2020论文在线号No.15 CHINESE JOURNAL OF COMPUTERS 1 020Online No 15 基于区块链的网络安全体系结构 与关键技术研究进展 徐恪12)凌思通李琦2)吴波4沈蒙”张智超2)姚苏刘昕6李琳 清华大学计算机科学与技术系北京 2(北京信息科学与技术国家研究中心北京100084) (清华大学网络科学与网络空间研究院北京100084) )(华为技术有限公司2012实验室北京10085) 5(北京理工大学计算机学院北京1081) (咪咕文化科技有限公司北京10008 摘要随着互联网技术的不断演进与用户数量的“爆炸式”增长,网络作为一项基础设施渗透于人们生存、生活的各个方 面,其安全问题也逐渐成为人们日益关注的重点。然而,随着网络规模的扩大以及攻击者恶意行为的多样化复杂化,传统网 络安全体系架构及其关键技术已经暴露出单点信任、部署困难等诸多问题,而具备去中心化、不可篡改等特性的区块链技术 为网络安全所面临的挑战提供了新的解决思路。本文对近几年基于区块链的网络安全体系结构与关键技术研究进行梳理,将 这些研究从TCPP网络体系结构的角度划分为网络层安全、应用层安全以及支撑整个网络安全体系结构的PKI安全三个部 分,并将区块链在这些研究中所产生的作用归类为真实存储、真实计算、真实激励三种情形。针对区块链的具体应用领域 本文首先介绍了该领域的安全现状,然后对区块链的具体应用进行了介绍,并结合区块链的特点分析了区块链技术在该领域 所存在的优势。本文最后结合现有的解决思路对未来区块链应用中所需要注意的隐私问题、可扩展性问题、安全问题以及区 块链结构演进的方向进行了分析,并对未来基于区块链的网络安全体系结构与关键技术研究进行了展望 关键词区块链;网络安全体系结构;网络层安全;应用层安全:PKI安全 中图法分类号TP393 Research progress of network security architecture and key technologies based on blockchain XU Ke 2) LING Si-Tong )2)LI Qi2)3) WU Bo" SHEN Meng )ZHANG Zhi-Chao) 2) Yao Su"2) LIU Xing 6) LILin ( Department of Computer Science and Technology, Tsinghua University, Beijing 100084) (Beijing National Research Center for Information Science and Technology, Beijing 100084) Institute for Network Science and Cyberspace, Tsinghua University, Beijing 100084) '(2012 Labs, Huawei Technology Co Ltd, Beijing 100085) ' School of Computer Science, Beij ing Institute of Technology, Beijing 100081 '(Migu Culture Technology Co, Ltd, Beijing 100088) 本课题得到国家重点研发计划课题(2018￥FB0803405)国家杰出青年科学基金(61825204)、国家自然科学基金(61932016,6180222)、北京高校卓越 青年科学家计划项目( BJJWZYJE1201910003011)、国家研究中心项目(BNR2019RC0101)、华为技术有限公司委托项目(HF201905003)资助徐恪(通 信作者),男,1974年生,博士,教授,博士生导师,主要研究领域为互联网体系架构、高性能路由器、PP网络、物联网和网络经济学F-mal xuke amail tsinghua. edu. cn凌思通,男,1997年生,硕士研究生,主要研究领域为区块链与网络安全E- mail: lingsi8 @mails. tsinghua. edu. cn李琦 男,1979年生,博士,副研究员,主要研究方向为网络安全、隐私保护、大数据安全等E-mail:qili@)tsinghua.edu.cn
第 43 卷 计 算 机 学 报 Vol. 43 2020 论文在线号 No.15 CHINESE JOURNAL OF COMPUTERS 2020Online No.15 ——————————————— 本课题得到国家重点研发计划课题(2018YFB0803405)、国家杰出青年科学基金(61825204)、国家自然科学基金(61932016, 61802222)、北京高校卓越 青年科学家计划项目(BJJWZYJH01201910003011)、国家研究中心项目(BNR2019RC01011)、华为技术有限公司委托项目(HF2019015003)资助. 徐恪(通 信作者)，男，1974年生，博士，教授，博士生导师，主要研究领域为互联网体系架构、高性能路由器、P2P网络、物联网和网络经济学.E-mail: xuke@mail.tsinghua.edu.cn. 凌思通，男，1997年生，硕士研究生，主要研究领域为区块链与网络安全. E-mail: lingst18@mails.tsinghua.edu.cn. 李琦， 男，1979年生，博士，副研究员，主要研究方向为网络安全、隐私保护、大数据安全等. E-mail: qi.li@sz.tsinghua.edu.cn. 基于区块链的网络安全体系结构 与关键技术研究进展 徐恪 1),2) 凌思通 1),2) 李琦 2),3) 吴波 4) 沈蒙 5) 张智超 1),2) 姚苏 1),2) 刘昕 6) 李琳 6) 1) (清华大学计算机科学与技术系 北京 100084) 2) (北京信息科学与技术国家研究中心 北京 100084) 3) (清华大学网络科学与网络空间研究院 北京 100084) 4) (华为技术有限公司 2012 实验室 北京 100085) 5) (北京理工大学计算机学院 北京 100081) 6) (咪咕文化科技有限公司 北京 100088) 摘 要 随着互联网技术的不断演进与用户数量的“爆炸式”增长，网络作为一项基础设施渗透于人们生存、生活的各个方 面，其安全问题也逐渐成为人们日益关注的重点。然而，随着网络规模的扩大以及攻击者恶意行为的多样化复杂化，传统网 络安全体系架构及其关键技术已经暴露出单点信任、部署困难等诸多问题，而具备去中心化、不可篡改等特性的区块链技术 为网络安全所面临的挑战提供了新的解决思路。本文对近几年基于区块链的网络安全体系结构与关键技术研究进行梳理，将 这些研究从 TCP/IP 网络体系结构的角度划分为网络层安全、应用层安全以及支撑整个网络安全体系结构的 PKI 安全三个部 分，并将区块链在这些研究中所产生的作用归类为真实存储、真实计算、真实激励三种情形。针对区块链的具体应用领域， 本文首先介绍了该领域的安全现状，然后对区块链的具体应用进行了介绍，并结合区块链的特点分析了区块链技术在该领域 所存在的优势。本文最后结合现有的解决思路对未来区块链应用中所需要注意的隐私问题、可扩展性问题、安全问题以及区 块链结构演进的方向进行了分析，并对未来基于区块链的网络安全体系结构与关键技术研究进行了展望。 关键词 区块链；网络安全体系结构；网络层安全；应用层安全；PKI 安全 中图法分类号 TP393 Research progress of network security architecture and key technologies based on blockchain XU Ke 1),2) LING Si-Tong 1),2) LI Qi 2),3) WU Bo 4) SHEN Meng 5) ZHANG Zhi-Chao 1),2) Yao Su1),2) LIU Xing 6) LI Lin 6) 1) (Department of Computer Science and Technology, Tsinghua University, Beijing 100084) 2) (Beijing National Research Center for Information Science and Technology, Beijing 100084) 3) ( Institute for Network Science and Cyberspace, Tsinghua University, Beijing 100084) 4) (2012 Labs, Huawei Technology Co. Ltd. , Beijing 100085) 5) ( School of Computer Science, Beijing Institute of Technology, Beijing 100081) 6) (Migu Culture Technology Co., Ltd , Beijing 100088)
