
区块链发展对护城河与加速期
由金色财经举办的“金色沙龙—全球应用安全加速”线上主题论坛于7月8日结束,此次大会围绕着区块链安全等相关主题展开讨论。此次大会邀请了Bybit 首席安全官 Benjamin、阿里云高级架构师福威、HBTC创始人巨建华等相关领域的专家。
以下为Bybit 首席安全官 Benjamin 回答回顾:
主持人:目前,区块链行业正处于飞速发展的时期,如何保证区块链资讯和业务平台针对跨境用户快速高效访问,保障全球用户访问如丝般顺滑呢?这也成为中国企业拓展出海业务的一大挑战。
Benjamin:各位好,我是Bybit的Benjamin。我倒是事先准备了一点文字,但直接Paste总是不好,边敲边说。对于bybit来说是反过来的,我们不是出海,是进入中国市场,但背后的跨境用户访问挑战是相同的。
其实,这个问题的答案特别简单:如何保证用户跨境高速稳定访问体验?当然是我们这些企业很幸运有AWS, 阿里云这样专业、优秀的合作伙伴可以信赖,专业的事情交给专业的伙伴,三件套,全球访问加速、高防、WAF,然后全球用户访问如丝般顺滑这个结果就自然而然了。当然,我们是阿里云的用户、也就是说拥有阿里云头寸,所以上述不作为选型建议哈。
安全对于每个领域来说都是至关重要的,但是这个概念很宽泛,如果从区块链应用场景来看,安全技术主要守护的是哪些方面?又是从哪些角度进行守护的?
主持人:区块链应用,无论是利用区块链技术对传统业务的改进,有点像“区块链+”的概念,比如做存证、溯源、供应链管理甚至是跨境支付场景;还是一些公链项目,比如加密货币加密资产,或者DeFi。
Benjamin:从一个安全从业者角度来理解,我觉得区块链应用场景下,安全的本质并没有发生大的变化,安全还是保护用户、保护公司数据和资产、保护公司品牌,安全技术也还是实现保密性、可用性和完整性。和金融或者互联网业务比较,我个人感觉,和巨总的观点类似,安全比较大的一个区别是区块链场景与链下结合时用户隐私保护更富有挑战性。
这里面其实有一个很有意思的现象,就是隐私保护问题。大家都在意识层面认为区块链技术是保护用户隐私,也就是“更安全”,但实际上由于真实商业世界是多个很多环节的长链条、端到端的,链上这个环节用户可以是匿名的,但延伸到整个商业链条,由于众多中心化节点的存在再加上区块链技术的透明信任机制,用户在区块链应用场景下实际上隐私安全威胁或挑战更大。
举个例子,假设有一天人人使用加密货币来做支付,可以设想一下我今天在某个写字楼用自己的钱包花比特币买了一杯星巴克,传统商业场景下想要获得这个用户“谁在哪里花了多少钱买了什么”的隐私是很难的——因为你很难黑进银行的结算系统。在加密货币场景,很可能黑客只需要黑掉大楼的摄像头视频监控系统,再结合星巴克在链上的钱包标签和钱包或个人的交易地址标签,直接读区块链上公开的交易明细,识别出那些Tx是和这个地址相关,进而分析出具体是谁在哪里买过什么……与传统的封闭的以银行为核心的支付体系相比,区块链应用场景下保护用户隐私实际是更难了。
和大家汇报一下最近我们的关注点,就是隐私安全方面的技术,知道我们阿里是MPC联盟成员,据我所知,MPC联盟是一个由国际顶尖密码技术企业组成的联盟,目前国内好像就两家企业,阿里和PlatON。所以需要向阿里专家学习的地方有很多。
主持人:下一个问题是区块链本身便有着较高的安全属性,但依会有安全事故出现,原因是什么?根据以往的事故案例,您认为造成安全事故的原因是否全在企业或项目本身?如果不是,还会有哪些方面的因素呢?
