從安全角度普及一(yī)下(xià)區塊鏈

　除非你生(shēng)活在末日之城，或者斷網已久，否則你不太可能沒聽(tīng)說過今年大(dà)火(huǒ)的熱詞“區塊鏈”。不過，你真的了解這個新興技術到底意味着什麽嗎(ma)?
 

 

　　彙豐銀行最近對11個國家的1.2萬人做了問卷調查，發現80%的人都不知(zhī)道區塊鏈的運作機制。别擔心，你不是一(yī)個人，很多人都對區塊鏈一(yī)頭霧水。雖然我(wǒ)們大(dà)部分(fēn)人對區塊鏈一(yī)問三不知(zhī)，但專家知(zhī)道呀。我(wǒ)們可以聽(tīng)聽(tīng)專家們對區塊鏈深入淺出的解釋。

　　區塊鏈是什麽?

　　區塊鏈就是個維護着記錄列表的分(fēn)布式數據庫。每條記錄被稱爲一(yī)個區塊，每個區塊包含了之前每一(yī)個區塊的曆史。

　　《區塊鏈革命》一(yī)書(shū)的作者丹·塔普斯科特和阿列克斯·塔普斯科特這麽描述區塊鏈：不會被篡改的經濟交易數字賬簿，不僅可記錄金融交易，基本上任何有價值的東西都能記錄。

　　商(shāng)業技術媒體(tǐ)ZDNet的史蒂夫·威爾森(sēn)說：

　　區塊鏈，就是互不相識的人用以管理數字現金的一(yī)個算法和分(fēn)布式數據結構，這其間不存在中(zhōng)央管理員(yuán)這種角色。區塊鏈技術最先是爲加密貨币比特币設計的，區塊鏈架構的驅動力，是對政府所發貨币和銀行所控支付的排斥。

　　威爾森(sēn)将區塊鏈描述爲，“分(fēn)布式記賬技術(DLT)的特殊實例，基本上随比特币的出現而興起。”

　　上面列出的定義都對，但這3個定義依然讓我(wǒ)們迷惑，這不過這次，我(wǒ)們好歹是透過不甚清晰的鏡片看區塊鏈了。

　　通過上面的定義，我(wǒ)們可以知(zhī)道：區塊鏈涉及數字賬簿技術，每筆經濟交易都能計入區塊中(zhōng)(帶着日期、時間戳和加密)，每個區塊鏈回到之前的區塊，任何單個區塊自身是毫無意義的。

　　區塊鏈是怎麽運作的?

　　米歇爾·阿列西，歐洲創新與技術研究所(EIT)商(shāng)業開(kāi)發經理，認定“區塊鏈技術可能是互聯網面世以來最棒的發明。”

　　阿列西說：“假設你和我(wǒ)爲舊(jiù)金山明天的天氣打賭50美元。我(wǒ)賭明天天晴，你賭明天下(xià)雨。那麽今天，我(wǒ)們有3種選擇可以管理這筆交易：

　　1. 我(wǒ)們互相信任

　　無論天晴還是下(xià)雨，輸家都會付給赢家50美元。如果我(wǒ)們是朋友，這可能是不錯的賭約履行方式。然而，無論是朋友還是陌生(shēng)人，都有可能發生(shēng)其中(zhōng)一(yī)方拒不支付的狀況。

　　2. 我(wǒ)們可以将賭約以合同的方式簽訂

　　有了合同，雙方都更有可能支付賭金。但是，隻要其中(zhōng)一(yī)方決意不支付，赢家反而要拿出更多金錢來支付律師費(fèi)，而且裁定可能會耗時很久。尤其是在合同金額很小(xiǎo)的情況下(xià)，這種方式就不是管理交易的最優選擇了。

　　3. 我(wǒ)們可以引入中(zhōng)立第三方

　　打賭雙方都支付50美元給第三方，然後第三方将總金額交給赢家。但是，這第三方也有可能攜款潛逃。于是，我(wǒ)們最終又(yòu)回到之前2種選擇：信任，或者訂合同。

　　阿列西進一(yī)步解釋道：

　　采用區塊鏈，我(wǒ)們可以寫幾行代碼——運行在區塊鏈上的一(yī)個程序，雙方都往裏面付出50美元。該程序會保管這100美元，然後在幾個數據源上自動查看明天的天氣。無論天晴還是下(xià)雨，該程序都會自動将賭金總額轉給赢家。參與各方都可以查看合約邏輯，一(yī)旦合約在區塊鏈上執行，就再也不能被更改或終止。對于50美元賭金而言，這種做法或許略爲複雜(zá)，但如果是房屋買賣或者公司并購呢?

