杭州区块链国际周丨余弦:区块链安全建设之道

Evaporate 发布在 海盗号 43513

7月5日,杭州区块链国际周分论坛【“隐私计算:让数据安全有序流动起来”暨2020隐私计算产业30强榜单颁奖典礼】顺利开幕。此次论坛由算力智库联合巴比特、海南省大数据管理局、上海人工智能发展联盟、长三角大数据产业合作联席会议、新财富等共同举办,论坛汇聚了国内外近几年来在隐私数据与安全计算领域专注耕耘的大厂、金融机构与科技企业重磅嘉宾与专家首次云集,共享数据应用思辩饕餮盛宴,同时,还颁发了2020隐私计算产业30强榜单。

以下问演讲全文:

大家好,我分享的是围绕安全作为出发点,比较贴合这次的话题,数据安全保护。最终的目标是和大家分享我的很多思考,这些思考比较具有针对性一些,也是希望给大家带来我在区块链安全的建设方向上我们的一些经验。

很多专家这方面提的比较少,这是我自己的理解,不一定是很标准。最底层的密码学涉及到很多算法、HASH、编码、椭圆曲线、多方计算等等,在我们看来密码学这块安全没有保证的话,再往上我们很难证明什么了。

下一个是经济学和政治学,这里我特别提炼了几个词,就是和共识算法相关的,比如说BFT、POW、POS、DPOS等等共识算法,这个共识里如果在区块链层面上,肯定是围绕经济、利益,还有一些政治、权利等等方面的博弈,这个在我看来也是非常重要的基石。

然后才是探讨很多的区块链技术层,我特别提到它是技术层,比如说比特币等等,我们要部署它的节点,一般情况下可以看到会开放两个端口,要广播同步,还有一个是RPC,提供针对应用层交互或者业务层交互的入口,然后是虚拟机,可以执行智能合约,然后是更加丰富的一些应用,用智能合约来实现的。

最上层是业务层,在我看来是百花齐放,并且我加了一个,也是乱七八糟的。很多人没有想清楚,拿这个区块链到底做什么,所以没有想清楚的时候有一个道理很简单,当你没有想清楚,你做出来的东西可能会失败,这个失败可能是本身的宿命导致,未来是不可用的,你如果没有想清楚意味着会很混乱,出现漏洞或者出现问题的概率非常大,我们在行业内出现比较乱的现象有很多,但是最终我还是提到百花齐放,这个还是比较阳光的。

21

接下来看一组统计:

22

第一、这是我们过去几年采集了区块链生态中,全球已披露的项目方被黑事件,有273起,大家可以注意到,并没有统计未披露的以及个人被盗损失,当前这个损失的总额就是273起。加起来实际上已经有百亿美金规模,这是怎么算出来的?我这里的统计其实和我们现在所在的加密货币行业相关,比如说比特币等等,以当时被黑、被盗造成损失的市场价格来算,也就是说不一定按照现在这个价格来算,我们自己内部做了一个算法,如果按照现在的价格去做,这个金额可能大概这里乘以一个三倍,也就是说从我们区块链诞生来源于加密货币,到现在造成了整个损失已经披露的项目方已经有百亿美金的规模。

第二、Yubico做了一个统计,我们自己内部也做了一个总结,个人与IT专家的安全意识与行动的统计。我们可以看一下,这个统计对我们来说意义是什么,我们可能要做出很多的应用场景,无论是基于区块链或者基于其他任何形态都可以,性质是很残酷的,没有那么美好。

从安全的角度来看,比如说个人,过去两年内25%很在意自己的隐私保护,这个比例可能只有四分之一,在座的有四分之三都是专家,专家比这个高,但是还是挺低的。接着是第二大的比例,账号被盗过,即使是IT专家也是一样,65%,64%是没有开启AFA认证,比如说登录一个业务系统,这个时候可能会有第二次的认证的框弹出来,可能让你输入短信,没有人意识到有这样一个机制,包括跨平台重复使用密码,这也是非常严重的事情,IT专家可能觉得自己的技术更强,所以他可能在跨平台上重复使用密码比例反而更高。

这里带来一个问题,你在这个平台上使用了同样的密码,这个平台被黑了,你在另外一个平台上,因为密码是一样的,有可能导致了另外一个平台也被黑。

接着关于密码的分享,比例接近于50%会与同事分享我的密码,比如说大家为了方便。最终我们做出来的这些东西,再高大上,国家再统筹,你都逃离不了有大量的乌合之众,有大量的人没有这些安全意识。

第三、Yubico统计出来51%的IT专家表述,他们的组织遭遇了网络钓鱼攻击,我看到这个记得时候我并不是特别感冒,因为这个统计基于他们看到的,但是他们没有看到的可能更多,另外12%是遭遇了证书窃取,8%遭遇了中间人攻击。

