從區(qū)塊鏈誕生的那一刻起，區(qū)塊鏈的安全事件就層出不窮，無(wú)論是比特幣、以太坊還是最近的 Filecoin 都在不斷地改進(jìn)中，不斷地提升自身的安全性。但是，這個(gè)一個(gè)新生事物，多數(shù)都是包含著無(wú)數(shù)的缺陷誕生的，同樣受到各種追捧和持續(xù)快速地迭代。
在區(qū)塊鏈領(lǐng)域流行著一句話：In BlockChain We Trust。為什么？區(qū)塊鏈運(yùn)行起來(lái)，參與的人員眾多，良莠不齊，許多節(jié)點(diǎn)經(jīng)常遭受攻擊，但是大家還是說(shuō) “In Blockchain We Trust”。也就是說(shuō)，我們就是相信區(qū)塊鏈。
這一方面表明區(qū)塊鏈?zhǔn)穷嵏残缘模浔旧砭褪且环N建立信任的技術(shù)，另一方面，大家也相信，區(qū)塊鏈?zhǔn)且环N安全的技術(shù)。這一點(diǎn)有些意思，因?yàn)樵S多人看到的是區(qū)塊鏈領(lǐng)域發(fā)生的安全時(shí)間，而很少思考區(qū)塊鏈所帶來(lái)的安全變革。
區(qū)塊鏈的安全問(wèn)題
大家經(jīng)常提到的區(qū)塊鏈安全，涉及到的方面非常多，但其實(shí)，多數(shù)都是與傳統(tǒng)的軟件系統(tǒng)的安全性有共通之處。大體說(shuō)來(lái)，可以考慮以下一些方面（我對(duì)這些安全問(wèn)題加一些評(píng)注，以藍(lán)色斜體表示）：
代碼安全：許多安全問(wèn)題來(lái)自于代碼漏洞，非常著名的就是 Ethereum 的 DAO 事件，直接導(dǎo)致以太坊分叉至兩個(gè)網(wǎng)絡(luò)：ETH 和 ETC；Filecoin 前段事件發(fā)生的網(wǎng)絡(luò)暫停事件，也是一個(gè)代碼問(wèn)題導(dǎo)致的安全事件，所幸的是，未發(fā)生資金方面的問(wèn)題。（評(píng)：代碼問(wèn)題是一個(gè)通用的問(wèn)題，在任何的軟件系統(tǒng)和網(wǎng)絡(luò)中都存在，與是不是區(qū)塊鏈沒(méi)有直接關(guān)系。）
私鑰遺失或被盜：這是大家談?wù)摰谋容^多的安全問(wèn)題，業(yè)界也在不停地教育和改善系統(tǒng)，一些對(duì)私鑰的保存和找回的機(jī)制和方式也逐漸成熟。（評(píng)：這和一般系統(tǒng)中的賬號(hào)和密碼丟失類似，但中心化系統(tǒng)一般可以通過(guò)身份認(rèn)證找回，而區(qū)塊鏈系統(tǒng)的去中心化特性，使得找回私鑰需要一些其他的方式。）
黑客入侵：最著名的就是直接導(dǎo)致門(mén)頭溝（Mt.Gox）倒閉的黑客事件了，當(dāng)然幾乎所有交易所都發(fā)生了黑客入侵和丟幣的事件，這似乎也是區(qū)塊鏈領(lǐng)域的常見(jiàn)安全問(wèn)題。（評(píng)：這些安全事件都發(fā)生在中心化交易所，這些安全事件與區(qū)塊鏈技術(shù)本身關(guān)系不大。反而，這些安全事件正說(shuō)明去中心化的安全性更高，你什么時(shí)候聽(tīng)說(shuō)過(guò)去中心化交易所的黑客事件？）
釣魚(yú)攻擊：完全與區(qū)塊鏈沒(méi)有關(guān)系，中心化系統(tǒng)的常規(guī)安全問(wèn)題
女巫攻擊/路由攻擊：這通常發(fā)生在有些區(qū)塊鏈系統(tǒng)還不成熟，或者參與人比較少的情況，需要對(duì)鏈和網(wǎng)絡(luò)有一定的控制權(quán)
51% 攻擊：老生常談了。（評(píng)：這是區(qū)塊鏈真正的安全問(wèn)題。但這也正是區(qū)塊鏈的設(shè)計(jì)基礎(chǔ)，即網(wǎng)路朝著符合大多數(shù)人（或投票權(quán)）的方向走。同時(shí)這也要求一條鏈必須要有足夠的去中心化，和足夠的參與度來(lái)保障安全）
