Optimism:想投資企業級區塊鏈？你需要先了解這些事情_Themis

圖片來源：Thinkstock區塊鏈已經成為科技界的新寵兒，而企業級區塊鏈是其中的一種形式。企業級區塊鏈利用加密技術保證機構之間交易和數據記錄的一致性與安全性。這一突破性技術，引發了各行業的創新和研發。僅在過去一年，IBM就建立了700多個企業級區塊鏈。與此同時，為了保證數據安全，越來越多的公司希望布局區塊鏈。目前基于區塊鏈的安全工具市場才剛剛興起，公司可以對區塊鏈技術有各種設想。在投資企業級區塊鏈之前需要考慮的第一件事是：如何保證企業級區塊鏈平臺和應用程序的安全？本文作者BrettValentine介紹了企業級區塊鏈平臺、平臺及應用程序組件的組成特征，并建議公司對企業級區塊鏈供應商、平臺及應用程序進行全面的安全評估。enjoy~什么是企業級區塊鏈平臺

首先，企業級區塊鏈平臺通常包括：?\t同意共享該平臺的機構網絡；?\t作為網絡成員的機構，對數據和交易擁有不同級別的權限；?\t該平臺的結構，包括所有管理區塊鏈、平臺功能和用例的共享系統、基礎設施和應用程序；?\t與平臺進行交互并影響區塊鏈數據的應用程序；?\t區塊鏈數據，包括儲存在區塊鏈的信息和提供給官方機構成員的數據元素；?\t一個創建并可能托管區塊鏈平臺的供應商。

數據：DeFi代幣市場價值450.8億美元:金色財經報道，8月2日，去中心化金融鎖定的總價值在跌破400億美元大關的邊緣。截至2023年8月13日，DeFi代幣市場價值450.8億美元，24小時內交易量約為18億美元。日漲幅為6.17%，交易量上漲6.39%。在202個區塊鏈平臺中，以太坊的TVL占據了58%以上的主導地位，達到243.8億美元。Tron、BSC、Arbitrum、Polygon、Optimism、Avalanche、Mixin、Solana和Cronos緊隨其后。Tron的TVL占據13.31%的市場份額，截至東部時間周日上午9:30，總價值為55.6億美元。[2023/8/14 16:24:01]

IBM區塊鏈網絡應用，圖片來源：SecurityIntelligence企業級區塊鏈平臺提供商通常基于云計算技術提供動態可擴展性、中立性和一致的訪問路徑。因此，平臺的組件和安全性通常是黑箱，但這并不意味著安全性得到保證。在選擇平臺供應商并加入區塊鏈網絡之前，一個機構必須完成大量的法律審查，并進行跨網絡信任、治理和技術審查。所有評估都需要包括安全因素。一些供應商的企業級區塊鏈包括終端用戶使用的應用程序，而其他平臺只是通過應用編程接口對外公開的系統。無論是哪個類型，都需要對這些應用程序進行安全控制。每個組件必須遵守和利用那些保證業務連續性和運營效率的公司政策、標準、流程和技術。為了建立跨網絡信任，成員機構需要共享并執行相同的應用安全控制信息。區塊鏈平臺和應用程序組件的特征

社交代幣平臺Rally關閉以太坊側鏈:金色財經報道，社交代幣平臺 Rally 周二表示，它正在放棄其以太坊側鏈，并在發給用戶（創作者及其持有代幣的粉絲社區）的電子郵件中警告他們，他們的加密資產可能很快就會陷入困境。Rally 將 2022 年“充滿挑戰的一年”和“宏觀逆風”稱為“在當前環境下難以克服”。這家初創公司上一次在 2021 年從投資者那里籌集了 5700 萬美元。根據數據網站Nansen的數據，自 2022 年 1 月 31 日以來，Rally 的代幣 RLY 已下跌 93% 。周二其價格基本沒有變化。[2023/2/1 11:39:54]

成員機構可能無法了解企業級區塊鏈平臺的底層組件。除非機構自行開發區塊鏈平臺，否則無法深入了解這項技術。假設企業級區塊鏈平臺包含如下所示的組件，這些是企業級應用程序中的典型組件。

IBM區塊鏈網絡平臺，圖片來源：SecurityIntelligence企業級區塊鏈擁有一個“秘密武器”——Fabric結構代碼。該代碼定義了每個成員必須使用區塊鏈的數據結構、功能和能力。在某種程度上，Fabric可以標準化；但是，目前的Fabric都是為網絡定制的。類似地，與平臺交互的應用程序使用的是大家熟悉的體系結構組件。業務邏輯和功能體現在應用程序代碼和配置信息中。由于每個成員機構的區塊鏈應用程序可能由機構單獨創建并管理，他們應該可以完全控制其應用程序及組件。

