区块链挖矿_区块链开发_比特币行情_快报网

网站地图资讯

区块链挖矿_区块链开发_比特币行情_快报网

当前位置: 快报网 > 分析 >

信通院论文:如何评估区块链基础设施的安全性?认准这14类评估指标

时间:2021-07-20 02:06人气:来源: www.sigejs.com

关键字:区块链基础设施;安全风险;评估指标

1、引言

论文引用格式:魏亮,查选. 区块链基础设施安全风险及评估探索[J]. 信息通信技术与政策, 2020(2):10-13.

入侵防范:应在重要节点处设置入侵防范机制,确保入侵防范机制的升级和更新维护,可记录攻击行为信息并提供报警。

[2] 查选, 孟楠. 怎么样应付区块链基础设施安全风险?[N]. 人民邮电报, 2020-01-09(6).

P2P组网安全:提供核心节点和节点联通度冗余性,确保在少量和不相同种类型节点断网时的互联网可用性;应提供同步机制确保节点断线重连后,可在肯定时间内同步系统最新状况;可实时反馈互联网拓扑连接状况,达成对节点失联、连接垄断等异常状况的测试和应付。

2017年,欧盟推出研究项目以评估区块链基础设施提供覆盖欧盟全境的靠谱透明数据买卖环境的潜力;2018年,欧盟多国签署合作协议,共建欧洲区块链服务基础设施;2019年,德国政府发布《区块链策略》,指出德国将加大对区块链基础性技术的安全研究,包括推进后量子密码范围算法的研发、打造测试环境使企业可以开发安全的智能合约并对其进行全方位测评等。

2.2  行业范围

Abstract:Blockchain has become a hot issue in global technology and economy with its anti-tampering, transparency and decentralization. Blockchain infrastructure carries various blockchain applications on the TOP and connects network infrastructure on the bottom, and therefore its security is key to the high-quality development of blockchain. This paper surveys the effort of global governments, industries and standardization institutions in blockchain infrastructure security. Then it analyzes the security risks of blockchain infrastructure and ends up with the corresponding security evaluation indicators to evaluate the ability of blockchain infrastructure in tackling security risks.

Key words: Blockchain infrastructure; security risk; evaluation indicator

目前,各国政府、行业和标准化组织纷纷聚力区块链基础设施能力及安全建设,帮助区块链技术和应用在通信、金融、医疗等关乎国计民生的各大行业范围的平稳落地。

恶意代码防范:应安装防恶意代码软件,并按期进行软件版本升级和恶意代码库更新;可准时发现并修补存在的已知漏洞。

密钥管理:提供对密钥的全生命周期管理,包括密钥的安全生成、用、存储、备份、替换等。

4.2   传统认证加密安全能力评估指标

[3] 戴方芳, 樊晓贺, 崔枭飞, 等. 区块链典型应用构造安全风险和应付剖析[J]. 信息通信技术, 2018,12(06):56-61+68.

[1] 中国信息通信研究院.区块链安全白皮书—技术应用篇(2018版)[EB/OL].(2018-09)[2020-02]. http://www.caict.ac.cn/kxyj/qwfb/bps/201809/P020180919411826104153.pdf.

智能合约安全:提供对访问智能合约用户的身份辨别和访问控制机制;明确在运行安全、接口安全、安全配置等方面的智能合约开发规范;提供智能合约基线安全测试、框架性安全测试等必要的代码安全检查。

针对区块链基础设施面临的安全风险,在区块链基础设施核心计制、传统认证加密、安全运维管理3个范围形成14类安全评估指标,以综合性评估区块链基础设施系统和平台应付安全风险的能力。安全评估指标和安全风险对应关系如表1所示。

区块链基础设施系统可使用链上分布式数据账簿存储和链下数据存储相结合的方法,存储区块链基础设施平台系统产生和运行所需的数据。区块链基础设施数据存储一方面面临着传统存储设施及环境里的数据非法访问、泄露等传统安全风险,如LevelDB、Redis等数据库中可能存在未准时修复的安全漏洞致使对存储设施未经授权的访问和入侵;另一方面还面临分布式、抗篡改等安全特质带来的新安全风险,包括因互联网断裂或恶意数据攻击致使的链上与链下分布式存储数据不同风险、因区块链技术抗篡改特质致使内容非法或威胁用户隐私的上链数据难以删除和修改的安全风险等。

