20180929-中国信通院-区块链安全白皮书——技术应用篇_70页_4mb

区块链安全白皮书——技术应用篇（2018版）总结

核心内容

《区块链安全白皮书——技术应用篇（2018版）》由中国信息通信研究院与中国通信标准化协会牵头，联合多家企业与研究机构共同编制，旨在从网络安全的角度审视区块链技术的发展和应用，分析其分层架构及安全风险，并提出风险应对框架与促进安全应用的建议。

主要观点

全球区块链技术发展与应用态势

1. 技术生态基本成型
   区块链技术已逐步成熟，成为多个行业的应用热点，尤其在金融、医疗、物流等领域。全球区块链项目数量众多，亚洲地区占据主导地位，尤其以中国、新加坡、日本等为代表。

2. 安全问题日益凸显
   区块链平台和应用中频繁发生安全事件，如交易所攻击、智能合约漏洞等，累计损失高达28.64亿美元。同时，区块链的去中心化特性对现有监管体系提出了新的挑战。

3. 标准化工作持续推进
   各国际标准化组织（如ITU、ISO、W3C等）和开源联盟已启动区块链安全标准化工作，旨在统一术语、架构和测评标准，推动技术安全发展。

我国区块链发展与应用现状

1. 技术生态结构与全球一致
   我国区块链项目数量庞大，占亚洲总量的85.5%，在行业应用、底层技术、基础设施等方面发展迅速，但安全服务类项目占比仅为4.5%，尚未形成规模。

2. 政策聚焦发展与安全
   国家层面多次强调区块链技术的战略价值，鼓励其发展与应用。同时，政策开始关注区块链安全，提出安全体系构建、安全应对建议等指导内容。

3. 加快安全标准布局
   我国在国家标准、行业标准和产业联盟标准等多个层面推进区块链安全标准化工作，以规范平台、系统和应用的安全要求。

关键信息

区块链技术分层架构

区块链技术应用架构分为四层：

1. 存储层：存储上层应用所需及产生的数据文件，采用分布式数据库、关系数据库、文件系统等方式。
2. 协议层：构建分布式、去信任的共识网络，依赖P2P技术、非对称加密和共识机制保障网络和通信安全。
3. 扩展层：作为区块链应用方向延伸的支撑平台，主要以智能合约形式实现自动化业务流程。
4. 应用层：技术在各行业领域应用落地的直接体现，涉及支付结算、供应链、医疗健康等场景。

区块链安全风险分析

区块链各层面临不同的安全风险：

1. 存储层：基础设施安全风险、网络攻击威胁、数据丢失和泄露。
2. 协议层：协议漏洞、流量攻击、恶意节点。
3. 扩展层：智能合约开发漏洞、智能合约运行安全。
4. 应用层：私钥管理安全、账户窃取、应用软件漏洞、DDoS攻击、环境漏洞。

区块链对安全监管的挑战

1. 隐匿性强：区块链的匿名机制使得用户身份难以追溯，增加了网络犯罪的追踪难度。
2. 无中心化特性：分布式存储扩大了攻击面，使监管技术接口难以实施。
3. 防篡改特性：有害信息一旦写入区块链，难以删除或修改，给信息内容管理带来挑战。
4. 数据跨境与隐私保护矛盾：与GDPR等法规中的数据删除权、数据跨境要求存在冲突。

风险应对框架

为应对区块链各层安全风险，提出以下应对措施：

• 安全开发：规范开发流程，使用安全工具，预留测试周期。
• 代码审计：对区块链代码进行静态和动态分析，发现逻辑缺陷。
• 安全评估和测试：识别各层安全漏洞，评估算力、节点分布等。
• 安全配置：限制不必要的服务和权限，采用最小特权原则。
• 输入校验：对关键输入进行合法性校验，降低恶意代码执行风险。
• 加密存储/传输：采用加密方式存储私钥和重要数据，使用TLS等协议保障传输安全。
• 节点/数据安全验证：识别并阻止恶意节点，保障数据完整性。
• 身份认证和权限管理：实施用户和节点的身份验证，防止未授权访问。
• 流量清洗：实时监控网络流量，识别并剥离异常攻击流量。
• 安全防护产品/服务：部署防火墙、入侵检测、WAF等，提升整体安全性。

促进区块链安全应用的建议

1. 强化应用领域引导：鼓励“区块链+网络安全”应用模式，推动区块链在关键信息基础设施、金融、物联网等领域的安全应用。
2. 创新监管手段：探索“沙盒监管”、“穿透监管”等模式，加强区块链平台和应用的监管力度。
3. 强化技术风险研究：持续研究区块链各层安全风险，完善风险应对技术。
4. 加强国际合作治理：推动国际共识，加强跨国合作，提升对区块链网络犯罪的防范能力。

附录要点

典型攻击类型

• 共识机制攻击：如分叉攻击、女巫攻击、贿赂攻击、预计算攻击等。
• 地址不具名机制挑战：用户匿名性使攻击者身份难以追溯。
• 分布式存储扩大威胁面：攻击者可在多个节点获取数据副本，增加攻击可能性。
• 密码学机制安全风险：私钥管理不善、加密算法后门、量子计算威胁等。

国外区块链安全实践

• 基础设施安全：IBM提供安全区块链云环境服务。
• 攻击应对：英国电信、Chainalysis等企业开发相关解决方案。
• 安全认证：Xage、英国马恩岛政府等利用区块链进行设备身份认证。
• 安全域名：Blockstack、Nebulis等构建安全域名系统。
• 信任基础设施：CertCoin、Pomcor等基于区块链的PKI系统。
• 安全通信：Startup Filament、Obsidian等保护用户隐私通信。
• 数据安全存储：Gem、埃森哲、HyperLedger等提供数据完整性保障服务。

我国企业区块链安全实践

• 中国移动研究院：基于区块链管理PKI数字证书，提升证书配置效率。
• 360：推出EOSIO-BP节点和钱包APP安全审核方案。
• 腾讯：开展区块链安全应用及应对实践。
• 平安科技：基于国产密码的联盟链实践。
• 观安：区块链移动用户数据资产安全管理实践。
• 京东：区块链防伪追溯平台。

结论

区块链技术作为新兴的变革性技术，正在全球范围内快速应用，但其安全风险也逐渐显现。各国已开始从政策、标准、技术等层面探索应对措施，我国也在加快布局区块链安全标准化和监管体系。未来，区块链的安全发展需要多方协作，强化技术研究与应用实践，推动安全与创新并行，以实现其健康、有序的发展。