一、区块链安全六大问题是什么

区块链技术现存问题有哪些？

1.性能问题

体积问题

区块链对数据备份的要求对存储空间提出挑战。区块链要求在一笔交易达成后向全网广播，系统内每个节点都要进行数据备份。

以比特币为例，自创世区块至今的区块数据已经超过60GB，并且区块链数据量还在不断增加，这将给比特币核心客户端的运行带来很大挑战。

处理速度问题

比特币区块链目前最高每秒处理6.67笔交易，一次确认时间大约为10分钟，容易造成大量交易的堵塞延迟，可能会限制小额多次交易和对时间敏感度较高交易的应用。

尽管目前有了一些克服手段，但全面解决交易效率的方法仍然亟待发掘。

耗能过高

第三，挖矿过程中的算力并不产生额外的实际社会价值，还会浪费大量的电子资源，随着比特币的日益普及，区块链逐渐成为高耗能的资本密集型行业。

2.中心化问题

节点的不平等

第一，理论上，分布式网络中每个节点应当被平等对待，但是为了挖矿获得回报，各节点可能会增加算力进行硬件竞赛，从而导致节点的不平等，破坏区块链记账权的随机性。

产业化、规模化挖矿产生了矿池

理论上如果矿池通过共谋掌握51%以上的算力进行系统供给，就可以实现双重支付，实际过程中尽管其成本远超收益，但不能否认合谋供给存在的可能性。

3.隐私安全问题

私钥容易被窃取

第一，目前区块链采用的是非对称密钥机制，尽管具有很高的安全性，但是私钥保存在用户本地，容易被黑客窃取。

区块链数据的透明性容易造成隐私泄露

公有链中每个参与者都可以获得完整的数据备份，整个系统是公开透明的，比特币通过隔断交易地址和持有人真实身份的关联保护隐私。

当区块链需要承载更多的业务时，节点如何验证信息执行命令就需要更多的考虑。

4.升级和激励问题

公有链中参与节点的数量庞大

无论是升级还是修复错误都无法关闭系统集中进行，可能需要考虑放松去中心化的问题。

各个节点之间存在着竞争博弈

要求激励相容机制的完善，如何使去中心化系统中的自利节点能够自发开展区块数据验证及记账工作，并设计合理的惩罚函数抑制非理性竞争，是区块链面临的另一挑战。

区块链面临哪些风险需要解决的？

虽然在资本和人才涌入的推动下，区块链行业迎来快速发展，但是作为一个新兴产业，其安全漏洞频繁示警的状况引发了人们对区块链风险的担忧。

国家信息技术安全研究中心主任俞克群指出，对于隐私暴露、数据泄露、信息篡改、网络诈骗等问题，区块链的出现给人们带来了很多期望。但区块链的安全问题依然存在诸多的挑战。

俞克群表示，目前区块链还处在初级阶段，存在着密码算法的安全性、协议安全性、使用安全性、系统安全性等诸多的挑战。

国家互联网应急中心运行部主任严寒冰也指出，区块链如果要在全球经济占有重要地位，必须首先解决其面临的安全问题。

严寒冰指出，区块链安全问题包含多个方面。比如说传统的安全问题，包括私钥的保护，包括应用层软件传统的漏洞等。另外，新的协议层面也有一些新的协议带来的漏洞。

去中心化漏洞平台(DVP)提供的数据也显示区块链安全问题的严峻性。DVP负责人吴家志透露，自7月24日来的一周内，DVP就已经收到白帽子所提供的312个漏洞，涉及175个项目方。其中包括智能合约、知名公链，交易所等一系列项目。高危漏洞达122个，占所有漏洞的39.1%，中危漏洞53个，占所有漏洞的17%。

中国信息安全测评中心主任助理李斌分析说，当前区块链分为公有链、私有链、联盟链三种，无论哪一类在算法、协议、使用、时限和系统等多个方面都面临安全挑战。尤为关键的是，目前区块链还面临的是51%的攻击问题，即节点通过掌握全网超过51%的算例就有能力成功的篡改和伪造区块链数据。

值得注意的是，除了外部恶意攻击风险，区块链也面临其内生风险的威胁。俞克群提醒说，如何围绕着整个区块链的应用系统的设备、数据、应用、加密、认证以及权限等等方面构筑一个完整的安全应用体系，是各方必须要面临的重要问题。

