区块链被偷得底裤不剩还在裸奔？这套网络安全治理方案不看会后悔

导读： 从事网络安全工作已经有十三年了, 在区块链领域所遭遇的那一些困难和挫折, 数量真的多到足以编撰成一本书那样的厚重篇幅。讲一句可能并不怎么中听的大实话...

从事网络安全工作已经有十三年了, 在区块链领域所遭遇的那一些困难和挫折, 数量真的多到足以编撰成一本书那样的厚重篇幅。

讲一句可能并不怎么中听的大实话, 如今大部分项目对于安全防护这个问题的重视程度与执行水平, 基本上仍旧仅仅停留在简单部署一个防火墙便认为已经万事大吉的浅层阶段, 所谓的安全治理总体方案绝大多数情况之下, 其实只不过是一种无法付诸实际操作的空泛理论阐述, 根本没办法真正落地生根并被验证为有效的管理手段。

区块链安全怎么防

在上一年度, 本人负责审计一款去中心化金融协议, 对于该协议的合约代码进行了三次细致的审查, 结果确认不存在任何问题, 然而当该项目被部署至区块链网络仅仅过了三个小时便遭到了闪电贷攻击导致资金被全部窃取, 造成此重大事故的根本原因是在跨链桥的签名验证环节中遗漏了一项针对极端情况的边界条件判断, 就是由于这一处微小的疏忽, 使得数百万美元的资产瞬间损失殆尽, 并且引发了用户群体长达三天的强烈抱怨。

因此, 防止攻击这件事, 不可以只盯着合约本身来看, 一定要把链上和链下两边的数据流动的全过程全部连接起来进行排查, 签名、授权以及回退撤销, 哪一个环节稍微松一点都会导致致命的后果, 不要等到已经被攻击了才想起来去修补。

区块链安全谁来管

有很多团队会把安全工作完全外包给某一家公司, 当出现安全事件的时候，运维人员会说这不属于他们的责任范围, 开发人员会声称在进入区块链之前系统是没有问题的, 大家互相推诿扯皮持续了将近两周的时间, 而导致用户的资产在整个过程中都处于完全没有防护的裸奔状态, 这种情况我已经目睹过好多次了, 而且每次最终都会导致最为糟糕的结果发生。

在该方案里面, 必须把响应时限还有追责机制通过白纸黑字的方式写死, 就是要把这些东西给落实清楚, 千万不要等到钱包空了这种时候再去翻合同找谁来负责。

区块链安全如何治

那些能够实际发挥作用的治理思路, 是需要把红蓝对抗这一手段给变成日常工作节奏的一部分的, 而不能只是等到年底的时候去搞一次的演练活动, 最后仅仅拍照留念然后发在那个微信朋友圈里。

我目前使用的具体方法是每间隔两周就要去运行这样的一轮测试, 一旦发现存在问题的地方就要立刻去进行补救，这确实让人看到是会耗费不少的人力和精力的, 但是相比起真正遭受黑客攻击造成损失来说, 这样做的成本还是节省了非常多的。

那套成本比较低的产品它兜底不住, 你千万不要节省这一方面的小钱, 一旦真的出了事就会导致家庭破产的严重后果。

其实这个东西本身并不复杂, 真正难的点在于是否真的有人把它当一回事去对待, 并且真的把它付诸行动。千万不要等到手里的资产已经全部亏光的那个时候回过头来才想起要去考虑怎么做到安全。