區塊鏈不能包治百??！

Roger Grimes

區塊鏈供應商正在大力宣傳該技術，將其作為很多安全問題和其他問題的解決方案。然而，企業在趕時髦之前應考慮一下成本和其他可選方案。

在我的收件箱里，每天都有10到30封來自善意公關人員的郵件，他們想要推銷自己、客戶或者其客戶的產品。每星期我會打開很少的幾封郵件，讀一讀，也許會有一兩封讓我想深入下去。這要遠遠少于我的推特和專欄。

大部分公關宣傳的問題是，他們的宣傳大同小異：云、勒索軟件，等等。如今，流行趨勢似乎是人工智能、比特幣和區塊鏈。有時候，公關宣傳做得異想天開，把流行的技術詞匯吹上了天，讓我哈哈大笑。

下面舉一個公關宣傳的例子。

“跳過鯊魚”這種宣傳，公關人員暗示區塊鏈可能會使得美國最近更集中地召回大腸桿菌污染的生菜和雞蛋。這太難能可貴了。我會永遠記住公關人員的名字，但原因并不是他們喜歡我。

區塊鏈并非萬能工具

建筑師、工匠和業余愛好者都知道，合適的工具能夠讓困難的情況變得容易一些。同樣的道理，同樣的工具并不能適用于所有的情況。區塊鏈是一項偉大的數字發明，如果應用于正確的領域，將會改變世界。

它并不是適用于所有數字安全情形的工具。是的，區塊鏈可能會改善食源性疾病問題的召回，但代價是什么呢？建立包括所有供應商、分銷商和相關人員的國家體系會帶來高昂的成本，這是否值得付出努力和費用呢？可能不值得，即使有疾病威脅，冒生命危險。

區塊鏈的基本組成部分，不過是一個分布式交易賬本，每一筆交易都與其他交易以加密的方式綁定在一起。這涉及到完整性，而不是密碼。定義并應用的密碼算法使得很難偽造交易，這樣，相關方也不能很容易地進行驗證。這是一個簡單但革命性的概念。

2017年初，《哈佛商業評論》指出，區塊鏈是一種基礎性的技術，因此“有可能為我們的經濟和社會系統創造新基礎?！?017年1月，《世界經濟論壇》的報告預測，到2025年，全球GDP的10%將來源于區塊鏈或者區塊鏈相關技術。如果你還不知道區塊鏈，那現在就應該開始了解它了。

但這并不意味著所有可能應用區塊鏈的地方都應該采用它。只有當一群人之間的交易需要有很強的完整性，并且在特定的保護場景中所花費的成本（包括價值、時間和最佳使用資源）不超過以下因素時才應該考慮區塊鏈：

● 付出或者帶來的必要保護的能力

● 可提供同樣或者更多保護的另一種方法的成本

● 潛在的損失可能是由于沒有使用它而造成的

我可能忘記了一些，但這些是關鍵的要求。如果滿足了這些要求，那么區塊鏈可能是所需要的解決方案。

區塊鏈的成本與效益對比

舉個例子，讓我們想一想區塊鏈用來保護我們免受食源性疾病的侵害。當然，拯救一個人的生命是不惜任何代價的，是嗎？事實證明，不是這樣。在幾乎所有的保護場景中，我們總是把價格標簽貼在人的生命上。

我們知道駕駛汽車每年會殺死成千上萬的人，但我們卻一直讓人們以非?？斓乃俣锐{駛危險的汽車。我們知道，如果我們把汽車速度限制在每小時5英里，用笨重的橡膠造車，那么就會很少有人死亡，但是如果我們用腿跑步就能超過汽車，誰還會愿意去開車呢。因此，人們做出了權衡，我們認可每年有相當多的意外死亡，來換取更快地駕駛危險的汽車。我們一直在努力讓駕駛更安全，但我們很難保證使其安全到不會有人死亡。因為這樣做并不值得。

那么問題就變成了在特定場景中人的生命值多少錢？我們一直在做這些決定。

如果我們將其應用到食源性疾病，我們會付出多少才能防止更多的人因受污染的食品而得病和死亡？ 據美國疾病控制中心估計，美國每年都有大約4800萬人患上食源性疾病，造成12.8萬人住院，3000人死亡。這可能比你想象得有更多的人因為食品而生病和死亡。我認為是這樣，幾十年來一直都是如此。在幫助對抗與食品有關的疾病方面，投入的資金顯著減少，但與食品有關的疾病發病率正在緩慢降低。

因此，每年有數百萬人生病，成千上萬的人死亡，而我們只是慢慢地做了一些事情。當然，我們所有人都會愿意付出更多，讓人們盡量不因為食品而得病。但具體付出多少呢？人們是否愿意為我們的食品付出雙倍的價錢，從而讓我們不容易生病呢？三倍？還是四倍？

