EEA 主网兴趣小组成员 Andreas Freund 博士的意见
区块链有一个很少被提及的问题,它独立于加密市场的起伏,并且可能会阻碍在直接面向消费者和一些 B2B 用例之外的长期区块链采用:区块链加密算法不符合 NIST,这是一个符合 FISMA(联邦信息安全管理法)的主要因素! 当企业与政府打交道或经常与与政府打交道的企业打交道时,NIST/FISMA 合规性或美国以外的等价物是一件大事。
为什么区块链通常不符合 NIST 标准? 嗯,主要原因是区块链的诞生源于对 2008 年大萧条之后政府运营和认可的任何事物的深深不信任。 包括政府认可的密码算法。 无论如何,今天被广泛接受的 SHA-3 哈希算法直到 2015 年才最终确定,因为以太坊等区块链已经对哈希算法做出了选择。 因此,大多数区块链(例如以太坊)使用的算法不仅未经 NIST 批准,而且 NIST 建议不要使用。 请注意,有符合 NIST 的区块链,例如在 IBM 的 LinuxONE 上运行的 Simba-Chain 或 Fabric。 但是,它们成本高,在生产中难以管理[1] 企业在花费数千万美元的咨询和实施费用后了解到。 使成本问题更加复杂的是,它们通常不会产生预期的业务成果,因为所选择的用例一开始就不适合区块链! 下面讨论的主要内容是,任何新的企业区块链方法都必须有效地解决 NIST 合规性以及成本和管理复杂性问题,以吸引新的业务赞助商。
这是否意味着当 NIST 合规性、成本和管理复杂性成为问题时,企业中的区块链一切都没有希望了?
幸运的是,答案是否定的,并非没有希望。 不是微不足道的,但也不是没有希望的。
为了理解这意味着什么,让我们回顾一下基于区块链的应用程序的特点 能够 有:
- 数据的完整性:如果你只需要那个,那么不要使用区块链。 有更便宜的替代品。
- 可证明的时间戳:对于审计跟踪更有趣和有用,例如跨供应链。
- 没有单点故障:如果您需要 100% 的可用性,价格低廉。
- 审查制度阻力:对数据的访问,例如需要由在数据创建时不一定确定的第三方审计的数据,或独立于任何第三方执行(基本上)不可逆转的交易。
- 双花保护:仅当您在区块链上处理数字资产时才相关。 换句话说,你真的很喜欢 DeFi。
- 继承区块链安全保障: 那个很有趣,如果你需要应用程序的可扩展性,同时又需要高安全性。 我们稍后会谈到这一点。
请注意,以上都没有谈到数据隐私,这是企业应用程序需求的无价之宝之一。 但不用担心,您可以实现数据隐私,而无需将业务敏感数据到处公开。 我们稍后也会谈到这一点。
在我们超越自己之前,让我们在这里暂停一下,讨论这些特征如何与 NIST 合规性相关。 乍一看,不多,但让我们仔细研究每个特征并更详细地讨论其含义。 首先,值得一提的是,从政府(例如美国政府)获得运营授权 (ATO) 许可[2],可以使用不符合 NIST 的加密算法,或 NIST 尚未形成意见的算法,只要这些算法不是应用程序安全性及其数据隐私的基础。 例如,您需要证明合同是在特定日期执行的,并且此后没有被更改。 使用区块链,人们将使用合约的(NIST 批准的)加密散列形成加密指纹,然后将该散列锚定在(公共)区块链上,一旦包含在块中,该区块链通过以下组合提供可证明的时间戳块号、块哈希和时间戳。 如果区块链被重组,例如通过 51% 攻击,仍然可以使用合约哈希及其区块进行交易,并将两者包含在另一个(公共)区块链中。 因此,原始(公共)区块链的安全性并不是用例的基础。
考虑到这一点,让我们再次查看每个特征,重点关注其对使用区块链技术的应用程序的 NIST 合规性的影响:
- 数据的完整性:这很容易,因为您始终可以拥有您锚定的相关数据的副本,例如通过区块链上的加密哈希以及另一种形式的数据完整性保护,例如具有 NIST 批准的加密签名算法的防篡改 W3C 可验证凭证.
