国产日韩欧美一区二区三区三州_亚洲少妇熟女av_久久久久亚洲av国产精品_波多野结衣网站一区二区_亚洲欧美色片在线91_国产亚洲精品精品国产优播av_日本一区二区三区波多野结衣 _久久国产av不卡

?

企業(yè)區(qū)塊鏈可能被黑的5個途徑

2018-11-26 09:42MariaKorolov
計算機世界 2018年35期
關鍵詞:參與方加密貨幣

Maria Korolov

專家警告,在非加密貨幣應用情形中存在區(qū)塊鏈安全風險。

網絡安全領域最熱門的話題之一就是企業(yè)區(qū)塊鏈。它采用了與比特幣一樣的加密貨幣技術。簡單地說,區(qū)塊鏈是對等各方共享的交易或者合同的列表,并被一些巧妙的密碼鎖定。不同于比特幣的是,區(qū)塊鏈能夠確保供應鏈的完整性,管理合同,甚至可以作為金融交易的平臺。

它在加密貨幣領域的普及,以及應用了密碼學及其分布式特性,向其支持者們表明,區(qū)塊鏈是我們當前很多網絡安全問題的解決方案。例如,Akamai目前正在構建一個用于在線支付的區(qū)塊鏈網絡。Akamai實驗室副總裁兼首席技術官Andy Champagne說:“區(qū)塊鏈本身就是一種安全技術。它確實是以安全原則為基礎的?!?/p>

Champagne說,關于比特幣交易遭黑客入侵的新聞一般與開放的、公共的網絡有關。在這些網絡中,任何人都可以建立一個節(jié)點,但企業(yè)區(qū)塊鏈項目與公共網絡的不同。他說:“企業(yè)區(qū)塊鏈通常是需要獲得許可的區(qū)塊鏈。有一組節(jié)點,但節(jié)點是私有的,并且通過一組安全周界來限制企業(yè)中各類人員對這些節(jié)點的訪問?!?/p>

Kudelski安全公司的首席技術官Andrew Howard證實說,這不僅僅是炒作。即使它不是靈丹妙藥,區(qū)塊鏈的好處也是實實在在的,這一技術還會繼續(xù)發(fā)展下去。他說:“理論上,基本概念是非??构舻?。從學術角度來看,區(qū)塊鏈很有意義。如果實施得當,它們很難被攻擊?!?/p>

雖然區(qū)塊鏈可能是黑客難以攻擊的目標,但也并非無懈可擊。很多安全專家警告說,區(qū)塊鏈的實施使企業(yè)面臨需要盡快重視起來的各種各樣的風險。

加密貨幣犯罪是大買賣

目前還沒有任何針對企業(yè)區(qū)塊鏈項目的網絡攻擊報道,但這主要是因為該技術仍處于開發(fā)或者試點階段。對公共區(qū)塊鏈項目的攻擊已經非常常見了。

據Carbon Black公司稱,今年上半年,黑客們竊取了價值11億美元的加密貨幣。Carbon Black的安全策略師Rick McElroy說:“隨著網絡犯罪的增長,編寫惡意代碼的個人也越來越多了,而暗網為他們提供了完美的市場銷售渠道?!狈缸锓肿訌倪@些攻擊中獲得經驗,并利用在地下擴散的工具,這些都可以用在企業(yè)攻擊犯罪活動中。

McElroy補充說,很多加密貨幣攻擊都不是針對核心區(qū)塊鏈技術的。相反,犯罪分子瞄準的是缺乏安全保障的交易以及個人和企業(yè),他們沒有很好地保護好自己的錢包。他們還發(fā)起了中間人攻擊,將加密貨幣交易轉移到他們自己的錢包中。

在McAfee最近關于區(qū)塊鏈安全的報告中,很多這類問題都與最終用戶的安全或者實施問題有關,而與區(qū)塊鏈加密協(xié)議本身無關。企業(yè)項目也可能有實施問題,即使他們的被攻擊面范圍沒有公開暴露的那么大。McElroy說:“對于任何想采用區(qū)塊鏈的企業(yè)來說,他們首先應該權衡實施的好處和成本,以及應用新技術的風險?!?/p>

考慮到這一點,以下列出了5個最大的區(qū)塊鏈安全風險:

1.進入區(qū)塊鏈交易時發(fā)生人為錯誤

在某些方面,企業(yè)區(qū)塊鏈可能比公共區(qū)塊鏈更脆弱。廣為宣傳的區(qū)塊鏈的一個好處是非常有彈性的大規(guī)模分布式對等網絡。如果一個節(jié)點宕機了,系統(tǒng)會繞過它,這樣就不會有故障點。如果有一個參與方想偷偷地把一筆不正當的交易記入到賬本中,但是在其他成員保持誠實的情形下,這是不可能發(fā)生的。但如果有人犯了“誠實的”錯誤呢?

