锐格信安CEO雷年胜: 数字资产,安全是“硬”道理

文/《新产经》郭师绪

雷年胜,北京锐格信安技术有限公司创始人兼CEO

清华大学本硕毕业。先后在大唐电信、握奇数据担任软件开发中心总经理、研发副总裁兼CIO,移动安全业务副总裁等职位,超过十五年企业管理经验,所开发产品在银行、电信、交通、政企部门的应用数以亿计。在软件开发、移动支付、物联网、密码学与可信计算等领域有丰富经验。科技部中小科技型企业创新基金评审专家,北京市科学技术奖励评审专家。

 

近年来,区块链受到的追捧急剧升级。不仅是小型初创企业,腾讯、阿里、百度、京东等巨头公司也都纷纷加码对区块链的投入。区块链技术已经被应用在了供应链金融、腾讯微黄金、物流信息、法务存证、公益寻人等领域。早在2017年4月,腾讯就正式发布了区块链方案白皮书。白皮书称:“腾讯区块链在鉴证证明、智能合约、共享经济、数字资产等领域拥有多样化的应用前景,为合作伙伴提供金融级区块链基础设施的同时,也为用户提供更安全、平等的产品服务。”

我们身处大数据和互联网时代,只要上网浏览,就会产生数据信息,用户数据是互联网企业的宝藏,正迅速成为全球最宝贵的资源之一。数据安全一旦出现问题,可能会演变成一场世界性灾难。近日,北京锐格信安技术有限公司创始人兼CEO雷年胜接受了《新产经》专访,就区块链领域安全问题进行了探讨。

 

《新产经》:区块链技术是互联网技术新的发展,先后受到金融界和科技届的广泛关注,近两年来,逐渐在各大领域落地应用。请您简单谈一谈我们应该如何理解区块链技术?

雷年胜:锐格团队时刻关注相关领域的技术和市场发展变化,通过研究,我们意识到区块链技术的巨大价值和其对未来可能产生的颠覆性影响,区块链是一种去中心化、去信任化的分布式账本技术,由分布式数据存储、点对点网络、密码技术、共识算法与博弈论等多种技术机制集合而成。区块链起源于比特币,自2009年提出以来,特别是2016年以后,成为各大金融机构、IT公司、投资机构、咨询机构关注的热点,产业界纷纷加大研发投入力度,成为近年来IT技术热点之一。

互联网全面发展以后,已经较好地解决了信息传递的问题,但是还不能自由地实现价值点对点的传递,价值的传递仍然需要中心化的可信第三方来完成,这在某些应用场景中仍存在一定的局限性,比如隐私和数据安全问题、中心化第三方权力垄断问题等,区块链的出现能够在没有信任基础的多方间建立一个可信平台,完成价值传递,因而被视为创造信任的机器。由于其去中心化、不可篡改、不可抵赖等特点,区块链被认为可应用到多种业务场景中,用来建立信任、提升透明性、可靠性与安全性。

区块链已经不仅仅只应用在数字货币和支付结算领域,在供应链金融、共享经济、商品溯源、慈善、征信、数字身份等领域也都有探索,同时,区块链与AI、物联网、云计算、大数据等其它新一代信息技术结合应用,相互赋能,必将带来全新的发展机遇。区块链作为一项具有“颠覆性”潜力的新兴技术,成为全球技术创新和模式创新的“策源地”,推动“信息互联网”向“价值互联网”变迁,也越来越受到各国政府的重视,我国《“十三五”国家信息化规划》中把区块链作为一项重点前沿技术,明确提出需加强区块链等新技术的创新、试验和应用,以实现抢占新一代信息技术主导权。

锐格非常看好区块链与各个产业的结合,尤其是在数字资产和物联网领域,经过一年多的研究开发,锐格已经推出区块链个人数字钱包RIGBOX ,以数字资产加密机HSM产品为核心的企业数字资产安全解决方案RIGBOX Vault和以嵌入式区块链eWallet为基础的RIGBOX IOT(物联网)解决方案三类产品/解决方案。

 

《新产经》:去年以来,区块链领域发生了几起区块链领域的典型安全事件。如,总部位于大阪的TechBureau Corp.旗下的Zaif交易所发生了比特币(Bitcoin)、萌奈币(MonaCoin)和比特币现金(BitcoinCash)被盗事件,国外知名钱包Copay也爆出严重安全漏洞,数字资产被盗事件频发的根本原因是什么?

雷年胜:这些安全事件并非个例,根据网络安全公司CarbonBlack的调查数据显示,2018年上半年,有价值约11亿美元的数字加密货币被盗,各方面原因造成的经济损失近28亿美元。

从技术层面看,区块链及其相关的产业,如公链、交易所、矿池、钱包也是典型的IT系统或软件,传统互联网软件所需要面对如SQL注入、DDOS、钓鱼、内存溢出挟持、程序逻辑缺陷利用、APT等攻击也是存在的。

不仅如此,区块链系统还要面对智能合约漏洞、双花攻击、51%攻击这些与区块链特定实现机制相关的新问题。“老革命碰到新问题”尚且也得摸索适应一阵子,何况部分从业人员和机构本身不具备足够的安全能力和风险意识去应对这些安全威胁,所以区块链领域频繁出现安全问题就不奇怪了。

