区块链如何解决复杂商业问题,美国国际战略研究中心怎么看?

本文是针对美国国际战略研究中心(the Center forStrategic and International Studies , CSIS)的报告《HarnessingBlockchain for American Business and Prosperity》(利用区块链技术实现美国的商业与繁荣,编者译)所作出的解析。作为下一代极具变革性的新兴技术,美国智库的态度如何呢?又提出哪些具有战略性的发展问题与建议呢?

值得一提的是,报告初始就指出研究的是区块链技术如何解决复杂的商业问题,而强调不关心 BTC 或其他以区块链技术做支撑的加密货币,可见在目前监管尚不明确的情况下,谈加密货币色变的现象依然常见。

区块链改变现有商业的 10 个案例

报告介绍了区块链目前的 10 个主要应用场景:

(1)跟踪全球供应链中的产品;

区块链帮助沃尔玛追踪产品的来源地、所有的运输过程,效率的到显著提高,芒果的追踪时间从过去的 6 天 18 小时 26 分钟降到了最低 2 秒。欧洲的航空巨头 Airbus 公司使用区块链来分析它的供应商和飞机的来源,上链的零部件数据可以由维修人员读取,这使得航空公司能够维护飞机,并拥有更好的记录,保障乘客准时到达目的地。此外区块链还能用于验证多个国家供应的产品的原产地链。

防伪溯源是区块链技术的典型应用场景,对于商品流通的信息跟踪、查询、验证、防伪等均有较好的促进作用,能显著提升部分环节的效率。但是,区块链的作用仅能体现在链上,对于链下由人操作的部分则无法覆盖。

(2)确保 3D 打印的质量并进行跟踪;

区块链技术通过帮助解决 3D 打印产品的质量、来源、知识产权等问题从而加速 3D 打印的应用。使用区块链技术对生产过程和产品上的数据进行编码和加密,从而创建安全数据流,数据内容包括谁生产了特定的部件、在哪里、什么时候以及如何制作 (如用什么材料制作)。这反过来又使制造商要保证和核实产品的质量,筛选出盗版产品,跟踪零件的来源问题,在必要时迅速召回。技术公司 Cubichain Technologies、美国海军部门、通用电气等企业或政府部门均在这一应用场景有所实践。

(3)创建个性化的、终生的「一站式商店」医疗记录;

医疗保健区块链可以跟踪任何一个人的完整的病史,如药物、疾病、受伤,以及与跨医疗体系、医生、药房和医疗计划的交易,并能够授权患者控制自己的数据。区块链也可以转移保险支付:当诊所确认病人已得到治疗,并防止欺诈或不准确的索赔时,智能合约可以自动触发保险条款。一些初创公司,如英国的 Medicalchain、区块链公司 Gem、麻省理工学院等企业高校均在尝试这方面的应用。

(4)简化贸易物流;

传统贸易涉及到的进出口的相关手续繁杂,整个链条的各个参与者需要大量的纸质文件交互,沟通成本高。区块链可以优化该系统。Maersk 和 IBM 创建了一个平台,将班轮、仓库、货代、港口、海关、出口商、进口商和贸易金融银行等业务整合到贸易生态系统,在运行于区块链的数据交换平台上相互操作。

(5)便利和保障海关贸易;

区块链已经在许多海关部门进行了测试,包括在英国、韩国、新加坡、哥斯达黎加、墨西哥、秘鲁和东非 15 国集团。2017 年,美国海关为区块链开发了 14 个用例,目前正在测试和评估。区块链对英国尤其有用:当英国离开欧盟关税同盟时,它的关税申报数量将从 5500 万增加到 2.5 亿以上 (非欧盟贸易加上欧盟贸易,之前不需要海关文件),这是英国目前的软件程序不能完全处理的。区块链可以提供帮助:它可以跟踪产品到它们的源头,帮助确定货物的原产地和适当的关税,如注定要加入欧盟的一揽子关税。对于英国 28 个边境机构,需要分析诸如食品以及安全和知识产权合规之类的进口产品,可以安全透明地实时共享区块链条目。

(6)防止投票舞弊,保障选民的身份;