吴家志也分析说，作为新兴产业，区块链产业的从业人员安全意识较为缺乏，导致目前的区块链相关软硬件的安全系数不高，存在大量的安全漏洞，此外，整个区块链生态环节众多，相较之下，相关的安全从业人员力量分散，难以形成合力来解决问题。迎接上述挑战需要系统化的解决方案。

内容来源中新网

区块链技术的六大核心算法

区块链技术的六大核心算法

区块链核心算法一：拜占庭协定

拜占庭的故事大概是这么说的：拜占庭帝国拥有巨大的财富，周围10个邻邦垂诞已久，但拜占庭高墙耸立，固若金汤，没有一个单独的邻邦能够成功入侵。任何单个邻邦入侵的都会失败，同时也有可能自身被其他9个邻邦入侵。拜占庭帝国防御能力如此之强，至少要有十个邻邦中的一半以上同时进攻，才有可能攻破。然而，如果其中的一个或者几个邻邦本身答应好一起进攻，但实际过程出现背叛，那么入侵者可能都会被歼灭。于是每一方都小心行事，不敢轻易相信邻国。这就是拜占庭将军问题。

在这个分布式网络里：每个将军都有一份实时与其他将军同步的消息账本。账本里有每个将军的签名都是可以验证身份的。如果有哪些消息不一致，可以知道消息不一致的是哪些将军。尽管有消息不一致的，只要超过半数同意进攻，少数服从多数，共识达成。

由此，在一个分布式的系统中，尽管有坏人，坏人可以做任意事情(不受protocol限制)，比如不响应、发送错误信息、对不同节点发送不同决定、不同错误节点联合起来干坏事等等。但是，只要大多数人是好人，就完全有可能去中心化地实现共识

区块链核心算法二：非对称加密技术

在上述拜占庭协定中，如果10个将军中的几个同时发起消息，势必会造成系统的混乱，造成各说各的攻击时间方案，行动难以一致。谁都可以发起进攻的信息，但由谁来发出呢?其实这只要加入一个成本就可以了，即：一段时间内只有一个节点可以传播信息。当某个节点发出统一进攻的消息后，各个节点收到发起者的消息必须签名盖章，确认各自的身份。

在如今看来，非对称加密技术完全可以解决这个签名问题。非对称加密算法的加密和解密使用不同的两个密钥.这两个密钥就是我们经常听到的”公钥”和”私钥”。公钥和私钥一般成对出现,如果消息使用公钥加密,那么需要该公钥对应的私钥才能解密;同样，如果消息使用私钥加密,那么需要该私钥对应的公钥才能解密。

区块链核心算法三：容错问题

我们假设在此网络中，消息可能会丢失、损坏、延迟、重复发送，并且接受的顺序与发送的顺序不一致。此外，节点的行为可以是任意的：可以随时加入、退出网络，可以丢弃消息、伪造消息、停止工作等，还可能发生各种人为或非人为的故障。我们的算法对由共识节点组成的共识系统，提供的容错能力，这种容错能力同时包含安全性和可用性，并适用于任何网络环境。

区块链核心算法四：Paxos算法(一致性算法)

Paxos算法解决的问题是一个分布式系统如何就某个值(决议)达成一致。一个典型的场景是，在一个分布式数据库系统中，如果各节点的初始状态一致，每个节点都执行相同的操作序列，那么他们最后能得到一个一致的状态。为保证每个节点执行相同的命令序列，需要在每一条指令上执行一个“一致性算法”以保证每个节点看到的指令一致。一个通用的一致性算法可以应用在许多场景中，是分布式计算中的重要问题。节点通信存在两种模型：共享内存和消息传递。Paxos算法就是一种基于消息传递模型的一致性算法。

区块链核心算法五：共识机制

区块链共识算法主要是工作量证明和权益证明。拿比特币来说，其实从技术角度来看可以把PoW看做重复使用的Hashcash，生成工作量证明在概率上来说是一个随机的过程。开采新的机密货币，生成区块时，必须得到所有参与者的同意，那矿工必须得到区块中所有数据的PoW工作证明。与此同时矿工还要时时观察调整这项工作的难度，因为对网络要求是平均每10分钟生成一个区块。

