《区块链安全白皮书-技术应用篇》2018_70页_3mb

区块链安全白皮书（技术应用篇）总结

核心内容

本白皮书由中国信息通信研究院和中国通信标准化协会牵头，联合多家企业与研究机构共同编写，旨在从网络安全角度客观审视区块链技术发展和应用情况，分析区块链技术应用分层架构及安全风险，提出风险应对框架和促进区块链技术安全应用的建议。

主要观点

• 区块链技术生态已基本成型，其在金融、医疗、物流、工业互联网等领域应用广泛，但其安全问题也逐渐显现。
• 区块链的去中心化、去信任、匿名性等特性在带来技术优势的同时，也给网络安全监管带来了新的挑战。
• 全球主要国家和地区在区块链安全方面已开展政策引导、技术应对和标准制定等多方面的探索。
• 中国在区块链安全标准制定、政策支持、企业实践等方面取得了初步进展，但仍需进一步加强区块链安全意识和能力。

关键信息

一、全球区块链发展与安全态势

1. 技术生态
   区块链技术生态已初步形成，包括硬件和基础设施、底层技术、上层应用和安全服务等。亚洲地区项目数量最多，尤其中国、新加坡、日本等国发展迅速。

2. 安全问题
   区块链安全事件频发，如Binance交易所遭攻击、EOS智能合约漏洞等，累计损失高达28.64亿美元。同时，其去中心化和匿名性也对监管造成挑战，如GDPR对数据删除权的要求难以满足。

3. 安全标准化
   ITU、ISO、W3C、GSMA、IRTF/IETF等国际组织已开始推进区块链安全标准制定，涵盖参考架构、智能合约安全、隐私保护等方面。

二、区块链技术分层架构与安全风险

区块链技术通常被划分为四个层次：

1. 存储层
   存储上层应用所需及产生的数据文件，可能面临基础设施安全风险、网络攻击威胁、数据丢失和泄露等问题。

2. 协议层
   构建分布式、去信任的共识网络，可能存在的风险包括协议漏洞、流量攻击、恶意节点等。

3. 扩展层
   作为区块链应用方向延伸的支撑平台，主要风险来源于智能合约开发漏洞和运行安全问题。

4. 应用层
   区块链在各行业应用的直接体现，面临私钥管理安全、账户窃取、应用软件漏洞、DDoS攻击、环境漏洞等传统安全隐患。

三、区块链对安全监管的挑战

1. 隐匿性强
   区块链的匿名机制使得网络犯罪行为难以追溯，增加了网络安全事件的追踪难度。

2. 无中心化
   去中心化特性扩大了攻击面，使得传统的集中式监管手段难以实施。

3. 防篡改性
   区块链的防篡改特性可能为有害信息提供技术庇护，给信息内容管理带来挑战。

4. 数据跨境与隐私保护
   区块链的分布式存储特性导致数据跨境流动频繁，与数据删除权、数据可纠正等监管要求存在冲突。

四、风险应对框架

针对不同层次的安全风险，提出了以下应对措施：

• 安全开发：规范开发流程，使用安全工具，预留测试周期。
• 代码审计：对代码进行静态和交互式审计，发现逻辑漏洞。
• 安全评估和测试：识别各层面的安全漏洞，评估基础设施和节点安全性。
• 安全配置：实施最小权限原则，限制不必要的服务和端口。
• 输入校验：对输入数据进行合法性检查，降低恶意代码执行风险。
• 加密存储/传输：采用加密技术保护数据，防止数据泄露。
• 节点/数据安全验证：防止恶意节点对网络造成破坏。
• 身份认证和权限管理：确保用户和节点的安全访问权限。
• 流量清洗：识别和过滤异常流量，防止DDoS攻击。
• 安全防护产品/服务：部署防火墙、入侵检测等传统安全工具，提升系统整体安全性。

五、促进区块链安全应用的建议

1. 强化应用领域引导
   鼓励区块链在安全可控的场景中应用，如金融、物联网、工业等，同时警惕其在公共服务和媒体中的潜在风险。

2. 创新监管手段
   推动“沙盒监管”和“穿透式监管”，建立跨部门备案制度，探索用户实名注册和数据分类分级管理。

3. 强化技术风险研究
   持续研究各层安全风险，开发针对区块链风险的应对技术，如多维信息分析、协议逆向分析等。

4. 加强国际合作治理
   推动国际共识，加强情报共享与司法协助，提升对区块链网络犯罪的全球应对能力。

附录简述

• 附录1：区块链典型攻击
  包括以共识机制为目标的攻击（如分叉攻击、女巫攻击）、地址不具名带来的身份追溯困难、分布式存储扩大威胁面、密码学机制固有安全风险等。

• 附录2：国外区块链安全实践
  IBM、英国电信、Chainalysis、Guardtime、Xage、Blockstack等企业或机构在区块链安全领域有不同实践，涵盖基础设施安全、攻击应对、安全认证、安全域名、信任基础设施、安全通信、数据安全存储等方向。

• 附录3：我国企业实践
  包括中国移动研究院在区块链管理PKI数字证书、360的智能合约安全审核、腾讯区块链安全应用、平安科技的国产密码联盟链、观安的用户数据资产安全、京东防伪追溯平台等。

• 附录4：区块链安全监管技术平台
  探索构建区块链安全监测与监管平台，实现对安全漏洞、攻击事件和威胁态势的全面掌握，支持溯源追踪和技管结合的监管方式。