“區(qū)塊鏈不是一項新技術(shù)，它采用了密碼學的很多技術(shù)，如哈希算法、公鑰密碼等。”13日，2019未來科學大獎周在清華大學開幕，一場聚焦網(wǎng)絡和信息安全的學術(shù)報告會同期舉行。本年度未來科學大獎—數(shù)學與計算機科學獎獲得者、中國科學院院士、國際密碼協(xié)會會士王小云提及密碼學與區(qū)塊鏈的淵源。
“區(qū)塊鏈以密碼學方式保證其不可篡改和不可偽造。”北京理工大學計算機網(wǎng)絡安全對抗技術(shù)研究所所長閆懷志告訴科技日報記者，區(qū)塊鏈融合了密碼學、數(shù)學、計算機科學（點對點網(wǎng)絡、分布式存儲等）、網(wǎng)絡科學等多門學科技術(shù)。“以安全視之，區(qū)塊鏈自身實現(xiàn)采用了諸多安全技術(shù)。”
那么，自帶安全基因的區(qū)塊鏈會涉及哪些網(wǎng)絡安全問題呢？
匿名性特征是一把雙刃劍
專家表示，在區(qū)塊鏈技術(shù)即將獲得廣泛應用的時代，網(wǎng)絡空間的安全問題會出現(xiàn)新的特點。閆懷志解釋道：“區(qū)塊鏈一個重要特點是去中心化，其廣泛應用必將會對需要實行中心化監(jiān)管的領域產(chǎn)生不利影響。區(qū)塊鏈技術(shù)的匿名性特征也是一把雙刃劍，一方面能有效保護隱私，另一方面又為網(wǎng)絡空間惡意行為甚至網(wǎng)絡犯罪提供面具和保護傘，比如，很多黑市通過區(qū)塊鏈技術(shù)洗錢來逃避打擊。”
“再者，區(qū)塊鏈技術(shù)本身要求各個節(jié)點共享區(qū)塊信息，雖然這種方式增強了信息的不可篡改性，但區(qū)塊中的交易信息易被各方所知曉。另外，很多公眾甚至是技術(shù)專家對于區(qū)塊鏈技術(shù)過于迷信，認為其可以包打網(wǎng)絡安全的天下，這種誤解可能會間接導致信息系統(tǒng)整體安全防御體系的不當構(gòu)建，引入了新的風險。”閆懷志說。
此外，區(qū)塊鏈還面臨眾多外部安全威脅——主要是針對算法、協(xié)議、實現(xiàn)、應用以及系統(tǒng)等層面的破壞、更改和泄露，具體體現(xiàn)在區(qū)塊鏈數(shù)據(jù)的完整性、不可否認性、匿名性、隱私保護以及其他方面。
雖然區(qū)塊鏈自身具有較完善的安全體系，但也存在著不少機制上的缺陷。閆懷志表示：“區(qū)塊鏈的安全性高度依賴于共識機制，但當前的主流公有鏈平臺（如比特幣、以太坊等）的共識機制多是基于算力而實現(xiàn)的。區(qū)塊鏈用戶賬號的安全風險主要來自去中心化機制帶來的弊端。”
因此，區(qū)塊鏈系統(tǒng)需要多種安全技術(shù)來保障。“在安全性方面，如果攻擊者能夠控制全部數(shù)據(jù)節(jié)點的51%，就可以對網(wǎng)絡數(shù)據(jù)進行修改，即所謂的‘51%攻擊’。”閆懷志坦陳，“不過，若想控制全部數(shù)據(jù)節(jié)點的51%以上，是較難做到的。”
區(qū)塊鏈可用于網(wǎng)絡安全保障
隨著區(qū)塊鏈大規(guī)模應用，該如何做好信息保密工作？
區(qū)塊鏈系統(tǒng)本身具有安全體系，可以用于網(wǎng)絡安全領域。“區(qū)塊鏈自身安全體系是指為了實現(xiàn)區(qū)塊鏈基礎架構(gòu)和功能而采用的安全技術(shù)。在該技術(shù)體系中，采用的是加密、數(shù)字簽名、時間戳等安全技術(shù)，實現(xiàn)數(shù)據(jù)區(qū)塊保密、節(jié)點認證、存儲安全、傳播驗證、安全容錯、身份鑒別、授權(quán)訪問、安全審計以及隱私保護等功能。”閆懷志告訴記者。