区块链安全性和身份保护功能可以减少欺诈,促使选民相信他们的投票是匿名的,

提高投票率,让选举立即产生结果。使用这项技术,选民也许能够做到用智能手机扫描他们的拇指,然后在选举日的通勤途中投票。如果每个人都通过区块链投票,没有人可以投票两次。投票的记录是不可侵犯的,每一个投票点会立即记录每一个投票的 ID。

(7)为农民触发农作物保险;

针对特定农民的需求定制的农作物保险通常非常贵,区块链技术可以通过确定触发条件并自动执行来降低成本。例如,农民可以为极端天气投保,如果极端天气影响了收成,基于区块链的保险合约将会立即识别这一点,并支付农民的索赔。

(8)建立一个能源生产者和用户的网络;

几十年前,有些公司引进了智能电网,为能源生产者和需求者提供中介服务。现在,区块链可以优化智能电网,为能源生产者和消费者提供一个区中介的能源交易平台。TenneT 公司和位于布鲁克林的初创公司 LO3 Energy 公司均在尝试这一业务。

(9)创建能独立运行的智能城市;

区块链现在可以放大物联网对城市运行的影响。例如,迪拜有一个在城市服务中实施区块链的试点。迪拜计划到 2020 年,在超过 1 亿份年度政府文件中使用区块链,包括所有签证申请、账单支付和许可证续签。

(10)当货物到达外国买家时自动支付出口商;

区块链通过允许交易双方访问相同的数据以及实时数字化文件来改变现有的国际贸易的信息不对称的问题。不需要跨越不同实体的不同数据库存储相同文档的多个副本,当与智能合约相连的传感器标记的货物到达时,买方给卖方汇款将自动触发。

其实,除了报告中列举的几个应用场景,区块链在金融、版权、游戏、人工智能等领域还有诸多的适用场景。但作为与区块链技术密不可分的加密货币,很多时候被人为的割裂。此外,即使技术本身,目前也在不断迭代更新,伴随的问题也是引起人们的不少争议。

区块链行业目前面临的 10 个问题及解析

区块链上的数据真的真实和不可篡改吗?

作为区块链核心特征之一的「不可篡改」特性真的能够实现吗?而且「不可篡改」真的是百利而无一害吗?

报告指出,区块链并非完全不可更改,并给出了区块链的 3 个弱点:

(1)进入区块链系统的入口。区块链可能存在「单点失败」的情况,因此需平衡安全性和可访问性,对于布满区块链应用的城市,一方面需要设计层层的密码、以加密的格式存储数据来控制入口,另一方面需要满足政府官员能够方便查看数据。另外,区块链管理者需要保护非结构化的数据的同时允许编辑其中的一部分。

(2)可能被黑客攻击,51% 的链被想要篡改结果的人控制。

(3)存在了几个世纪的「垃圾中有垃圾」问题,区块链的价值取决于链上的数据,输入到区块链上的数据有可能不准确或者存在诈骗数据,一种解决方案是用传感器来取代人输入数据。

所谓 51% 攻击,就是利用采用算力作为竞争条件的特点,采用算力优势撤销自己已经发生的付款交易。如果有人掌握了 50% 以上的算力,就能够比其它人更快地找到开采区块需要的那个随机数,因此它实际上拥有了决定哪一个区块的绝对有效权利。从技术层面分析,51% 的攻击虽然是可以实现的,但对于 BTC 等已经建立庞大网络的最早期的加密货币而言,成本非常高,这也是为什么 BTC 发展至今 10 年网络依然稳定。但对于其他山寨币,风险则更大。

此外,攻击者单纯发动 51% 攻击是没有直接收益的,必须和具体的卖空、假充值挂钩的,具体来说,往往是为了双花某一笔交易。攻击者攻击一下就不攻击了。持续攻击成本很大,一旦得手就会停止攻击;二是社区可以发布紧急布丁,给区块链加上 check point,社区紧急约定攻击者的区块链无效。所以,51% 攻击有很多应对办法,不会是一个区块链的世界末日。

谁拥有并维护区块链?以及谁对出现的问题和损失负责?

既然区块链是一个分散的用户社区,谁来维护它呢 ? 它不应该和网站一样需要人调节和维护吗?

