區塊鏈Block Chain功能
區塊鏈Block Chain定義
什麼是區塊鏈（Blockchain）？
區塊鏈（Blockchain）是一種利用網路達成的分散式、去中心化的資料運算、保存平台。以前在交易時需要第三方控管整個交易穩定，並且需要一個能夠大量儲存交易資料的地方，區塊鏈打破了這個運作方式，以去中心化的方式運作，區塊鏈把資料庫分別放在不同的電腦裡保存，並且互相監控數據，資料更動需要經過其餘電腦的共識同意。與以前單個資料庫一個不同的點是，區塊鏈裡的電腦會利用分散式運算加快交易、儲存資料速度，而在儲存資料的同時以加密的方式保護資料，在資料交易的過程中，也不需要額外經手第三方驗證。
區塊鏈目前總共有實名、匿名制兩種類型，非實名制則有近年來知名的比特幣作為代表，像鈔票一樣不強制記名，但也因為其匿名制度遭到詬病，有的比特幣交易所因此也會要求實名開戶。目前世界上大部分的區塊鏈產品都是屬於實名機制。
區塊鏈的應用非常廣泛，目前以金融科技界最盛，因為區塊鏈技術的 Trust
Machine 將可以大幅度的降低銀行的後台成本與出錯可能。運作模式如下，當有一個交易產生後，每一台電腦都會同時開啟一個區塊放置其資料並且驗證，驗證最快的電腦將會將此資料放入它的區塊鏈當中，其餘電腦則會刪掉紀錄。若是在驗證過程中發現資料有誤，該交易則會自動失效。除了金融類的應用外，區塊鏈也可以用在產品履歷上。將區塊鏈套用在生產履歷後，每一個產品的來源、生產過程、中繼都會被記錄下來，整個生產鏈將會透明化而且可以做到上游的溯源。
區塊鏈的優點包括迅速、交易透明、並且能夠追查每一筆資金的來源、隱私保護措施良好等，但還是可能會有缺點包括，在公平原則下，有可能性能較好的電腦可以得到較多資料、再好的系統還是有可能遭到破解方面等議題，另外由於需要取得多方電腦的驗證，交易時間還是會比傳統如信用卡等支付方式長。
除了金融類的應用外，區塊鏈也可以用在產品履歷上。將區塊鏈套用在生產履歷後，每一個產品的來源、生產過程、中繼都會被記錄下來，整個生產鏈將會透明化而且可以做到上游的溯源。
區塊鏈的創新，應注意的資安風險
隨著區塊鏈技術持續創新，資安專業人士須採用全新的思考方式，並考量相關風險，整體而言，當前區塊鏈應用的風險，有如下幾項：
行銷週期
區塊鏈的定義及潛在應用，都是可變動的。除了比特幣以外，各種應用的功能各異，而且，許多規畫中的解決方案都尚未脫離概念階段。
而且，很可惜的是，目前圍繞著區塊鏈的宣導性行銷發展週期，其實，也偏離了實際有潛力的案例。
值得注意的是，區塊鏈如今已經接近期望膨脹期，新興技術發展週期報告，可做為開發新興科技組合時的參考，而在回顧2016年的報告中，我們可見到區塊鏈已經接近期望膨脹期，亦即技術快速發展的高峰期。
擴充性
隨著裝置、資料、交易與使用者身分的增加，相關人工因素的管理與儲存要求也越來越多。因此，企業資訊安全長需要一套安全且可擴充的方法，以確保未來幾年區塊鏈能夠成功。
儘管區塊鏈未來可能會受益於其擴充性，但目前其仍被視作一種風險，箱關的研究人員正在設法，使區塊鏈的運作方式，脫離傳統的分散式共識機制，朝向可擴充模式發展的各種選項。
網路攻擊／詐騙
最近，分布式自治組織所遭受到的攻擊，就是因為對方利用了智慧合約方面的弱點，相關安全因此亮起了紅燈。
相對而言，比特幣的漏洞較少，且其韌性為人稱道，但安全負擔已從網路轉移到為區塊鏈寫入內容的端點。一般而言，漏洞通常發生在作業系統、網路協定，以及部分安全相關的領域。
區塊鏈的風險評估更加困難
隨著區塊鏈相關服務範圍的擴大，為風險評估建構一個詳細的威脅模型，也變得越發困難。
因為，區塊鏈是複雜的技術系統，不像傳統系統具有監管透明度且可供審核。而區塊鏈缺乏通用的標準或規範，也讓問題變得更加複雜。
對此，Jonathan Care表示：「整體來說，人們並不瞭解區塊鏈這種新技術；它很複雜，所以，正確評估相關風險與揭露，已變成一大挑戰。也正由於目前尚無通用的標準或規範，也因此讓問題雪上加霜。」
而對於資訊安全長與IT安全主管而言，應確保資安團隊，將區塊鏈技術和管理與究責，分開處理。
導入區塊鏈應用的建議
首先，應仔細評估應用是否適合整合到特定的區塊鏈系統，以及子系統。
這包括：確實對所有層面的應用堆疊，進行嚴格的安全測試，舉凡作業系統（例如物聯網或嵌入式作業系統）、編碼查核、應用程式邏輯，以及實驗性系統的架構模型（例如，建構在區塊鏈技術基礎之上的智慧合約）。
此外，對於協助資訊安全長及資安團隊來說，漏洞管理方案是必要的，能提供可用的洞察及情報，來減輕各種威脅的傷害。這樣的漏洞管理方案，還應該包含區塊鏈應用與架構元件，讓管理變得透明化，同時進行審核控制，以藉此：
（1）偵測技術與行政管理上的失誤；
（2）遏止不法行為造成傷害；
（3）讓消費者及利益相關者等門外漢，也能了解誠信管控。
最後，就是要持續監控主要廠商的功能創新、整合或競爭威脅能力。在某些情況下，應詢問現有及未來廠商在區塊鏈及其安全性的能力。
留言
張貼留言