徐恪等:基于区块链的网络安全体系结构与关键技术研究进展 2020年 Abstract With the continuous evolution of Internet technology and the explosively increasing number of users the network has penetrated all aspects of people's lives, and its security has gradually become the focus of peoples attention. Researchers have been doing much research on network security. However, with the expansion of network scale and the diversification of attackers' misbehaviors, some drawbacks have been exposed to traditional network security architecture and its key technologies. For example, most of today's network security infrastructure, such as PKI and RPKl, are all realized as a centralized architecture. And the effectiveness of cybersecurity measures are based on the trust in these centralized architectures, which exposes serious single-point of trust issues. The incidents of Dutch CA certificate provider DigiNotar hacked to issue the malicious certificate for more than 500 websites, and Symantec's misinformation of more than 30,000 certificate extension vouchers indicate that once these trust centers have problems, it will have a severe impact on the entire Internet. Secondly, since the early design of network architecture did not take security into account too much, the deployment of many later proposed security mechanisms not only require modifications to existing network protocols but also affect the efficiency of network operation, which cause difficulties in the actual deployment of hese security mechanisms. Besides, with the advent of the era of lot, the complexity of the network will continue to expand, and network security construction should be participated by many organizations and even the whole people. However, there is a lack of a trustworthy incentive mechanism to coordinate the cooperatio between different organizations and mobilize the enthusiasm of users to participate in the network security construction. Nowadays, there is no good solution for these disadvantages, but emerging technology blockchain provides new solutions. Blockchain is a trustworthy distributed database that integrates p2P technology cryptography, consensus mechanism, and distributed storage technology. Its characteristics, such as decentralization, immutability, and auditability, have led researchers to apply it to network security and generate much research. This paper summarizes these research works and divides them into three areas from the perspective of the TCP/IP network architecture: network-layer security, application-layer security, and PKI security. And categorize the role of blockchain in network security applications into three situations: true storage, true computing, and true incentives. Specific application areas include collaborative intrusion detection, inter-domain routing security, Vulnerability detection crowdsourcing, access control, and PKI security. For each specific application field of blockchain, this paper first introduces the security status of the field, then introduces the research of blockchain in this field, and finally analyzes the advantages of blockchain technology applied in this field. At the end of the paper, we analyze the four aspects of privacy issues, scalability issues, security issues, and structure evolution direction that should be paid attention to in blockchain applications. And prospect the future network security architecture and key technologies based on blockchain Key words blockchain; network security architecture; network-layer security; application-layer security, PKI 了严峻的挑战。从2018年2月黑客攻击韩国冬奥 引言 会致使会场网络中断到2018年8月全球最大的半 导体制造商台积电遭受 WannaCry恶意病毒袭击。, 自从1969年 ARPANET正式投入运行,互联再到2018年底万豪酒店集团五亿客户隐私数据泄 网已经发展了50余年,从最初的仅有4个节点到 如今全球接近44亿网络用户,从最初仅用于军事 研究目的到如今“互联网+”涵盖各个领域,互联 O Hackers Targeted the W o'embarraSs'southKoreahttp://time.com/5155234/hackers-t 网已经作为一项基础设施渗透于人们生存、生活的 rgeted-pveongchang-opening-ceremony 2018, 2, 13 各个方面。然而,互联网技术在为人们带来诸多便 2 TSMC Chip Maker Blames WannaCry Malware for Producti Halt.https://thehackernews.com/2018/08/tsmc-wannacry-ran 利的同时,其安全隐患也给人们的生活、财产带来