对于许可链,例如联盟链和私有链,不需要代币等激励措施激励人们管理,有一个管理整个网络的经理。由于网络中的用户较少,协调成本相对较低。但是这样的网络容易受到安全方面的挑战,且随着网络用户数量的增加,协调成本将会增加。

对于联盟链和私有链,由于它们还是一个非常中心化的组织,验证的节点由这个组织自己认定,因此管理模式与传统的中心化机构没有很大区别。但是对于公有链,没有统筹整个网络系统的领导者,仅靠代币的激励来协调不同的利益群体,这无疑增加了整个生态的不稳定性。

目前区块链行业发展处于非常早期,除了 BTC 的去中心化治理发展得较为成熟以外,ETH、EOS 等公链治理中,创始人开发团队则占据着非常核心的作用,是公链「规则的制定者」,整个生态虽然实现了局部去中心化,但在战略发展方向上,创始人依然发挥举足轻重的地位。因此笔者认为,区块链的去中心化只能是一个不断趋近的终极目标,从项目诞生到成熟,其去中心化程度应该不断增强,如下图所示。

项目开发初期,创始人及其开发团队对整个生态起绝对的引导作用,随着项目生态的成熟、参与人数不断增多,原始的开发团队则应逐渐淡化自己的引导作用。整个网络维护需由生态上所有的开发者、用户等共同决定。而对于最后网络出现的问题,则只能由所有参与者一起承担。

区块链项目的中心化程度与发展阶段关系示意图

智能合约真的智能吗?

智能合约真的是智慧的思考者、能够洞察合约执行的情况吗?还是它们只是简单的、不假思索的代码执行者?有两个原因相信后者仍然是事实。首先,智能合约就像合约作者设计的那样聪明。合约作者对于合约执行所做的语义假设与合约系统本身的意义有所差异,合约作者需要理解他们使用的语义如何被智能契约解释。

智能合约还没有那么智能的第二个原因是它们的条目可以被作恶者操纵,比如缔约方或者向区块链过去交易账本添加交易记录的矿工。一项研究表明,ETH 智能合约中有 3.4% 容易受到黑客攻击。

智能合约确实能优化很多中间程序,但就目前的产业实践来看,还远远称不上智能。一份合格的智能合约,应该包括一切可能发生的情况。因为智能合约的核心要义就是「即使在最阴暗的环境中,也要做出最公正的裁决」。

以太坊与比特币之间的区别在于,以太坊是图灵完备的,通过该平台可以实现种类更多、条款更复杂的合约,当然这样做的代价是,复杂的合约内容使其变得更加难以分析。通常情况下,复杂度与发生漏洞的机率是成正比的;复杂度越高,发生漏洞的机率就越大。

对于以太坊提出的理念「代码即法律」,然而代码因自身的漏洞招致黑客攻击使其还不足以形成「法律」的权威,因此和传统需要政府信任背书,律师、法庭等中介机构协调相比,目前的合约还显得过于粗糙。

区块链上有身份盗窃吗?

社交媒体账户中有 3% 都是虚假的,因此能够在区块链上创造假的账户吗?区块链上的身份会被窃取吗?

传统的中心化系统由于集中管理数据存在安全隐患、可能被盗,区块链能够解决盗窃问题。区块链可以为每个人设置一个 ID,提供存储个人身份信息的数据库。但也随之带来另外一个问题:用户可以删除自己在区块链上的数据吗?原则上,区块链需遵守和互联网一样的隐私保护法,例如欧盟的一般数据保护条例(GDPR)有一个「被遗忘的权利」原则,用户可以在这个原则下询问互联网服务提供者从搜索结果中删除其数据。对于健康、财务和其他敏感数据的所有者请求将全部或部分数据将从区块链中删除。区块链上的数据被设计为不可变的,因此目前还不知道如何解决上述问题。

区块链可以为用户创建一个数据不可篡改的个人数据库,但是如何满足用户「篡改」的需求呢?这或许就是区块链技术发展的一个悖论,对于用户的需求,我们可能需要从上链的标准以及权限管理角度进行展开。

区块链可以互相连接吗?

一个区块链以一种方式记录实体或用户的数据,而另一个区块链以另一种方式记录相同实体或用户的相同数据。一个支离破碎的系统中,多个账簿彼此不相连,就会形成一个「营运孤岛」的世界,或者称「数据孤岛」。用户需要同时注册多个系统才能因为不同的目的和不同的人进行交易。

针对不同链的价值传递需求,跨链技术是关键,能有效衔接不同的联盟链或者私有链,促进区块链向外拓展和连接。目前主流的跨链技术有公证人机制(Notary schemes)、侧链 / 中继(Sidechains/relays)、哈希锁定(Hash-locking)、分布式私钥控制(Distributed private key control)等。

区块链如何与链下数据库相连?

