安全問題頻現 程序分析如何提前捕獲安全漏？_區塊鏈:PRO

如果你對區塊鏈技術感興趣的話，可能聽說過很多攻擊者利用程序代碼中的漏洞而導致的大量資金被盜事件。例如，2016 年臭名昭著的 DAO 攻擊事件，攻擊者利用一個名叫「重入」的漏洞超額提取了他們原本所能提取的資金。另一個更近期的事件是閃電貸攻擊，發生于 2022 年 4 月 17 日，造成 1.82 億美元的資金損失。雖然所有攻擊都源于底層源代碼的安全漏洞，但好消息是現在已經有能夠檢測此類漏洞的程序分析技術。在接下去的幾篇博文中，我們會解釋程序分析是什么，以及它如何幫助在部署前捕獲安全漏洞。

程序分析指的是一類用于檢測程序中安全漏洞的技術。程序分析有兩種主要形式，動態和靜態。動態程序分析的目標是通過執行程序來檢測問題，而靜態程序分析則無需運行程序本身就可以對源代碼進行分析。然而，在這些技術之中，只有靜態分析能夠確保程序中不存在漏洞。相反，不同于靜態分析，動態分析能證明問題的存在，它并不能夠證明漏洞并不存在。

Aspro Digital亞太區集團總裁藍少：交易所安全問題不容忽視:據官方消息，Aspro Digital亞太區總裁藍少受邀參加TAiYl Global成立暨優盾錢包硬件產品發布會啟動儀式圓桌對話，與布洛克科技創始人張超然、ZB（中幣）創始人歐碼、加密資本CEO張俊、ZBG總經理湘香、SHCBLOCK創始人Shawn Pan共同探討區塊鏈交易安全問題。

啟動儀式上，藍少表示：安全穩定是交易所發展過程中需要高度重視的問題，作為承載大量生態用戶的交易所平臺，應當做到合法合規，對用戶盡到應有的責任。Asproex（阿波羅）作為首家離岸銀行控股，同時擁有五國數字金融支付牌照的交易所，一直秉承著安全至上的理念服務廣大用戶。

Asproex（阿波羅）作為一家離岸銀行控股持牌交易平臺，涵蓋CTO企業通證上市、合約跟單、ETT指數通證、數字礦業、Digital Bank板塊并持有5國合法牌照，致力于為全球中小微企業提供數字化上市一站式服務。[2020/11/14 20:49:22]

乍一看，靜態分析聽起來似乎很神秘：表面看來，靜態分析似乎違反了一個被總結為萊斯定理「Rice's theorem」的基本原則，該定理聲稱程序的每一個非平凡性質都是不可判定的。在此，語義屬性是關于程序行為的屬性（與語法屬性不同），而非平凡性質是指只有某些程序擁有而其他程序沒有的性質。與我們手頭話題更相關的是，安全漏洞的存在是非平凡性質的一個典型例子。因此，關于「這個程序是否存在安全漏洞」這一問題，萊斯定理告訴我們沒有一個算法能夠終結并準確回答這一問題。

雄安區塊鏈實驗室相關負責人：用區塊鏈做好信息技術領域安全問題和城市治理:雄安區塊鏈實驗室相關負責人表示，雄安區塊鏈實驗室發展目標有3個方面：成為區塊鏈研究與應用新高地，在區塊鏈自主可控技術研究、區塊鏈與其他技術的融合創新、區塊鏈在城市管理運行、生活服務各個場景的應用，雄安區塊鏈實驗室都有所領先和有所超越；打造開放的前沿創新基地，向全社會開放、向全球開放、向前沿智慧類技術開放、向創新人才開放、向創新思想開放、向創新實踐開放；探索實驗室經濟新模式，發展創業孵化、技術轉移轉化、技術咨詢、政策咨詢、知識產權綜合運用、測試評估認證等科技服務，充分發揮知識溢出效應。該負責人表示，將進一步完善區塊鏈技術，圍繞雄安建設新型智能城市、為全國樹立典范的目標，做好數字城市基礎建設。具體來說，要做好區塊鏈數據生態，包括確權、共享、交易等，用區塊鏈技術做好信息技術領域的安全問題和城市治理。（河北新聞網）[2020/6/16]

