امنیت بلاکچین چیست و چگونه تأمین می‌شود؟ راهنمای جامع امنیت شبکه‌های بلاکچینی

بلاکچین معمولاً به‌عنوان فناوری‌ای شناخته می‌شود که امکان ثبت و نگهداری اطلاعات را در یک ساختار توزیع‌شده فراهم می‌کند. یکی از موضوعات مهم درباره این فناوری، نحوه تأمین امنیت اطلاعات و جلوگیری از تغییر غیرمجاز داده‌ها است.

برخلاف یک پایگاه داده متمرکز که ممکن است کنترل اطلاعات آن در اختیار یک سرور یا سازمان مشخص باشد، در بسیاری از شبکه‌های بلاکچینی نسخه‌هایی از دفتر کل میان تعدادی از گره‌ها یا Nodeها توزیع می‌شود. علاوه بر این، فناوری‌هایی مانند رمزنگاری، توابع هش، امضای دیجیتال و الگوریتم‌های اجماع در کنار یکدیگر قرار می‌گیرند تا اعتبار داده‌ها و تراکنش‌ها بررسی شود.

اما آیا این ویژگی‌ها به این معنا هستند که بلاکچین هرگز قابل حمله نیست؟ پاسخ کوتاه، خیر است. امنیت بلاکچین یک مفهوم چندلایه است و باید امنیت خود پروتکل، شبکه، قراردادهای هوشمند، نرم‌افزارها، کیف پول‌ها و رفتار کاربران را از یکدیگر تفکیک کرد.

در ادامه بررسی می‌کنیم که امنیت بلاکچین چگونه شکل می‌گیرد و هرکدام از اجزای این معماری چه نقشی دارند.

هشدار مهم: این مطلب صرفاً با هدف آموزش و افزایش آگاهی درباره فناوری بلاکچین و سازوکارهای امنیتی آن تهیه شده است. مطالب ارائه‌شده به‌معنای توصیه به استفاده از یک شبکه، کیف پول، رمزدارایی یا سرویس خاص نیست. هیچ شبکه بلاکچینی را نمی‌توان به‌طور مطلق و در تمام شرایط «غیرقابل هک» یا «صددرصد امن» دانست و سطح امنیت هر شبکه به معماری، الگوریتم اجماع، تعداد و توزیع مشارکت‌کنندگان، نحوه پیاده‌سازی نرم‌افزار و عوامل متعدد دیگری بستگی دارد.

امنیت بلاکچین چیست؟

امنیت بلاکچین مجموعه‌ای از سازوکارهای فنی و ساختاری است که برای حفظ یکپارچگی داده‌ها، اعتبارسنجی تراکنش‌ها، جلوگیری از تغییرات غیرمجاز و هماهنگی میان مشارکت‌کنندگان شبکه استفاده می‌شود. امنیت در یک شبکه بلاکچینی معمولاً به یک عامل واحد وابسته نیست. چندین فناوری به‌صورت هم‌زمان در ایجاد این ساختار نقش دارند.

برای مثال، توابع هش می‌توانند تغییر داده‌ها را قابل تشخیص کنند، امضاهای دیجیتال امکان اثبات مجوز ایجاد یک تراکنش را فراهم می‌کنند و الگوریتم‌های اجماع به گره‌های شبکه کمک می‌کنند درباره وضعیت معتبر دفتر کل به توافق برسند.

بنابراین امنیت بلاکچین را بهتر است نتیجه تعامل چندین لایه مختلف بدانیم.

هش چیست و چه نقشی در امنیت بلاکچین دارد؟

هش یا Hash یکی از مفاهیم بنیادی در بسیاری از شبکه‌های بلاکچینی است.

تابع هش، داده‌ای با اندازه متغیر را دریافت می‌کند و خروجی‌ای با طول مشخص تولید می‌کند. این خروجی را «هش» می‌نامند. یکی از خصوصیات مهم توابع هش رمزنگاری‌شده این است که حتی یک تغییر کوچک در ورودی می‌تواند خروجی کاملاً متفاوتی ایجاد کند.

فرض کنید اطلاعات یک بلاک دارای یک مقدار هش مشخص باشد. اگر بخشی از اطلاعات آن بلاک تغییر کند، مقدار هش جدید دیگر با مقدار قبلی یکسان نخواهد بود.

این ویژگی به شبکه اجازه می‌دهد تغییر داده‌ها را تشخیص دهد.