如果一方的数据和文档在链下,而另一方的数据和文档在链上,那么双方能否进行交互呢?在公司的数据库中,公司一半在区块链上的数据可否与另一半的数据进行交互呢?

这些挑战是众所周知的,而且正在得到解决。例如,可以在链上和链下数据库中运行相同的查询和分析。风险是从区块链上导到链下的数据不再不可窜改,研究人员认识到数据安全以及汇集、转换和优化链上和链下数据集是重大挑战。

区块链能给洗钱提供便利吗?

洗钱是一个巨大的全球性问题,金额高达 1-2 万亿美元,约占全球 GDP 总额的 2%- 5%。银行和有关部门正在进行反击,每年花费大约 80 亿美元来打击腐败问题。全世界的银行都需要做 KYC 验证。

由于区块链的匿名特性、特别是匿名币的出现,BTC 被很多人诟病成为洗钱的工具。然而 BTC 的匿名仅仅是链上的匿名,人与链的交互,BTC 与法币的交互均会留下痕迹,并不是如很多媒体宣传的那么「无法无天」。BTC 每笔交易都需要对应地址的转移,而地址的交易记录均可以查询。此外,BTC 与法币进行兑换这一环节是链下进行,仍逃不过监管,如果交易中任意一方的现实身份暴露,那么这笔交易里的所有参与方都难以逃脱追索。

区块链会消耗完世界上所有的能源吗

BTC 有惊人的能源需求,运营比特币一年需要爱尔兰一年的能源消耗。因为 BTC 的 POW 共识机制需要矿工挖矿来进行交易验证。有人担忧随着网络的增加以及 BTC 价值的上涨,能源需求将会快速增长。其实矿工自身有动机阻止这种事情发生,区块链的可扩展性受到可用性、能源成本以及矿商自身财力的限制。目前的替代方案是 POS 共识机制,POS 机制通过持币者的持币数量选择验证者。

其实可以看到除了早期以 BTC 为首的一批加密货币,目前绝大多数区块链项目已经考虑到了 POW 的弊端,在不断创新共识机制,避免对能源的过度消耗。因此区块链还不足以对能源造成如此巨大的消耗。

区块链会抢走我们的工作吗

对于区块链,如果人们可以彼此直接交易,那么区块链对银行、律师等中介有什么影响呢?区块链不太可能成为就业杀手,它将像任何技术一样,通过改变公司的业务和收入模式来改变工作的本质。

人工智能大火时也会不断有人问这样的问题,我们一方面享受科技给我们带来的便利,另一方面,又担心科技将我们取代。区块链最大的挑战不是技术本身,而是改变传统的利益分配模式。区块链的技术能够去掉某些中介环节,打破中心化机构对很多资源的垄断,进而改变利益格局,这也是区块链最具革命性意义的一点。

美国在区块链行业的发展处于落后吗?

从全球来看,美国的区块链行业还处于起步阶段,德勤 (Deloitte) 在 2018 年对金融服务、医疗保健、科技行业、电信、制造业和其他行业的 1053 名高管进行了调查,只有 14% 的美国受访者认为区块链运用在他们的生产当中,相比之下,中国有 49%,墨西哥有 48%,英国有 40%,加拿大为 36%。计划也很滞后 :41% 的美国公司计划在区块链投资 100 万美元或更多,中国有 85%,加拿大有 74%,英国有 72%,墨西哥有 65%。

根据硅谷洞察发布的《区块链中美发展白皮书》来看,就 ICO 数量而言,北美与亚洲不相上下,从融资额来看,北美以 78.5 亿遥遥领先。因此,作为北美主要国家的美国,完全没有落后,相反,很多方面还处于领先地位。

参考资料:《Harnessing Blockchain for American Business and Prosperity》

http://forex.hexun.com/2018-06-17/193222543.htmlhttps://baijiahao.baidu.com/s?

id=1606478434369770769&wfr=spider&for=pc

美国商务部解读区块链的十大误读

当一切乱象仍甚嚣尘上的时候,理性探讨区块链技术局限及误读的声音很容易被淹没在口水中。

其实,早在年初币价腰斩前,美国商务部下属的 NIST (National Institute of Standards and Technology,国家标准与技术研究院,原美国国家标准局)就已经发布过一份全面评估区块链技术的草案。

https://nvlpubs.nist.gov/nistpubs/ir/2018/NIST.IR.8202.pdf

上月初,NIST 大幅修订了原版草案,特别是针对区块链的技术局限及普遍误读,修订版中又增加了一倍的内容来加以澄清。区块链大本营全文整理如下:

1、区块链不可篡改?错!

