宇宙链 宇宙链
Ctrl+D收藏宇宙链

创宇区块链:传统安全与IPFS间的安全性研究-ODAILY

作者:

时间:1900/1/1 0:00:00

前言

通信技术让世界具备了更多的连接,我们每个人都在这样的连接中被影响和受益着。同时这种连接也产生了更多对于监视需求的便利。许多人的隐私或自由可能会在不经意间受到影响,而这也催生了对于隐私保护的需求。通常,由于中心化服务器的存在,我们很难实现完整的隐私保护,而分布式的存储等技术,则让其成为了可能。

无数的开发者加入了Web3的开发实现中,陆续构建一个又一个伟大的Dapp,他们在普通用户与区块链底层技术中扮演着重要的中间人角色。与此同时,对于普通人接触的最多的web-ui与IPFS,它们之间的安全也值得被探索。

知道创宇区块链安全实验室将对此进行详细解读。

Web-interface与IPFS

1.Web-interface是什么

在Web3.0中,分布式的公链技术设施提供了各种接口供给使用者调用,但这些接口无法直接被普通用户直接去使用。对用户来说,Web-interface是用户和运行在Web服务器上的软件之间的桥梁。用户使用浏览器连接Web-interfacce后进行展示与交互,同时通过钱包进行身份识别。对底层区块链基础设施来说,Web-interface是公链/智能合约的一层封装,将其包装成为友好的页面可直接可用的功能展示给用户。其结构功能类似如下的图片:

2.IPFS是什么

星际文件系统是分布式存储和共享文件的网络传输协议,它将现有的成功系统分布式哈希表、版本控制系统Git、BitTorrent、自认证文件系统与区块链相结合。正是这些系统的综合优势,给IPFS带来了以下显著特性:

1.永久的、去中心化保存和共享文件

2.点对点超媒体:P2P保存各种各样类型的数据

3.版本化:可追溯文件修改历史

4.内容可寻址:通过文件内容生成独立哈希值来标识文件,而不是通过文件保存位置来标识

丹麦监管机构启动欧盟DLT绿色债券试点流程:金色财经报道,丹麦金融监管局(Danish FSA)是首批启动欧盟DLT试点制度的欧盟监管机构之一。由Deon Digital Denmark领导的一组组织将致力于在丹麦FSA沙箱FT Lab内发行代币化绿色债券。6月初,欧盟最终确定了DLT试点制度的规定,该制度将于2023年3月23日生效。它涵盖了股票、债券、货币市场证券和基金等金融工具的加密资产。该法规允许暂时放弃一些证券法规,并针对基于区块链的交易所或多边交易设施(MTF)以及执行这两种功能的结算系统和平台。沙盒将试用一个组合的DLT交易和结算平台。它还将使用Deon Digital现有的绿色债券发行解决方案。(ledgerinsights)[2022/9/23 7:17:15]

当用户将文件添加到IPFS时,该文件会被拆分为更小的块,经过加密哈希处理并赋予内容标识符CID作为唯一指纹;当其他节点查找该文件时,节点会询问对等节点谁存储了该文件CID引用的内容,当查看、下载这份文件时,他们将缓存一份副本——同时成为该内容的另一个提供者,直到他们的缓存被清除。

IPFS使用实例

网站https://ipfs.io提供一个带UI界面的客户端,安装运行后会启动IPFS的服务,显示当前的节点ID、网关和API地址:

我们导入想上传的文件,上传文件成功后会生成该文件的CID信息,通过QmHash我们也能查找到指定的文件:

由于IPFS是分布式存储和共享文件的网络传输协议,因此上传成功的文件被拷贝到其他节点上后,即使我们本地节点主动删除,依然可以在IPFS网络查询到该文件:

数据:过去24小时,DEX平台GMX交易费用超比特币网络转账费用一倍:8月23日消息,据Crypto Fees数据,过去24小时,DEX平台GMX日交易费用为45.79万美元,超过比特币网络转账费用22.6万美元。此外,据DefiLlama数据显示,GMX当前TVL为6亿美元,其中Arbitrum上TVL达5.07亿美元。[2022/8/23 12:42:52]

IPFS中的传统安全问题

根据使用实例,我们知道IPFS允许上传任意类型的文件,由于允许Web访问下载文件的特性,导致攻击者可以像传统安全一样使用HTML或SVG文件实现钓鱼:

以https://IPFS.io网关为例,上传一个Metamask钓鱼网站,由于存储在受信域名里,受害者访问该文件很可能攻击成功:

