基于區塊鏈的網站信息安全防護策略

劉晨昱

（中海油信息科技有限公司北京分公司 北京市 100000）

自從區塊鏈技術概念的提出，將其應用于網絡信息安全成為人們關注的重要問題，由于當前網站中信息安全防護策略、業務系統相互獨立，缺乏一個統一、系統性、全局性的解決方案，區塊鏈技術的出現，為網站信息的安全防護提供了一個系統性方案，可以對網站每一次提交的數據信息進行安全記賬與信息防篡改的功能，能有效的阻斷病毒的工具，可以有效的對網站信息進行追蹤與分析，在保證網站信息安全性的同時，還能從信息安全的角度對整個網絡安全進行防護。

1 區塊鏈的內涵與技術實現

1.1 區塊鏈的內涵

區塊鏈采用分布式、去信任的基礎架構，在分布式技術的基礎上，采用分布式賬本的方式，來實現信息信任機制，該技術融合了密碼學、點對點（P2P）網絡技術架構，并建立了共識機制等，從而能對網絡數據的驗證、交互、存儲等提高安全服務。從數據的安全角度出發，區塊鏈技術不能為數據的分布式存儲提供安全服務，還能實現分布式記錄與表達，也能由系統參與者共同維護信息安全。區塊鏈技術中的沒一個節點都具有完整的數據備份功能，只要將數據保存在區塊鏈的節點中，數據就不能修改，節點存儲的信息越多，更改區塊鏈的賬本需要耗費的代價就越高，對用戶的數據信息保護安全級別就越高。

1.2 區塊鏈的技術原理

從區塊鏈的實施技術來分析，區塊鏈主要依據時間序列對各個節點的數據進行排列與組合，從而能形成鏈狀的區塊鏈數據存儲賬本。它采用的全新的分布式計算模塊對數據進行計算，包括多個區塊與數據鏈狀結構，而且還有多個節點，能對大規模的數據進行存儲，為保證數據的安全，它借助數據加密技術對數據進行加密存儲，從而保障了數據傳輸的安全，在數據存儲的過程中，區塊鏈技術能借助智能合約的方式，實現對數據的自動化處理、評價與管理。根據技術的要求，每一個區塊鏈是由區塊頭與區塊體兩個部分構成，在區塊頭中，充分運用了時間戳、哈希算法等技術，在區塊體主要采用哈希樹，對該區塊體中的存儲信息的密鑰陣列進行記錄，具體的區塊鏈工作基本結構如圖1 所示。區塊鏈的工作原理并不復雜，主要利用去數據存儲中心化、去信任的方式，對網絡中所有節點利用分布式賬本的方式來維護網絡數據的安全，并由所有的節點共同記錄數據的真實性與安全性等。

2 基于區塊鏈技術網站信息安全分析

2.1 安全技術的選型

圖1：區塊鏈的工作結構

圖2：網站拒絕服務攻擊過程模型

根據區塊鏈技術在網站信息安全中的應，目前區塊鏈主要應用有共鏈、聯盟鏈和私有鏈三種形式，不同的技術形成，在安全性能存在著明顯的區別。例如，比特幣的信息安全采用的是公有鏈區塊鏈技術，采用去中心安全防護結果的方式來保證比特幣的安全，系統安全性是由節點儲存信息的工作量PoW 來保證，不管用戶在任何地方，只要安裝了比特幣錢包，不需要采用身份驗證機制，就可以完成比特幣的交易活動，用戶的交易記錄可以被所有的區塊鏈節點授予可信，因此公有鏈的處理性能較低。聯盟鏈采用的是多中心的節點方式，要求用戶在登錄系統前，先進行身份驗證，在通過驗證后，才能登錄平臺進行交易，相對于公有鏈來說，聯盟鏈的數據交換需要相關節點授權之后，才能進行數據交換，其處理性與安全性更高；私有鏈技術是完全去中心化的區塊鏈技術，在登錄系統時，需要采用多種身份認證，實用的范圍更小，僅僅實用于業務量較小的場景，一般應用于企業內部的數據管理與審計等功能，其安全性更高。對于一般性的門戶網站的管理來說，所用的用戶都希望能夠訪問網站，不需要利用區塊鏈提供授權與準入機制，在一次登錄之后，不需要利用中心節點來記錄用戶的數據與信息，采用區塊鏈公有鏈技術，就能有效的保證網站信息安全的問題。

