2018区块链安全白皮书-技术应用篇 - 中国信通院......
版权声明 本白皮书版权属于中国信息通信研究院和中国通信标 准化协会,并受法律保护。转载、摘编或利用其它方式使 用本白皮书文字或者观点的,应注明“来源:中国信息通 信研究院、中国通信标准化协会”。违反上述声明者,本 院将追究其相关法律责任。 前言 区块链己成为近年来技术创新的热点名词和市场追捧 的热门对象。从最初应用于数字货币到如今在多领域的广泛 应用,区块链作为一种全新的信息存储、传播和管理机制, 实现了数据和价值的可靠转移。世界主要发达国家也纷纷加 快该领域的技术研发、战略部署和推广应用。作为网络时代 的新一轮变革力量,在与现有技术结合催生新业态新模式的 同时,区块链技术发展和深入应用仍需要漫长的整合过程, 其核心机制、应用场景中存在的潜在风险也给技术应用和现 有网络安全监管政策带来新的挑战。因此,理性看待区块链 的技术优势,强化应对潜在风险已成为保障区块链技术的健 康、有序发展的当务之急。 中国信息通信研究院与中国通信标准化协会牵头,联合 以下单位共同研究编制《区块链安全白皮书一技术应用篇 (2018版)》:中国移动通信集团公司信息安全管理与运行 中心、中国移动通信集团公司研究院、国家计算机网络应急 技术处理协调中心、科大国盾量子技术股份有限公司、中兴 通讯股份有限公司、广州大学网络空间先进技术研究院、上 海观安信息技术殷份有限公司、平安科技有限公司、三六零 科技有限公司、深圳市腾讯计算机系统有限公司安全管理部 北京京东尚科信息技术有限公司。本白皮书从网络安全的视 角,客观审视区块链技术发展和应用情况,分析探讨区块链 技术应用分层架构、安全风险和应对框架,给出关于促进区 块链技术安全应用的若干建议,希望与业界分享,切实提升 区块链技术发展应用安全性。 目录 、从安全视角看区块链技术发展和应用态势 (一)全球情况总观 1、区块链技术生态基本成型,网络安全应用开始落地 2、区块链安全问题逐渐浮出水面,引发各界安全思考 3、持续推进区块链安全标准化,助力技术安全发展 (二)我国发展应用. 鲁·音 11 1、技术生态结构与国外基本一致,安全服务前景可期...11 2、政策聚焦技术发展和应用落地,安全指导初见雏形∴.13 3、加快布局区块链安仝标准工作,强化技术风险防范∴.15 (三)小结 16 区块链技术应用分层架构及安全风险分析 16 (一)区块链技术典型应用架构逐渐趋于共识 16 存储层[S]:存储上层应用所需及产生的数据文件 17 2、协议层[P]:构建分布式、云信任的共识网络 18 3、扩展层[Ⅳ]:作为区块链应月方向延信的支撑平台 4、应用层[A]:技术在各行业领域应用落地的直接体现..19 (二)区块链技术典型应用架构对应的安全风险. .20 、存储层[S]:来源于环境的安全威胁 ...........20 2、协议层[P]:咳心机制的安全缺陷 21 3、扩展层[E」:成熟度不髙的代码实现漏洞 22 4、应用层[A]:各类传统安全隐患集中显现 23 (三)区块链技术给安全监管带来的挑战 .25 、风险应对框架 ,,,,,27 四、促进区块链技术安全应用的建议. (一)强化应用领域引导,鼓励区块链自主可控开发 32 (二)创新监管手段,强化区块链平台和应用监管力度 33 (三)强化技术风险研究,夯实安全风险应对技术基础 34 (四)加强区块链网络犯罪风险防范,促进国际合作治理...34 附录1针对区块链技术核心机制的典型攻击 36 (一)以共识机制为目标的针对性攻击. .......36 (二)地址不具名机制对攻击者身份追溯的挑战 37 (三)分布式存储机制对攻击威胁面的扩大 37 (四)针对密码学机制固有安全风险的各类攻击 38 附录2国外区块链风络安全相关实践 40 附录3我国企业区块链网络安全相关实践 43 (一)中国移动硏究院:基于区块链管坦PKI数字证书 43 (二)360:DOSI0BP节点和钱包APP安全审核方案 45 (三)腾讯:区块链安全应用及应对实践 ,49 (四)平安科技:基于国产密码的自主可控联盟链实践 .52 (五)观安:区块链移动用户数据资产安全管理实践 53 (六)京东:区块链防伪追葓平台. 