关于区块链技术的每一次讨论，似乎都是以“安全的分布式分类账”为起点。在我看来，这属于一款超级管理器——换言之，一份不断增长的互链记录清单。我对其中的“分布式”表述绝无异议。区块链在本质上属于跨越通信协议的对等网络，而协议则负责描述如何对添加至链中的新记录加以验证。

但对我而言，真正的问题在于默认区块链技术“安全”这一结论。安全性对任何系统而言都是一种高标准，必须在不同层级、场景、应用以及其它环境当中得到反复证明。事实上，我认为将区块链技术定义为密码安全型分布式超级账本可能更为准确。而这样的定义又带来了一个关键问题——这种策略是否足以降低区块链受到篡改、密码窃取、恶意软件拒绝服务以及其它攻击影响的可能性。

事实上，在安全漏洞突然出现之前，大家并不需要耗费太多时间查阅数量持续增加的区块链技术文献。就目前来看，区块链的安全问题似乎已经形成了自己的链条，而其中的薄弱环节已经严重影响到该技术对强大公钥密码技术的依赖。我们必须正视这样的现实，即全球范围内的用户正越来越多地将财富与商业交易价值存储在某种区块链之上，因此其相关安全漏洞也自然值得高度关注。

区块链不仅仅是一套分布式数据库，其同时也是一套日益增长的记录系统。目前，全球经济正越来越多地依赖于这套记录系统。那么在现实场景中，其安全性究竟如何？在我们能够将关键性任务资产放心存储在分布式超级账本上之前，我们应该投入多少成本、时间与精力来确保自己的区块链方案拥有理想的安全水平？

可以肯定的是，用户往往是区块链当中最为薄弱的环节。攻击者将持续利用端点漏洞——换句话说，我们无法保护自己安装在PC、移动手机及其它系统上的区块链身份、密钥、凭证以及软件。事实上，我们很有可能因为网络钓鱼、恶意软件、密码字典以及其它攻击向量的影响而导致自身区块链资产（例如加密货币）暴露在攻击之下。

在支持复杂的商业交易时，区块链往往会执行所谓“智能合约”，而这些合约本身也可能存在严重的安全漏洞。写入区块链的智能合约可以通过编码实现复杂的业务、财务与法律安排。如果攻击者能够访问经过许可的区块链管理员的密钥，那么他们将有能力引入伪造的智能合约，并借此悄悄访问机密信息、窃取密钥、启动未经授权的资金转账或者对您的业务资产发动其它攻击。

构建完整的区块链生态系统还将带来普通用户难以察觉的高度复杂性及相关漏洞。除了需要安全端点与管理智能合约的系统之外，大家还需要确保加密货币支付处理工具以及负责将区块链整合至企业应用系统内的相关解决方案的安全性。这反过来又要求对区块链系统供应商的可信度进行深入审查。考虑到很少有IT专业人员具备这种处理低成熟度问题的经验，大家很可能会在这方面遭遇挑战。

遗憾的是，新的区块链解决方案供应商每天都在涌现，而且其中大多数供应商缺乏可靠的记录、参考客户或案例研究以支持其可信度。

.即使对于规模可观的大型供应商而言，其商业区块链解决方案也并不一定靠得住，甚至会在做好充分准备之前就以alpha或者beta测试版本的形式发布。这意味着贸然使用这种未经测试、存在问题的不安全区块链代码，将与现场强化以及扩展性证明等安全最佳实践相冲突。

此外，目前市面上存在着众多区块链协议、智能合约机制、网关与交易平台，其各自有着不同的缺陷与安全漏洞。您的企业可能正在采用支持不同应用程序许可与无权限内部及B2B操作的异构区块链资源。在这种情况下，您需要分别解决每种环境下的漏洞。通过将这些环境彼此对接起来，或者将其引入规模更大的大数据生态系统当中，我们将能够缓解这些环境之间复杂的交互机制并扼制可能由此引发的安全问题。

如果您使用的区块链由相关技术联盟负责管理，则您需要详细审查该组织的运营规程，从而据此判断其是否确实以严密的安全态度建立端到端管理环境。鉴于目前尚不存在约束这些联盟的通告规则，大家将不得不分别对每个联盟的安全实践进行评估，而且无法将不同联盟之间的区块链安全级别进行直接比较。此外，一部分区块链联盟允许区块链参与者保持匿名性，这可能会掩盖其欺诈行为，并使得执法机构无法对其发出指控。

更令人担忧的是，用于构建区块链的采矿场已经遍布于世界各地。尽管这可能会在一定程度上给区块链带来冗余与弹性，但其同时也给黑幕操作者留下了可乘之机。这些恶意人士可利用所谓“51%攻击”欺诈不知情的区块链参与者。如果一个或一群阴谋分子控制了用于在特定区块链上进行采矿的超过半数计算节点，其即可暗中将欺诈性交易写入链中的“工作证明”，进而损害其他参与者的利益。

在区块链刚刚启动时，上述威胁尤其严重。因为此时采矿节点总量往往很少，因此单一个人或共谋群体足以轻松获取至少一半的可用计算能力。考虑到加密货币采矿往往集中在电力价格低廉、不存在监管以及犯罪分子/恐怖分子盛行的国家和地区，这个问题可能会变得更加极端。

那么，区块链行业将如何解决上述挑战？事实上，相关参与方已经行动起来。Wikibon就敦促Linux基金会启动自己的超级账本项目，从而建立起一套开放而灵活的框架，最终涵盖应用程序端点及企业网关等因素实现区块链端到端安全保护。此外，Wikibon还呼吁各企业软件供应商将强大的安全控制手段引入其区块链部署项目之内。

因此，千万不要被围绕区块链展开的美好理想冲昏了头脑。这些开源超级账本只是混合云数据环境下的又一类线程，企业利用其部署自己的任务关键型应用。

总而言之，在实施区块链方案之前，请大家务必审核其漏洞、提供必要的技术与规范性保护措施，同时确定由此带来的潜在商业价值高于风险水平。只有这样，区块链才能真正具有现实意义。

本文由安全内参翻译自InfoWorld

声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。