天津大學智能與計算學部副教授應翔告訴科技日報記者，區(qū)塊鏈技術(shù)還不夠成熟，在面對新的復雜的應用場景時更易出現(xiàn)安全風險。“由于區(qū)塊鏈技術(shù)不可逆的特點，出現(xiàn)網(wǎng)絡漏洞后的風險比常規(guī)互聯(lián)網(wǎng)應用的風險更大。”針對技術(shù)方面的風險，他建議做好安全審計和測試工作。“在代碼正式發(fā)行前，先試著運行一段時間，把技術(shù)漏洞扼殺在搖籃。”
在賽迪智庫信軟所軟件研究室主任蒲松濤看來，區(qū)塊鏈技術(shù)所涉及到的信息安全風險主要集中在應用層面。為此，他建議加強管理。“一是做好信息系統(tǒng)的管理；二是做好用戶管理，提升用戶技能；三是做好上鏈信息和數(shù)據(jù)的管理，區(qū)分哪些數(shù)據(jù)能上鏈哪些不能。”
閆懷志稱，區(qū)塊鏈在網(wǎng)絡空間安全保障方面具有廣闊應用前景，尤其是在身份認證、訪問控制、數(shù)據(jù)保護方面可發(fā)揮重要作用。“這是因為區(qū)塊鏈具有高度安全性及時間維度，區(qū)塊鏈數(shù)據(jù)具有很強的數(shù)據(jù)抗篡改能力，可有效保護數(shù)據(jù)的完整性，且開銷不高、便于實施。”
“隨著應用場景增多，區(qū)塊鏈技術(shù)涉及的具體安全問題會暴露出來，區(qū)塊鏈行業(yè)將針對具體問題采取具體措施，使區(qū)塊鏈技術(shù)的解決方案更成熟。”應翔說。
“當然，除了技術(shù)手段，還應加強配套的法律法規(guī)、標準、監(jiān)督和管理體系構(gòu)建，多管齊下構(gòu)建完整的區(qū)塊鏈應用安全生態(tài)環(huán)境。”閆懷志說。
“區(qū)塊鏈以密碼學方式保證其不可篡改和不可偽造。”北京理工大學計算機網(wǎng)絡安全對抗技術(shù)研究所所長閆懷志告訴科技日報記者，區(qū)塊鏈融合了密碼學、數(shù)學、計算機科學（點對點網(wǎng)絡、分布式存儲等）、網(wǎng)絡科學等多門學科技術(shù)。“以安全視之，區(qū)塊鏈自身實現(xiàn)采用了諸多安全技術(shù)。”
那么，自帶安全基因的區(qū)塊鏈會涉及哪些網(wǎng)絡安全問題呢？
匿名性特征是一把雙刃劍
專家表示，在區(qū)塊鏈技術(shù)即將獲得廣泛應用的時代，網(wǎng)絡空間的安全問題會出現(xiàn)新的特點。閆懷志解釋道：“區(qū)塊鏈一個重要特點是去中心化，其廣泛應用必將會對需要實行中心化監(jiān)管的領域產(chǎn)生不利影響。區(qū)塊鏈技術(shù)的匿名性特征也是一把雙刃劍，一方面能有效保護隱私，另一方面又為網(wǎng)絡空間惡意行為甚至網(wǎng)絡犯罪提供面具和保護傘，比如，很多黑市通過區(qū)塊鏈技術(shù)洗錢來逃避打擊。”
“再者，區(qū)塊鏈技術(shù)本身要求各個節(jié)點共享區(qū)塊信息，雖然這種方式增強了信息的不可篡改性，但區(qū)塊中的交易信息易被各方所知曉。另外，很多公眾甚至是技術(shù)專家對于區(qū)塊鏈技術(shù)過于迷信，認為其可以包打網(wǎng)絡安全的天下，這種誤解可能會間接導致信息系統(tǒng)整體安全防御體系的不當構(gòu)建，引入了新的風險。”閆懷志說。
