主页 > 新闻 > 聚焦 > 正文

技术极客:周鸿祎夸大了360发布的EOS安全漏洞的危害

点评

科技传媒网 互联网转载 网易 2018-06-01 10:02

技术极客:周鸿祎夸大了360发布的EOS安全漏洞的危害,周鸿祎 360 区块链 黑客 网络安全

科技传媒网讯 网易科技新闻 5月30日消息 近日,360发布EOS高危安全漏洞消息。EOS创始人BM回应称,360在故意制造恐慌。周鸿祎回答王峰邀十问时对此表示否认。网易科技在“3点霞客行&EOS踢馆护馆群”中邀请嘉宾,就EOS此次发现安全漏洞问题展开讨论。很多嘉宾认为,区块链技术本身存在很多潜在的安全问题,EOS出现安全漏洞很正常,需要时间不断完善。但是也有嘉宾认为,BM认为360故意制造恐慌的说法,是不敢正视问题,这种态度对技术极度不尊重。

技术极客:周鸿祎夸大了360发布的EOS安全漏洞的危害



嘉宾核心观点提炼

Ruff CEO Roy Li:安全漏洞不会让EOS归零,BM的回应不够尊重技术

安全漏洞虽然在区块链里危害很大,但是我不支持,危险会让EOS归零的说法,也不支持完全无视这种风险,认为安全公司在找茬借机炒作的阴谋论。

区块链潜在的安全问题是很多,比如智能合约、代码级漏洞等问题很容易发生。图灵完备代表足够高的底层自由度,这个自由度会导致逻辑当参数传进去,或是字段边界控制不力导致溢出,或者网络同步,共识节点要承载安全上的压力。节点本身一旦被攻击,恶意行为就可能产生。

一条公链的诞生到成熟,一定是千疮百孔。即便是中心化的系统,如支付宝,也是久病成医的,所以不存在所谓技术上的踢馆。我觉得关键是对漏洞的态度,但如果驱动技术社区的力量对安全的重视和态度不够,就会扭曲黑帽子和白帽子的平衡,攻守平衡被打破,未来的问题只会越来越多。

多年前,有个黑客入侵MySpace , 将入侵过程发邮件告诉MySpace管理层,结果MySpace报警抓人。后来又有个黑客入侵Facebook,同样将过程提交给了zuckerberg,结果被招进了公司,成为了早期员工,这两家公司的命运都可以看到。

网络安全是要专业的人干专业的事。什么叫尊重? 好比有人喊一句all in区块链,然后冲下场发一个空气币,这不叫尊重区块链。360也有过漏洞。我曾经在微博上就爆过360的漏洞。2011年,周鸿祎拉谭晓生跟我聊 ,老谭态度特别好,执行力很强,周鸿祎并没有因此说我炒作。

竞选eos节点的团队,你们以为开一台高防服务器,就等着挖币了吗?你们能扛多大的攻击? 安全措施有方案吗?渗透测试哪家做? 我对BM不评价,最多只是觉得他对ETH事件的有点看法。我觉得还是社区的反应比较过激。BAT的安全团队实力储备是何等强,还是三天两头要救火。EOS临近上线,在安全方面的测试也许需要更完备一些,否则主网上线后损失会更大。

Zformular EosBepal节点技术负责人:EOS社群不应该盲目崇拜BM

Zformular EosBepal节点技术负责人觉得,首先,公链的安全是真枪实弹需要时间来验证的,更需要公链的技术社区共同推动。我对于EOS的期待,就如同09年时许多人对于Bitcoin的期待。希望一个想法、一份技术论文、一份技术白皮书被一个技术社区共同推动 ,共同验证。这个过程中,我们可以容忍狂热的神教徒、投机的炒币者、执着的技术派.....所有人在参与这场实验 。

目前,EOS的安全性面临几个比较突出的问题:

第一个是超级节点被DDOS的风险。

第二个是前期客户端代码致命漏洞。

第三个是技术社区过于集中专制化 。

第四个是整体社区安全意识薄弱。昨天,EOS技术生态的参与者,国内知名的360安全团队,就给整个社区上了生动的一课。 当然,之前的慢雾科技,也在很努力的为社区各节点提供安全建议、测试等。

技术社区心态应该更开放,接纳更多的开发者,已经进入EOS技术生态社区的技术人员不应该盲目崇拜BM及其团队。大家应该站在更利于EOS发展的角度思考,并努力推动EOS技术迭代,极端情况下,我个人认为分叉不失为一种解决方式。对于这个问题我还没有思考很深入,因为涉及到 社区自治方面的问题。希望大家能有更好的建议。

YOYOW公链团队成员ALEX:360发布的漏洞没那么严重

YOYOW公链团队成员ALEX提出,首先说一下BM这位技术大牛,他是唯一一个开发出两个成功的区块链项目Bitshares和Steem,同时也为很多项目贡献过代码,比如boost,以及他所开发的区块链开发框架 - graphene框架。同时BM也是DPOS共识算法的发明者,我并不怀疑BM这个人的技术能力。YOYOW也是选择了graphene框架进行开发。

至于出现的溢出bug,其实任何项目都可能遇到,实际上也是很常见的一类问题。但问题的提出和修复的这个过程也是开源项目的魅力所在。发现了问题,社区提出来,然后进行修复,代码是公开的,比闭源项目更容易找到问题所在,也能更快速修复。

而且就这个问题而言,在一般的通常情况下,是不可能获取root权限。每个BP也应该有自己的安全策略。就这个问题而言,也就是说控制整个节点的可能性并不大,再且要同时控制15个超级节点,这个难度更大。实现的可能性那么小,所以BM也说这是FUD。

本文链接:http://www.itmsc.cn/archives/view-215603-1.html
科技传媒网—致力于推动创新科技发展,专注科技新闻传播的新媒体平台。更多精彩内容请关注微信公众号:gdkjcm

(责任编辑:夏喧)
标签:

1.科技传媒网的原创文章,请转载时务必注明文章作者和"来源:科技传媒网",不尊重原创的行为,科技传媒网都将保留追究责任权益;

2.科技传媒网遵循行业规范,任何转载的稿件都会明确标注作者和来源,对于未注明原作品不得转载的稿件,我方不承担相关责任;

3.科技传媒网倡导尊重与保护知识产权。如发现本站文章存在版权问题,烦请提供版权疑问、身份证明、版权证明、联系方式等发邮件至pepsl@126.com,我们将及时沟通与处理。

4.关于科技传媒网的所有法律事宜,均由本网特聘法律顾问王定忠律师协助处理。

更多科技新闻 相关智库科技新闻阅读
科技传媒网科技要闻

绿地集团与科控全球携手,共创国际商务孵化空间

此次绿地集团与科控全球的携手,对于区域内的产业发展有着深远的意义。

科技传媒网创客必读科技新闻

除了世界级照明航母,小榄还有这么多隐形冠军

早在今年4月份,在木林森2018年度业绩网上说明会上,面对投资者的尖锐问题,木林森董事长孙清焕直接正面刚,豪言今年营收就能过200亿元。

科技传媒网每日精选阅读

三月二十八日

疫情将尽,城市开封,家门开禁,我也结束了疫情诗词的写作。带着诗和狗,我要去远方……

科技传媒网科技专题
第五届520美容师节发布会暨第十届中国美容领袖高峰论坛-科技传媒网
关于科技传媒网

科技传媒网(www.itmsc.cn),由广东省创新科技传媒服务中心主办,以社会需求为导向,搜集关于科技最新最全的时事动态。

微信
微博
RSS