大多数关于区块链技术的出版物都将区块链这个账本描述为不可篡改的。不过,这样的描述并不完全正确。区块链具有数据防替换和防篡改的功能,这也是它们深得金融交易青睐的一个原因。但这并不意味着区块链是完全不可变的,因为在某些情况下区块链是可以被修改的。在本节中,我们将探讨不满足区块链账本不可变性这个说法的一些操作。

我们并不能说区块链是完全不修改的。对于一些区块链来说,最新生成的区块,或称区块链「尾部」的区块可能会被替换(被一个具有不同「尾部」区块的更长的替代区块链所替换,51% 算力攻击也是这样的原理)。众所周知,当存在多个竞争区块链时,大多数区块链网络采取的策略都是将最长的区块链(即具有最多工作量的区块链)作为共识链。如果两条有着不同尾部区块的区块链互相竞争,更长的那一条将获得胜利。不过,这并不意味着未能成功加入共识链的区块(竞争失败区块链的尾部区块)中交易会丢失,它们可能已被加入到后续的区块中或者返回到矿工的交易池中。我们常说区块链上的交易需要等待之后几个区块的确认时间就是因为区块链尾部区块的弱不可变性。

对于公有区块链来说(permissionless blockchain),采用更长的替代区块链上的区块可能是 51% 算力攻击的结果。为此,攻击者只需获取足够的资源,在生成区块的速度上超过区块链网络其余矿工的总和(持有区块链网络超过 51%的算力资源用于生成新的区块)。鉴于区块链网络的规模,这是一种成本十分高昂的攻击形式,可能只有国家行为才能做到。执行此类攻击的成本随着攻击者想要篡改区块的深度(后续区块的个数)的增加而增加,从技术层面上来说,执行这种攻击并不困难(因为执行这种攻击只需要以更快的速度重复正常的区块生成过程,只是要选择每笔交易的去留),就是成本高昂。

对于许可区块链(permissioned blockchain)来说,遭受这种攻击的可能大大降低。许可区块链中通常存在区块链的所有者或者是由区块链网络用户组成的联盟,他们拥有很大的权力,可以决定节点在区块链网络中的去留。由于他们可以轻易地删除区块链网络中不合作的节点,因此网络中所有节点都会联合起来公平地挖矿,不太可能形成竞争区块链。除此之外,许可区块链中的用户通常还会签署具有法律效应的合同,在其中规定不当行为要付出的代价和他人采取法律行动的权力。虽然这种控制对于防止不当行为很有用,但这也意味着如果区块链的所有者或联盟需要,他们可以通过合法手段替换区块链中的任意区块。

2、没有人能控制区块链?错!

区块链网络的治理需要应对一系列指导和控制区块链的规则、惯例和过程,其中一个常见的误解就是区块链网络是没有控制权和所有权的系统,所以人们经常说「没有人可以控制区块链!」。从严格意义上来说这种理解是错误的。许可区块链网络通常是由管理区块链的所有者或联盟组织和运行。公有区块链网络通常由区块链网络用户,挖矿节点和软件开发人员共同管理,各方都有一定程度的控制权,都可以影响区块链网络发展的方向。

软件开发人员构建区块链网络使用的区块链软件。由于大多数区块链软件都是开源的,用户可以检查源代码,独立编译出一个区块链网络,甚至还可以创建一个单独但兼容的软件来绕过开发人员发布的预编译软件。但是,并不是每个用户都有能力做到这一点,这意味着区块链软件的开发人员将在区块链网络治理中发挥重要角色。这些开发人员可能会为整个社区的利益行事,并对此负责。例如,2013 年比特币开发团队更新了最受欢迎的比特币客户端,但其中引入了一个漏洞并造成了两条区块链竞争的局面。开发人员不得不面临保留新版本(但尚未被所有人采用)还是恢复旧版本的抉择,哪一种选择都会导致另一条区块链被丢弃,这意味着一些区块链网络用户的交易将变得无效。最终开发人员做出了选择,恢复了旧版本并成功控制了比特币区块链的运行。

