或生或灭，跟UCloud一起深谈区块链的安全与应用

商业活动中，在不涉及货币的前提下获取信任往往是一件相当困难的事情。因此市场上也出现了各种各样的认证机构和方法。

而在网络上，广义信任的获取则是数据流通领域一个无法回避的话题。为了确定信息的可靠，各类加密算法、认证体系与破解、黑客和攻击行为一道，进行了长达数十年“道高一尺、魔高一丈”的较量。而比特币所使用的区块链技术则为这场攻防战中的守方提供了一个可靠的全新思路。

让我们来换一种姿势理解比特币背后的意义：利用区块链这一核心技术，所有参与者依靠网络和算力来共同维护一段数据的始终可靠，而代币只是系统给予所有付出算力与网络资源的参与者的一种激励机制。

2008年，中本聪发表了比特币白皮书《比特币：一种点对点的现金支付系统》。2009年1月3日，比特币网络诞生，中本聪本人发布了开源的第一版比特币客户端，比特币的故事由此开始了。作为比特币的核心算法机制，区块链凭借其去中心化、去信任、共同维护及高可靠等特点也终于在比特币开始流行之后受到了市场的关注。

经过几年的发展，利用比特币算法的思路，很多企业已经在各种领域发展出了不同特点、不同应用的多种区块链技术，他们或被开发用来维护一类数据的可靠、可追溯，或被开发用来单纯的发币，无数企业怀揣不同目的进入了这个领域，也造就了这一领域的飞速发展和无数一夜暴富的神话。而围绕区块链技术的不同应用方向，这一领域也形成风格各不相同的两个圈子——币圈和链圈。

01

链圈中的高峰对话

但抛开鱼龙混杂、乱象丛生的币圈。在链圈中耕耘的企业往往对区块链技术本身有着更为深刻的执念，他们坚信这种新的数据流通体系能够创造出一个更可信、更安全的网络环境。

与币圈所关注的“如何一夜暴富”不同，主要由技术宅、极客型公司和大企业前沿部门组成的链圈似乎对区块链真正的商业化应用及其技术发展方向更感兴趣。而当这群链圈大咖聚在一起的时候，一场干货满满的技术盛宴便会上演。2018年5月15日，在第四届Think in Cloud大会上，一场名为“深入BlockChain，区块链安全应用落地实践”的专题讨论会就是这样一场区块链的技术饕餮。

在本次区块链专场中，UCloud安全中心负责人、高级总监宗泽，智链ChainNova CEO董宁，上海交通大学副教授夏虞斌，Intel中国安全办公室资深安全解决方案架构师王立刚，中国人民保险集团总部业务主管李赫，Blockshine博聚科技高级区块链工程师孟祥熙等来自区块链上下游、产学研用等多个领域的专家齐聚一堂，就区块链场景化应用以及安全机制等方面的议题开展了多场专题演讲。

02

区块链的商业模式与技术平台

作为本次区块链专题论坛的开场，智链ChainNova CEO董宁分享了关于区块链商业模式的独到见解，而这显然也是广大与会者最为关心的问题。

虽然董宁以智链CEO的身份开始了演讲，但在商人身份的背后，董宁还拥有北京大学新一代信息技术研究院金融科技研究中心主任、工信部通信院“可信区块链”副理事长、国际电联分布式账本技术焦点组Champion、Linux基金会Hyperledger超级账本技术大使等多重身份。

Gartner2017新技术成熟度曲线

一开场，董宁就为所有与会者泼了一盆“冷水”：根据Gartner公布的2017新技术成熟度曲线，目前区块链技术正处在期望膨胀期的末端。而这意味着区块链技术的发展即将进入之后的幻灭期。虽然在幻灭期中，很多技术分支会被市场遗忘，很多企业会退出这一领域；但随之而来的成熟期将使区块链迎来新生。

而就现阶段来讲，区块链的三种形式——公链、联盟链和私链中，最有商业前景的仍然是联盟链。首先，公链效率太低，且去中心化的结构也与很多政府机构强调监管和控制的初衷不符。而私链的应用又太小，无法获得足够广阔的商业模式和市场认可。因此，联盟链是目前区块链商业落地中比较符合实际的选择；而事实上，目前能够落地的大多数区块链也都属于联盟链这一范畴。

而在确定一个区块链产品是否具备落地能力之前，区块链公司更多应该考虑两点：一是区块链产品是否能够帮助用户提升生产效率、优化业务流程；二是区块链产品是否能够帮助企业压缩生产流程中所产生的成本。

如果能够做到这两点，那么这个区块链的产品才是有可能落地的，对应的企业才有可能挨过区块链技术的幻灭期。

03

区块链+IoT，驱动未来社会

在对区块链的整体商业模式进行展望之后，区块链技术及产品的具体落地就成为了与会者最关心的议题。在本次区块链技术专题论坛中，Blockshine博聚科技高级区块链工程师孟祥熙也分享了自己在物联网+区块链这一商业模式中的一些思索和成功经验。