访问控制:配置访问控制方案,严格限制不相同种类型用户访问权限。

分布式数据存储、密码协议机制、分布式组网机制、智能合约及开发接口作为区块链基础设施核心技术和功能,不只面临愈发严峻的传统安全风险,还面临因其特有设计而引入的全新安全风险。

区块链基础设施中分布式节点基于P2P组网协议构建形成分布式互联网,并遵循共识协议中概念的公开、无歧义的规则以确保互不信赖的分布式节点可就数据和系统状况达成统一共识。区块链基础设施分布式组网机制不只面临着DDoS攻击、病毒木马攻击、DNS污染等传统互联网安全风险,其共识协议和P2P组网协议还面临节点失效、链路失效、不真实路由或身份信息、恶意节点合谋等行为带来的全新安全威胁。一是节点和链路失效可能会导致互联网分区,致使全网共识没办法收敛、收敛时间较长超出可用范围、被分区的节点记录不同等状况;二是攻击者可借助共识协议算法脆弱性进行算力攻击、分叉攻击、女巫攻击等新型攻击,控制互联网中肯定比率的算力、节点或货币数目,达成对共识过程和结果的控制;三是攻击者借助P2P协议脆弱性控制目的节点的互联网连接和数据传输,如日蚀攻击使得目的节点只能收到来自攻击者选择性转发的信息,达成对攻击目的的算力等共识资源的控制。

2.3   标准化组织

物理环境安全:确保区块链基础设施在机房地方、电力提供、防火、防水、防静电、温湿度控制等物理环境方面的安全。

参考文献

作为一种全新的数据存储、传输和管理技术,区块链及其应用在新的技术和产业变革中发挥着要紧用途。2019年十月,习近平总书记在中共中央政治局第十八次集体学习中强调,“要把区块链作为核心技术自主革新的要紧突破口”“要加大对区块链安全风险的研究和剖析”“探索打造适应区块链技术机制的安全保障体系”。区块链基础设施作为对上承载各类区块链应用、对下衔接互联网基础设施的核心枢纽,为区块链应用落地提供必需的存储、传输、计算、开发和测试等底层核心能力、资源和服务,同时其所面临的安全威胁也将对其上的区块链应用乃至整个生态带来很大的安全影响,因此区块链基础设施安全能力将成为确保区块链安全健康进步的重要所在。

2、区块链基础设施及其安全进步近况

查选:中国信息通信研究院安全研究所工程师,博士,主要从事区块链安全、物联网安全、无线互联网安全等范围的研究工作

Risk analysis and evaluation of Blockchain infrastructure

3.1   数据存储安全风险

2.1  政府层面

共识机制安全:应拥有并明确容错能力,即可容忍特定范围内的节点失效或互联网连接问题;应可抵御肯定范围内的恶意节点合谋攻击、女巫攻击等恶意攻击行为。

3.3   分布式组网安全风险

在国际标准范围,ITU-T Q17/SG13已经启动“Y.BaaS-reqts: Cloud computing – functional requirements for blockchain as a service”技术指标的研制;ITU-T Q8/SG17同步推进BaaS有关安全指标研制,覆盖BaaS安全威胁剖析和安全保障等范围;Q14/SG17则聚焦分布式账本技术DLT安全性展开标准研制。在行业准则范围,中国通信标准化协会安全防护特设组已启动拟定区块链基础设安全防护和测试有关标准,明确区块链基础设施在业务层、互联网层、设施层、物理层和管理层的安全防护需要及测试办法。