虽说这个例子是一个无意造成的分叉,但是这也让我们意识到,开发人员可以通过故意更新区块链软件来篡改区块链协议或格式。而且只要有足够多的用户采用,就可以成功进行区块链的分叉。通常区块链软件更新带来的分叉会提前讨论分叉时的区块高度并与相关用户协调。

对于公有区块链网络,相关用户通常是指挖矿节点。在软件更新分叉之前会有很长的讨论周期和采用周期,所有用户必须在指定的区块后切换到新区块链软件以继续在区块链上记录交易。对于公有区块链网络,尽管开发人员具有很大的影响力,但用户可以通过拒绝安装区块链软件更新来抵制开发人员的篡改。挖矿节点对区块链网络用户拥有很大的控制权,因为他们创建和发布新的区块。虽说没有明令要求,但用户通常都会接受挖矿节点发布的区块。这样做带来了一个有趣的副作用,公有区块链网络基本上由挖矿节点统治,挖矿节点可能会通过强制用户接受他们可能不同意的篡改来更新区块链,而不接受篡改的另一部分用户则会被边缘化。

许可区块链网络由相关所有者或联盟的成员进行控制和治理。联盟可以规定谁能加入网络,从网络中删除用户,规范智能合同的编码指南等等。总之,软件开发人员,挖矿节点和区块链网络用户都参与了区块链网络的治理。

3、一切都能上链?错!

区块链网络可以很好地处理数字化系统中存储的数据。然而,当数据需要与现实世界交互时就会出现一些问题(通常称为预言机问题(Oracle Problem))。区块链网络可以用来记录用户输入的数据以及来自现实世界中传感器输入的数据,但它缺少某种方法来确定输入数据是否正确反映了现实世界,就比如说传感器可能会出现故障并记录不准确的数据,用户可能会记录虚假的信息(故意的或无意的)。这些并不是区块链网络专有的问题,所有的数字化系统都面临这样的难题。但不幸的是,区块链网络是假名的,处理数字网络之外的误传数据是一个很严重的问题。

就比如说,如果使用加密货币购买现实世界中的商品,区块链网络除了依靠外部传感器输入和用户输入之外没有任何方式可以确定商品是否发货(即现实世界中的交易是否成功)。

许多项目都试图解决「预言机问题」并创建可靠的机制以获得准确、可信的外部数据。例如,「Oraclize」项目提供了一种机制,即获取 Web API 数据并将其转换为区块链可读的字节码 / 操作码。但在去中心化应用中,这样的机制被认为有中心化的倾向,将成为容易遭受攻击的单点故障。结果是,最近出现了像「Mineable Oracle Contract」这样受区块链技术启发,建立在现有的共识模型和经济激励之上,旨在找到解决预言机问题新途径的解决方案。

4、区块链无法被关闭?错!

传统的中心化系统会不断地创建和关闭,去中心化的区块链网络也与之类似。但是,也正因为区块链是去中心化的,所以有可能即使区块链网络「关闭」了,但它永远不会完全的关闭,并且可能会有一些区块链节点一直运行下去。

但一个废弃了的区块链不再适合做历史记录,因为区块链网络中已经没有了很多挖矿节点组成的「护城河」,恶意用户可以轻松地使用算力压制为数不多的几个挖矿节点重做并替换任意数量的区块。

5、区块链绝对安全?错!