众所周知，在未来的物联网世界，越来越多的设备都会与网络连接。而这些设备除了会在网络上接受控制指令，更会产生海量的数据。而这些数据对于大数据分析、深度学习研究以及商业流程的优化等领域来说都是非常宝贵的，是值得被交易的。既然这些数据有巨大的价值，且能够被交易；那么如何保证这些被交易的物联网数据是真实有效的呢？此时，区块链的价值就凸显出来了。

孟祥熙表示：区块链可以保证数据的真实、不可篡改和可追溯。而未来，随着区块链存储性能的提升，物联网的所有数据都可以用区块链的形式来存储，保证所有数据来源真实，去向可追溯。这对数据的确权、数据收益的分配均有重大意义。也只有这些问题被解决之后，物联网以及数据的价值才能被真正的体现。

目前，已经有很多区块链产品遵循这一商业逻辑实现了落地，在农业、保险等领域发挥着自己的作用，成为整个物联网、区块链产业落地应用的灯塔。

04

区块链在保险行业的应用思考

当然，除了物联网之外，区块链技术本身的金融属性使其目前更容易被金融企业以及其他企业的金融属性部分所采用。但从很多金融企业的视角来看，目前区块链技术的应用价值却是存疑的。

对此，中国人民保险集团总部业务主管李赫直言不讳：首先，区块链及智能合约能实现的功能和及其可靠性，现有的IT系统都能实现。而区块链只不过是去掉了其中的中介机构。其次，区块链所实现的并不是业务性能的提升，而是业务模式的改变。相反的，区块链不仅不能提升性能，从目前的区块链效率来看，区块链的性能与传统架构相比甚至是大幅度下降的。而更重要的一点则在于区块链只能保证链内生成信息的可信性，对于生成于链外的信息的可靠性，区块链无能为力。最后，区块链本身并不能直接作用于实体经济。

虽然从这些区块链的短板来看，这种技术并不具备改变世界的能力。但金融类企业仍然可以利用区块链的特点实现业务模式的转变，从而达到业务进化的目的。

例如在车险信息共享领域，保险行业内部会有一个公共的车险信息平台，这一平台会记录不同公司、不同用户的投保情况和出险记录，供业内企业进行查询。由于这些信息的公开，最终导致各家企业的成本趋同，而最终车险的价格也会趋同。

而在区块链技术的帮助下，行业协会便不用花费高额费用来建立和维护这种行业内部的公共平台。每个用户只需将自己的信息通过区块链贡献出来，保险公司也把自己的信息贡献出来，同样可以形成一个可信的、包含所有数据的公共查询平台。从而降低了整个行业的业务成本，用户也能通过这一业务模式的转变而获得保费降低的红利。

虽然区块链目前还面临着多种问题，但金融行业已经开始基于区块链的特点，开始尝试多种业务模式的更新和进化。

05

区块链及数字货币的安全

作为一种以金融及其相关领域为主攻方向的技术，安全始终是所有区块链的用户最关心的。虽然所有的区块链技术都号称安全、可追溯，但从目前的情况来看，区块链的安全形势却并不乐观。

UCloud安全中心负责人、高级总监宗泽发表演讲

对此，UCloud安全中心负责人、高级总监宗泽表示：截至到2018年4月，从公开信息渠道能够确认的针对交易平台和矿场的盗币行为已经造成了超过8.4亿美元的损失。而这其中，发生在2018年的损失金额就已经达到了5亿美元。

Coincheck因漏洞被攻击后网站负责人向公众道歉

另一方面，越来越多的黑客也开始将手中掌握的僵尸网络直接用于挖矿，而非过去的DDOS攻击。通过盗取被木马感染的肉鸡的计算资源，黑客可以更快速、更隐蔽的直接获取经济利益。而且由于代币交易的匿名性质，这种行为更难被追责或起诉。相对于DDOS攻击的高风险，这种盗窃计算资源用以挖矿的手段显然“利润更高、更安全”。

对此，宗泽表示：目前，仅UCloud平台检测到的挖矿木马及其变种就已经超过了30个。以感染率较高的ddg木马为例，仅目前能够追查到的3个电子钱包地址就已经出售了90-100万美元的比特币。而这些赃款所对应的比特币全部由被木马所控制的肉鸡挖矿所得。当然，ddg木马应该还有更多未被发现的电子钱包地址。除此之外，一些网站、甚至WiFi路由都可能被黑客攻陷并挂载挖矿脚本，让访问这些网站和连接这些WiFi的设备成为黑客们攫取利润的工具。