第四,31%的IT专家表示,他们组织会使用密码管理器来安全创建、管理、存储密码的有效工具,42%的IT专家表示他们组织依赖于便利贴来管理密码,59%的IT专家表示他们组织依赖于人力记忆来管理密码。我也是靠记忆的,一旦我使用一款密码管理器的时候一定要把它的安全研究透,现在互联网太发达了,区块链也要起来了,各种各样的私钥、密码很多的,包括现在还有双因素,你要记得非常多,全靠大脑记忆是不现实的,除非你是福尔摩。所以要把你们重要的密码分等级,一些密码管理器在我看来是非常优秀的。

刚才前面讲架构包括统计可以看到现实很残酷,所以接下来要讲的话题是什么才是好的隐私数据保护,不是要给出答案,但是我会给出一些否定的。

绝对不是密码学就代表一切, 我非常尊重做密码学的学者、专家,以及国家有密码学方向的学术上的、科研上的,包括国家层面的一些战略上的,但是这个行业内总有一些人会把密码学当成一切,这个就没意思了。

比如有人说我的解决方案是顶级算法,世界顶级的RSA、椭圆曲线、AES等,他说我用了这些黑客破解不了,绝对安全,当我们看到这些广告语,在网络上也经常看到这些广告,能够用的所有非常牛逼的话术都可以用起来,是绝对安全,实际上黑客懒得搭理这些东西,不会傻到真的对抗RSA,。

但是我作为一个黑客我的目标是什么,我的目标是把你的资产、你的资金、你的隐私给盗取,我根本不用碰密码学,因为最终这些数据要解开、要使用、要传输、要共享,任何一个环节都可能出问题,甚至我把你绑架了,逼着你刷一个脸把手机解开也是一样的。

绝对不是隔离就代表隐私数据保护了,隔离这个东西是上古时代安全偷懒的解决方案,现在是二十一世纪,现在这个时代讲究的不是这么粗暴的隔离,这里要标明的是,如果再拿以前上古时代隔离的想法来解决安全的问题绝对是错的,至少10年前,大家知道伊朗核计划被干扰了,离心机参数被篡改,被政网病毒,通过摆渡的方式,正好攻击的设备是西门子的,这些技术细节已有资料我们都有看,在国与国之间的战争上已经有一些非常高尖端的手法开始突破所谓的隔离防护。

绝对不是得用区块链来解决,我们做数据保护、隐私计算、区块链都不一定,甚至区块链可能自身难保,这是我们这几年看到很多的场景,我们到了一些现场,看到的问题真的不忍直视,反而公链发展的比较好,为什么?原码开放,全球来对抗,有问题及时修复。

最后一个,回到重点,我们要做区块链安全,刚才前面有说到不一定全部都搞区块链,但是如果你搞区块链了首先看清楚这个架构,想清楚要不要用,如果想清楚了,把每一层安全用好。

我们明白一个非常关键的目标,就是我们做安全的,目标总要有,比如说给一些企业做安全的时候就会提,一个资产0损失,一个隐私0泄露,就是这么简单,这两个关键的数据真正做的时候,肯定难度是非常高的。

链下很多攻防和区块链关系不是很大,但是区块链的存在不是只有在区块链里跑就可以了,需要钱包、需要交易所、需要业务层面上的各种各样的治理,一定有很多中心化,中心化的威胁都有。我们做安全研究的时候,这个链上和链下当做一个整体的环节去研究。

另外看一个挺复杂的,比较中心化的区块链架构,不是说这个区块链是中心化,而是它对接了区块链,比如说这个图的右上角有很多区块链的节点,只是对接了区块链,但是各种各样数据库、交易等等是中心化,这里有一个风控策略,包括标了红色,可能在攻防里特别要注意的点。

23

大家知道攻防需要注意的是什么,成本对抗,没钱,钱不知道怎么花,谈再多都没用,区块链有加密货币这个行业,安全的预算可以占总支出的20%,你现在有更多的资产、有更多的数据,它有价值。

有关于数据的几个环节,搜集、存储、加工、使用、提供、交易、公开,这里大概是7个,在我看来人最终会成为所有安全的最大薄弱点。

24

不展开说,但是我重点推荐未来需要做的最佳0信任安全架构,核心搞清楚,各条链路安全策略,最好拥有黑客思维才能想明白,各条链路可能发生的安全事故。通过逆向思维,黑客思维往往是很逆向的思维,再推进正向思维要建设的业务。

最后我想说,相信我,安全是科技发展的第一保障,绝不是阻碍。这是我想为我在这个方向不断的努力,想特别给自己带来的一个安慰、鼓励,我们做安全不是要阻碍科技发展,而是希望我们了解大家一些科技的发展非常厉害的变革的时候,我们这些做安全的可以跟得上。

谢谢大家!

本文链接:https://www.8btc.com/media/618389
转载请注明文章出处

评论
登录 账号发表你的看法,还没有账号?立即免费 注册