- 可证明的时间戳: 有点难但可行。 如果使用的链遭到破坏,人们仍然可以使用包含例如文档的 NIST 兼容加密散列及其时间戳的相关交易获取块,并通过另一个区块链上的另一个 NIST 兼容加密散列将整个块与交易锚定; 没有造成真正的伤害。
- 没有单点故障: 好的,所以这有点棘手,因为 NIST 还没有形成关于共识算法的建议。 这意味着只要共识模型有坚实的学术基础,例如安全性的数学证明,它就可以被成功论证,并且我们将其放入不符合 NIST 的桶中。
- 审查制度阻力:这听起来很简单,但因为这意味着(几乎)所有参与者都可以轻松看到数据,所以必须非常小心地对放在区块链上的数据使用正确的混淆方法,以成功地证明数据隐私得到了维护. 所以这有点棘手,但可以克服。 坚持住,马上上来。
- 双花保护:现在这个真的很难,因为它将前面的要点与确定性事务执行、事务验证和块形成结合在一起,这些都错综复杂地依赖于所使用的加密算法。 无需详细说明,如果您需要双重支付保护作为基于区块链的应用程序的关键功能,那么您在 NIST 合规性方面就不走运了……如果您的数字资产诞生于区块链! 我们也将在一秒钟内回到这一点。
- 继承区块链安全保障: 这个好像很清楚。 如果您的安全性严重依赖于底层区块链的安全性,而该区块链的安全性依赖于不符合 NIST 的算法; 故事的结局。 再说一次,没那么快。 问题是什么的安全保证? 如果是针对在区块链上诞生的数字资产,那么答案与双花保护相同。 但是,如果数字资产首先是从区块链创建的,然后才复制到区块链上,那么该数字资产的安全性就不再与底层区块链相关联,我们的论点与可证明的时间戳相同摆脱 NIST 的难题!
鉴于该应用程序的特定用例要求,上述影响评估现在可以用作针对区块链应用程序的 NIST 合规性需求的清单。
在继续并为不符合 NIST 的基于区块链的应用程序提供应用程序蓝图之前,让我们先谈谈数据隐私。 鉴于上述标准和现有的数据隐私法规,即使使用符合 NIST 的加密算法,将加密数据放在区块链上也是一个愚蠢的想法。 那么替代方案是什么?
答案:零知识证明 (ZKP)
ZKP 是关于在不泄露潜在敏感数据的情况下发表声明,例如 ACME 公司的账户余额超过 100,000 美元,或者此折扣代码已正确应用于此订单。
有用的 ZKP 有很多类型——Merkle Proofs、Pedersen Commitments、Bulletproofs、ZK-SNARKs、ZK-STARKs 等等。 关键是在使用 ZKP 时使用符合 NIST 或不符合 NIST 的加密算法。 否则,去吧! ZKP 是企业满足其内部和监管数据隐私要求的绝佳工具。
现在,我们可以就如何构建(非非)符合 NIST 的基于区块链的企业应用程序提出明智的建议——蓝图。
如图所示,我们从顶部的传统企业软件堆栈开始——首先是应用程序层,然后是应用程序抽象层,然后是中间件层——具有所有必需的合规性,例如内置的 NIST 合规性。 在堆栈的底部,我们有一个公共区块链,因为它消除了企业建立复杂联盟的需要,花费大量资金,并允许他们更快地随着新产品的开发而行动。 在中间件和公共区块链层之间,是专注于隐私和速度的“神奇”处理层。 由于堆栈将使用保护隐私的 ZKP,而不是主要使用在公共区块链上创建的数字资产,因此之前对公共区块链使用的担忧突然消失了。 如图左侧的向上和向下箭头所示,随着我们从顶层到底层,即公共区块链,堆栈安全性会增加。 其他三个关键特征——隐私、速度和控制——恰恰相反; 它们从底层增加到顶层,单个企业可以完全控制所有数据,因此即使对于最敏感的数据,也可以在保持高速/可扩展性的同时确保隐私。 然而,这并不意味着隐私、速度和控制在堆栈底部较低,它只是意味着它在堆栈的顶层高于底层。
现在,那个“神奇的”处理层/网络呢?