我們看一看，上面提到的安全問(wèn)題，除了51% 攻擊區(qū)塊鏈特有的，而其他部分，都基本上與區(qū)塊鏈沒(méi)有直接的關(guān)系，是通用網(wǎng)絡(luò)都會(huì)遇到的問(wèn)題。而 51% 攻擊，從另一份方面來(lái)講，也體現(xiàn)了區(qū)塊鏈的安全性之高，要作惡的成本之高昂，在一條成熟的、參與人眾多的鏈面前，這種攻擊顯得太難而不可行。
區(qū)塊鏈對(duì)網(wǎng)絡(luò)安全的提升
如果我們提升一個(gè)層次，真正考慮網(wǎng)絡(luò)的安全問(wèn)題，而不是拘泥于一個(gè)一個(gè)點(diǎn)來(lái)看。我們會(huì)發(fā)現(xiàn)，實(shí)際上，區(qū)塊鏈技術(shù)解決了非常多的安全問(wèn)題。這也是為什么說(shuō)區(qū)塊鏈?zhǔn)堑谌ヂ?lián)網(wǎng)的基石的重要原因。因?yàn)榈谌ヂ?lián)網(wǎng)（Web3.0）是一個(gè)可信的網(wǎng)絡(luò)，可信的基礎(chǔ)就來(lái)自于區(qū)塊鏈。
區(qū)塊鏈賦能Web3.0，通過(guò)去中心化技術(shù)建立信任，那么沒(méi)有那么多的安全軟件，沒(méi)有防火墻，沒(méi)有安全專家為每一個(gè)網(wǎng)絡(luò)軟件的運(yùn)行把關(guān)，行嗎？區(qū)塊鏈說(shuō)，這都不需要。
開(kāi)源是安全的基礎(chǔ)：沒(méi)有絕對(duì)的代碼安全，但是，一條成熟的公鏈，其代碼必然是開(kāi)源的，共享的，經(jīng)過(guò)很多人驗(yàn)證和測(cè)試的，經(jīng)過(guò)審計(jì)的。在安全的世界里，早就有一條共識(shí)，加密要用大家都認(rèn)可的開(kāi)源算法和實(shí)現(xiàn)，安全機(jī)制要采用標(biāo)準(zhǔn)的開(kāi)源的經(jīng)過(guò)驗(yàn)證的機(jī)制，而不是私有的、未公開(kāi)的。區(qū)塊鏈作為一個(gè)去中心化的系統(tǒng)，其運(yùn)行機(jī)制和經(jīng)濟(jì)激勵(lì)都以開(kāi)源為基礎(chǔ)，當(dāng)持續(xù)運(yùn)行下去，其安全和信任度會(huì)越來(lái)越高。如今的比特幣網(wǎng)絡(luò)就是一個(gè)最好的例證。
開(kāi)放和去中心化使攻擊無(wú)處借力：第二代互聯(lián)網(wǎng)的基礎(chǔ)設(shè)施被網(wǎng)絡(luò)寡頭把控，盡管這些寡頭投入重金來(lái)保障安全，但是安全事件常年不斷，Gmail停服，Twitter故障，微博罷工，信用卡賬號(hào)被盜等等。但是，一條區(qū)塊鏈網(wǎng)絡(luò)運(yùn)行起來(lái)，除非代碼問(wèn)題（前面提到，非常少而且會(huì)快速成熟），絕不會(huì)停工，長(zhǎng)久服務(wù)，這就是技術(shù)和架構(gòu)本身帶來(lái)的安全性。
密碼學(xué)技術(shù)保障運(yùn)算和存儲(chǔ)安全：黑客入侵是傳統(tǒng)軟件和系統(tǒng)非常頭疼的問(wèn)題，但是，你聽(tīng)說(shuō)過(guò)有黑客入侵一條區(qū)塊鏈嗎？有黑客能夠?yàn)橐粋€(gè)上線的智能合約植入木馬嗎？區(qū)塊鏈的驗(yàn)證技術(shù)使得這些安全攻擊不可行，Bitcoin的一個(gè)交易一旦發(fā)生，Ethereum的一個(gè)合約一旦上鏈就不可篡改。Filecoin 的一份內(nèi)容上線后任何時(shí)候檢索出來(lái)都保證沒(méi)有任何偏差。這些技術(shù)，是區(qū)塊鏈的基礎(chǔ)，也是天然地保證交易、計(jì)算和存儲(chǔ)的安全。
