区块链安全生存指南-长亭科技+比特大陆-2018-53页-4mb

区块链安全生存指南总结

核心内容

区块链是一种全新的分布式架构与计算范式，结合了密码学、数学、计算机科学、网络科学和社会学等多学科知识。它通过标准算法和加密技术将数据打包成区块，利用点对点网络技术和共识算法生成和更新数据，利用密码学保证数据传输安全，并通过智能合约实现自动化操作。

区块链具备以下核心特征：

• 同步性：信息和价值传递效率高，节点间无需第三方认证即可达成信任。
• 可信任性：通过非对称加密、哈希算法和共识机制等技术，实现数据的不可篡改性。
• 可溯源性：基于时间戳和链式数据结构，确保每个状态可追溯。

区块链行业面临多种安全挑战，包括应用层、智能合约层、底层结构层、基础设施层以及安全意识与管理层面。

主要观点

• 区块链的安全问题涉及多个层面，从网络攻击到智能合约漏洞，从硬件安全到软件开发安全。
• 区块链的“无墙”特性使其容易受到攻击，攻击者利用各种方式，如未授权访问、DDoS攻击、重入攻击、恶意程序感染等，造成巨大损失。
• 智能合约的安全性至关重要，因为其一旦发布便难以更改。合约漏洞可能带来严重后果，如资金被非法转移或系统被冻结。
• 区块链的安全问题不仅限于技术层面，还涉及管理层面，如员工安全意识、第三方风险控制、社会工程学攻击等。

关键信息

01|区块链概况

• 区块链最早由中本聪在2008年提出，比特币是其最广为人知的应用。
• 区块链技术包括：非对称加密、点对点网络、哈希算法、共识机制和智能合约。
• 区块链行业可划分为数字货币和技术应用两大类，技术应用包括金融、数据存证、底层服务等。

02|区块链原理及特征

• 区块链的层级结构包括：应用层、智能合约层、底层结构层、基础设施层。
• 区块链的同步性、可信任性和可溯源性是其技术核心。
• 智能合约是区块链的重要组成部分，其自动执行特性极大扩展了区块链功能。

03|行业划分与安全诉求

• 数字货币：

  • 矿力：矿机、矿池、云算力，安全诉求包括防止网络接口被攻击和权限泄露。
  • 钱包：热钱包、冷钱包、中心化钱包，安全诉求包括私钥保护、平台权限安全等。
  • 交易：交易所和实时跨境支付，安全诉求包括防止Web端攻击和内部人员泄密。

• 技术应用：

  • 金融：共享经济、资产交易、融资（ICO），安全诉求包括权限管理、合约安全等。
  • 数据存证：资产管理、个体信息存储，安全诉求包括防篡改、保护隐私等。
  • 底层服务：解决方案、BaaS、开发基础，安全诉求包括底层架构安全、平台运行安全等。

04|区块链安全攻击实例及分析

• 应用层攻击：

  • 交易所服务器未授权访问、DDoS攻击、员工主机安全问题、恶意程序感染。
  • 实例包括Gatecoin、Youbit、BitMarket、Tether Token被盗、BitQuick防御成功等。

• 智能合约层攻击：

  • 重入攻击（如The DAO事件）、未授权访问攻击（如Parity钱包事件）、Solidity开发安全问题。
  • 重入攻击通过劫持合约控制流，破坏事务原子性，导致资金被非法转移。
  • Parity钱包事件因未正确初始化合约，导致所有多签名钱包冻结，资产无法访问。

• Solidity开发安全问题：

  • 竞争条件（如重入、跨函数竞争条件）。
  • 交易顺序依赖和提前交易。
  • 时间戳依赖和整型上溢/下溢。
  • 这些问题都可能被攻击者利用，造成严重后果。

05|应对策略-区块链安全开发生命周期

• 培训：提升区块链开发者的安全意识。
• 需求：明确安全需求，识别潜在风险。
• 设计：设计安全架构，考虑多层防护。
• 实现：使用安全的开发语言和工具。
• 验证：进行智能合约审计，防止漏洞。
• 发布与响应：部署安全措施，应对安全事件。

结论

区块链安全是一个多维度的问题，涉及技术、管理、法律等多个层面。为了保障区块链行业的健康发展，需要从多个角度进行防护，包括加强安全意识、优化开发流程、提升基础设施安全、防范智能合约漏洞等。只有多方协作，才能有效应对区块链行业日益复杂的攻击威胁。