Sophos的首席研究科學家Chet Wisniewski指出:“去中心化的好處是,如果沒有共識,就不能更改。因此,當加密貨幣交易出現了錯誤時,交易各方是無法撤銷它的,因為沒有中心的權威機構。如果你丟失了自己錢包的密碼,那它就永遠消失了。而在企業(yè)領域,這樣的情況極少會發(fā)生?!?/p>

當區(qū)塊鏈加密可以防止用戶改變歷史賬本時,系統(tǒng)通常被設置為參與方能夠添加新條目。對于企業(yè)項目,參與方通常是可信的伙伴,而不是隨機的公眾成員。High-Tech Bridge SA公司的首席執(zhí)行官Ilia Kolochenko說:“如果受信任方被攻破了,那么區(qū)塊鏈的安全性就不存在了?!?/p>

2.51%攻擊

更糟糕的是,如果網絡的大部分被攻破了,會怎樣呢?那么,攻擊者會造成很大的損失。這就是51%攻擊背后的理念。一名惡意的犯罪分子或者犯罪分子集團控制了系統(tǒng)中的大部分節(jié)點后,會強迫每個人都服從他們的意愿。

對于比特幣,這是很難做到的,因為網絡上有這么多的參與方。小規(guī)模的加密貨幣比較容易被攻擊,例如比特幣黃金。今年5月,攻擊者采用51%攻擊,獲得了價值1800萬美元的加密貨幣。

企業(yè)區(qū)塊鏈項目的參與方通常比公共加密貨幣平臺的參與方少得多。ForeScout新興技術副總裁Rob McNutt說:“網絡規(guī)模越小,被攻破的節(jié)點數量就越少。如果一家銀行正在推出區(qū)塊鏈來處理交易,那么節(jié)點的數量將遠遠少于公共網絡,因此可能被攻破的設備數量要少得多?!?/p>

企業(yè)部署可能更為同質化,因此,如果在一個節(jié)點中發(fā)現漏洞,則可以利用這一漏洞來攻擊所有其他節(jié)點。McNutt說:“在公共領域,人們下載不同的挖礦軟件,配置也各不相同?!?/p>

3.區(qū)塊鏈實施錯誤

區(qū)塊鏈項目漏洞的另一個重要來源是,該技術是如此新穎以至于實施時容易出現錯誤。甚至核心區(qū)塊鏈加密技術也有問題。Wisniewski說,算法在數學上可能是正確的,但具體的軟件版本可能不是。

Wisniewski評論說:“如果你不能理解基礎數學,那你基本上就是下載了一個盒子,上面寫著‘魔術,但不知道它能干什么用。我們在開源領域看到過很多次這種情況,人們依靠第三方的庫來處理這些事情,有人進入了Github并切換了代碼,六個月內都沒有人注意到?!?/p>

還有一個事實,即區(qū)塊鏈技術是如此新穎,Wisniewski說,“以至于根本不知道哪些錯誤不會發(fā)生?!彼€補充說,“我們還需要正確地管理區(qū)塊鏈部署時的所有加密密鑰。很多企業(yè)甚至無法正確地管理他們的網站證書?!?/p>

企業(yè)區(qū)塊鏈也會像其他技術項目一樣,很容易受到很多相同攻擊載體的攻擊。CA Veracode的首席技術官兼聯(lián)合創(chuàng)始人Chris Wysopal介紹說,以網絡釣魚和欺詐為例。他說,他還沒有看到有針對企業(yè)區(qū)塊鏈的此類攻擊,這是因為在生產過程中很少有這樣的攻擊。

這些攻擊在公共項目中是很常見的。他說:“我們看到了很多這類攻擊,有人假裝是收件人,攔截或者黑掉網頁,從而攔截交易。這不一定是加密貨幣,它可以是任何其他類型的交易?!?/p>

推出區(qū)塊鏈項目的企業(yè)應確定自己具備所有的基本知識,包括使用最新、最安全的軟件開發(fā)和審查過程,確保采用了多重身份驗證手段,并鎖定網站以防止網絡攻擊。弗吉尼亞州的網絡安全公司Merlin國際的工程副總裁Tej Luthra介紹說:“如果他們對跨站點腳本很敏感,那么不管是私有還是公眾的都無所謂。所有那些在網絡安全領域普遍存在的攻擊,區(qū)塊鏈也容易受到這類攻擊?!?/p>

4.被攻破的智能合同

2016年,去中心化自治組織(DAO)使用以太坊平臺推出了基于區(qū)塊鏈的投資基金,這是一種區(qū)塊鏈版本,可以存儲智能合同而不僅僅是簡單的貨幣交易。據Gartner說,黑客們能夠使用智能合同,從系統(tǒng)中抽取出價值1.5億美元的以太幣。