但由于IPFS只能通过CID查询文件,使得钓鱼攻击的利用面很窄,没办法定向的实施攻击。既然CID是发起定向攻击的关键,那我们回头研究下CID。

联合国贸发会议报告:新冠疫情爆发以来,加密货币生态系统扩大2300%:8月13日消息,联合国贸易和发展会议(UNCTAD)的一份报告显示,印度加密货币持有者占比在世界上排名第七,2021年约有7.3%的印度人拥有加密货币。

在2021年数字货币持有者占人口比例排名前20的经济体中,印度排在美国(8.3%)之后。

乌克兰以12.7%的比例高居榜首,其次是俄罗斯和委内瑞拉,分别为11.9%和10.3%。新加坡(9.4%)和肯尼亚(8.5%)的排名高于美国。

在排名前20的经济体中,有多达15个是发展中经济体和新兴市场经济体。报告强调,在2019年新冠疫情爆发之后,全球加密货币的使用呈指数级增长。

根据UNCTAD的数据,在2019年9月至2021年6月期间,加密货币生态系统扩大了2300%,尤其是在发展中国家。(The Hindu Business Line)[2022/8/13 12:23:35]

IPLD是构建IPFS的数据层,它定义了默克尔链接、默克尔有向无环图(Merkle-DAG)和默克尔路径三种数据类型,通过IPLD发送到IPFS的数据保存在链上,使用者会收到一个CID来访问该数据。

CID是一个由Version、Codec和Multihash三部分组成的字符串,目前分成V0和V1两个版本。V0版采用Base58编码生成CID,V1版包含表明内容的编号种类Codec、哈希算法MhType和哈希长度MhLength共同构成:

`CID::=<multibasetype><cid-version><multicodec><multihash>`

我们以go-cid生成一组CID测试:

packagemain

import(

"fmt"

mc"github.com/multiformats/go-multicodec"

mh"github.com/multiformats/go-multihash"

模块化DeFi协议Encentive的Web3操作系统已集成Alchemy Pay支付功能:6月14日消息,模块化DeFi协议Encentive的Web3操作系统已集成Alchemy Pay支付功能,支持用户通过法定货币和加密货币进入Web3领域,同时,用户可以将他们的加密资金转换为100多种当地法定货币,并直接存入银行账户。据悉,Encentive是一个用于构建DeFi系统的平台,允许企业或者社区使用模块化的组件部署去中心化交易所、高产农业、借贷市场等DeFi项目。[2022/6/14 4:25:41]

cid"github.com/ipfs/go-cid"

)

const(

File="./go.sum"

)

funcmain(){

pref:=cid.Prefix{

Version:0,

Codec:mc.Raw,

MhType:mh.Base58,

MhLength:-1,

}

c,err:=pref.Sum(byte("CIDTest"))

iferr!=nil{...}

fmt.Println("CID:",c)

}

可以看到在生成CID的过程中,无法实现结果的预测和更换,我们再往上分析上传文件的部分。将文件上传到IPFS,通过块的方式保存到本地blockstore的过程位于/go-ipfs-master/core/commands/add.go:

typeAddEventstruct{

Namestring

Hashstring`json:",omitempty"`

Bytesint64`json:",omitempty"`

Sizestring`json:",omitempty"`

以太坊网络当前已销毁237.13万枚ETH:金色财经报道,据Ultrasound数据显示,截止目前,以太坊网络总共销毁2371358.29枚ETH。其中,OpenSea销毁230048.26枚ETH,ETHtransfers销毁220703.56枚ETH,UniswapV2销毁132884.37枚。

注:自以太坊伦敦升级引入EIP-1559后,以太坊网络会根据交易需求和区块大小动态调整每笔交易的BaseFee,而这部分的费用将直接燃烧销毁。[2022/5/28 3:47:38]

}

const(

quietOptionName="quiet"

quieterOptionName="quieter"

silentOptionName="silent"

progressOptionName="progress"

trickleOptionName="trickle"

wrapOptionName="wrap-with-directory"

onlyHashOptionName="only-hash"

chunkerOptionName="chunker"

pinOptionName="pin"

rawLeavesOptionName="raw-leaves"

noCopyOptionName="nocopy"

fstoreCacheOptionName="fscache"

cidVersionOptionName="cid-version"

hashOptionName="hash"

inlineOptionName="inline"

inlineLimitOptionName="inline-limit"

)

把上传文件信息保存到AddEvent对象中,再通过/go-ipfs-master/core/coreunix/add.go里的addALLAndPin和fileAdder.AddFile方法遍历文件路径,读取文件内容,将数据送入块中:

func(adder*Adder)AddAllAndPin(ctxcontext.Context,filefiles.Node)(ipld.Node,error){

ctx,span:=tracing.Span(ctx,"CoreUnix.Adder","AddAllAndPin")

deferspan.End()

ifadder.Pin{//knownsec如果被锁定

adder.unlocker=adder.gcLocker.PinLock(ctx)