那么，靜態分析的可行性源自哪里呢？答案藏于以下的觀察：沒錯，沒有一個算法能夠準確地給出是或否，但可以有一個算法在程序有安全漏洞時總是會回答「是」，在程序沒有安全漏洞時算法有時可能也會回答「是」。換句話說，只要我們愿意容忍一些誤報，我們就可以繞過賴斯定理和不可判定性。

聲音 | 中國互聯網協會宋茂恩：區塊鏈技術有望解決交易中的信任和安全問題:據新華財經消息，在今日舉辦的“2019中國國際區塊鏈技術與應用大會”上，中國互聯網協會副秘書長宋茂恩表示，區塊鏈技術有望解決交易中的信任和安全問題，對于促進我國數字經濟發展具有十分重要的意義。此外，他表示：“但是我們也必須認識到，當前，區塊鏈技術應用還處于早期發展階段，面臨著諸多挑戰。區塊鏈技術并非是萬能的，他也有成本，并非所有企業在現階段都需運用區塊鏈技術。[2019/4/10]

讓我們以高一維度的視角來看看靜態分析是如何運作的。靜態分析的基本原理是將程序所處的狀態集合進行過近似「over-approximate」。我們將程序狀態視為從變量到值的映射。一般來說，不存在一個算法能夠明確也許是執行某一程序引起的確切程序狀態集。但可以近似該集合，如下圖所示：

動態 | EOS社區大會圍繞主網基礎設施和安全問題展開討論:據MEET.ONE報道，EOS Argentina、 EOS Canada等代表，圍繞主網基礎設施和安全問題展開討論。部分觀點如下：1. Bug問題在所難免，但當我們發現Bug的時候，有責任主動和Block.one聯系，盡快修復；2. EOS不僅是區塊鏈技術，也是軟件操作系統， 社區測試網絡對于整個網絡非常重要，通過社區測試網在背后進行海量的測試，這一點非常重要；3. 21個節點排名每天都在改變，不能說哪個節點就一定要負責任，他們并沒有多少權力，發展系統是首要的。[2018/7/20]

此處，藍色的不規則形狀對應在執行某些程序時可能出現的實際狀態集，紅色區域對應預示錯誤或安全漏洞的「壞狀態」。由于不可判定性，永遠沒有一個算法能夠準確表明藍色區域到底是什么，但是我們能設計一個算法以系統性的方式過近似這個藍色區域，如上面常規綠色區域所示。只要綠色和紅色的交集為空，我們就有證據證明程序沒有做壞事。然而，如果我們的過近似不夠不準確，可能會使得紅色區域重疊，即使藍色和紅色區域的交集依舊為空，如下圖所示：

這種情況會導致所謂的「誤報」，由于分析與真實問題不相應而報告的虛假錯誤。一般而言，靜態分析的圣杯是構造過近似，即 （1）過近似足夠準確因此我們在實際中不會獲得很誤報 （2）過近似的計算足夠有效率，因此分析可擴展到我們所關心的現實世界的程序。

附帶說明一下，還可以設計靜態分析算法來近似如下所示的程序行為：

在此情況下，綠色區域（通過靜態分析計算）包含在藍色區域內（表示實際狀態），和另一種方式正好相反。這種分析是不可靠的，意味著可能會漏掉真正的程序錯誤：正如我們在上圖所看到的那樣，綠色和紅色的交集為空，因此即使程序真的存在漏洞，分析也不會報告問題。這會導致所謂的假陰性，真正的漏洞被靜態分析給遺漏了。

大體來說，如果我們想獲得可證明的安全性，我們會想要可靠的從來不會有誤報的靜態分析器，同時還需要足夠精確，在實踐時不會報告太多誤報。然而，好消息是，幾十年的正統研究表明設計這樣的靜態分析器有可能的。下篇博文，我們會更詳細地介紹靜態分析器具體是如何運作的！

程序分析是一種有效的能夠捕捉各種程序中安全漏洞的技術，包括區塊鏈應用程序。此外，可靠的靜態分析器的過近似程序行為能確保整個類別中不存在漏洞。

撰文：Veridise

編譯：CCC

Tags：區塊鏈PROASPEOS區塊鏈運用的技術中不包括哪一項項YFPRO價格Caspianeos幣最新資訊

比特幣最新價格