区块链核心算法六：分布式存储

分布式存储是一种数据存储技术，通过网络使用每台机器上的磁盘空间，并将这些分散的存储资源构成一个虚拟的存储设备，数据分散的存储在网络中的各个角落。所以，分布式存储技术并不是每台电脑都存放完整的数据，而是把数据切割后存放在不同的电脑里。就像存放100个鸡蛋，不是放在同一个篮子里，而是分开放在不同的地方，加起来的总和是100个。

区块链使用安全的问题该怎么解决？

这里需要提到区块链的基本系统结构有以下几种

①网络路由②密码算法③脚本系统③共识机制

区块链安全问题的话，主要是由脚本系统来完成的脚本系统，在区块链技术，当中是一个相对来说抽象的概念也是极其重要的一个功能，区块链中，之所以能形成一个有价值的网络依靠的就是脚本系统，就像发动机一样驱动的，区块链，不断地进行数据的收发所谓脚本就是指一组成规则再确认系统中某些系统的程序，规则是固定的，比如在比特币系统中只能进行比特币发送与接收发送与接收，就是通过比特币的脚本程序来完成的，系统允许用户自主编程序规则，好了之后就可以部署，到区块链账本中，这样就可以扩展整个区块链系统的功能，如以太坊就是通过这一套自定义的脚本系统，从而实现了智能合约的功能，那么具体的场景应用或者说实际生活案例比如说订单物流信息供应链信息。

区块链技术安全都需要了解哪些问题

区块链技术相信大家应该都不陌生了，而今天我们就一起来了解一下，在区块链技术安全领域都有哪些问题是需要我们注意的，下面就开始今天的主要内容吧。目前，企业内部进行的大多数区块链项目都是所谓的“带权限的私有链”。与公有链不同的是，私有链只能由选定的用户组访问，这些用户有权在该账本上进行输入、验证、记录和交换数据。当然，对于一个从未获准加入的“局外人”而言，这样的网络几乎不可能被攻陷的。但随着私有链的出现，另一个问题就出现了：为了提高隐私性和安全性，我们真的需要舍弃去中心化吗?来自《麻省理工科技评论》(MITTechnologyReview)的MikeOrcutt写道，私有链系统“可能会让它的所有者感到更安全，但它实际上只是给予了他们更多的控制权，这意味着无论其他网络参与者是否同意，他们都可以进行更改。”这类系统需要提出平衡机制，为不同的用户组授予不同级别的权限，并对验证者进行身份检查，以确保他们是自己所声称的那个人。这就是为什么许多公司都在寻找两者兼备的方法——公有链的去中心化和私有链的额外安全性。由IBM、Corda、Ripple等主要厂商开发的联盟链，目前看来似乎是好的安全选择。简而言之，它们为企业提供了访问集中式系统的权限，且系统本身又具有一定程度的加密可审计性和安全性。其他企业也在考虑如何通过调整公有链来满足他们的安全需求。例如，以太坊区块链已经提供了一些机制，可以利用这些机制来确保网络参与者的隐私，包括环签名、隐身地址和存储公有链的私有数据。总的来说，区块链领域正在朝着为公有链、私有链、联盟链网络定义技术粒度隐私层的新解决方案稳步发展。IT培训发现各家公司正在积极调查和修补已知漏洞，并采用新的机制来确保各方都受到保护，任何恶意的骇客都无法攻破并利用账本中的漏洞。

区块链安全问题应该怎么解决？

区块链项目（尤其是公有链）的一个特点是开源。通过开放源代码，来提高项目的可信性，也使更多的人可以参与进来。但源代码的开放也使得攻击者对于区块链系统的攻击变得更加容易。近两年就发生多起黑客攻击事件，近日就有匿名币Verge（XVG）再次遭到攻击，攻击者锁定了XVG代码中的某个漏洞，该漏洞允许恶意矿工在区块上添加虚假的时间戳，随后快速挖出新块，短短的几个小时内谋取了近价值175万美元的数字货币。虽然随后攻击就被成功制止，然而没人能够保证未来攻击者是否会再次出击。

当然，区块链开发者们也可以采取一些措施

一是使用专业的代码审计服务，

二是了解安全编码规范，防患于未然。

密码算法的安全性

随着量子计算机的发展将会给现在使用的密码体系带来重大的安全威胁。区块链主要依赖椭圆曲线公钥加密算法生成数字签名来安全地交易，目前最常用的ECDSA、RSA、DSA等在理论上都不能承受量子攻击，将会存在较大的风险，越来越多的研究人员开始关注能够抵抗量子攻击的密码算法。

