2018年区块链安全白皮书——技术应用篇_70页-4mb

区块链安全白皮书（技术应用篇）总结

核心内容概述

《区块链安全白皮书（技术应用篇）》由中国信息通信研究院与中国通信标准化协会联合发布，旨在从网络安全角度分析区块链技术的发展与应用态势，探讨其分层架构及安全风险，并提出风险应对框架和促进安全应用的建议。白皮书涵盖了全球与我国区块链发展现状、技术生态、安全风险及应对策略等方面，强调区块链技术在带来创新机遇的同时，也伴随着诸多安全隐患，亟需政策引导、技术防范和国际合作。

主要观点

全球发展态势

• 区块链技术生态基本成型，网络安全应用开始落地，但安全问题逐渐暴露，引发广泛讨论。
• 区块链技术在金融、医疗、物流等多领域应用扩展，技术优势包括去中心化、防篡改、用户匿名等，但也带来了新的监管挑战。
• 国际上，各国已开始在政策、标准、技术层面开展区块链安全应对工作，如英国提出“技术+法律”监管新模式，美国推动区块链安全研究，欧洲则关注监管机制的不成熟问题。

我国发展现状

• 我国区块链技术生态结构与全球基本一致，但安全服务类项目占比偏低，市场尚未形成规模。
• 政策层面，国家和地方政府高度重视区块链技术发展，推动其在金融、物联网等领域的应用。
• 我国在区块链安全标准化方面取得进展，涵盖安全体系架构、安全要求、风险模型等，但相关工作仍需进一步推进。

关键信息

区块链技术分层架构

区块链技术架构通常分为四层：

1. 存储层：负责存储上层应用所需及产生的数据文件，包括区块数据、交易信息等。
2. 协议层：构建分布式、去信任的共识网络，包括P2P通信、非对称加密、共识机制等。
3. 扩展层：作为区块链应用方向延伸的支撑平台，主要以智能合约实现业务流程自动化。
4. 应用层：技术在各行业领域应用落地的直接体现，如支付结算、医疗健康、供应链等。

安全风险分析

区块链技术在不同层级面临的安全风险如下：

• 存储层：基础设施安全风险、网络攻击威胁、数据丢失和泄露。
• 协议层：协议漏洞、流量攻击、恶意节点。
• 扩展层：合约开发漏洞、合约运行安全。
• 应用层：私钥管理安全、账户窃取、应用软件漏洞、DDoS攻击、环境漏洞。

安全监管挑战

• 区块链的匿名性与去中心化特点，增加了网络安全事件的追踪与溯源难度。
• 分布式存储机制扩大了攻击面，提升了系统被攻击的持续性和影响范围。
• 防篡改特性为有害信息传播提供了技术庇护，给信息内容管理带来挑战。
• 数据安全责任边界模糊，可能违背数据跨境、删除等监管要求。

风险应对框架

为应对区块链各层安全风险，白皮书提出以下措施：

• 安全开发：规范开发流程，使用安全工具，预留测试周期。
• 代码审计：对代码进行静态分析和交互式审计，识别逻辑缺陷和安全隐患。
• 安全评估与测试：对区块链系统进行全面评估，包括算力、节点分布、基础设施等。
• 安全配置：限制不必要的服务和端口，采用最小特权原则，配置冷备份等。
• 输入校验：对输入数据进行合法性校验，减少逻辑错误和恶意代码执行风险。
• 加密存储与传输：采用加密技术保护私钥、配置文件等数据，防止信息泄露。
• 节点与数据验证：识别和防范未授权或恶意节点，确保数据安全。
• 身份认证与权限管理：强化用户和节点的身份识别与权限控制，防范非法操作。
• 流量清洗：对流量进行实时监控，识别和隔离异常攻击流量。
• 安全防护产品与服务：部署防火墙、入侵检测、安全审计等工具，提升整体安全性。

促进区块链安全应用的建议

1. 强化应用领域引导：鼓励区块链在提升认证安全性、保障关键信息基础设施安全、强化数据存储安全等方面的应用，同时防范利用区块链传播有害信息的风险。
2. 创新监管手段：探索“沙盒监管”、“穿透监管”等模式，强化对区块链平台和应用的监管。
3. 强化技术风险研究：持续研究区块链各层安全风险，发展风险应对技术，如多维信息分析、协议逆向分析等。
4. 加强国际合作治理：推动国际共识与合作，加强数据共享和网络犯罪追踪能力，提升对区块链网络犯罪的防范水平。

附录亮点

• 典型攻击：包括针对共识机制的分叉攻击、女巫攻击、贿赂攻击、预计算攻击；针对地址不具名机制的身份追溯挑战；分布式存储机制扩大攻击面；密码学机制的固有安全风险。
• 国外实践：如IBM、英国电信、Chainalysis、Guardtime、Xage、Blockstack等企业在区块链安全领域的探索与应用。
• 我国企业实践：如中国移动研究院基于区块链管理PKI数字证书、360推出安全审核方案、腾讯开展安全应用实践、平安科技推动国产密码应用、观安进行数据资产安全管理、京东建立防伪追溯平台等。

结语

区块链技术在快速发展的同时，也面临诸多安全挑战。白皮书指出，需从技术、政策、标准、监管、国际合作等多角度协同推进区块链安全发展，以保障其在各行业的健康、有序应用。