首頁|必讀|視頻|專訪|運營|制造|監(jiān)管|大數(shù)據(jù)|物聯(lián)網(wǎng)|量子|元宇宙|博客|特約記者
手機(jī)|互聯(lián)網(wǎng)|IT|5G|光通信|人工智能|云計算|芯片報告|智慧城市|移動互聯(lián)網(wǎng)|會展
首頁 >> 頭條列表 >> 正文

長亭科技于曉航:區(qū)塊鏈安全要整個生態(tài)一起發(fā)力

2020年10月20日 13:34  CCTIME飛象網(wǎng)  

飛象網(wǎng)訊 在2020年中國國際信息通信展上,飛象網(wǎng)專訪了長亭科技區(qū)塊鏈安全首席技術(shù)專家于曉航,他向我們介紹了區(qū)塊鏈領(lǐng)域的最新安全進(jìn)展,讓我們認(rèn)識到區(qū)塊鏈安全同樣值得關(guān)注。

于曉航表示:“區(qū)塊鏈安全不能只依靠安全廠商這幾個點,而是應(yīng)該依靠整個生態(tài),區(qū)塊鏈生態(tài)里面各個細(xì)分行業(yè),各個企業(yè)自發(fā)對安全的重視,主動的從內(nèi)部發(fā)現(xiàn)問題,主動聯(lián)系安全廠商來做這件事情,整個生態(tài)一起發(fā)力!

以下是訪談全文:

訪談時間:2020年10月15日

主持人:飛象網(wǎng)資深記者 魏德齡

嘉 賓:長亭科技區(qū)塊鏈安全首席技術(shù)專家 于曉航

主持人:前不久國家互聯(lián)網(wǎng)應(yīng)急中心聯(lián)合長亭科技和其他三家區(qū)塊鏈廠商發(fā)布了國家區(qū)塊鏈漏洞定級細(xì)則,作為區(qū)塊鏈行業(yè)首個漏洞定級細(xì)則,長亭科技深度參與了此次編寫,可以向我們介紹一下這個細(xì)則嗎?,還有您覺得細(xì)則的發(fā)布對行業(yè)發(fā)展有什么影響?

于曉航:我們從最開始,一直和應(yīng)急中心有比較深的聯(lián)系,上個月月底,我們一起以國家區(qū)塊鏈漏洞庫的名義發(fā)布了這一套區(qū)塊鏈漏洞定級細(xì)則,長亭作為技術(shù)牽頭單位,主要負(fù)責(zé)了其中公鏈板塊定級細(xì)則編寫,和整體技術(shù)、劃分標(biāo)準(zhǔn)的把關(guān)。。

我個人覺得這個細(xì)則的發(fā)布,某種意義上說是比較順應(yīng)區(qū)塊鏈行業(yè)的發(fā)展,因為它解決了區(qū)塊鏈行業(yè)里面長期以來存在的一個漏洞定級困難的問題。在我們這兩三年的實際工作里面,在區(qū)塊鏈行業(yè)一開始,大家對于漏洞沒有一個定級的認(rèn)知,隨著行業(yè)發(fā)展出現(xiàn)了SRC,雖然說我們有一個CVSS,國際上通用的漏洞定級方法,可以用在區(qū)塊鏈漏洞定級上,但是大家對于CVSS在區(qū)塊鏈領(lǐng)域上的應(yīng)用,認(rèn)知是特別不統(tǒng)一的,這些認(rèn)知上的混亂會帶來特別多的分歧,阻礙區(qū)塊鏈行業(yè)安全技術(shù)的發(fā)展。我們一開始就特別想找一種方式來統(tǒng)一大家的認(rèn)知,這樣能把安全行業(yè)中蘊(yùn)含的非常強(qiáng)大的力量注入到區(qū)塊鏈行業(yè)里面,這是我們做這件事情的初衷。

這套細(xì)則本身是一個系列,包括四個方面,公鏈、聯(lián)盟鏈、智能合約及外圍系統(tǒng),這四個方面基本涵蓋了整個區(qū)塊鏈生態(tài)里面所有的技術(shù)領(lǐng)域。

說到這個細(xì)則發(fā)布的意義。

首先這個細(xì)則的發(fā)布給了行業(yè)一個比較強(qiáng)的信號,國家對區(qū)塊鏈安全這件事情非常重視,因為這個細(xì)則是從國家的角度發(fā)布的,這一點非常有利于提高整個行業(yè)的安全意識。