56 附录4区块链安全监管技术平台...58 屮国信息通信研究院 区块链安全白皮书一技术应用篇(2018年) 、从安全视角看区块链技术发展和应用态势 (一)全球情况总观 1、区块链技术生态基本成型,网络安全应用开始落地 区块链作为一和仝新的信息存储、传播和管坦机制,通过让用户 共同参与数据的计算和存储,并互相验证数据的真实性,以“去中心” 和“去信任”的方式实现数据和价值的可靠转移。近年来,区块链技 术受到各界的广泛关注,搜索指数持续上升,成为近年来炙手可热的 新兴互联网技术之一,如图1.1所示。 搜索热度 2017年12月 100 区块链:100 80 60 大数据:20 20 人工智能:17 云计算:9 区块链大数据 算 人工智能 数据来源:中国信通院整理白2010-2018年 Google全球搜索趋势 图1.12010—2018年Goog1e全球搜索趋势四类热点技术搜索指数对比 自2008年中本聪首次提出区块链概念以来,区块链技术架构经 过十余年的发展已趋于成熟,因此,更多企业把发展重心放在探索区 块链在各行业领域的应用模式上。据 Gartner预测,到2025年,区 块链技术将在以制造业为首的多个行业制造高达1760亿美元的商业 搜索指数:谷歌趋势( Google trends)在给定时间段内的关键词搜索量统计,以百分制衡量关键词搜索 热度 区块链安全白皮书-技术应用篇(2018年) 屮国信息通信研宄 价值。目前,区块链技术应用以金融领或为典型代表,向医疗健康 物流、工业互联网等经济社会诸多领域逐渐扩展延伸,得到了普遍的 关注和全球性的探索,如图1.2所示。 欧洲,16.3% 北美洲,22.6% 183项】9英目和瑞士为首问步发展区 块链金融应用和其他行业应用 §以关国、加拿大为主.落地 §爱沙尼亚、马耳他等国在国家 亚洲,529% 253项 应用多,成熟度高 云面大力支持主号 §传统科技巨头参与度高 593项)9项目款量以中、在 3新力坡、彐本.中 块链全融立用上优势明显 非洲,3.9% 南美洲,13% 44项】s监欧策松、控行 14项9集中在加货而 成本低在加密货币方 面形成一定应用规模 大洋洲,3.0% 交易领域 34项)发展乱模和述度受限于 领挖矿成本 图1.2全球区块链技术发展应用情况 根据信通院对1121项全球范围内较活跃区块链项目的统计,从 项目数量上看,亚洲地区以593项居首,其中,新加坡、日本、中国 香港等国家和地区依托其传统金融优势,发展了一批成熟的区块链金 融应用;北美地区的区块链项目以美国和加拿大为主,已有大量成熟 高的项目和技术应用落地,其中不乏IBM、 Microsoft、 Amazon等科 技巨头;欧洲地区以英国和瑞士为首,在发展区块链金融应用的同时, 着重与传统行业结合,尤其是在爱沙尼亚、马耳他等国,在国家层面 大力支持和主导,给区块链提供了大量的发展应用空间;非洲地区由 于监管政策宽松、挖矿成本低等原因,虽然在区块链应用方面较为单 ,基本集中在数字货币、交易所上,但也形成了一定的应用规模; 2数据来源: Gartner‘ Forecast: Blockchain business value, Worldwide,20172030