答案是，人們可能甚至不會接受上漲25%。食品價格稍微上漲一點，人們就會瘋狂。要實施區塊鏈，即使不付出數萬億美元，至少也是數十億美元。

在一個集中式的區塊鏈系統中，要想按照設定的方式全面跟蹤食品，則要求所有的收割設備、農場、供銷社、物流方和商店買家參與進來。他們都需要新的計算機系統和新軟件。我們農業系統的很多領域都不使用計算機，或者其使用計算機的方式使得其不可能馬上引入區塊鏈。

更直接更容易的問題是：真的需要區塊鏈來提供全面的保護嗎？當然，食品鏈可以從中受益，但真的需要區塊鏈提供的強大但是相對昂貴的全面保護嗎？或者一個普通的國家數據庫就足夠了？恢復到州這一級和疾病預防控制中心曾經的籌資水平是否就足夠了？

可能會。

目前食品供應跟蹤的問題不在于我們的食品跟蹤數據庫不夠完整，而是因為我們根本沒有太多的東西，整個生產和分銷鏈上都是這樣。這并不是說，我們要讓很多生產商和經銷商進入現有的數據庫，改變條目以避免受到指責和起訴。

問題是，我們的整個系統并沒有進行基本食品追蹤所需的系統，而且我們沒有足夠的調查人員去追蹤罪犯。即使把區塊鏈完美地放到食品系統中，也不太可能減少生病的人數，至少在解決資金問題之前不會。

在其他安全機制上應用區塊鏈

我自己差點就難堪了。我討論了很多關于預防食源性疾病的問題，其實我是想說清楚任何人都應該了解計算機安全場景，正如我提到的以上的要求。在首先弄清楚安全解決方案能否真正解決問題之后（因為大多數解決方案并不能很好地解決他們銷售人員所提出的問題），第二個最重要的問題是，是否真的需要，以及會付出什么代價。

把我的想法應用到RFID防盜錢包上。RFID防盜錢包應該能夠保護你，阻止小偷窺探你未受保護的錢包中的信用卡。提供RFID保護功能的供應商想說服你——你需要保護，因為有可能出現犯罪活動。

如果你注意一下我的要求，會發現犯罪發生的可能性是很重要的。到目前為止，還從來沒有出現過RFID犯罪案件被受保護的錢包阻止的案例。因此，任何超過0美元的投資都是不明智的。

另一個例子：很多企業數據泄露事件都與社會工程攻擊密切相關。據2018年Verizon數據泄露調查報告，所有數據泄露事件中的93%涉及到社會工程攻擊。這不是廣告軟件。這不是在某人桌面上彈出的惡意軟件程序，在干壞事之前被防病毒軟件刪除。這是值得報告的數據泄露事件，導致進行取證調查，很有可能需要非常大的資金和資源應對支出。所以，無論你做什么來阻止可能的威脅，都是有道理的。你必須得決定花多少錢，怎么花（例如，網關過濾器，數據泄漏預防、教育和其他工具）。

最后一個例子。你應該使用傳統的防火墻嗎？采用防火墻，網絡和主機能夠阻止預定義或者未經授權的網絡入侵。幾十年來，其能力和價值早已被證明了。如今，傳統防火墻所阻止的攻擊只占了很小、很小的比例。

傳統的防火墻只用于保護沒有打補丁或者配置不當的系統。如果你沒有這方面的問題，那么也許你不需要傳統的防火墻。我知道很多非常、非常龐大的企業，其互聯網入站流量大到難以想象，但他們已經不再使用防火墻了。因為防火墻大幅度降低了數據流速度，價值不高。

可以這么說，只是因為安全機制可以讓你更安全，但這并不意味著它就是合適的工具。可能是因為實施工具太昂貴，或者可能是所面臨的威脅根本不存在（至少目前還沒有）。生命是一系列的安全評估標準，就像食源性疾病和快速行駛的汽車一樣，我們經常學會在可能導致非常嚴重后果的環境中生活——因為我們不愿意為完全的安全付出過高的代價。

發給我區塊鏈/食物傳播疾病的公關人員讓我笑了，我回復郵件說不。幸運的是，他們對我的回答很寬容，我們建立了新關系。因此，在這個意義上，公關人員可能已經達到了他們的目的。

Roger Grimes自2005年以來一直擔任安全專欄作家，持有40多個計算機證書，并撰寫了10本計算機安全方面的書籍。

原文網址

https：//www.csoonline.com/article/3269236/blockchain/why-blockchain-isn-t-always-the-answer.html