第二點,這個細(xì)則的發(fā)布,能夠有利于統(tǒng)一區(qū)塊鏈行業(yè)里面大家對于漏洞的認(rèn)知,這件事情是非常有利于把安全行業(yè)強(qiáng)大的力量注入到區(qū)塊鏈領(lǐng)域里面。

第三點,這個細(xì)則的發(fā)布,也是加快了區(qū)塊鏈行業(yè)標(biāo)準(zhǔn)化的進(jìn)度。這個細(xì)則的發(fā)布,也為接下來區(qū)塊鏈行業(yè)一些測評體系的工作,提供了比較官方的技術(shù)支持,做了一些技術(shù)上的鋪墊。

最后一個方面比較具體,我認(rèn)為這個細(xì)則里面實際上也是一個非常好的學(xué)習(xí)資料,大家通過看這個細(xì)則,了解到區(qū)塊鏈漏洞究竟是什么,了解到區(qū)塊鏈領(lǐng)域里面常見的攻擊場景是什么樣的,攻擊手段是什么樣的,這些東西都可以在細(xì)則里面略窺一二,對提升整個行業(yè)的實際技術(shù)安全水平也是非常有幫助的。

主持人:長亭科技算是一家很早開始研究并服務(wù)區(qū)塊鏈企業(yè)的網(wǎng)絡(luò)安全公司,在區(qū)塊鏈安全審視測試方面都有深入的研究。近來區(qū)塊鏈安全漏洞頻發(fā)的現(xiàn)狀,您有什么好的安全建議?

于曉航:這個問題就像我們安全從業(yè)者的心病,近幾年區(qū)塊鏈領(lǐng)域各種安全事件的發(fā)生,據(jù)我觀察來說,大部分主要是由于安全意識的問題,還有另外一大部分,是由于技術(shù)的問題。

對于安全意識這件事情,從整個行業(yè)來說,是沒有辦法強(qiáng)求的,不可能在短時間快速提升,不僅區(qū)塊鏈領(lǐng)域這樣,各行各業(yè),傳統(tǒng)互聯(lián)網(wǎng)領(lǐng)域也是這樣的,只能像最近反詐騙的宣傳和此次疫情期間應(yīng)對一樣,通過長期反復(fù)的宣傳,一步一步的逐漸提高行業(yè)的安全意識。

但是對于企業(yè)來說,還是有很多可以做的事情。首先,企業(yè)要建立比較好的重視安全的文化,從方方面面都重視安全,這個事情還是會非常有效果的。

第二,及時做一些人員安全意識方面的培訓(xùn),會起到立竿見影的效果。

關(guān)于技術(shù)方面,技術(shù)方面有很多的安全事件實際上都可以避免的,因為攻擊運用的漏洞都是比較基本的點,并不是很困難,這就體現(xiàn)出來我們安全行業(yè)目前來說力量還是比較缺乏的,相對于區(qū)塊鏈生態(tài)大體量來說,安全行業(yè)的力量還是不足,不是現(xiàn)在技術(shù)水平的高低,主要體現(xiàn)在掌握核心技術(shù)人才上的缺失。像我們現(xiàn)在安全廠商來說,安全廠商能發(fā)現(xiàn)的漏洞,不管是嚴(yán)重程度還是復(fù)雜程度,其實都已經(jīng)非常強(qiáng)了,但是實際上出現(xiàn)問題往往是非常基本非常簡單的點,原理非常簡單的漏洞。這兩個之間的差異就體現(xiàn)出來,因為整個區(qū)塊鏈生態(tài)里面的技術(shù)系統(tǒng)非常多,區(qū)塊鏈系統(tǒng)非常復(fù)雜,我們安全廠商人員和數(shù)量來說,根本沒有辦法覆蓋到每一個項目,每一個企業(yè)。

我在各種會議上也在說,區(qū)塊鏈安全這件事情,不能只依靠安全廠商這幾個點,而是應(yīng)該依靠整個生態(tài),區(qū)塊鏈生態(tài)里面各個細(xì)分行業(yè),各個企業(yè)自發(fā)對安全的重視,主動的從內(nèi)部發(fā)現(xiàn)問題,主動聯(lián)系安全廠商來做這件事情,整個生態(tài)一起發(fā)力。