　　區塊鏈在線教育平台“區塊極客(Blockgeeks)”，對區塊鏈的定義更加簡潔：

　　可以想象成計算機網絡中(zhōng)被複制了上千次的一(yī)張電(diàn)子表格。然後設想該網絡是用于頻(pín)繁更新這張電(diàn)子表格的，這樣你就對區塊鏈有個基本了解了。

　　“區塊極客”進一(yī)步闡述了這一(yī)電(diàn)子表格類比：共享協作文檔的傳統方式，是向另一(yī)接收者發送Word文檔，然後請求他們對之做出修訂。這種模式的問題是，其他人在做修改時，你是無法看到并同時修訂該文檔的，你隻能等别人改好了再發給你後才可以看到并繼續修改。

　　這就是當今數據庫的運作方式。同一(yī)份記錄不能被多名擁有者同時操作。銀行維護餘額和轉賬交易也是這麽幹的：在轉賬時鎖定(或減去(qù))餘額，然後更新另一(yī)端，然後再重寫開(kāi)放(fàng)對餘額的訪問(或再次更新)。

　　谷歌Docs或谷歌Sheets的情況，則是參與雙方都可同時訪問同一(yī)份文檔，該文檔的單一(yī)版本總是雙方可見。這就像是共享賬簿，但實質上是共享文檔。當共享涉及多人時，分(fēn)布式的部分(fēn)就開(kāi)始顯現了。

　　使用共享谷歌Doc的時候，你可以實時看到所有更新。有别于谷歌Docs的是(可以編輯、删除條目)，區塊鏈是不可更改的賬簿，你寫入區塊和被别記入區塊都是公開(kāi)可見的——永久的、不容置疑的、始終如一(yī)的、固定的。

　　區塊鏈安全

　　區塊鏈應用被黑的可能性，是應被主要考慮的安全問題。誰能忘記2016年8月造成價值7.3億美元的比特币被盜的Bitfinex黑客事件呢?美國科技博客TechCrunch寫道：“該黑客事件的發生(shēng)原因至今不甚明朗。我(wǒ)們所知(zhī)道的，僅僅是該公司的多簽名賬戶被黑了。”

　　其他重要的區塊鏈安全顧慮包括：

　　惡意攻擊

　　與現有網絡系統的融合

　　加密密鑰材料管理

　　網絡服務質量

　　防止區塊鏈攻擊至關重要。老實說，英國電(diàn)信(BT)在10月31日被授予一(yī)項區塊鏈攻擊緩解的專利時，還是挺令人震驚的。

　　區塊鏈怎麽對安全做貢獻?

　　總體(tǐ)上，區塊鏈技術用以強化安全的優勢尚有待開(kāi)發。我(wǒ)們都知(zhī)道，物(wù)聯網(IoT)已成爲黑客的後花園，也是安全的阿喀琉斯之踵。我(wǒ)們隻需回溯到2016年10月，就能意識到，Mirai僵屍網絡對Dyn公司的DDoS攻擊，已經爲我(wǒ)們敲響了從網絡攝像頭到路由器之類IoT設備脆弱性的警鍾。

　　DesignNews家裝安全網站的克裏斯·威爾茲在一(yī)篇文章中(zhōng)寫道：“區塊鏈是IoT安全的關鍵”。文章中(zhōng)，威爾茲提到了愛立信研究中(zhōng)心可信計算高級專家本·施密茨，在 Arm TechCon 2017 技術大(dà)會上，關于将區塊鏈技術用于保護IoT設備的安全解決方案演講。

　　施密茨及其團隊的解決方案，不是堆積額外(wài)的身份驗證層，而是分(fēn)散它們。這就是區塊鏈入場的地方了。因爲區塊鏈通過全網用戶及設備共享的分(fēn)布式加密賬簿起效，它就創建了一(yī)個身份驗證網絡，可被驗證且不易被黑。實現了區塊鏈，設備若沒有被整個賬簿驗證，就無法訪問網絡。這種情況下(xià)，Mirai這樣的攻擊會遭遇大(dà)得多的困難，幾乎不可能成功，因爲黑客必須修改整個賬簿，而不僅僅是某個設備的憑證。

　　同時，納斯達克的吉爾·裏奇蒙德，将區塊鏈的網絡安全優勢歸納爲3個主要功能：

　　封鎖身份竊賊

　　防止數據篡改

　　阻止分(fēn)布式拒絕服務(DDoS)攻擊

　　在文章中(zhōng)，裏奇蒙德辯稱：

　　區塊鏈提供的，不僅僅是傳統終端防護，而是全面的整體(tǐ)防護，包含有用戶身份安全、交易及通信基礎設施安全、通過透明性及審計得到的業務安全，還有對惡意内部人、被黑節點或服務器宕機的防護。所有這些都可以通過區塊鏈加以解決，因爲安全和隐私是該協議的核心，而不是什麽補充性考慮。

　　總結

　　或許有點炒作區塊鏈技術的嫌疑。但我(wǒ)們需要改變，我(wǒ)們需要前瞻，我(wǒ)們需要讓壞人深陷“糟了，如今沒招兒了”的泥潭。

　　我(wǒ)們需要宣揚能束縛住壞人手腳的先進安全解決方案，止住當前傳統安全解決方案中(zhōng)如洪水般不斷噴湧而出的安全失敗。

　　最後，再說點兒有關區塊鏈的細枝末節的信息。鏈上的任一(yī)區塊，都有一(yī)個起始區塊，短一(yī)些的鏈上的區塊是無用的，常被稱作“孤兒”區塊。