Axie Infinity發布Axie傳說預告片:12月15日，Axie Infinity發布了Axie第一部傳說預告片，介紹Axie Infinity中Lunacia的誕生。[2022/12/15 21:46:14]

IBM區塊鏈應用平臺，圖片來源：SecurityIntelligenceBrettValentine表示，作為安全專家，我們關心平臺和應用程序每個組件的安全性，尤其是Fabric結構和應用程序代碼的編碼實踐。因此，需要應用盡可能多的公司安全策略和工具來實現一致性和運營效率。如何選擇和驗證供應商

表面上看，企業級區塊鏈網絡包括其他成員公司。而實際上，最重要的非官方成員是區塊鏈供應商。公司都有評估供應商的政策和程序，但通常只是例行公事就能通過的評估。鑒于企業級區塊鏈的敏感性和影響，需要更加全面地進行評估。簡單的征求建議書(RFP)是不夠的——第三方安全審計報告只是一個開始。評估還應考慮:?\t公司的規模和聲譽；?\t平臺中每個組件的安全性；?\t網絡中每個成員的安全級別；?\t區塊鏈敏感數據的最小存儲方式；?\t適當的數據生命周期管理，如創建、管理、驗證、加密和銷毀；?\t量子加密及技術，以確保隨著量子計算成為主流，區塊鏈未來不會被解密或破壞；?\t隨著區塊鏈規模的增長，平臺的增長能力和性能保證；?\t平臺的可用性、正常運行時間和災難恢復能力；?\t組件修復和維護流程；?\t供應商內部和網絡成員之間的特權訪問控制以及RACI模型；?\t供應商內部和網絡成員之間的業務和支持活動的RACI模型；?\t密碼管理的可靠性；?\t證明交易完整性的測試。隨著時間的推移，企業級區塊鏈的市場領導者將會崛起，其安全性也將得到證實——就像過去幾十年云技術提供商的情況一樣。而在此之前，機構必須在投資區塊鏈供應商之前自己進行全面評估。如何對區塊鏈平臺進行安全評估

NFT市場Quix將于明年2月28日結束運營，Optimism基金會將代為開源其代碼:11月24日消息，據官方公告，Optimism生態NFT市場Quix宣布，Optimism基金會將代表Optimism社區使Quix代碼開源，這意味著，雖然Quix作為一家公司即將結束，但從2023年1月6日開始，其代碼將免費供社區使用和構建。Quix正在與Optimism基金會合作，以確保平穩過渡，其團隊致力于維持運營到2023年2月28日。

官方稱，其每月基礎設施成本已超過收入，而且運營過于精簡，無法以有意義的方式投資于生態系統，鑒于種種限制，Quix不再是其可以繼續經營的企業，“現在我們轉向Optimism Collective，將Quix帶入下一階段”。

此外，官方稱：“對于Optimism上的NFT收藏者，我們將很快開始將交易重定向到OpenSea。對于NFT創作者，Quix Launchpad將在1月18日之前保持可用狀態。我們的團隊將直接與Quix API用戶合作，幫助他們過渡到替代解決方案。作為代表，我們將在短期內繼續參與Optimism的治理，但鼓勵委托給Quix團隊的代幣持有者重新委托給其他人。”[2022/11/24 8:02:38]

評估供應商的安全狀況后，下一個主要任務是評估平臺本身。這個步驟實際上是對供應商評估的擴展，但是需要其他成員機構的參與和同意。法律和合同必須通過合同來定義企業級區塊鏈平臺、網絡和結構的各個方面。當然，安全必須是其中一個重要部分，也可能是最難實施的評估因素，因為必須所有成員都同意。更多的成員意味著更長時間的法律審查和更多的紅線。這個評估的一個重要因素是責任，每個公司可能都有不同的法律部門要求。因此，需要明確規定每個成員和供應商在發生安全違規或違約事件時的責任。功能用例從定義用例開始，通過合同的形式與供應商進行詳細規定。通常包括創建交易、批準交易、查找數據和其他業務功能。每個用例定義應該包含安全活動和組件交互，例如多因素身份驗證(MFA)、驗證批準交易的權利、加密和解密以及API安全性。網絡治理成員通常會進行自我管理，而供應商很少參與。理解每個成員的角色很重要，在成員機構中擁有權威的個人、把控活動節奏、解決爭端、成員之間進行報告以及許多其他領域扮演的角色。換句話說，機構應該對成員和區塊鏈供應商采用一致的安全計劃。基于云技術的安全控制云安全聯盟(CSA)和類似機構的安全框架是評估區塊鏈平臺的良好基礎。雖然全面了解平臺組件是很好的事情，但大多數供應商不會透露他們的知識產權。因此，成員機構必須提出問題，并且盡可能地進行量化和定性。CSA提供了一個很好的框架，可以幫助公司尋求詳細的答案。共享操作區塊鏈供應商可能會進行技術層面的托管和維護，但是成員們也需要執行特定的操作任務。從服務器操作系統加固到區塊鏈數據驗證，機構必須定義所有任務。安全操作和控制需要許多或所有成員的參與，例如滾動加密密鑰、定期滲透測試、事件響應和取證以及補丁修復和配置管理。數據所有權最佳做法是避免在區塊鏈存儲敏感數據，只上傳共享和參考信息。這種策略可以讓區塊鏈的規模可控，同時保持盡可能高的性能。這也意味著數據在權威機構之間分發。因此，必須定義并寫明哪些成員擁有每個數據元素，如何訪問或驗證，誰可以訪問以及所有者如何保護它。當多個成員在不同條件下對同一數據元素具有權威性時，這一點就尤其復雜。如果存儲個人驗證信息(PII)，還會受到《通用數據保護條例》(GDPR)要求的影響。對其他成員進行安全測試其他成員的安全是在網絡中建立信任的重要組成部分。所以，每年必須對所有成員使用的應用程序進行第三方安全測試，并將結果公布給所有其他成員。如何保護區塊鏈應用程序的安全