3、区块链基础设施安全风险剖析

摘要:技术凭着抗篡改、透明化、分布式的安全特质已成为近年来全球科技和经济进步新热门。区块链基础设施作为对上承载各类区块链应用、对下衔接互联网基础设施的核心枢纽,其安全保障能力是确保区块链健康高水平进步中必不可少的一环。概述了目前国内外政府、行业和标准化机构在区块链基础设施安全范围的进步近况,剖析了区块链基础设施面临的安全风险,并提出了相应的安全评估指标以综合性评估区块链基础设施应付安全风险的能力。

安全审计:确保安全审计范围和记录的覆盖面;对审计记录提供安全保护;提供审计记录的统计、剖析、查看等操作。

区块链基础设施提供智能合约、API、SDK等,以达成区块链上层应用与区块链基础资源的高效连接,其主要面临成熟度不高的代码达成带来的安全风险。如借助智能合约逻辑、开发中存在的安全漏洞和后门,或智能合约运行环境中的虚拟机自己安全漏洞,或不健全的访问验证、控制等机制,攻击者可部署恶意智能合约代码以推行逃逸漏洞攻击、逻辑漏洞攻击、堆栈溢出漏洞攻击、资源滥用漏洞攻击等,达成不符合智能合约约定的操作。

4、区块链基础设施安全评估指标

资源监控:监控互联网资源的用状况,并能对资源用行为进行必要的限制。

表1  区块链基础设施安全评估指标

信通院论文:如何评估区块链基础设施的安全性?认准这14类评估指标
信通院论文:如何评估区块链基础设施的安全性?认准这14类评估指标
4.1   核心计制安全能力评估指标
密码机制安全:密码算法的设计应满足密码有关国家需要;密码机制达成过程应拥有必要的代码混淆和测试,确保密钥信息的安全性。

哈希算法、非对称签名算法、对称加密算法、梅克尔树等密码学机制为构建链式数据结构、确认买卖和区块不能否认性等提供安全基本元素。密码机制面临的安全风险可分为3方面:一是密钥生成、分发、存储过程中因职员操作或管理不当带来的安全风险,包括密钥丢失失窃等;二是密码算法自己设计存在的安全风险,包括哈希算法面临的碰撞威胁、量子计算技术快速进步对非对称密码算法的大数因子分解问题等安全首要条件的威胁等;三是密码算法开发达成中的后门和漏洞,如2017年ETH浏览器Mist底层软件框架Electron中存在的安全漏洞可能会暴露密钥。

3.2   密码机制安全风险

3.4   智能合约及接口安全风险

(China Academy of Information and Communications Technology, Beijing 100191,China)

业务管理安全:确保在管理规范、职员和技术支持能力、运行维护管理能力、灾难恢复预案等管理范围的安全。

5、结束语

作者简介:

基于区块链基础设施所面临的传统和新技术安全风险相融合的复杂安全局面,对其进行针对性的全方位安全评估可帮助应付和辨别区块链基础设施系统存在的安全风险,提高区块链基础设施安全水平,保障其上承载的区块链应用乃至整个区块链生态安全,对推进区块链健康高水平进步具备重大意义。

IBM、微软、亚马逊、阿里云等国内外行业巨头作为区块链基础设施服务商,陆续推出以区块链即服务(Blockchain-as-a-service, BaaS)为代表的区块链基础设施服务,以推进区块链进一步业务主流化。2018年,瑞士邮政和瑞士电信宣布合作建设“100%瑞士”国家级区块链互联网基础设施,为瑞士公民和企业提供区块链基础设施和区块链即服务等区块链基础性服务;2019年,中国国家信息中心、中国移动、中国银联等机构正式发布并启动区块链服务互联网公测,以全国性区块链服务基础设施平台形式为开发者提供公共区块链资源环境。

魏亮:中国信息通信研究院安全研究所所长,教授级高级工程师,主要从事下一代电信网、互联网构造、下一代网络、互联网与信息安全等范围的研究工作;

身份辨别:对访问区块链基础设施系统、互联网和数据的用户进行身份标识和辨别,并对身份辨别信息进行保护。

WEI Liang, ZHA Xuan

数据保护:使用密码学办法确保要紧数据在传输和存储中的机密性和完整性;提供对用户个人信息的授权访问和合法用。

4.3   安全运维管理能力评估指标

标签:


热门标签