当然，除了改变算法，还有一个方法可以提升一定的安全性：

参考比特币对于公钥地址的处理方式，降低公钥泄露所带来的潜在的风险。作为用户，尤其是比特币用户，每次交易后的余额都采用新的地址进行存储，确保有比特币资金存储的地址的公钥不外泄。

共识机制的安全性

当前的共识机制有工作量证明（ProofofWork，PoW）、权益证明（ProofofStake，PoS）、授权权益证明（DelegatedProofofStake，DPoS）、实用拜占庭容错（PracticalByzantineFaultTolerance，PBFT）等。

PoW面临51%攻击问题。由于PoW依赖于算力，当攻击者具备算力优势时，找到新的区块的概率将会大于其他节点，这时其具备了撤销已经发生的交易的能力。需要说明的是，即便在这种情况下，攻击者也只能修改自己的交易而不能修改其他用户的交易（攻击者没有其他用户的私钥）。

在PoS中，攻击者在持有超过51%的Token量时才能够攻击成功，这相对于PoW中的51%算力来说，更加困难。

在PBFT中，恶意节点小于总节点的1/3时系统是安全的。总的来说，任何共识机制都有其成立的条件，作为攻击者，还需要考虑的是，一旦攻击成功，将会造成该系统的价值归零，这时攻击者除了破坏之外，并没有得到其他有价值的回报。

对于区块链项目的设计者而言，应该了解清楚各个共识机制的优劣，从而选择出合适的共识机制或者根据场景需要，设计新的共识机制。

智能合约的安全性

智能合约具备运行成本低、人为干预风险小等优势，但如果智能合约的设计存在问题，将有可能带来较大的损失。2016年6月，以太坊最大众筹项目TheDAO被攻击，黑客获得超过350万个以太币，后来导致以太坊分叉为ETH和ETC。

对此提出的措施有两个方面：

一是对智能合约进行安全审计，

二是遵循智能合约安全开发原则。

智能合约的安全开发原则有：对可能的错误有所准备，确保代码能够正确的处理出现的bug和漏洞；谨慎发布智能合约，做好功能测试与安全测试，充分考虑边界；保持智能合约的简洁；关注区块链威胁情报，并及时检查更新；清楚区块链的特性，如谨慎调用外部合约等。

数字钱包的安全性

数字钱包主要存在三方面的安全隐患：第一，设计缺陷。2014年底，某签报因一个严重的随机数问题（R值重复）造成用户丢失数百枚数字资产。第二，数字钱包中包含恶意代码。第三，电脑、手机丢失或损坏导致的丢失资产。

应对措施主要有四个方面：

一是确保私钥的随机性；

二是在软件安装前进行散列值校验，确保数字钱包软件没有被篡改过；

三是使用冷钱包；

四是对私钥进行备份。

二、区块链测评认证标准是什么,区块链测评认证标准是什么内容

CNS是什么标准

CNS是全球热门之Certified

Novell

Salesperson专业业务人员认证制度，透过这项认证您可以悉Novell的产品，具备专业的知识，面对客户环境时，能作最详尽确实的规划，以扩展公司业务。

提升公司及个人之专业形象。提升公司及个人之专业形象。

CNS证书不仅跟Novell其他相关认证一样全球通用外，同时您可于名片上印上认证的标志(Logo)，除了个人能力的肯定外，更可提升公司的专业形象。

区块链中ERC20通证标准是什么？

RC20通证标准（ERC20TokenStandard）是通过以太坊创建通证时的一种规范。按照ERC20的规范可以编写一个智能合约，创建“可互换通证”。它并非强制要求，但遵循这个标准，所创建的通证可以与众多交易所、钱包等进行交互，它现在已被行业普遍接受。

ERC20通证标准最早由以太坊开发者费边·沃格尔斯特勒在开源社区中提出，后来以太坊创始人维塔利克（人称“V神”）撰写了第一版文档，当时名为“标准化合约API”（Standardized_Contract_APIs）。

遵循ERC20通证标准可以编写智能合约。它需要实现的通证方法包括：可选的name、symbol、decimals，必须有的balanceOf、transfer、transferFrom、approve、allowance。它需要实现的事件响应包括Transfer、Approve

除了ERC20之外，以太坊受关注的通证标准还有ERC721。与ERC20不同，ERC721是一种不可互换的通证标准（Non-fungibleTokenStandard，NFT）。