Benjamin:安全事故肯定既有外部威胁导致的、也有内部软硬件故障导致的、或者同时兼有。安全事故是否全在企业项目本身,说“全是”肯定绝对了,应该case by case来谈。但,毋庸讳言,相比较区块链对安全的要求而言,区块链企业的安全能力是亟待提升的。对于安全事故,我从企业安全能力方面来说吧。
区块链技术的应用和大部分业务场景发展还处于初级阶段,这就意味着从业人员经验、行业标准和积累都与传统金融行业无法相比,比如一些公链项目底层、智能合约开发就是相对较新的技术。都说code is law,那创造code的代码开发人员对law的理解有多深?开发人员中能同时具备安全开发能力的比例足够高吗?答案是否定的,所以比传统行业的安全事故的概率可能就更高,更不要说“双花”、智能合约代码审计、密钥底层硬件工程等难题。
比如,十五年甚至十年前,互联网应用的溢出漏洞、跨站和注入比比皆是,但现在尽管仍然是owasp top 10, 但实际上能被黑客利用一键击穿的漏洞就少了很多很多。类比,具备区块链安全架构设计、产品开发和区块链事件安全紧急响应能力的从业人员也远远不够,安全能力也需提升。
说起安全技术,大多数人想到是被动的防护手段,如同一面盾牌,那么安全技术能否主动出击,在恶意侵害事件发生前将其扼杀在摇篮里?能否举一两个案例?
如果纯从字面意义,主动出击的具体安全技术,我听大家说了这么久还是不太确定,实际上我也不太相信有这样的技术、如果有那肯定也成本高到安全主管用不起。当然如果是说阻止安全event事态恶化成incident的技术,那就太多了,就是传统安全的“事前事中事后“的事前和事中嘛,刚才@毅江提的智能合约安全、@Angelia提到的动态识别IP指纹等业务安全风控技术就是,各种安全架构设计比如零信任架构、态势感知、AI安全技术等等,我觉得都算是。
说主动的安全防护机制,我倒想和大家分享一点想法。主动的安全防护一般都是些架构层面的安全设计,硬的方便比如零信任安全架构(含各种技术)、比如平台高可用方面今天阿里云专家分享的全球网络加速、高防等,软的方面就是企业的拥抱合规、行业自律甚至联盟、用户保险机制和安全生态建设等,比如All in云计算并和AWS、阿里云这样的优秀企业深度合作
主持人:目前,区块链行业正处于飞速发展的时期,安全技术在这一过程中起到了怎样的作用?说是护城河很好理解,但它是如何起到加速器的作用的?
Benjamin:我们做安全的,常有一个说法是安全职能价值体现三阶段:第一阶段不出大事或少出,第二阶段保护用户保护数据保护品牌(差不多护城河的意思),第三阶段为驱动业务(加速器?),做安全的,大家都想做到第三阶段,体现价值嘛。
其实,我觉得自己能做区块链行业安全工作,是很幸运的一件事,原因很简单,区块链可能是目前所有行业中、安全最有机会在企业中起到加速器作用的行业。开个玩笑,看看我们这次参加研讨会的嘉宾,就有两位是CSO,我以前在其它行业做安全参加活动的时候,都是叫安全总监、安全负责人的。安全如何成为加速器,其实特别简单——只要安全解决的问题、提供的价值是用户真实的核心需求,不是伪需求、也不是隔层再隔层需求,那安全技术、安全职能就是组织的加速器,安全能力就是企业的核心能力。在区块链行业,安全就是用户的核心需求。
我个人有一个看法:以中国市场为例,未来十年,区块链是安全的主战场、或者最少是一个主战场。如果说过去十年安全的主战场,毫无疑问是互联网,因为互联网的安全风险最高、安全需求最强烈、安全人员的能力总体上是最高的——当然收入也是最高的,比方说,阿里腾讯这类互联网企业的安全人员收入就是行业最高嘛。再往前十年,安全的主战场可能是金融行业或者对知识产权特别敏感的企业。
今时今日,既然身在主战场,我们区块链行业安全从业人员应该有这样的自信和担当:安全在企业内部成为业务加速器,就是一个常规操作。
面对飞速发展的行业现状,再新兴的行业也要十分重视安全防范意识。感谢 Bybit 首席安全官 Benjamin给我们的分享。
来源:Bybit
比推快讯
更多 >>- 汇丰:美元或短期上涨,但涨幅难持久
- 中美双方就以合作方式解决 TikTok 问题达成基本框架共识
- Coinbase CEO:探索自身网络代币尚处于早期阶段
- 狗狗币 ETF DOJE 以及 XRP ETF XRPR 计划于本周四推出
- 比特币提币放缓,过去 24 小时 CEX 净流入 473.47 枚 BTC
- Base 正探索发行其网络原生代币
- 数据:灰度向 Coinbase 等地址转移逾 21 枚比特币
- 数据:两巨鲸过去 6 日从 CEX 提取 9824 万枚 MERL,约合 1490 万美元