此外，區(qū)塊鏈還面臨眾多外部安全威脅——主要是針對算法、協(xié)議、實現(xiàn)、應用以及系統(tǒng)等層面的破壞、更改和泄露，具體體現(xiàn)在區(qū)塊鏈數(shù)據(jù)的完整性、不可否認性、匿名性、隱私保護以及其他方面。
雖然區(qū)塊鏈自身具有較完善的安全體系，但也存在著不少機制上的缺陷。閆懷志表示：“區(qū)塊鏈的安全性高度依賴于共識機制，但當前的主流公有鏈平臺（如比特幣、以太坊等）的共識機制多是基于算力而實現(xiàn)的。區(qū)塊鏈用戶賬號的安全風險主要來自去中心化機制帶來的弊端。”
因此，區(qū)塊鏈系統(tǒng)需要多種安全技術(shù)來保障。“在安全性方面，如果攻擊者能夠控制全部數(shù)據(jù)節(jié)點的51%，就可以對網(wǎng)絡數(shù)據(jù)進行修改，即所謂的‘51%攻擊’。”閆懷志坦陳，“不過，若想控制全部數(shù)據(jù)節(jié)點的51%以上，是較難做到的。”
區(qū)塊鏈可用于網(wǎng)絡安全保障
隨著區(qū)塊鏈大規(guī)模應用，該如何做好信息保密工作？
區(qū)塊鏈系統(tǒng)本身具有安全體系，可以用于網(wǎng)絡安全領域。“區(qū)塊鏈自身安全體系是指為了實現(xiàn)區(qū)塊鏈基礎架構(gòu)和功能而采用的安全技術(shù)。在該技術(shù)體系中，采用的是加密、數(shù)字簽名、時間戳等安全技術(shù)，實現(xiàn)數(shù)據(jù)區(qū)塊保密、節(jié)點認證、存儲安全、傳播驗證、安全容錯、身份鑒別、授權(quán)訪問、安全審計以及隱私保護等功能。”閆懷志告訴記者。
天津大學智能與計算學部副教授應翔告訴科技日報記者，區(qū)塊鏈技術(shù)還不夠成熟，在面對新的復雜的應用場景時更易出現(xiàn)安全風險。“由于區(qū)塊鏈技術(shù)不可逆的特點，出現(xiàn)網(wǎng)絡漏洞后的風險比常規(guī)互聯(lián)網(wǎng)應用的風險更大。”針對技術(shù)方面的風險，他建議做好安全審計和測試工作。“在代碼正式發(fā)行前，先試著運行一段時間，把技術(shù)漏洞扼殺在搖籃。”
在賽迪智庫信軟所軟件研究室主任蒲松濤看來，區(qū)塊鏈技術(shù)所涉及到的信息安全風險主要集中在應用層面。為此，他建議加強管理。“一是做好信息系統(tǒng)的管理；二是做好用戶管理，提升用戶技能；三是做好上鏈信息和數(shù)據(jù)的管理，區(qū)分哪些數(shù)據(jù)能上鏈哪些不能。”
閆懷志稱，區(qū)塊鏈在網(wǎng)絡空間安全保障方面具有廣闊應用前景，尤其是在身份認證、訪問控制、數(shù)據(jù)保護方面可發(fā)揮重要作用。“這是因為區(qū)塊鏈具有高度安全性及時間維度，區(qū)塊鏈數(shù)據(jù)具有很強的數(shù)據(jù)抗篡改能力，可有效保護數(shù)據(jù)的完整性，且開銷不高、便于實施。”
“隨著應用場景增多，區(qū)塊鏈技術(shù)涉及的具體安全問題會暴露出來，區(qū)塊鏈行業(yè)將針對具體問題采取具體措施，使區(qū)塊鏈技術(shù)的解決方案更成熟。”應翔說。
“當然，除了技術(shù)手段，還應加強配套的法律法規(guī)、標準、監(jiān)督和管理體系構(gòu)建，多管齊下構(gòu)建完整的區(qū)塊鏈應用安全生態(tài)環(huán)境。”閆懷志說。