ERC20的通证是可互换、同质，而ERC721的通证是不可互换的、非同质的；ERC20通证是可无限分割细分的，而ERC721通证的最小单位是1，无法再分割细分。

2018年6月，ERC721最终被以太坊社区正式接受，成为最终标准。之前大热的加密猫（cryptokitties，谜恋猫）所遵循的就是ERC721标准。

链乔教育在线旗下学硕创新区块链技术工作站是中国教育部学校规划建设发展中心开展的“智慧学习工场2020-学硕创新工作站”唯一获准的“区块链技术专业”试点工作站。专业站立足为学生提供多样化成长路径，推进专业学位研究生产学研结合培养模式改革，构建应用型、复合型人才培养体系。

区块链在数据安全上有国际标准吗？

有的，由趣链科技牵头制定的“区块链+?联邦计算”的融合技术标准P3227《StandardforaReferenceFrameworkofDataSecurityCirculationSystemBasedonBlockchainandFederatedComputation》（基于区块链和联邦计算的数据安全流通参考框架）在IEEE标准协会标准理事会（IEEESASB）大会正式通过。

区块链行业什么时候有个标准或准则什么的？

近日，《金融分布式账本技术安全规范》（JR/T0184—2020）金融行业标准（以下简称标准）由中国人民银行正式发布，《标准》规定了金融分布式账本技术的安全体系，包括基础硬件、基础软件、密码算法、节点通信、账本数据、共识协议、智能合约、身份管理、隐私保护、监管支撑、运维要求和治理机制等方面。该标准适用于在金融领域从事分布式账本系统建设或服务运营的机构。

据悉，该《标准》由全国金融标准化技术委员会归口管理，由中国人民银行数字货币研究所提出并负责起草，中国人民银行科技司、中国工商银行、中国农业银行、中国银行、中国建设银行、国家开发银行等单位共同参与起草。

在央行看来，区块链技术是一种新型的分布式数据库，也称为分布式账本，所以《金融分布式账本技术安全规范》被业内认为是“国内金融行业首个区块链标准”。

这一标准的发布，有助于金融机构按照规范进行系统部署和维护，避免出现安全问题。金融行业正引导区块链技术的应用走向规范，积极地服务实体经济，同时也将大大提速区块链供应链金融的发展。目前，国内发布的区块链标准已有10项左右，在研究的也有20多项，这些标准都将引导且推动我国区块链技术和产业发展。只不过目前这些标准也主要偏技术层面，落地到产品应用层面还需要一段时间。

如何检测区块链智能合约的风险等级高低

随着上海城市数字化转型脚步的加快，区块链技术在政务、金融、物流、司法等众多领域得到深入应用。在应用过程中，不仅催生了新的业务形态和商业模式，也产生了很多安全问题，因而安全监管显得尤为重要。安全测评作为监管重要手段之一，成为很多区块链研发厂商和应用企业的关注热点。本文就大家关心的区块链合规性安全测评谈谈我们做的一点探索和实践。

一、区块链技术测评

区块链技术测评一般分为功能测试、性能测试和安全测评。

1、功能测试

功能测试是对底层区块链系统支持的基础功能的测试，目的是衡量底层区块链系统的能力范围。

区块链功能测试主要依据GB/T25000.10-2016《系统与软件质量要求和评价（SQuaRE）第10部分：系统与软件质量模型》、GB/T25000.51-2016《系统与软件质量要求和评价（SQuaRE）第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》等标准，验证被测软件是否满足相关测试标准要求。

区块链功能测试具体包括组网方式和通信、数据存储和传输、加密模块可用性、共识功能和容错、智能合约功能、系统管理稳定性、链稳定性、隐私保护、互操作能力、账户和交易类型、私钥管理方案、审计管理等模块。

2、性能测试

性能测试是为描述测试对象与性能相关的特征并对其进行评价而实施和执行的一类测试，大多在项目验收测评中，用来验证既定的技术指标是否完成。

区块链性能测试具体包括高并发压力测试场景、尖峰冲击测试场景、长时间稳定运行测试场景、查询测试场景等模块。

3、安全测评

区块链安全测评主要是对账户数据、密码学机制、共识机制、智能合约等进行安全测试和评价。

区块链安全测评的主要依据是《DB31/T1331-2021区块链技术安全通用要求》。也可根据实际测试需求参考《JR/T0193-2020区块链技术金融应用评估规则》、《JR/T0184—2020金融分布式账本技术安全规范》等标准。

