一、引言

日前，中国人民银行发布《金融分布式账本技术安全规范》，标准规定了金融分布式账本技术的安全体系，包括基础硬件、基础软件、密码算法、节点通信、账本数据、共识协议、智能合约、身份管理、隐私保护、监管支撑、运维要求和治理机制等方面。标准适用于在金融领域从事分布式账本系统建设或服务运营的机构。

二、金融分布式账本技术安全体系

标准规定的金融分布式账本技术安全体系由内到外按模块分为区块链、访问控制、基础环境和运营监管四个部分，如图1所示。

图1 金融分布式账本技术的安全体系

我们围绕着金融分布式账本安全体系框架，将从智能合约、共识协议、账本数据和节点通信、等方面对金融分布式账本提出了技术安全要求进行逐一分析解读。

三、区块链模块

区块链模块作为最能体现出区块链特性的核心模块，主要包括智能合约、共识协议、账本数据和节点通信四部分。

图2 区块链模块示意图

智能合约：技术规范是一份通用标准，并不限定智能合约的具体形式，但要求金融分布式账本必须支持非图灵完备或者图灵完备的智能合约。对于智能合约的基本要求需从下图所示的几个方面进行约束。

图3 智能合约的基本要求

共识协议：共识协议不指向具体共识协议，机构选用事宜的共识协议即可，业务激励规则和技术运维安全上的机制设计应保障其自身安全。共识协议应具备一致性，不可伪造性，健壮性容错性等安全要求。

图4 公示协议安全要求

账本数据：账本格式可以按机构业务自行定义，但是账本内数据要符合一致性、保密性、完整性、有效性和冗余性的要求，同时数据还需要有访问控制要求和安全审计要求。

图5 账本数据要求

节点通信：节点通信需要采用符合国家密码标准的密码技术，保证节点通信数据的完整性和保密性。

图6 节点通信的要求

四、访问控制模块

访问控制模块主要包括身份管理，密码算法和隐私保护，通过三者配合保护核心数据的安全，如图7所示。

图7 区块链模块示意图

身份管理：金融分布式账本系统应实现有效的用户身份管理，应保障身份信息的安全性，并对身份进行监管审计。

图8 身份管理要求

隐私保护：金融分布式账本上所有的隐私保护行为应符合GB/T 35273-2017中的“个人信息安全基本原则”且不违反金融业相关监管要求。

图9 隐私保护要求

密码算法：分布式账本系统中的密码算法主要用于数据安全，即数据保护的保密性、完整性、真实性和不可认性。包括分组密码算法、流密码算法、非对称密码算法、密码交换算法、密码杂凑算法和标识密码算法等。

图10 密码算法要求

五、基础环境模块

基础环境模块，主要包括基础软件和基础硬件要求。此部分内容主要从物理环境和软件环境两个方面对分布式账本提出安全要求。技术要求中大量引入GB/T 22239《信息系统安全等级保护基本要求》三级以上标准（等保三级），因此若相关机构前期已完成等保三级的评估，将可以大大减少检测工作量。此外，对于基础硬件，除了等保三级以外，还需满足以下要求：

图11 基础环境模块示意图

六、运维监管模块

运维监管模块从监管的角度，来规范金融分布式账本的安全，主要包括监管支撑、运维要求和治理机制三个部分。

图12 运营监管模块示意图

监管支撑是考虑金融分布式账本系统具有架构去中心、数据多副本、交易点对点、记录不可篡改的特点，与中心化系统有很大差异，不仅需要法律监管规划，也需要技术监管规则，以优化系统设计、保证系统安全、提高监管效率、降低合规成本。监管手段主要包括以下几个方面：

图13 监管支撑要求

运维要求应符合GB/T 22239-2019《信息系统安全等级保护基本要求》三级以上标准（等保三级）中安全运维管理相关要求，同时还应包括如下功能要求：

图14 安全运维要求

安全治理机制原则上遵循GB/T 22239-2019中三级以上的安全管理制度、安全管理机构和人员安全管理相关要求，并结合金融分布式账本特点，采用如图15中的治理结构对相关管控重点-节点管理和干预机制进行安全治理。

图15 安全治理结构

七、总结

《金融分布式账本技术安全规范》的安全边界要大于区块链，区块链只是作为技术框架中的一个模块存在，除此之外，在区块链外层还加入了访问控制安全要求，基础环境技术要求和运营监管技术要求。

发布并实施标准有助于金融机构按照合规的安全要求进行系统部署和维护，为分布式账本技术大规模应用提供业务保障和风险约束，对产业应用健康发展起到促进作用。

许中奇，硕士研究生学历，现任中国金融认证中心产品检测高级主管。多年来一直从事信息安全设计、研发、测评工作。精通嵌入式软件安全、可信执行环境TEE、金融区块链。作为技术专家参与设计了海思首款inSE产品，设计并完成了TEE安全检测平台。参与修订了《金融分布式账本技术安全规范》，《车载网络设备技术安全规范》，《移动终端支付可信环境技术规范》、《信息安全技术 具有中央处理器的ic卡嵌入式软件安全技术要求》等标准。作者邮箱:xuzhongqi@cfca.com.cn，欢迎大家提出宝贵的建议!

声明：本文来自网安前哨，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。