關(guān)于技術(shù)方面的問題,對于技術(shù)這一個點,想說一點比較細(xì)節(jié)的事情。我們通過這幾年的工作經(jīng)驗觀察到,很多的技術(shù)人員知道怎么寫一個能用的區(qū)塊鏈系統(tǒng),但是不太清楚怎么寫一個安全的區(qū)塊鏈系統(tǒng),能用的系統(tǒng)和安全的系統(tǒng)之間差得很多,這兩者之間主要的差距,就差在對區(qū)塊鏈各種技術(shù)細(xì)節(jié)的理解上。很多開發(fā)者對區(qū)塊鏈的技術(shù)知道怎么回事,但是對技術(shù)細(xì)節(jié)沒有辦法掌握得太細(xì),理解不深,所以使得他開發(fā)的東西出現(xiàn)一些問題。

比如我們都知道區(qū)塊鏈里面一個叫Merkle Tree的東西,Merkle Tree一個主要作用是為了保護(hù)交易數(shù)據(jù),但是至于說它保護(hù)了哪幾類交易信息,這個問題很難有人一次性回答清楚。他理解不清楚這件事情,就會使得在開發(fā)或者優(yōu)化系統(tǒng)的時候,很容易把這個功能無意間抹掉。跳過這些保護(hù)功能以后,破壞了區(qū)塊鏈原本的安全設(shè)計,就會引出很多的安全問題。我們發(fā)現(xiàn)這幾年區(qū)塊鏈的漏洞大都是因為這類問題產(chǎn)生的。

主持人:今年4月份,區(qū)塊鏈正式入選新基建范圍,與5G共同成為支持?jǐn)?shù)據(jù)發(fā)展的基礎(chǔ)設(shè)施。與5G相輔相成的過程中,對于區(qū)塊鏈安全又有哪些挑戰(zhàn)?有哪些應(yīng)對方法?

于曉航:5G解決的是通信問題,區(qū)塊鏈解決的是信任問題,或者說是安全問題和隱私問題。隱私問題又被很多人理解為是目前移動網(wǎng)絡(luò)發(fā)展的一個瓶頸性的問題,另一方面對于區(qū)塊鏈系統(tǒng)來說,帶寬問題和存儲問題,又是兩個比較常見的發(fā)展瓶頸,所以從這個角度來說,5G和區(qū)塊鏈很多人認(rèn)為是有非常強(qiáng)的優(yōu)勢互補(bǔ)的關(guān)系,所以經(jīng)常認(rèn)為這兩個都?xì)w納為新基建以后,這兩個產(chǎn)業(yè)疊加在一起,會有一些疊加效應(yīng)。

我個人也是比較認(rèn)同這個觀點,這里面有一些更多值得探討的具體問題,可以聊一聊。第一個問題,5G這個事情雖然解決的是通信問題,它的發(fā)力點是在移動通信網(wǎng)絡(luò)上,但是區(qū)塊鏈系統(tǒng)目前來說主要依托的是主機(jī)和服務(wù)器,5G和區(qū)塊鏈之間的結(jié)合,并不會像大家想像的那么直觀,更可能的方式是,5G的發(fā)展會促進(jìn)區(qū)塊鏈技術(shù)移動端的發(fā)展,就是區(qū)塊鏈技術(shù)生態(tài)可能會向移動網(wǎng)絡(luò)發(fā)展。這個發(fā)展趨勢肯定會催生出更多基于移動端的區(qū)塊鏈技術(shù),既然一些新的應(yīng)用,新的細(xì)分領(lǐng)域出現(xiàn)之后,從安全角度來說,就是引入更多的攻擊面,攻擊面出現(xiàn)以后,隨著產(chǎn)業(yè)發(fā)展,一定會吸引來更多黑客的攻擊,這是對安全方面的影響。

第二個方面,隨著移動端網(wǎng)絡(luò)的發(fā)展,有可能會促進(jìn)云端區(qū)塊鏈的發(fā)展。隨著云端區(qū)塊鏈和移動端網(wǎng)絡(luò)的發(fā)展,有可能會增大區(qū)塊鏈系統(tǒng)帶寬上的壓力,引入更多的攻擊流量。隨著攻擊流量的增多,也會產(chǎn)生更多的周邊系統(tǒng),比如說區(qū)塊鏈瀏覽器周邊的區(qū)塊鏈應(yīng)用或者區(qū)塊鏈防護(hù)系統(tǒng)的產(chǎn)生,這些系統(tǒng)的出現(xiàn),也會引入更多的攻擊面,實際上跟第一條是連帶性的作用。