以下是该层可以使用现有技术来满足企业需求的功能:
- 数据隐私
- 交易的零知识证明
- 强加密(如果需要)
- 最新的密码学技术,例如量子安全算法
- 安保行业
- 当使用锚定在区块链上的正确 ZKP 时,继承公共区块链的安全保证
- 数字资产数据可以通过公共区块链上的 ZKP 直接获得,以便在需要时使用
- 可验证
- 任何人都可以在公共区块链上验证证明
- 证明可以递归地验证所有资产交易和整个资产交易历史
- 在公共区块链上验证证明之前,一切都没有最终确定
- 迅速的
- 交易的并行化
- 通过使用(递归)证明对交易进行批处理来汇总交易
- 每笔交易的成本更低
总之,“魔法”处理层有
- 与使用的公共区块链相同的安全保证,
- 100 – 1000 倍的可扩展性,
- 保证数据可用性,
- 时刻保护隐私,
- 低得多的交易费用,
- 任何人都可以在公共区块链上验证所有证明
- 允许 KYC 和 AML
这听起来好得令人难以置信。 这种技术是否已经存在? 答案是肯定的,Starkware、Aztec、zkSync 等公司正在努力让他们的 ZK-Rollup “Layer 2”技术完全为企业做好准备。 所有这些努力的重点是公共以太坊,因为它提供了最高的安全保证(矿工/验证者的数量和总价值锁定(TVL)),并结合了其执行层中内置的所需加密支持。
当然,这并不是基于区块链的应用程序获得政府 ATO 的唯一可能方法。 然而,这是一种相当简单的方法,而且现在已经很好理解了。
那么这里的网络是什么?
企业现在有
- A 框架 评估用例需求与区块链特性,以及这些需求如何通过可以获得政府 ATO 的基于区块链的企业应用程序来满足。
- A 蓝图 以一种允许他们获得政府 ATO 的方式构建基于区块链的企业应用程序,同时如上图所示,还允许获得额外的好处:
- 更高的信任度 通过公共区块链、公共可验证性和加密强制隐私
- 更低的花费 通过更容易的可审计性(验证 ZKP 既快速又便宜)和第 2 层应用程序中的精美事务批处理(汇总)
- 更快的处理 通过计算的并行化,通过汇总进行更多交易以及更小的区块链占用空间,因为公共区块链在设计上应该很慢以提供更高的安全性
- 更多的灵活性和选择 通过让传统资产支持区块链上的加密资产的能力,第 2 层和公共区块链之间更简单的集成,以及将第 2 层资产轻松扩展到例如现有的 DeFi 生态系统
最后,重要的是要注意,在美国政府的例子中,为信息系统获得 ATO 不仅限于加密工件和加密模块。 这些代表了在获得 ATO 所需的风险管理过程中确定的安全控制的重要部分,如 NIST SP 800-37 Rev 2 和 NIST FIPS-199 中详细列出和解释的那样。 该流程还包括不同使用场景下的用户认证/授权、系统和流程变更控制、灾难恢复和业务连续性等要素。
- SEO 支持的内容和 PR 分发。 今天得到放大。
- 柏拉图区块链。 Web3 元宇宙智能。 知识放大。 访问这里。
- Sumber: https://entethalliance.org/enterprise-blockchains-redux-how-to-be-not-not-nist-compliant-without-breaking-the-bank/
- 000
- 1
- a
- 对,能力--
- 关于
- 以上
- 学者
- ACCESS
- 访问数据
- 账号管理
- 横过
- 法案
- 额外
- 地址
- 采用
- 后
- 驳
- 向前
- 算法
- 算法
- 所有类型
- 允许
- 已经
- 替代
- 替代品
- 时刻
- 锚
- 和
- 另一个
- 回答
- 任何人
- 应用领域
- 应用领域
- 应用的
- 的途径
- 争论
- 论点
- 评定
- 财富
- 办公室文员:
- 审计
- 审计
- 可用性
- 可使用
- 阿兹特克
- B2B模式
- 背部
- 当前余额
- 银行
- 基本上
- 因为
- 如下。
- 好处
- 之间
- 大
- 位
- 阻止
- blockchain
- 区块链的采用
- 区块链应用程序
- 区块链安全
- blockchain技术
- 基于blockchain
- 块链
- 天生的
- 半身裙/裤
- 破坏
- 建立
- 建
- 内建的
- 防弹
- 商业
- 业务连续性
- 关心
- 案件
- 例
- 链
- 链
- 更改
- 特点
- 特点
- 廉价
- 便宜
- 选择
- 选择
- 关闭
- 码
- 组合
- 结合
- 结合
- 如何
- 未来
- 公司
- 复杂
- 复杂
- 符合
- 兼容
- 妥协
- 计算