造成这一切的原因非常简单：虽然区块链技术所使用的算法和架构本身相对很安全，但围绕在区块链周边的交易平台、矿场以及电子钱包等应用却仍旧缺乏有效的保护，以至于黑客依然有很多可乘之机。而敏锐的黑客们也嗅到了电子代币生态圈所蕴含的价值，正在疯狂开发各种手段来实现盗窃计算资源和用户代币的目的。

目前，针对代币领域，已经发现的攻击手段包括以下几种：木马控制肉鸡挖矿、利用交易平台网站漏洞盗币、利用电子钱包漏洞盗币、劫持交易平台或电子钱包域名盗币、面向交易平台员工的钓鱼以获取权限等几种。而除此之外，黑客们还开发出了一些更具威胁性的攻击手段，而这些攻击手段甚至已经严重威胁到了区块链最核心的节点通讯机制。

日食攻击示意图

2018年，研究者们发现，黑客可以通过一种名为日食攻击的方式将区块链中的节点与其他节点进行隔离。利用网络层上持续不断的攻击，黑客可以霸占受害节点与区块链中其他P2P节点之间的通讯连接，从而将节点隔离在一个封闭的网络环境中。而一旦被隔离的节点超过一定数量，整个区块链的数据一致性就会彻底崩盘，进而给攻击者留下重复支付的空间。如果这种攻击方法被黑客广泛采用，那么区块链得以存在和发展的基础将不复存在，后果不堪设想。

作为网络数据可信流通的一种全新思路，区块链的诞生能够让数据变得更可靠，并降低可信认证的成本。但因为区块链技术本身的稚嫩以及周边生态环境的恶劣，目前的区块链和代币市场仍旧充满了各式各样的安全威胁。网络攻防“道高一尺、魔高一丈”的现状仍没有得到根本性的改变，网络安全仍旧任重而道远。

那么，在现阶段如何才能最大限度的提升区块链落地应用的安全性呢？答案其实很简单：上云！

06

安全屋——数据的可信流通平台

作为国内中立云服务提供商的代表，UCloud在安全方面的投入及研究始终保持领先。而在数据流通的安全机制方面，UCloud更是与国内领先的上海交通大学合作，推出了TEE+安全屋的全新解决方案。对此，上海交通大学副教授夏虞斌也在本次区块链安全应用专题讨论中做了详细介绍。

上海交通大学副教授夏虞斌发表演讲

夏虞斌表示：在传统的云平台上，数据虽然可以被加密存储，但其在流通环节中却很难做到加密。内存、网卡、总线、CPU以及虚拟化平台层中的数据很可能都以明文方式存在和传输，这就使得数据安全很难得到根本上的保证。

因此，在云平台上的数据提供方和算法提供方（数据使用方）之间很难达成真正的信任。双方之间的任何合作都只能建立在对云平台的安全依赖上。

这种依赖需要基于五种假设：所有管理员均可信、攻击者无法接触硬件设备、云端软件设计均为安全的、云端硬件均为安全的、云端CPU是安全的。而且这五种假设必须同时成立，云端数据的流通才能真正做到安全。但显而易见的是，在多数情况下，这些假设是无法同时成立的。

基于安全处理器的系统及平台

而UCloud所推出的安全屋平台则可以通过软件+硬件的方法让内存、网卡、总线、虚拟化平台层中流通的数据均以加密形式存在，将未经授权的数据使用和拷贝情况降至最低。同时，利用新一代处理器所拥有的安全黑箱机制，保证在CPU中明文数据的处理能够在一个物理隔离的黑箱中完成；从而彻底杜绝数据泄露的风险。

通过这一解决方案，数据提供方与数据的众多使用方之间可以建立起以技术为保障的完全信任，为数据的商业化提供强大保障，进而推动以数据为基础的全新商业模式的出现。

当然，这一技术对区块链的部署以及运行在云端的交易平台同样有效。同时，UCloud在云平台整体安全性上的多重技术保障亦能让区块链及周边应用生态获得更可靠的安全运行环境。

07

区块链的未来仍旧充满光明

在本次Think in Cloud大会的区块链安全应用落地时间专题论坛中，参与演讲的多位嘉宾不仅探讨了区块链技术的商业模式以及在不同行业中的应用现状，更详细地剖析了区块链作为一种可信技术目前所面临的各种实际安全威胁以及对应的解决方案。

坦率地说，区块链技术目前仍旧处在相当稚嫩的阶段，而且能够实现商业或落地的场景也十分有限，但其前景仍旧是充满光明和希望的。另一方面，区块链本身及其周边生态虽然面临着多种安全风险，但与之相对应的解决方法也同样存在。

而随着技术的进步，区块链本身的安全性以及能够为其可信性提供支持的各种解决方案将会更加成熟。届时，区块链技术将会迎来真正的成熟期，其商业化前景也将更加广泛。