}

deferfunc(){

ifadder.unlocker!=nil{

adder.unlocker.Unlock(ctx)

}

}()

iferr:=adder.addFileNode(ctx,"",file,true);err!=nil{

returnnil,err

}

mr,err:=adder.mfsRoot()

iferr!=nil{

returnnil,err

}

varrootmfs.FSNode

rootdir:=mr.GetDirectory()//knownsec获取路径

root=rootdir

err=root.Flush()

iferr!=nil{

returnnil,err

}

_,dir:=file.(files.Directory)

varnamestring

if!dir{

children,err:=rootdir.ListNames(adder.ctx)//knownsec展示当前路径文件名

iferr!=nil{

returnnil,err

}

iflen(children)==0{

returnnil,fmt.Errorf("expectedatleastonechilddir,gotnone")

}

name=children

root,err=rootdir.Child(name)

iferr!=nil{

returnnil,err

}

}

err=mr.Close()

iferr!=nil{

returnnil,err

}

nd,err:=root.GetNode()

iferr!=nil{

returnnil,err

}

err=adder.outputDirs(name,root)

iferr!=nil{

returnnil,err

}

ifasyncDagService,ok:=adder.dagService.(syncer);ok{

err=asyncDagService.Sync()

iferr!=nil{

returnnil,err

}

}

if!adder.Pin{

returnnd,nil

}

returnnd,adder.PinRoot(ctx,nd)

}

最后再利用addFile函数完成文件的上传:

func(adder*Adder)addFile(pathstring,filefiles.File)error{

varreaderio.Reader=file

ifadder.Progress{

rdr:=&progressReader{file:reader,path:path,out:adder.Out}//knonwsec按字节读取文件

iffi,ok:=file.(files.FileInfo);ok{

reader=&progressReader2{rdr,fi}

}else{

reader=rdr

}

}

dagnode,err:=adder.add(reader)//knownsec添加上传文件

iferr!=nil{

returnerr

}

returnadder.addNode(dagnode,path)

}

分析代码发现,IPFS在打包文件上传返回CID的整个过程,都没实现劫持的可能,而成功上传的文件无法实现修改其内容,同样无法实现篡改:

后记

Web3建立在区块链技术之上,无需中央机构即可维护。其允许用户在互联网上保护他们的数据,并允许网络平台的去中心化。而IPFS技术对他来说就如同一台电脑的硬盘,web-ui就如同主机的显示器一样不可或缺,其间亦存在着复杂而多样的安全风险可能给予不法分子可乘之机,理解其风险并避免发生问题是每一位Web3从业人员的责任与义务。

标签:QUOADDNILNAMEQUONDADDYDB币Unilab NetworkNAME价格

火币网下载官方app热门资讯
关于JustLend存款挖矿奖励升级为USDD的公告-ODAILY

为了促进波场TRON生态健康可持续的发展,TRONDAOReserve和JustLend达成战略合作关系。双方将积极探索创新,促进JustLend的多元化发展,为用户提供更高效的服务、更稳定的收益.

1900/1/1 0:00:00
Terra分叉带来黑客「新套利」,Mirror Protocol损失200万美元事件分析-ODAILY

北京时间2022年5月30日21::46:19,,CertiK审计团队监测到一起针对MirrorProtocol的攻击。截至撰稿时,总损失约为200万美元.

1900/1/1 0:00:00
新奇的搜索引擎DAO-ODAILY

推荐理由: 本文介绍了DAO由于其组织结构而具有的特殊能力,能够作为全新的搜索工具帮助组织更好地发展。并且阐述了公司等级制度的优缺点,和DAO组织进行对比,更生动形象的展现出DAO的优点和特殊性.

1900/1/1 0:00:00
攻击事件不断,跨链桥项目何以对应?-ODAILY

Chainalysis发布的数据显示,单单2022年跨链桥掠夺事件所带来的损失就多达20亿美元。跨链桥安全问题层出不穷,每一次的攻击事件,都引发了行业的关注.

1900/1/1 0:00:00
顶峰课堂:RSI-ODAILY

RSI是什么? RSI是RelativeStrengthIndex的缩写,中文常译作相对强弱指数,是应用最为广泛之一的一种技术分析指标。RSI指标由韦尔斯?王尔德创建,于1978年6月首次发表于美国Commodities杂志.

1900/1/1 0:00:00
UST与美元脱钩,LUNA暴跌99.9%-ODAILY

Apr.2022,VincyDataSource:FootprintAnalytics-AlgorithmicStablecoinAnalysisTerraUSD是——尽管“曾经”可能更好——一种算法稳定币.

1900/1/1 0:00:00