区块链安全测评具体包括存储、网络、计算、共识机制、密码学机制、时序机制、个人信息保护、组网机制、智能合约、服务与访问等内容。

二、区块链合规性安全测评

区块链合规性安全测评一般包括“区块链信息服务安全评估”、“网络安全等级保护测评”和“专项资金项目验收测评”三类。

1、区块链信息服务安全评估

区块链信息服务安全评估主要依据国家互联网信息办公室2019年1月10日发布的《区块链信息服务管理规定》（以下简称“《规定》”）和参考区块链国家标准《区块链信息服务安全规范（征求意见稿）》进行。

《规定》旨在明确区块链信息服务提供者的信息安全管理责任，规范和促进区块链技术及相关服务的健康发展，规避区块链信息服务安全风险，为区块链信息服务的提供、使用、管理等提供有效的法律依据。《规定》第九条指出：区块链信息服务提供者开发上线新产品、新应用、新功能的，应当按照有关规定报国家和省、自治区、直辖市互联网信息办公室进行安全评估。

《区块链信息服务安全规范》是由中国科学院信息工程研究所牵头，浙江大学、中国电子技术标准化研究院、上海市信息安全测评认证中心等单位共同参与编写的一项建设和评估区块链信息服务安全能力的国家标准。《区块链信息服务安全规范》规定了联盟链和私有链的区块链信息服务提供者应满足的安全要求，包括安全技术要求和安全保障要求以及相应的测试评估方法，适用于指导区块链信息服务安全评估和区块链信息服务安全建设。标准提出的安全技术要求、保障要求框架如下：

图1区块链信息服务安全要求模型

2、网络安全等级保护测评

网络安全等级保护测评的主要依据包括《GB/T22239-2019网络安全等级保护基本要求》、《GB/T28448-2019网络安全等级保护测评要求》。

区块链作为一种新兴信息技术，构建的应用系统同样属于等级保护对象，需要按照规定开展等级保护测评。等级保护安全测评通用要求适用于评估区块链的基础设施部分，但目前并没有提出区块链特有的安全要求。因此，区块链安全测评扩展要求还有待进一步探索和研究。

3、专项资金项目验收测评

根据市经信委有关规定，信息化专项资金项目在项目验收时需出具安全测评报告。区块链应用项目的验收测评将依据上海市最新发布的区块链地方标准《DB31/T1331-2021区块链技术安全通用要求》开展。

三、区块链安全测评探索与实践

1、标准编制

上海测评中心积极参与区块链标准编制工作。由上海测评中心牵头，苏州同济区块链研究院有限公司、上海七印信息科技有限公司、上海墨珩网络科技有限公司、电信科学技术第一研究所等单位参加编写的区块链地方标准《DB31/T1331-2021区块链技术安全通用要求》已于2021年12月正式发布，今年3月1日起正式实施。上海测评中心参与编写的区块链国标《区块链信息服务安全规范》正处于征求意见阶段。

同时，测评中心还参与编写了国家人力资源和社会保障部组织，同济大学牵头编写的区块链工程技术人员初级和中级教材，负责编制“测试区块链系统”章节内容。

2、项目实践

近年来，上海测评中心依据相关技术标准进行了大量的区块链安全测评实践，包括等级保护测评、信息服务安全评估、项目安全测评等。在测评实践中，发现的主要安全问题如下：

表1区块链主要是安全问题

序号

测评项

问题描述

1

共识算法

共识算法采用Kafka或Raft共识，不支持拜占庭容错，不支持容忍节点恶意行为。

2

上链数据

上链敏感信息未进行加密处理，通过查询接口或区块链浏览器可访问链上所有数据。

3

密码算法

密码算法中使用的随机数不符合GB/T32915-2016对随机性的要求。

4

节点防护

对于联盟链，未能对节点服务器所在区域配置安全防护措施。

5

通信传输

节点间通信、区块链与上层应用之间通信时，未建立安全的信息传输通道。

6

共识算法

系统部署节点数量较少，有时甚至没有达到共识算法要求的容错数量。

7

智能合约

未对智能合约的运行进行监测，无法及时发现、处置智能合约运行过程中出现的问题。

8

服务与访问

上层应用存在未授权、越权等访问控制缺陷，导致业务错乱、数据泄露。

9

智能合约

智能合约编码不规范，当智能合约出现错误时，不提供智能合约冻结功能。

10

智能合约

智能合约的运行环境没有与外部隔离，存在外部攻击的风险。

3、工具应用

测评中心在组织编制《DB31/T1331-2021区块链技术安全通用要求》时，已考虑与等级保护测评的衔接需求。DB31/T1331中的“基础设施层”安全与等级保护的安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等相关要求保持一致，“协议层安全”、“扩展层安全”则更多体现区块链特有的安全保护要求。