第三個問題,在區(qū)塊鏈領(lǐng)域里面,很多攻擊是基于大流量、大帶寬的,5G帶來更大的帶寬,也會為攻擊者提供了更便利的攻擊手段,對區(qū)塊鏈系統(tǒng)自身的穩(wěn)定性和可用性都提出了更高的要求,這個事情也會對區(qū)塊鏈系統(tǒng)產(chǎn)生一些影響。我覺得不管怎么樣的發(fā)展,就好像區(qū)塊鏈系統(tǒng)剛出現(xiàn)一樣,大家對區(qū)塊鏈也沒什么研究,但一定會有向我們這樣的安全廠商,安全從業(yè)人員對一個新型的領(lǐng)域做一些新的安全研究。所以我覺得這方面雖然會有很多的安全挑戰(zhàn),但是對我們安全從業(yè)人員來說,反而會更興奮,我們會更有動力來保護(hù)這個行業(yè)。

主持人:行業(yè)越發(fā)展,安全問題越難。剛興起的時候,很少有人說區(qū)塊鏈的安全問題。

于曉航:是,國內(nèi)的區(qū)塊鏈安全行業(yè)是18年前后才逐漸發(fā)展起來的,我們也是18年初的時候一起成長起來的,那時候都是靠硬著頭皮自己做研究。到現(xiàn)在累計到接近百萬行的區(qū)塊鏈源碼審計經(jīng)驗。我們長亭原來是做傳統(tǒng)安全做得比較好,我們會借鑒傳統(tǒng)安全里面的安全模型、經(jīng)驗、工具,把它快速嫁接到區(qū)塊鏈安全領(lǐng)域,通過這種方式,我們才能更快的著手完善區(qū)塊鏈安全。但是目前來說區(qū)塊鏈安全領(lǐng)域還有很多的工作沒有做好,例如防護(hù)性或者是監(jiān)測性的產(chǎn)品。對于區(qū)塊鏈安全領(lǐng)域來說,有很多事情是靠工業(yè)界自己沒辦法突破的,需要學(xué)術(shù)界的成果轉(zhuǎn)化才可以完成。

主持人:這也是區(qū)塊鏈跟傳統(tǒng)行業(yè)之間的主要差異?

于曉航:對,區(qū)塊鏈系統(tǒng)有很多的特殊性,最大的特殊點就是,區(qū)塊鏈不只是一個技術(shù),它更多是融合了經(jīng)濟(jì)模型在里面,所以很多漏洞不能單純從技術(shù)角度判斷,也需要有一些經(jīng)濟(jì)分析支撐才能判斷它是不是漏洞,這也是我們實際工作中的難點,因為這件事情也會出現(xiàn)很多有趣的爭論和討論。

主持人:謝謝您!

編 輯:章芳
聲明:刊載本文目的在于傳播更多行業(yè)信息,本站只提供參考并不構(gòu)成任何投資及應(yīng)用建議。如網(wǎng)站內(nèi)容涉及作品版權(quán)和其它問題,請在30日內(nèi)與本網(wǎng)聯(lián)系,我們將在第一時間刪除內(nèi)容。本站聯(lián)系電話為86-010-87765777,郵件后綴為#cctime.com,冒充本站員工以任何其他聯(lián)系方式,進(jìn)行的“內(nèi)容核實”、“商務(wù)聯(lián)系”等行為,均不能代表本站。本站擁有對此聲明的最終解釋權(quán)。
相關(guān)新聞              
 
人物
工信部張云明:大部分國家新劃分了中頻段6G頻譜資源
精彩專題
專題丨“汛”速出動 共筑信息保障堤壩
2023MWC上海世界移動通信大會
中國5G商用四周年
2023年中國國際信息通信展覽會
CCTIME推薦
關(guān)于我們 | 廣告報價 | 聯(lián)系我們 | 隱私聲明 | 本站地圖
CCTIME飛象網(wǎng) CopyRight © 2007-2024 By CCTIME.COM
京ICP備08004280號-1  電信與信息服務(wù)業(yè)務(wù)經(jīng)營許可證080234號 京公網(wǎng)安備110105000771號
公司名稱: 北京飛象互動文化傳媒有限公司
未經(jīng)書面許可,禁止轉(zhuǎn)載、摘編、復(fù)制、鏡像