- 关心
- 关注
- 共识
- 共识算法
- 财团
- 咨询
- CONTACT
- 合同
- 控制
- 控制
- 价格
- 可以
- 创建
- 创建
- 凭据
- 标准
- 加密
- 加密市场
- 加密资产
- 加密
- 加密技术
- data
- 数据隐私
- 日期
- 天
- 处理
- 处理
- 深
- DEFI
- 设计
- 细节
- 详情
- 研发支持
- 不同
- 难
- 数字
- 数字资产
- 数字资产
- 直接
- 灾害
- 已优惠
- 讨论
- 讨论
- 文件
- 美元
- 向下
- ,我们将参加
- 每
- 更容易
- 只
- 工作的影响。
- 或
- 分子
- 加密
- 加密
- 确保
- 企业
- 企业软件
- 企业
- 整个
- 复仇
- 甚至
- 活动
- 一切
- 例子
- 执行
- 现有
- 膨胀
- 预期
- 解释
- 延期
- 布
- 相当
- 高效率
- 专栏
- 联邦
- 费用
- 数字
- 敲定
- 指纹
- (名字)
- 高度灵活
- 专注焦点
- 重点
- Footprint
- 申请
- 训练
- 形成
- 基金会
- 止
- ,
- 充分
- 根本
- 从根本上
- 得到
- 越来越
- 特定
- 给予
- 一览
- Go
- 去
- 非常好
- 政府
- 各国政府
- 抢
- 大
- 团队
- 担保
- 挂
- 发生
- 硬
- 哈希
- 散列
- 相关信息
- 高
- 更高
- 最高
- 创新中心
- How To
- 但是
- HTTPS
- 主意
- 确定
- 影响力故事
- 履行
- 启示
- 重要
- in
- 其他
- 包括
- 包括
- 包括
- 包含
- 增加
- 增加
- 独立
- 表明
- 信息
- 信息安全
- 输入
- 积分
- 诚信
- 兴趣
- 有趣
- 内部
- IT
- 键
- KYC
- 层
- 图层2
- 知道
- 有限
- 已发布
- 长
- 不再
- 看
- 占地
- 低
- 运气
- 制成
- 主要
- mainnet
- 主要
- 使
- 制作
- 管理
- 颠覆性技术
- 许多
- 市场
- 数学的
- 手段
- 满足
- 方法
- 百万
- 介意
- 不信任
- 模型
- 钱
- 更多
- 最先进的
- 移动
- 移动
- 一定
- 必要
- 需求
- 需要
- 全新
- 新产品
- NIST
- 数
- 获得
- 优惠精选
- 一
- 打开
- 操作
- 检讨
- 相反
- 秩序
- 原版的
- 其他名称
- 其它
- 除此以外
- 学校以外
- 克服
- 与会者
- 各方
- 党
- 片
- 地方
- 柏拉图
- 柏拉图数据智能
- 柏拉图数据
- 请
- 点
- 点
- 可能
- 以前
- 车资
- 无价
- 主要
- 隐私
- 市场问题
- 过程
- 处理
- 核心产品
- 证明
- 样张
- 正确
- 保护
- 保护
- 证明
- 提供
- 提供
- 国家
- 公共区块链
- 放
- 把
- 题
- 急速
- 真实
- 原因
- 概括
- 不景气
- 推荐
- 建议
- 建议
- 恢复
- 递归
- 终极版
- 经常
- 法规
- 监管
- 相应
- 复制
- 代表
- 必须
- 岗位要求
- 风险
- 变更管理
- 汇总
- 同
- 可扩展性
- 情景
- 其次
- 保安
- 似乎
- 敏感
- 服务
- SHA-3
- 作品
- 自
- 单
- 放慢
- 小
- So
- 软件
- 固体
- 一些
- 具体的
- 速度
- 花
- 花费
- 赞助单位
- 堆
- 星际软件
- 开始
- 声明
- 留
- 仍
- 故事
- 顺利
- 这样
- 概要
- 供应
- 供应链
- SUPPORT
- 应该
- 系统
- 采取
- 谈论
- 会谈
- 技术
- 技术
- 专业技术
- 该座
- 其
- 因此
- 事
- 事
- 三
- 通过
- 绑
- 次
- 时
- 时间戳
- 至
- 今晚
- 也有
- 工具
- 最佳
- 向
- 传统
- 交易
- 交易费
- 交易
- true
- TVL
- 类型
- 一般
- 下
- 相关
- 理解
- UPS
- us
- 美国政府
- 用法
- 使用
- 用例
- 用户
- 利用
- 利用
- 验证
- 专利
- 确认
- 验证
- 与
- 通过
- 可见
- 唤醒
- 什么是
- 什么是
- 这
- 而
- 广泛
- 将
- 也完全不需要
- 话
- 加工
- 工作小组
- 价值
- 将
- 产量
- 您一站式解决方案
- 和风网
- 零知识
- 零知识证明
- zk汇总
- ZK-SNARKS
- 同步