测评中心依据DB31/T1331相关安全要求，正在组织编写区块链测评扩展要求，相关成果将应用于网络安全等级保护测评工具——测评能手。届时，使用“测评能手”软件的测评机构就能准确、规范、高效地开展区块链安全测评，发现区块链安全风险，并提出对应的整改建议

三、如何查区块链合约地址风险,区块链合约地址能转出币吗

如何检测区块链智能合约的风险等级高低

随着上海城市数字化转型脚步的加快，区块链技术在政务、金融、物流、司法等众多领域得到深入应用。在应用过程中，不仅催生了新的业务形态和商业模式，也产生了很多安全问题，因而安全监管显得尤为重要。安全测评作为监管重要手段之一，成为很多区块链研发厂商和应用企业的关注热点。本文就大家关心的区块链合规性安全测评谈谈我们做的一点探索和实践。

一、区块链技术测评

区块链技术测评一般分为功能测试、性能测试和安全测评。

1、功能测试

功能测试是对底层区块链系统支持的基础功能的测试，目的是衡量底层区块链系统的能力范围。

区块链功能测试主要依据GB/T25000.10-2016《系统与软件质量要求和评价（SQuaRE）第10部分：系统与软件质量模型》、GB/T25000.51-2016《系统与软件质量要求和评价（SQuaRE）第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》等标准，验证被测软件是否满足相关测试标准要求。

区块链功能测试具体包括组网方式和通信、数据存储和传输、加密模块可用性、共识功能和容错、智能合约功能、系统管理稳定性、链稳定性、隐私保护、互操作能力、账户和交易类型、私钥管理方案、审计管理等模块。

2、性能测试

性能测试是为描述测试对象与性能相关的特征并对其进行评价而实施和执行的一类测试，大多在项目验收测评中，用来验证既定的技术指标是否完成。

区块链性能测试具体包括高并发压力测试场景、尖峰冲击测试场景、长时间稳定运行测试场景、查询测试场景等模块。

3、安全测评

区块链安全测评主要是对账户数据、密码学机制、共识机制、智能合约等进行安全测试和评价。

区块链安全测评的主要依据是《DB31/T1331-2021区块链技术安全通用要求》。也可根据实际测试需求参考《JR/T0193-2020区块链技术金融应用评估规则》、《JR/T0184—2020金融分布式账本技术安全规范》等标准。

区块链安全测评具体包括存储、网络、计算、共识机制、密码学机制、时序机制、个人信息保护、组网机制、智能合约、服务与访问等内容。

二、区块链合规性安全测评

区块链合规性安全测评一般包括“区块链信息服务安全评估”、“网络安全等级保护测评”和“专项资金项目验收测评”三类。

1、区块链信息服务安全评估

区块链信息服务安全评估主要依据国家互联网信息办公室2019年1月10日发布的《区块链信息服务管理规定》（以下简称“《规定》”）和参考区块链国家标准《区块链信息服务安全规范（征求意见稿）》进行。

《规定》旨在明确区块链信息服务提供者的信息安全管理责任，规范和促进区块链技术及相关服务的健康发展，规避区块链信息服务安全风险，为区块链信息服务的提供、使用、管理等提供有效的法律依据。《规定》第九条指出：区块链信息服务提供者开发上线新产品、新应用、新功能的，应当按照有关规定报国家和省、自治区、直辖市互联网信息办公室进行安全评估。

《区块链信息服务安全规范》是由中国科学院信息工程研究所牵头，浙江大学、中国电子技术标准化研究院、上海市信息安全测评认证中心等单位共同参与编写的一项建设和评估区块链信息服务安全能力的国家标准。《区块链信息服务安全规范》规定了联盟链和私有链的区块链信息服务提供者应满足的安全要求，包括安全技术要求和安全保障要求以及相应的测试评估方法，适用于指导区块链信息服务安全评估和区块链信息服务安全建设。标准提出的安全技术要求、保障要求框架如下：