Reason軟件的創(chuàng)始人兼首席執(zhí)行官Andrew Newman說:“DAO案例已經成為一個典型的例子,讓我們記住,僅僅因為區(qū)塊鏈的某些原因而使用區(qū)塊鏈,并不意味著它本身就是安全的?!?/p>

現在,每個人都想使用區(qū)塊鏈。他說:“人們的想法是,利用對等分布式賬本模型,那么在其上實現的所有其他東西也將是安全的。顯然,這是一個錯誤的假設。實施起來未必能像它們所承諾的那樣安全和不出問題?!?/p>

智能合同對企業(yè)具有吸引力。它們在條件滿足時會自動執(zhí)行,不能被拒絕。這也意味著要解決問題、糾正錯誤和反欺詐是極其困難的。例如,在編寫合同時很容易出現意外,所要求的條件會永遠不能滿足,也有可能交貨地址是錯誤的。

如果出現這類情況,錢就會被永遠鎖在區(qū)塊鏈里。同樣,這不是一個理論問題。去年秋天,有人不小心鎖定了多方以太坊合同,造成了3億多美元的損失。

5.利用未檢測到的區(qū)塊鏈漏洞

目前,公共加密貨幣交易在區(qū)塊鏈生態(tài)系統(tǒng)中是最容易實現的。錢很充足,很容易得到,被抓住的幾率也很低。英特爾安全副總裁兼首席技術官Raj Samani表示:“犯罪團伙瞄準的是能夠獲得最大投資回報的領域?!?/p>

近期情況可能就是如此。McAfee公司高級威脅研究負責人Steve Povolny說:“這一行業(yè)現在太新了,以至于我們甚至沒有一個平臺來發(fā)現并報告與非加密貨幣相關的區(qū)塊鏈漏洞?!彼f,大約有50家大公司表示,他們正在投資、收購或者實施區(qū)塊鏈技術。“我認為,我們在一段時間內不會真的看到有產品推出。”

這將隨著企業(yè)項目的上線而改變,這些項目涉及大量的資金,需要關鍵的基礎設施或者業(yè)務流程,涉及政治和軍事敏感信息。拉斯維加斯一家專門從事智能合同審查的初創(chuàng)公司HoSoo的創(chuàng)始人兼首席執(zhí)行官Yo Sub Kwon說:“這對于每個人來說都將是漫長的學習過程。最先進入區(qū)塊鏈的大公司將首先有所體驗,并從中吸取教訓?!?/p>

沒有準備好迎接黃金時期

Verodin的行為研究部門負責人James Lerud表示,目前,商業(yè)領域的區(qū)塊鏈是問題的解決方案。他說:“最大的風險來自于想用區(qū)塊鏈解決問題的心態(tài)——讓我們盡快地部署一些東西。但這不是什么高招?!?/p>

Lerud說,區(qū)塊鏈架構提供了不必依賴中間人而是通過共識達成信任的能力。它可以解決很多問題,但并不能解決所有問題。他說:“企業(yè)調查區(qū)塊鏈時可能在這方面出錯。人們認為這是一個很好的解決辦法,人為地給它找一些問題。從技術角度來看,這是一個危險的階段。”

Maria Korolov過去20年一直涉足新興技術和新興市場。

原文網址

https://www.csoonline.com/article/3289328/blockchain/5-ways-to-hack-blockchain-in-the-enterprise.html

猜你喜歡
參與方加密貨幣
基于秘密分享的高效隱私保護四方機器學習方案
一國貨幣上的面孔能告訴我們什么?
一種基于熵的混沌加密小波變換水印算法
古代的貨幣
古代的貨幣
綠色農房建設伙伴關系模式初探
涉及多參與方的系統(tǒng)及方法權利要求的撰寫
基于IPD模式的項目參與方利益分配研究
認證加密的研究進展
基于ECC加密的電子商務系統(tǒng)
筠连县| 永年县| 左权县| 武冈市| 自贡市| 巢湖市| 靖宇县| 安吉县| 土默特右旗| 漳浦县| 铜川市| 东乌珠穆沁旗| 柯坪县| 陆川县| 休宁县| 临朐县| 佛坪县| 嘉义县| 迁西县| 邯郸县| 东光县| 闻喜县| 奎屯市| 盐源县| 周宁县| 乳源| 遵义市| 荆门市| 汉沽区| 奉节县| 延吉市| 阿坝| 垦利县| 九龙城区| 内黄县| 札达县| 行唐县| 沁水县| 阿尔山市| 偏关县| 昭苏县|