- Ethena 基金会:费用切换参数已达到要求,ENA 的费用切换审核后将被激活
- pump.fun 主播 Bagwork 泄露 Drake 与 Future 未发布歌曲,获利逾 8 万美元
- 以太坊储备概念股普跌,SBET 跌 5.71%
- Ethena 团队地址向 CEX 存入 312.5 万枚 ENA,约 227 万美元
- Coinbase 黑客抛售 3976 枚 ETH,两日亏损 93.2 万美元
- Sky:上周花费 70 万美元回购 940 万枚 SKY 代币
- TON 基金会:未批准实习生在 pump.fun 推出 Meme 币,已解雇该实习生
- 谷歌涨超 3%,市值首次升破 3 万亿美元
- 美股上市公司 LFC 宣布已购入 25 万枚 DOGE 扩充其加密货币财库
- 道琼斯指数开盘上涨 74.67 点,标普 500 和纳斯达克均上涨
- Cyber Crash 宣布将把 70%游戏收入回购 CCC 并销毁超 20%流通代币
- 以太坊基金会将成立DAI团队以促进链上 AI 发展
- Paypal 将加密货币集成至新的 P2P 支付流程中,支持 BTC、ETH 和 PYUSD
- 数据:Hyperliquid 平台鲸鱼当前持仓 106.66 亿美元,多空持仓比为 0.88
- Binance 将延期发放 MRLN Alpha 空投
- High Stakes Capital 再度卖出 8.3 万枚 HYPE,过去一周累计抛售 18.3 万枚 HYPE
- 美国运通推出基于区块链的旅行印章
- 法国或将禁止其他欧盟国家许可的加密企业在本土运营
- 特朗普再次呼吁鲍威尔降息,且幅度要远超计划
- 纳斯达克上市公司 Linkhome 推出加密货币房产交易平台,现支持 BTC、ETH 和 USDC
- Stripe 加密业务负责人离职加入 Polygon Labs 担任首席产品官
- 市场消息:HELIUS 完成逾 5 亿美元融资,将成立 SOL 财库公司 PRN
- Saison Capital 成立区块链专项投资基金 Onigiri Capital,初始目标规模 5000 万美元
- 特朗普:不应再强制企业发布季度报告
- 分析师:若美联储重启降息,加密货币价格或将上涨
- Strategy 上周加仓 525 枚 BTC,花费 6020 万美元
- Forward Industries 宣布现已持有超 680 万枚 SOL
- 摩根大通:美联储降息节奏将成市场关键,预计股市短期将进入盘整
- OKX Star:OKX Boost 核心目标是连接真实 DEX 用户与优质 Token 项目方,不支持刷单行为
- 某地址 1 小时前将 6010 枚 ETH 转入币安
- BitMine 披露持有逾 21.5 万枚 ETH,总资产达 107.7 亿美元
- 摩根大通警告:若美联储本周重启降息,美股涨势或将停滞
- 某新地址向 HyperLiquid 存入 500 万 U 开设 3 倍 XPL 空单仓位
- 上周数字资产产品流入 33 亿美元,资产管理规模升至 2390 亿美元
- 数据:7 亿美元 USDT 从 Aave 平台提取并转入 HTX 交易所
- 黄金年内飙升幅度创 1979 年以来最大
- 马斯克购入逾 250 万股特斯拉股票
- Ethena:Based 收入一周内增长 4 倍,目前已占 Hyperliquid 24 小时合约交易量约 20%
- Hyperscale Data 推出 1 亿美元比特币资金战略
- QCP:BTC ETF 连续五日大额流入,山寨币市值创 90 天新高
- 分析师:鲍威尔采取何种基调和指引是市场的疑虑
- 美国参议院周一晚投票表决米兰美联储理事提名,能否参加本周 FOMC 会议目前仍不确定
比推专栏
更多 >>观点
比推热门文章
- 中美双方就以合作方式解决 TikTok 问题达成基本框架共识
- Coinbase CEO:探索自身网络代币尚处于早期阶段
- 狗狗币 ETF DOJE 以及 XRP ETF XRPR 计划于本周四推出
- 比特币提币放缓,过去 24 小时 CEX 净流入 473.47 枚 BTC
- Base 正探索发行其网络原生代币
- 数据:灰度向 Coinbase 等地址转移逾 21 枚比特币
- 数据:两巨鲸过去 6 日从 CEX 提取 9824 万枚 MERL,约合 1490 万美元
- Ethena 基金会:费用切换参数已达到要求,ENA 的费用切换审核后将被激活
- USDH竞标事件:一场争夺稳定币收益分配权的权力博弈
- pump.fun 主播 Bagwork 泄露 Drake 与 Future 未发布歌曲,获利逾 8 万美元