1. 首页
  2. 资讯
  3. 链圈子

技术极客:周鸿祎夸大了360发布的EOS安全漏洞的危害

网易科技讯 5月30日消息 近日,360发布EOS高危安全漏洞消息。EOS创始人BM回应称,360在故意制造恐慌。周鸿祎回答王峰邀十问时对此表示否认。网易科技在“3点霞客行&EOS踢馆护馆群”中邀请嘉宾,就EOS此次发现安全漏洞问题展开讨论。很多嘉宾认为,区块链技术本身存在很多潜在的安全问题,EOS出现安全漏洞很正常,需要时间不断完善。但是也有嘉宾认为,BM认为360故意制造恐慌的说法,是不敢正视问题,这种态度对技术极度不尊重。

技术极客:周鸿祎夸大了360发布的EOS安全漏洞的危害

嘉宾核心观点提炼

Ruff CEO Roy Li:安全漏洞不会让EOS归零,BM的回应不够尊重技术

安全漏洞虽然在区块链里危害很大,但是我不支持,危险会让EOS归零的说法,也不支持完全无视这种风险,认为安全公司在找茬借机炒作的阴谋论。

区块链潜在的安全问题是很多,比如智能合约、代码级漏洞等问题很容易发生。图灵完备代表足够高的底层自由度,这个自由度会导致逻辑当参数传进去,或是字段边界控制不力导致溢出,或者网络同步,共识节点要承载安全上的压力。节点本身一旦被攻击,恶意行为就可能产生。

一条公链的诞生到成熟,一定是千疮百孔。即便是中心化的系统,如支付宝,也是久病成医的,所以不存在所谓技术上的踢馆。我觉得关键是对漏洞的态度,但如果驱动技术社区的力量对安全的重视和态度不够,就会扭曲黑帽子和白帽子的平衡,攻守平衡被打破,未来的问题只会越来越多。

多年前,有个黑客入侵MySpace , 将入侵过程发邮件告诉MySpace管理层,结果MySpace报警抓人。后来又有个黑客入侵Facebook,同样将过程提交给了zuckerberg,结果被招进了公司,成为了早期员工,这两家公司的命运都可以看到。

网络安全是要专业的人干专业的事。什么叫尊重? 好比有人喊一句all in区块链,然后冲下场发一个空气币,这不叫尊重区块链。360也有过漏洞。我曾经在微博上就爆过360的漏洞。2011年,周鸿祎拉谭晓生跟我聊 ,老谭态度特别好,执行力很强,周鸿祎并没有因此说我炒作。

竞选eos节点的团队,你们以为开一台高防服务器,就等着挖币了吗?你们能扛多大的攻击? 安全措施有方案吗?渗透测试哪家做? 我对BM不评价,最多只是觉得他对ETH事件的有点看法。我觉得还是社区的反应比较过激。BAT的安全团队实力储备是何等强,还是三天两头要救火。EOS临近上线,在安全方面的测试也许需要更完备一些,否则主网上线后损失会更大。

Zformular EosBepal节点技术负责人:EOS社群不应该盲目崇拜BM

Zformular EosBepal节点技术负责人觉得,首先,公链的安全是真枪实弹需要时间来验证的,更需要公链的技术社区共同推动。我对于EOS的期待,就如同09年时许多人对于Bitcoin的期待。希望一个想法、一份技术论文、一份技术白皮书被一个技术社区共同推动 ,共同验证。这个过程中,我们可以容忍狂热的神教徒、投机的炒币者、执着的技术派…..所有人在参与这场实验 。

目前,EOS的安全性面临几个比较突出的问题:

第一个是超级节点被DDOS的风险。

第二个是前期客户端代码致命漏洞。

第三个是技术社区过于集中专制化 。

第四个是整体社区安全意识薄弱。昨天,EOS技术生态的参与者,国内知名的360安全团队,就给整个社区上了生动的一课。 当然,之前的慢雾科技,也在很努力的为社区各节点提供安全建议、测试等。

技术社区心态应该更开放,接纳更多的开发者,已经进入EOS技术生态社区的技术人员不应该盲目崇拜BM及其团队。大家应该站在更利于EOS发展的角度思考,并努力推动EOS技术迭代,极端情况下,我个人认为分叉不失为一种解决方式。对于这个问题我还没有思考很深入,因为涉及到 社区自治方面的问题。希望大家能有更好的建议。

YOYOW公链团队成员ALEX:360发布的漏洞没那么严重

YOYOW公链团队成员ALEX提出,首先说一下BM这位技术大牛,他是唯一一个开发出两个成功的区块链项目Bitshares和Steem,同时也为很多项目贡献过代码,比如boost,以及他所开发的区块链开发框架 – graphene框架。同时BM也是DPOS共识算法的发明者,我并不怀疑BM这个人的技术能力。YOYOW也是选择了graphene框架进行开发。

至于出现的溢出bug,其实任何项目都可能遇到,实际上也是很常见的一类问题。但问题的提出和修复的这个过程也是开源项目的魅力所在。发现了问题,社区提出来,然后进行修复,代码是公开的,比闭源项目更容易找到问题所在,也能更快速修复。

而且就这个问题而言,在一般的通常情况下,是不可能获取root权限。每个BP也应该有自己的安全策略。就这个问题而言,也就是说控制整个节点的可能性并不大,再且要同时控制15个超级节点,这个难度更大。实现的可能性那么小,所以BM也说这是FUD。

EOS还在开发过程中,之前的提的issue遇到的问题还更大更多。360这些大厂入局肯定是好事,为EOS和其他公链项目保驾护航也是好事。毕竟开源项目的精神也在这。

原文:网易科技(http://tech.163.com/18/0531/16/DJ59H0HU00097U7R.html)

巴比特资讯经授权转载。

声明:登载此文出于传递更多信息之目的,并不意味着赞同其观点或证实其描述。

发表评论

登录后才能评论