可信区块链评测到底在测哪些指标 企业选型前花三分钟就能看明白

做区块链安全这行当, 已经干了将近十年的时间了, 所以“可信区块链评测”这么五个字, 是被客户问得最多的一个话题, 其实说白了呢, 这就是给一个区块链的系统来做一个全面的身体检查的意思, 要把密码学底层、共识机制、还有隐私保护以及智能合约等等这些方面都掰开揉碎了去看一下, 最后是要看它们到底能不能扛得住真实环境下的对抗考验。

可信区块链评测怎么做

评测这件事, 绝对不是说跑一下基准测试然后弄出一个分数就结束掉了。

最核心的内容需要去看三个层面: 第一层是密码算法这个技术指标, 看它到底有没有抵挡得住量子攻击的实际能力；第二层是大家常说的共识机制, 要在拜占庭故障出现比例的时候, 看看系统能不能正常达成一致；第三层要看智能合约,重点排查有没有逻辑方面的问题, 还要看权限的使用是不是越界了。

我当时参与过一个政府使用的区块链项目, 有一家厂商拿出来的测试分数特别高, 但是这个合约里面藏着一个重入漏洞的情况, 这个东西一旦运行起来, 整个链条上面的资产状态就会完全变得混乱无序。

真正靠谱的评测必须复现攻击场景, 不能只管给出实验室的理论分数。

可信区块链评测靠谱吗

我要说不客气的一点, 市面上的评价报告大都是做样子的。指标方面列得很多, 但是测试的环境是在封闭的实验室里面跑出来的结果, 如果直接放在生产环境使用的话往往就会出现问题。判断一份评测是否可信的关键之处, 在于它是否愿意公开测试的样例, 以及是否敢于让独立的第三方进行重复验证。

我之前合作过好几家机构, 它们的报告里都会明确地把所谓的未通过项目给写出来, 而绝不只是单纯地去堆积那些看起来好的亮点部分, 只有做到了这一点, 才可以说是真正地在扎实干活。

所以在做选型这一动作的时候, 大家千万不要光去翻那个白皮书, 也不要只盯着参数表看, 应该让供应商把评测报告摊开来讲, 然后你拿着自己的业务场景作为对照标准, 逐条地进行核对和审查一遍, 这个实际的做法比什么宣传册都要管用得多。