从收益和风险层面,与其它信息系统相比,区块链有如下几个特点让它面临更大的威胁:区块链上承载的是资产,这让黑客攻击后的收益直接更大,其它系统攻击得手还面临如何变现的问题,而区块链上直接是真金白银,黑客攻击的意愿更强烈。区块链网络中一般是匿名或者不记名,资产被盗,更加不易追踪和回溯到现实中的人,攻击者更加隐蔽和安全。

总而言之,区块链领域安全问题频发的主要原因在于,既要应对传统互联网软件存在的攻击,还要面对智能合约漏洞、双花攻击、51%攻击等与区块链特定实现机制相关的新问题,况且部分从业人员和机构不具备足够的安全能力和风险意识。

 

《新产经》:对持有数字资产的广大普通用户来说,有些安全问题是很难触及和防范的,只能交给专业人员去完善解决,普通用户重要是保护好自己的数字资产。一般来说,普通用户要么放在交易所,要么放在独立钱包中。作为普通用户,在数字资产管理过程中的安全注意事项有哪些?

雷年胜:如果选择放在交易所,就是选择信任交易所可以保护好自己的资产,有如下建议:

1.选择技术实力强,规模大的交易所,祈祷交易所别出事。据不完全统计,2018年上半年数字加密货币交易所被攻击,损失了约7亿美元。

2.保护好自己的登录密码,谨防钓鱼攻击。

3.对不打算频繁交易的资产还是转移到独立钱包中,命运掌握在自己手里。

数字资产存放在软钱包也有多种实现方式,包括嵌入到浏览器的网页钱包、软件钱包、硬件钱包。大家知道,区块链钱包里是没有“钱”的,钱包是一个私钥管理工具和签名工具,资产是被记录在区块链网络上的公共账本里,区块链网络是不记名的,对资产的所有权完全看是否持有相应的私钥,私钥一旦丢失或被盗用,区块链上的资产也就没有了,所以钱包的安全性主要看其私钥生命周期安全性,它决定了用户资产的安全性。

软钱包的安全性难点在于其没有足够清晰的安全边界,受制于操作系统本身的安全,受第三方库的安全影响,即便是有足够经验的开发团队,类似Copay的情况也是难以防范的。使用软钱包,有如下建议:

1.别ROOT手机。

2.存放软钱包的手机或PC不要安装来历不明的软件。

3.备份好助记词或私钥,放在足够安全的地方。

4.当零钱包用,别放太多资产。

 

《新产经》:您认为最安全的数字资产保管方式是什么?

雷年胜:传统金融行业有句话“无硬件,不安全”。从安全性来说,硬件钱包无疑是最好的,私钥生成、存储、运算、交易确认及签名都在硬钱包中完成,硬件钱包是一个完整的安全堡垒,设计安全产品有两个基本的原则:

1.与安全相关的部分越独立越好,复杂性是安全性的敌人。

2.与外界接口越简单越好,攻击面小,易于防范攻击。

相对于软钱包来说,硬件钱包一般采用定制软件,不依赖通用操作系统和第三方库,通过USB、蓝牙、NFC或者二维码与主机(PC或手机)通信,系统功能专一,边界更清晰。

但硬钱包的实现技术也多种多样,安全性也有很大差别。首先看是否有使用了通过安全认证的安全芯片,比如我们在银行卡和网银盾产品中常用的金融级安全芯片。

有些硬钱包只使用普通的AP或MCU,建在沙滩上的堡垒是不可能真正安全的,硬钱包一旦丢失,私钥很容易被破解,而安全芯片有防护各种物理攻击和半侵入式攻击的机制,钱包即便丢失,破解也会有难度,需要专业的设备花费从数天到月余的时间,用户有安全转移资产的时间。

 

《新产经》:安全是一个系统工程,需要综合考虑硬件、软件、应用流程配合才能做出一个合格的安全产品,包括硬钱包。锐格公司打造的RIGBOX锐格硬件钱包有哪些亮点?差异化在哪里?您对大家在选择硬钱包时有何建议?

雷年胜:对于大家选钱包的建议,首先,产品要基于金融级安全芯片。其次,团队要有安全芯片软件开发经验。

锐格的核心开发团队涵盖密码学、移动支付、智能硬件、网络安全等专业领域,均有超过十年的为大型银行、运营商、手机厂商提供安全产品的开发经验,对数字安全领域有深刻的认知。

目前很多硬钱包基于物理按键组合操作,很不方便。不少只能在PC和Android上使用,无iOS方案。而锐格有着基于金融级的安全芯片设计、支持指纹生物特征验证身份、依托蓝牙实现移动端Android/iOS跨平台全兼容、触控屏简单易操作等优势。相信锐格能够将硬件钱包的安全性和易用性推升到一个新的高度。

 

《新产经》: 目前市面上的硬件钱包,有用安全芯片的,也有用AP和通用MCU的,设计方案差异比较大,所以将来硬件钱包的发展会是百花齐放,还是逐渐走向统一?

雷年胜: 我认为使用非安全芯片的方案将会被逐步淘汰,对于资产保护来说,安全是“硬”道理,是基本要求。
 

2019年9月3日 13:13
浏览量:0
收藏

要闻

《新产经》电子杂志

摄影作品

财经