计等工具。

促进区块链安全应用的建议

1. 强化应用领域引导：鼓励“区块链+网络安全”应用模式，推动自主可控开发，提升安全意识。
2. 创新监管手段：探索“沙盒监管”、“穿透监管”等新模式，强化平台和应用监管。
3. 加强技术风险研究：深入研究各层安全风险，发展风险应对技术。
4. 促进国际合作治理：加强国际共识，推动跨国数据共享和安全治理。

附录要点

• 典型攻击类型：包括分叉攻击、女巫攻击、贿赂攻击、预计算攻击等，均针对区块链核心机制。
• 地址不具名机制挑战：区块链地址为哈希结果，难以追溯用户身份，增加网络安全溯源难度。
• 分布式存储扩大威胁面：攻击者可从更多节点获取数据副本，提高攻击成功率。
• 密码学机制安全风险：如私钥管理不当、后门漏洞、量子计算破解等。
• 国外实践案例：IBM、英国电信、Chainalysis、Guardtime等企业已开展区块链安全应用实践。
• 我国企业实践：中国移动研究院、360、腾讯、平安科技、观安、京东等在区块链安全应用方面有具体实践，如数字证书管理、防伪追溯、智能合约安全审核等。

小结

区块链技术作为新兴的信息存储与管理机制，正在全球范围内快速应用，但其去中心化、分布式存储、匿名性等特性也带来了安全风险和监管挑战。各国已开始从政策、标准、技术、监管等多个维度应对这些挑战。我国在推动区块链安全发展方面已取得初步进展，但仍需进一步加强标准化、安全产品和服务、安全意识教育等方面的工作，以实现区块链技术的安全、可控、可持续发展。