در واقع هش را می‌توان نوعی اثر انگشت دیجیتال برای مجموعه‌ای از داده‌ها در نظر گرفت؛ البته هش خودِ داده اصلی نیست و نباید آن را با رمزگذاری اطلاعات یکسان دانست.

تفاوت هش و رمزنگاری چیست؟

هش و رمزنگاری دو مفهوم مرتبط اما متفاوت هستند.

در رمزنگاری، هدف می‌تواند محافظت از اطلاعات یا ایجاد سازوکاری برای احراز اصالت و مجوز باشد. در مقابل، تابع هش داده ورودی را به یک خروجی با طول مشخص تبدیل می‌کند. در بسیاری از کاربردهای رمزنگاری متعارف، داده رمزگذاری‌شده با داشتن کلید مناسب قابل بازیابی است. اما تابع هش رمزنگاری‌شده اصولاً به‌عنوان یک تابع یک‌طرفه طراحی می‌شود و هدف آن بازیابی مستقیم ورودی از خروجی نیست.

دفتر کل توزیع‌شده چه نقشی در امنیت دارد؟

الگوریتم اجماع چیست؟

اگر تعداد زیادی گره مستقل در یک شبکه حضور داشته باشند، یک سؤال مهم ایجاد می‌شود: این گره‌ها چگونه درباره وضعیت صحیح شبکه به توافق می‌رسند؟

اینجاست که الگوریتم‌های اجماع اهمیت پیدا می‌کنند. الگوریتم اجماع مجموعه‌ای از قوانین و فرایندها است که مشخص می‌کند شبکه چگونه درباره وضعیت معتبر دفتر کل و ترتیب تراکنش‌ها به توافق برسد. همه بلاکچین‌ها از یک روش اجماع استفاده نمی‌کنند و قوانین اجماع در شبکه‌های مختلف می‌تواند تفاوت زیادی داشته باشد.

دو نمونه شناخته‌شده عبارت‌اند از:

نکته مهم این است که نباید مفهوم اجماع را به یک قانون ثابت مانند «تأیید ۵۱ درصد کاربران» محدود کرد. سازوکار دقیق رسیدن به اجماع به طراحی هر شبکه بستگی دارد.

امضای دیجیتال چگونه از تراکنش‌ها محافظت می‌کند؟

امضای دیجیتال یکی دیگر از بخش‌های مهم امنیت بلاکچین است.

در بسیاری از شبکه‌های بلاکچینی از رمزنگاری کلید عمومی استفاده می‌شود. در این ساختار، کاربر دارای کلید خصوصی و اطلاعات عمومی مرتبط با آن است. کلید خصوصی باید محرمانه باقی بماند و در اختیار دیگران قرار نگیرد. هنگامی که کاربر قصد ایجاد یک تراکنش را دارد، می‌تواند با استفاده از کلید خصوصی خود یک امضای دیجیتال ایجاد کند. شبکه سپس می‌تواند براساس سازوکار رمزنگاری مربوطه بررسی کند که امضا معتبر است یا خیر. این فرایند بدون نیاز به افشای خود کلید خصوصی انجام می‌شود.

به زبان ساده، امضای دیجیتال به شبکه کمک می‌کند بررسی کند که تراکنش با مجوز رمزنگاری‌شده معتبر ایجاد شده است.

آیا بلاکچین ناشناس است؟

یکی از برداشت‌های رایج این است که کاربران بلاکچین کاملاً ناشناس هستند. این تصور درباره همه شبکه‌ها دقیق نیست.

در بسیاری از بلاکچین‌های عمومی، تراکنش‌ها و آدرس‌ها قابل مشاهده هستند. آدرس بلاکچینی لزوماً نام و مشخصات واقعی شخص را مستقیماً نمایش نمی‌دهد، اما این موضوع به معنای ناشناس‌بودن کامل نیست. در برخی موارد، تحلیل داده‌های عمومی شبکه و ارتباط آن‌ها با اطلاعات خارج از بلاکچین می‌تواند به ایجاد ارتباط میان یک آدرس و یک هویت منجر شود.

به همین دلیل برای بسیاری از شبکه‌های عمومی، اصطلاح «نام مستعار» یا Pseudonymous دقیق‌تر از «کاملاً ناشناس» است.

شفافیت بلاکچین چگونه با امنیت ارتباط دارد؟

در بلاکچین‌های عمومی، بخش قابل‌توجهی از اطلاعات شبکه برای کاربران قابل بررسی است. این شفافیت باعث می‌شود تراکنش‌ها، بلاک‌ها و برخی اطلاعات شبکه توسط افراد و ابزارهای مختلف بررسی شوند.