2.2 安全問題的分析

在網絡貨幣交易中，利用區塊鏈技術的目標是阻斷不同節點之間的信息記錄，減少病毒的攻擊，在網絡交易中最常見的攻擊手段就是雙花（double- spendin）攻擊技術，就是人們常說的雙重支付，也可以說在一次交易中，用戶支付了兩次費用，在區塊鏈技術中，為了避免雙花攻擊，設計了多種節點對交易進行記錄，從節點寫入賬本，一共需要六個區塊，如果經過一個區塊需要10 分鐘，那么這筆交易的完成需要1 個小時，如果用戶發現非法用戶盜取信息，可以撤回相應的交易指令，從而保證用戶的資金安全，但極大的降低了區塊鏈的處理性能。為了提高區塊鏈的處理效率，在一筆交易寫入區塊鏈之前，采用節點自動驗證交易技術，以減少交易信息經過節點而耗費大量的時間，在完成交易驗證后，將交易信息寫入到區塊鏈中，采用這種策略可能存在改變交易完成后，不能被其他節點確認的風險，導致網站信息賬本信息同步性與一致性的出現差異，就會到網站信息效率與安全性難以同時兼顧的問題。

2.3 區塊鏈技術對網站信息安全實現

利用區塊鏈技術在網站信息安全進行保護的同時，還要提高網站對信息處理的性能，以解決網站信息交換過程中出現的雙花攻擊、信息泄露、拒絕服務等網站信息安全管理的問題。

2.3.1 雙花攻擊的防護

在區塊鏈網絡中，針對不同角色的節點動機與功能進行分析，對于發起數據交換的網站節點來說，用戶希望在接收到任意一個新的數據交換或者交易時，能夠立即得到對方的確認并進行數據交換，從而提高交易的效率，而對于攻擊者來說，它的主要攻擊方式是向節點注入兩筆相互矛盾交易信息A1 與A2，這個兩個信息相互矛盾，交易的節點存在明顯的差異。其中，A1 包含正確的交易信息，A2為錯誤的交易信息，攻擊者在攻擊節點時，希望在接收A1 的同時并將A2 注入，這樣A2 就會在節點中進行傳輸，在得到其他節點共識后并進行廣播，導致A1 的信息不能正常被接收，而將A2 寫入到賬本中，形成了網站信息的雙方攻擊。為有效的解決該問題，在區塊鏈安全技術組網中，需要注意如下問題：

（1）將網絡網站作為一個區塊鏈節點，并將網站作為網絡中的節點，并盡可能多的與其他網站互聯，這樣攻擊者無法確定節點與網站之間的連接路徑，就不進將錯誤的信息注入到節點中。

（2）將網站作為一個節點，不能將其與陌生節點連接，可以有效的防止攻擊者不能將攻擊的A2 信息按照A1 的路徑節點進行傳播，即使攻擊者將A2 信息進行網絡傳播時，由于沒有將網站作為攻擊的節點，就會造成A1 與A2 自相矛盾，節點就會記錄正確的信息而忽略A2，而且自動會將A2 作為風險而記入到賬本中；

（3）在區塊鏈安全防護中，將網站作為一個節點時，要防止網站將信息任意轉發，以避免網站陷入一個孤立的狀態，而對于攻擊者來說，為了使網站處于孤立狀態，需要減少網站接收到交易的A1，這樣就能將A2 信息進行網絡廣播，其他節點就容易將不正確的交易信息記入到賬本中，從而影響著交易信息的安全。