俄羅斯與加密貨幣相關的刑事案件增加 40%:金色財經報道，一項新的研究表明，俄羅斯的法院正在審理越來越多的有關加密資產的案件。其中大約三分之二是根據該國刑法的規定啟動的，但民事案件也占很大比例。2021 年俄羅斯涉及加密貨幣的刑事案件接近 1,000 起去年，與加密貨幣、數字資產交換和鑄幣相關的訴訟在俄羅斯大幅增加，總數達到 1,531 起。與此同時，研究人員透露，與加密貨幣所有權相關的破產案件數量在 2021 年翻了一番。在這些訴訟中，俄羅斯司法機構將加密資產視為財產，雙方必須提供證明他們擁有加密貨幣的文件。（news.bitcoin）[2022/6/13 4:21:20]

假設每個企業級區塊鏈的應用程序由成員單獨管理，那么就更容易控制其安全性。一般來說，保護這些程序需要特別關注以下領域：實施公司安全標準和系統應使用所有公司政策、標準和通用安全平臺，從而保證一致性、可靠性、熟悉度和運營效率。例如，企業標準身份和訪問管理工具應該用于身份驗證、MFA、訪問控制和身份數據存儲。同樣，應該使用安全軟件開發生命周期和應用程序掃描工具來確保代碼開發和部署的安全性。如果公司沒有針對所使用技術的集成模式或特定安全策略，那就趁此機會創建。假設最高等級的風險分類數據假設區塊鏈將管理最高等級的風險分類數據。即使你的成員機構可能無法管理或訪問機密信息，而其他成員或許可以。假設最高等級的風險分類數據也表明對其他成員的安全承諾，從而在網絡中建立信任。執行MFA人類通常是安全中最薄弱的環節，而MFA有助于對抗這種風險。MFA已經成為云計算應用的事實標準，也應該應用到區塊鏈領域。因為區塊鏈具備分布式的特性，而數據具有潛在敏感性，并且有必要與其他成員逐漸培養信任。保證身份識別API的安全性大多數區塊鏈依賴API，并且在未來還會繼續。API安全最佳實踐包括每個API調用關聯用戶標識和會話信息。這也應該是區塊鏈應用程序的標準做法，因為它提供了審計跟蹤，并且允許實行功能級權利。執行最強加密密鑰管理確保你的機構擁有強大可靠的密鑰管理系統。區塊鏈基于加密數據的使用，而區塊鏈網絡可能包含成百上千的加密密鑰。手動管理這些密鑰需要花費大量精力，但是保護數據和成員機構的安全至關重要。關聯安全事件成員應該盡可能透明地共享安全事件信息。保密協議(NDA)應允許成員傳遞安全事故的司法鑒定信息。雖然可能很難共享一個安全信息和事件管理(SIEM)系統，但是應該建立安全事件饋送，通過平臺向成員傳輸信息，并且成員之間提供選定的事件信息。企業級區塊鏈的前景

企業級區塊鏈的未來將會如何？如果能夠正確地實施，企業級區塊鏈具有優勢和能力來統一和保護不同機構之間的交易。但是，在市場建立并廣泛遵循安全標準之前，企業需要全面評估區塊鏈供應商的安全狀況，并評估自己的技術基礎設施與區塊鏈平臺集成的能力。

Tags：區塊鏈PTIMISOptimism區塊鏈域名成交Optimism BOBThemisOptimism Doge

比特幣