区块链技术的使用并未消除那些需要精心设计并主动管理的固有网络安全风险。这些固有风险中很多这都涉及人的因素。因此,一个强大的网络安全程序对于保护区块链网络和网络中各参与方免受网络安全威胁至关重要,尤其是在区块链网络以及其中漏洞都为黑客所知的情况下。

现有的网络安全标准和指导高度依赖于确保相关系统接口安全或依赖于区块链网络。考虑到区块链技术的某些具体属性,现有的标准和指导提供了保护区块链网络免受网络攻击的坚实基础。

除了一般原则和限制之外,一些与区块链技术相关的特定网络安全标准已经存在多年并被各行各业广泛使用。例如,美国国家标准与技术研究院网络安全框架明确指出它「并非一刀切来管理网络安全风险的方法」,因为「每个组织都有各自的风险,不同的威胁,不同的漏洞,不同的风险承受能力,所以他们实施框架中条例的情况会有所不同」。根据这种说法,尽管此框架并非专门针对区块链技术而设计的,但其标准十分广泛且足以涵盖区块链技术,可以帮助机构制定政策和流程来识别和控制影响区块链技术的风险。

网络攻击

得益于防替换和防篡改设计,区块链技术被吹嘘为非常安全的,交易一旦被提交到区块链之后通常都不能再改变。但是,只有当交易被加入到新发布的区块中这种说法才成立。尚未包含在区块链已发布区块中的交易容易受到几种类型的攻击。对于那些具有交易时间戳的区块链网络,时间欺骗或调整订购服务用户的时间戳可能会对交易产生正面或负面的影响,使得时间和基于时间戳的通信成为黑客的攻击向量。区块链平台中以及在区块链平台上部署的智能合约中可能会出现拒绝服务攻击。

区块链网络及其应用程序不能免疫那些能够执行网络扫描和侦察,从而发现和利用漏洞执行零日漏洞攻击(zero-day attacks)的恶意行为者。那些匆匆忙忙部署的基于区块链的服务,新编写的应用程序(如智能合约)可能包含已知的和未知的漏洞和部署缺陷,在未来某一天可能会被黑客发现并通过网络攻击,就像当下黑客攻击网站或应用程序一样。

6、恶意用户无法搞掉区块链?错!

虽然区块链网络可以强制执行交易规则和规范,但它无法强制执行用户行为准则。这是公有区块链网络中一个很严重的问题,因为用户是假名的并且用户在现实生活中的身份和在区块链中的身份之间没有一对一的匹配。公有区块链网络通常会提供奖励(例如加密货币)以激励用户表现出诚实行为,但是,如果恶意行为能够获得更多奖励时有些人可能会铤而走险。对于恶意用户来说,其面临的最大问题是如何得到足够多的资源(如权益证明区块链中的权益,工作量证明区块链中的算力等等)来执行攻击。一旦这些恶意用户联合起来且拥有了足够的资源,可能会进行很多种恶意挖矿行为,包括:

忽略来自特定用户,节点甚至整个国家 / 地区的交易。

秘密创建一个篡改了的替代区块链,然后在替代区块链长度超过原区块链时提交给区块链网络。根据区块链协议,诚实节点将切换到具有更多工作量的替代区块链上,从而打破区块链网络防替换和防篡改的原则。

拒绝将新生成的区块发送给其他节点(因为这样可以在下一个区块的竞争中抢占先机),从根本上扰乱区块链信息的分发机制(如果区块链网络足够去中心化,这将不是问题)。

虽然恶意用户可能会扰乱区块链的秩序并在短期内造成伤害,但区块链网络可以执行硬分叉来与它们对抗。无论这些恶意用户带来了多大的损害,造成了多大的损失都可以恢复,具体取决于区块链网络的开发人员和用户(The DAO 事件中经社区商讨回滚交易,恢复了所有被盗的以太坊)。

除了区块链网络的恶意用户之外,许可区块链网络的基础设施管理员也可能会有恶意行为。例如,基础设施管理员可能会(取决于具体的情况)接管区块的生成,去除某些用户的交易,重写区块链历史,双重支付,删除资源,重新路由网络流量以及阻止网络连接。

7、区块链上不需要信任?错!

区块链的另一个常见误解是,人们在听说区块链中没有「可信任的第三方」后推断区块链网络是「无需信任」的环境。虽说在公有区块链网络中没有可信任的第三方来认证交易(这种无需信任在许可区块链网络中并不明显,因为这些网络的管理员通过准许用户加入和授予用户许可来管理信任问题),区块链网络的运行中仍然需要很多的信任:

要信任使用到的密码学技术。例如,加密算法及其实现都可能会存在漏洞。

要信任智能合约准确和无错误的操作,而智能合约中可能会有无意留下的漏洞。

要信任软件开发人员构建的尽可能无错误的软件。

要信任区块链中大多数用户没有秘密串通。如果某个团队或个体拥有 50% 以上的区块生成能力,那么他可以摧毁这个公有区块链网络。但是好在,获得必要的算力要付出非常昂贵的代价。

对于那些没有运行完整节点的区块链网络用户,要信任所有节点都公平地接收和处理交易。

8、共识算法极其高效?错!