برای مثال، Block Explorerها می‌توانند امکان مشاهده اطلاعات عمومی مربوط به بلاک‌ها، تراکنش‌ها و آدرس‌ها را فراهم کنند.

شفافیت می‌تواند قابلیت حسابرسی داده‌های روی زنجیره را افزایش دهد، اما نباید آن را با حفظ کامل حریم خصوصی یکسان دانست. در واقع شفافیت و حریم خصوصی دو مفهوم جداگانه هستند و نحوه ایجاد تعادل میان آن‌ها در شبکه‌های مختلف متفاوت است.

قراردادهای هوشمند چه ارتباطی با امنیت بلاکچین دارند؟

قرارداد هوشمند برنامه‌ای است که روی برخی شبکه‌های بلاکچینی اجرا می‌شود و مجموعه‌ای از قوانین و منطق را در قالب کد پیاده‌سازی می‌کند.

قراردادهای هوشمند می‌توانند عملیات مشخصی را براساس شرایط تعریف‌شده انجام دهند، اما وجود آن‌ها روی یک بلاکچین به معنای بدون خطا بودن کد نیست. ممکن است یک شبکه بلاکچینی در سطح پروتکل به‌درستی فعالیت کند، اما یک قرارداد هوشمند مستقر روی همان شبکه دارای آسیب‌پذیری برنامه‌نویسی باشد. بنابراین باید امنیت شبکه و امنیت قرارداد هوشمند را از یکدیگر تفکیک کرد.

آیا بلاکچین قابل هک است؟

هیچ فناوری متصل به نرم‌افزار، شبکه و کاربران را نباید به‌طور مطلق «غیرقابل هک» دانست.

اما وقتی درباره هک بلاکچین صحبت می‌شود باید ابتدا مشخص شود منظور کدام لایه است. bحمله به سازوکار اجماع یک شبکه با سرقت کلید خصوصی یک کاربر، وجود باگ در یک قرارداد هوشمند یا نفوذ به یک سرویس متمرکز متصل به بلاکچین یکسان نیست. گاهی در اخبار از عبارت «هک بلاکچین» استفاده می‌شود، درحالی‌که رخداد اصلی مربوط به یک کیف پول، پل بلاکچینی، قرارداد هوشمند یا زیرساخت جانبی بوده است. این تفکیک برای درک درست امنیت بلاکچین اهمیت زیادی دارد.

آیا غیرمتمرکز بودن همیشه به معنای امنیت بیشتر است؟

غیرمتمرکز بودن یکی از مؤلفه‌های مهم بسیاری از بلاکچین‌ها است، اما نمی‌توان صرفاً با مشاهده برچسب «غیرمتمرکز» درباره امنیت یک شبکه نتیجه‌گیری کرد. برای ارزیابی یک شبکه باید نحوه توزیع اعتبارسنج‌ها، زیرساخت گره‌ها، قدرت تصمیم‌گیری، توسعه نرم‌افزار، الگوریتم اجماع و عوامل متعدد دیگری را بررسی کرد. ممکن است یک شبکه از نظر تعداد گره‌ها گسترده باشد اما بخش بزرگی از قدرت اعتبارسنجی آن در اختیار تعداد محدودی از بازیگران قرار داشته باشد. بنابراین تمرکززدایی یک مفهوم طیفی است و باید براساس معیارهای مختلف بررسی شود.

مهم‌ترین لایه‌های امنیت بلاکچین

برای درک بهتر موضوع می‌توان امنیت بلاکچین را به چند لایه تقسیم کرد:

امنیت بلاکچین با امنیت کیف پول یکسان نیست

یکی از مهم‌ترین نکاتی که کاربران باید بدانند تفاوت میان امنیت شبکه و امنیت کیف پول است.

ممکن است خود شبکه بلاکچین بدون مشکل در حال فعالیت باشد، اما دستگاه کاربر آلوده شده باشد یا اطلاعات حساس کیف پول در اختیار شخص دیگری قرار گرفته باشد. در چنین شرایطی، مشکل الزاماً از بلاکچین نیست. همین مسئله درباره صرافی‌ها، برنامه‌های غیرمتمرکز، افزونه‌های مرورگر و قراردادهای هوشمند نیز وجود دارد. هرکدام از این اجزا سطح امنیتی مستقل خود را دارند.

مهم‌ترین نکات امنیتی برای کاربران

حتی در شبکه‌ای که از سازوکارهای امنیتی قدرتمندی استفاده می‌کند، رفتار کاربر همچنان اهمیت زیادی دارد.