图1区块链信息服务安全要求模型

2、网络安全等级保护测评

网络安全等级保护测评的主要依据包括《GB/T22239-2019网络安全等级保护基本要求》、《GB/T28448-2019网络安全等级保护测评要求》。

区块链作为一种新兴信息技术，构建的应用系统同样属于等级保护对象，需要按照规定开展等级保护测评。等级保护安全测评通用要求适用于评估区块链的基础设施部分，但目前并没有提出区块链特有的安全要求。因此，区块链安全测评扩展要求还有待进一步探索和研究。

3、专项资金项目验收测评

根据市经信委有关规定，信息化专项资金项目在项目验收时需出具安全测评报告。区块链应用项目的验收测评将依据上海市最新发布的区块链地方标准《DB31/T1331-2021区块链技术安全通用要求》开展。

三、区块链安全测评探索与实践

1、标准编制

上海测评中心积极参与区块链标准编制工作。由上海测评中心牵头，苏州同济区块链研究院有限公司、上海七印信息科技有限公司、上海墨珩网络科技有限公司、电信科学技术第一研究所等单位参加编写的区块链地方标准《DB31/T1331-2021区块链技术安全通用要求》已于2021年12月正式发布，今年3月1日起正式实施。上海测评中心参与编写的区块链国标《区块链信息服务安全规范》正处于征求意见阶段。

同时，测评中心还参与编写了国家人力资源和社会保障部组织，同济大学牵头编写的区块链工程技术人员初级和中级教材，负责编制“测试区块链系统”章节内容。

2、项目实践

近年来，上海测评中心依据相关技术标准进行了大量的区块链安全测评实践，包括等级保护测评、信息服务安全评估、项目安全测评等。在测评实践中，发现的主要安全问题如下：

表1区块链主要是安全问题

序号

测评项

问题描述

1

共识算法

共识算法采用Kafka或Raft共识，不支持拜占庭容错，不支持容忍节点恶意行为。

2

上链数据

上链敏感信息未进行加密处理，通过查询接口或区块链浏览器可访问链上所有数据。

3

密码算法

密码算法中使用的随机数不符合GB/T32915-2016对随机性的要求。

4

节点防护

对于联盟链，未能对节点服务器所在区域配置安全防护措施。

5

通信传输

节点间通信、区块链与上层应用之间通信时，未建立安全的信息传输通道。

6

共识算法

系统部署节点数量较少，有时甚至没有达到共识算法要求的容错数量。

7

智能合约

未对智能合约的运行进行监测，无法及时发现、处置智能合约运行过程中出现的问题。

8

服务与访问

上层应用存在未授权、越权等访问控制缺陷，导致业务错乱、数据泄露。

9

智能合约

智能合约编码不规范，当智能合约出现错误时，不提供智能合约冻结功能。

10

智能合约

智能合约的运行环境没有与外部隔离，存在外部攻击的风险。

3、工具应用

测评中心在组织编制《DB31/T1331-2021区块链技术安全通用要求》时，已考虑与等级保护测评的衔接需求。DB31/T1331中的“基础设施层”安全与等级保护的安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等相关要求保持一致，“协议层安全”、“扩展层安全”则更多体现区块链特有的安全保护要求。

测评中心依据DB31/T1331相关安全要求，正在组织编写区块链测评扩展要求，相关成果将应用于网络安全等级保护测评工具——测评能手。届时，使用“测评能手”软件的测评机构就能准确、规范、高效地开展区块链安全测评，发现区块链安全风险，并提出对应的整改建议

区块链浏览器如何看合约是否锁死

1、打开浏览器输入地址：。

2、在右上角的方框内输入你要查询的合约地址，输入地址后点击“GO”。

3、进入合约地址后的信息详情页面。

4、我们点击合约名称的位置，查看合约详情。

怎么查看bsc区块链合约详情

打开TokenPocketAPP可以查看。

点击下方的浏览器图标，既可以进入BSC区块浏览器。该笔交易的交易状态、发送方、接收方、该代币合约地址、交易手续费等信息都会显示在浏览器页面。币安智能链（BSC）可以被描述为与币安链并行的区块链。与币安链不同的地方在于，BSC拥有智能合约功能并与以太坊虚拟机（EVM）兼容。这里的设计目标是保持完整币安链的高吞吐量，同时将智能合约引入其生态系统。