区块链技术带来了一个全球性的网络,在其中每笔交易都能得到验证,且区块链中的数据在众多用户之间保持同步。在那些使用工作量证明的区块链网络中,有许多挖矿节点消耗大量的处理时间,更重要的是,也消耗了大量的电力。工作量证明方法是一种「难以破解,易于验证」的高效共识解决方案,但美中不足的是,它通常需要消耗大量的资源。由于应用和信任模型的不同,许多许可区块链技术不使用资源密集型的共识解决方案,而是使用不同的方法来达成共识。

工作量证明共识模型是针对系统中用户之间几乎没有信任的情况而设计的,它确保挖矿节点无法操纵系统每次都解出哈希谜题,因而无法控制区块链和添加到区块链中的交易。然而,围绕工作量证明共识模型的一个主要问题就是它通过消耗资源来解决谜题,而且通常消耗的资源并不是微不足道的。例如,据估计当下比特币区块链网络每年消耗电力比肩爱尔兰整个国家。据推测,到 2020 年比特币区块链网络每年消耗的电力将超过整个丹麦。随着软件和硬件的不断改进,工作量证明解谜的过程将变得更加高效,也就是说可以减少挖矿使用的电力。然而,与此同时区块链网络的算力也会增长,解谜的难度也会增加。

每当创建新的完整节点时都会给区块链网络带来额外的资源压力,因为完整节点必须获取(通常是从其他节点处下载)大部分或全部区块链数据(目前比特币区块链的数据已经超过 175GB 并且还在不断增加)。这个过程会占用很多网络带宽。

9、挖矿可以有效激励矿工?错!

区块链一个潜在的限制是挖矿奖励不足的风险。日益激烈的竞争,日益增长的算力需要对矿池做出有显著意义的贡献,而加密货币市场高度不稳定的币价会产生某些加密货币的预期回报可能小于运行挖矿软件所需电力成本的风险,此时,其他高预期回报的加密货币可能更具吸引力。

加密货币无法持续和充分地奖励挖矿节点的风险将会引发加密货币发布区块和处理交易的延迟,这些延迟可能会降低用户对加密货币的信心,从而进一步降低其市场价值,因而加密货币对挖矿节点的吸引力也就越来越小,如此恶性循环,更糟糕的是,这种削弱的加密货币将承受更大的风险,具有大量资源的节点可能会恶意篡改区块链或对尝试提交交易的用户进行拒绝服务攻击。

10、区块链上永远匿名?错!

一些人听说区块链技术中整合了公钥基础设施之后就立即相信它从本质上支持身份认证。事实并非如此,因为私钥对与用户之间并没有一对一的匹配(用户可以有多个私钥),区块链地址和公钥之间也没有一对一的匹配(可以从单个公钥导出多个区块链地址)。

网络世界中通常使用数字签名验证身份,这可能导致区块链在身份管理的潜在应用中产生混乱。区块链上交易的签名验证过程将交易连接到私钥的所有者,但并没有提供将这些所有者与现实世界中身份相关联的工具。在某些情况下可以将私钥连接到现实世界中的身份,但这些连接是通过区块链之外的操作进行的,而不是由区块链自身执行的。例如,执法机构可以要求加密货币交易所提供连接交易与个人的记录。另一个例子是个人为了获取捐赠在其个人网站或社交媒体上发布自己的加密货币地址,这种操作也将地址连接到了现实世界中的身份。

虽说可以在某些需要去中心化账本组件的身份管理框架中使用区块链技术,但要记住典型的区块链网络并不是为独立的身份管理系统而设计的,比起部署区块链来还有很多保障数字身份安全的方法。

最后,如何判断自己是否真的被忽悠?

NISP 援引了美国国土安全部下属的科学与技术理事会的一份区块链研究成果——一个用来区分某一项目是否真正需要区块链技术的判断流程,翻译如下:

希望 NIST 这份解读,能够有助于你更好地鉴别那帮骗子与「假先知」们。