激勵(lì)機(jī)制導(dǎo)致攻擊成本高昂：區(qū)塊鏈?zhǔn)澜鐨g迎任何形式的運(yùn)算，因?yàn)楸旧韰^(qū)塊鏈?zhǔn)澜缇褪情_(kāi)放的，你可以上傳自己的應(yīng)用，有人用就好。按照傳統(tǒng)的觀點(diǎn)，這不是為病毒泛濫大開(kāi)方便之門(mén)？不然，因?yàn)閰^(qū)塊鏈的經(jīng)濟(jì)激勵(lì)機(jī)制使得病毒傳播和運(yùn)行并不可行，因?yàn)槊恳粋€(gè)運(yùn)算、每一份存儲(chǔ)都有定價(jià)，區(qū)塊鏈?zhǔn)澜鐩](méi)有免費(fèi)的午餐。要傳播、要運(yùn)行，那就付費(fèi)。這從根本上解決了無(wú)阻礙傳播和攻擊的問(wèn)題。
模塊重用提升安全：一條公鏈很重要的特性就是智能合約之間的相互調(diào)用，也就是說(shuō)，你可以把一條鏈看成一臺(tái)計(jì)算機(jī)，而不是像Web2.0世界中網(wǎng)絡(luò)是聯(lián)通的，但實(shí)際上各種應(yīng)用之間是割裂了。相似的程序?qū)崿F(xiàn)相似的功能，但代碼各不相同，帶來(lái)無(wú)數(shù)的安全問(wèn)題。而在區(qū)塊鏈?zhǔn)澜缰校呀?jīng)經(jīng)過(guò)驗(yàn)證的合約和接口直接使用，使得應(yīng)用的建立變得更簡(jiǎn)單也更安全。試想，一個(gè)傳統(tǒng)的借貸系統(tǒng)需要多么復(fù)雜，會(huì)有多少的安全問(wèn)題，然而，在區(qū)塊鏈?zhǔn)澜纾栌靡呀?jīng)誕生的應(yīng)用和模塊，你可以利用數(shù)百行代碼，構(gòu)建復(fù)雜的應(yīng)用，代碼量減少幾個(gè)數(shù)量級(jí)，安全問(wèn)題也就更容易處理。
透明性和可追蹤性提升安全：也就是我們常說(shuō)的 Availability/Transparency 和 Tracibility。如果一個(gè)應(yīng)用的所有事物都被記錄，并能夠追蹤，其安全性就更容易把握。而這恰恰是區(qū)塊鏈的重要特性之一。
安全的另一個(gè)維度
In BlockChain We Trust
業(yè)界有無(wú)數(shù)的安全公司，從不同的角度來(lái)處理安全問(wèn)題，提出了無(wú)數(shù)的安全方案和設(shè)想。但如果我們要真的安全，必然做顛覆式的思考。提升一個(gè)維度來(lái)看問(wèn)題。
從另一個(gè)角度來(lái)看問(wèn)題，你會(huì)發(fā)現(xiàn)，新的范式下，以前你看見(jiàn)的問(wèn)題都不再是問(wèn)題了，自然地被解決了。一些新的問(wèn)題還會(huì)出現(xiàn)，但是角度完全不同了。
傳統(tǒng)的安全更注重個(gè)體，如何保障個(gè)體的安全從而保證網(wǎng)絡(luò)的安全，它基于的基礎(chǔ)是，網(wǎng)絡(luò)是由個(gè)體組成的，沒(méi)有個(gè)體就沒(méi)有網(wǎng)絡(luò)；而對(duì)于區(qū)塊鏈而言，網(wǎng)絡(luò)是基礎(chǔ)，運(yùn)算、存儲(chǔ)、網(wǎng)絡(luò)鏈接等等不再依賴于哪一個(gè)個(gè)體，網(wǎng)絡(luò)就是網(wǎng)絡(luò)，每一個(gè)個(gè)體網(wǎng)絡(luò)構(gòu)建的細(xì)胞，它基于的基礎(chǔ)是：網(wǎng)絡(luò)是一個(gè)整體，個(gè)體依賴網(wǎng)絡(luò)而存在。每一個(gè)個(gè)體都可以隨意進(jìn)入或退出網(wǎng)絡(luò)，個(gè)體構(gòu)成的整體更重要，這就如我們身體的細(xì)胞，每天在更新，但人還是那個(gè)人，我們的記憶，發(fā)展都是延續(xù)的。
有了這個(gè)理解，安全就是一個(gè)整體的設(shè)計(jì)。區(qū)塊鏈中密碼學(xué)技術(shù)的廣泛應(yīng)用，所有事務(wù)和交易的強(qiáng)制驗(yàn)證，代碼開(kāi)源和共享，激勵(lì)機(jī)制的采用都在更上一個(gè)維度來(lái)建立一個(gè)更安全和更可信任的網(wǎng)絡(luò)。