2.3.2 拒絕服務攻擊

拒絕服務攻擊影響著用戶正常的訪問網站，為了有效的避免區塊鏈網絡遭受到網絡拒絕服務的攻擊，可以利用攻擊者發送的交易信息A2 來提高網絡攻擊的成本信息，進而能保證網絡有效的通信，具體的實現過程如圖2 所示。

節點A 作為網絡攻擊者，它可以向不同的節點發送攻擊信息，在向網站節點發送A2（包含有錯誤）交易信息時，節點W 是網站的節點，用于接收網站節點的交易信息，A1 是附加的一筆交易的數據信息。為了保證信息的普遍性與一般性，如果A2 的交易信息有效，節點就會利用x 個比特幣進行交易，注入非法的A2 信息，對節點進行攻擊，這樣就增加了節點之間的交易開支，在節點W就會接收到y 個比特幣作為報酬，那么在節點A 的比特幣就剩下x-y-f 個比特幣（f 代表交易支付費用）。在A2 進行交易記錄時，就會觸發另外一筆交易A1，那么節點W 產生的費用需要由A2 得到的y 個比特幣來支付，由于節點的支付能力有限，通過將z 個比特幣作為W 節點的找零，使得節點中的交易額不斷增加，將交易中的y-f-z 個比特幣支付給節點A。但是，如果A2 交易認為有效，那么A1 的交易就要認為有效，這樣節點A 在交易時，就會損失2f+z 個比特幣，也就是說，如果節點A 攻擊成功，節點就會減少2f+z 比特幣，在節點W 需要獲得y+z 個比特幣，如果A2 的交易確認無效，同樣，A1 接收的數據也沒有意義，交易就不會被激活。通過分析可以看出，如果利用這種方法進行攻擊，采用節點支付能力進行控制，在節點A 受到攻擊成功，節點就會損失2f+z 個比特幣，增加節點的支付開銷，在交易手續費f 不變時，如果通提高交易的z 值，就會增加節點A 的攻擊成本，降低了節點之間的交易成本與次數，限制了節點A 攻擊的次數，進而能有效解決網站拒絕訪問的情況。

3 區塊鏈網站信息安全性分析

利用區塊鏈技術對網站信息的保護，主要體現在私密性、完整性和可用性等幾個方面。

3.1 私密性

利用區塊鏈保護網站信息，主要是采用節點之間互信與記賬方式來實現，每個節點只能能私鑰來接受節點的數據信息，在進行授權認可之后，才能進行數據解密，完成節點之間數據的交換，從而能保證網站的數據不會被未授權的用戶來獲取。

3.2 完整性

區塊鏈在網站數據安全時，主要采用哈希算法，將不在同一節點、同一區塊內的多個交互信息組織在一起，如果任意一個數據由細微的修改，最終將會導致哈希值產生較大的變化，攻擊者就不能獲取網站的信息，從而能有效的保證網站信息不會被未授權的攻擊者篡改。

3.3 可用性

利用區塊鏈技術對網站信息進行保護，在網站節點、特別是節點網站組網的過程中，通過上述設計的幾種方法，可以有效的避免雙方攻擊。另外，在網站信息出現錯誤交易A2 的情況，就會通過增加一筆A1 的交易來減少拒絕服務的攻擊，進而能保證網站信息為授權者提供營養，也能有效的保證網站的安全運行。

4 結束語

由于區塊鏈技術具有不可篡改、哈希函數與時間戳的功能，能有效地對網站信息安全進行保護。但是，如果將區塊鏈技術直接應用到網站安全保護中，會增加數據處理的負擔，會降低網站信息的業務處理性能，為了有效的解決網絡中的雙方攻擊，可以合理的設計合理的節點組網方式。還可以利用引入額外交易費用的方法來解決網站拒絕服務攻擊，解決用戶數據交換的安全性問題，保證網站的性能與安全性。