• عبارت بازیابی و کلید خصوصی نباید در اختیار دیگران قرار گیرد. این اطلاعات باید محرمانه باقی بمانند.

• آدرس وب‌سایت‌ها و برنامه‌ها باید بررسی شود. صفحات جعلی می‌توانند با ظاهر مشابه سرویس اصلی برای سرقت اطلاعات طراحی شوند.

• درخواست امضا باید پیش از تأیید بررسی شود. اتصال کیف پول، امضای پیام و تأیید تراکنش سه عملیات یکسان نیستند.

• نرم‌افزارها باید از منابع معتبر دریافت شوند. نسخه‌های جعلی کیف پول‌ها یا افزونه‌ها می‌توانند خطر امنیتی ایجاد کنند.

• شبکه مقصد و آدرس دریافت باید بررسی شوند. تراکنش‌های بلاکچینی در بسیاری از شرایط به‌سادگی قابل بازگردانی نیستند.

• عبارت بازیابی نباید در وب‌سایت‌های ناشناس وارد شود. درخواست Seed Phrase از سوی یک صفحه اینترنتی می‌تواند نشانه مهمی از خطر باشد.

تفاوت امنیت شبکه با امنیت کاربر

این جدول نشان می‌دهد که امنیت بلاکچین فقط مسئولیت پروتکل نیست. بخشی از امنیت به طراحی شبکه مربوط است و بخش دیگری به نحوه تعامل کاربران و نرم‌افزارهای جانبی با شبکه ارتباط دارد.

آیا تراکنش بلاکچینی قابل برگشت است؟

این موضوع به شبکه و شرایط آن بستگی دارد، اما در بسیاری از بلاکچین‌ها پس از نهایی‌شدن تراکنش، سازوکاری شبیه لغو تراکنش در سامانه‌های متمرکز وجود ندارد. به همین دلیل بررسی آدرس، شبکه و جزئیات تراکنش پیش از تأیید اهمیت زیادی دارد. البته مفهوم Finality یا نهایی‌شدن در همه بلاکچین‌ها یکسان نیست. برخی شبکه‌ها دارای نهایی‌شدن احتمالی و برخی دارای سازوکارهای متفاوتی برای نهایی‌شدن تراکنش‌ها هستند.

آیا همه بلاکچین‌ها سطح امنیت یکسانی دارند؟

خیر.

استفاده از عنوان «بلاکچین» به‌تنهایی تضمین‌کننده سطح مشخصی از امنیت نیست. معماری پروتکل، الگوریتم اجماع، تعداد و توزیع اعتبارسنج‌ها، سابقه فعالیت شبکه، کیفیت پیاده‌سازی نرم‌افزار، میزان تمرکز، فرایند توسعه و نحوه مدیریت آسیب‌پذیری‌ها می‌توانند در ارزیابی امنیت یک شبکه نقش داشته باشند. به همین دلیل نمی‌توان ویژگی‌های امنیتی یک بلاکچین را بدون بررسی به تمام شبکه‌های دیگر تعمیم داد.

جمع‌بندی

امنیت بلاکچین حاصل یک فناوری واحد نیست، بلکه نتیجه همکاری مجموعه‌ای از سازوکارهای رمزنگاری، ساختاری و شبکه‌ای است.

توابع هش به تشخیص تغییر داده‌ها کمک می‌کنند، امضاهای دیجیتال امکان بررسی مجوز ایجاد تراکنش را فراهم می‌کنند، الگوریتم‌های اجماع به گره‌ها برای رسیدن به وضعیت معتبر شبکه کمک می‌کنند و ساختار توزیع‌شده باعث می‌شود کنترل داده‌ها الزاماً به یک نقطه واحد محدود نباشد. بااین‌حال، بلاکچین را نباید فناوری‌ای با امنیت مطلق دانست. پروتکل شبکه، قرارداد هوشمند، کیف پول، برنامه غیرمتمرکز، زیرساخت جانبی و رفتار کاربر هرکدام لایه امنیتی جداگانه‌ای دارند. در نتیجه، زمانی که درباره «امنیت بلاکچین» صحبت می‌کنیم، مهم‌ترین پرسش این نیست که آیا بلاکچین قابل هک است یا خیر؛ بلکه باید مشخص کنیم درباره کدام شبکه، کدام لایه و کدام نوع تهدید صحبت می‌کنیم. درک همین تفاوت‌ها کمک می‌کند ساختار امنیت شبکه‌های بلاکچینی را دقیق‌تر و فنی‌تر بررسی کنیم.