2 徐 恪等：基于区块链的网络安全体系结构与关键技术研究进展 2020 年 Abstract With the continuous evolution of Internet technology and the explosively increasing number of users, the network has penetrated all aspects of people's lives, and its security has gradually become the focus of people's attention. Researchers have been doing much research on network security. However, with the expansion of network scale and the diversification of attackers' misbehaviors, some drawbacks have been exposed to traditional network security architecture and its key technologies. For example, most of today's network security infrastructure, such as PKI and RPKI, are all realized as a centralized architecture. And the effectiveness of cybersecurity measures are based on the trust in these centralized architectures, which exposes serious single-point of trust issues. The incidents of Dutch CA certificate provider DigiNotar hacked to issue the malicious certificate for more than 500 websites, and Symantec's misinformation of more than 30,000 certificate extension vouchers indicate that once these trust centers have problems, it will have a severe impact on the entire Internet. Secondly, since the early design of network architecture did not take security into account too much, the deployment of many later proposed security mechanisms not only require modifications to existing network protocols but also affect the efficiency of network operation, which cause difficulties in the actual deployment of these security mechanisms. Besides, with the advent of the era of IoT, the complexity of the network will continue to expand, and network security construction should be participated by many organizations and even the whole people. However, there is a lack of a trustworthy incentive mechanism to coordinate the cooperation between different organizations and mobilize the enthusiasm of users to participate in the network security construction. Nowadays, there is no good solution for these disadvantages, but emerging technology blockchain provides new solutions. Blockchain is a trustworthy distributed database that integrates P2P technology, cryptography, consensus mechanism, and distributed storage technology. Its characteristics, such as decentralization, immutability, and auditability, have led researchers to apply it to network security and generate much research. This paper summarizes these research works and divides them into three areas from the perspective of the TCP/IP network architecture: network-layer security, application-layer security, and PKI security. And categorize the role of blockchain in network security applications into three situations: true storage, true computing, and true incentives. Specific application areas include collaborative intrusion detection, inter-domain routing security, Vulnerability detection crowdsourcing, access control, and PKI security. For each specific application field of blockchain, this paper first introduces the security status of the field, then introduces the research of blockchain in this field, and finally analyzes the advantages of blockchain technology applied in this field. At the end of the paper, we analyze the four aspects of privacy issues, scalability issues, security issues, and structure evolution direction that should be paid attention to in blockchain applications. And prospect the future network security architecture and key technologies based on blockchain. Key words blockchain; network security architecture; network-layer security; application-layer security; PKI security 1 引言 自从 1969 年 ARPANET 正式投入运行，互联 网已经发展了 50 余年，从最初的仅有 4 个节点到 如今全球接近 44 亿网络用户，从最初仅用于军事 研究目的到如今“互联网+”涵盖各个领域，互联 网已经作为一项基础设施渗透于人们生存、生活的 各个方面。然而，互联网技术在为人们带来诸多便 利的同时，其安全隐患也给人们的生活、财产带来 了严峻的挑战。从 2018 年 2 月黑客攻击韩国冬奥 会致使会场网络中断①到 2018 年 8 月全球最大的半 导体制造商台积电遭受 WannaCry 恶意病毒袭击②， 再到 2018 年底万豪酒店集团五亿客户隐私数据泄 ① Hackers Targeted the Winter Olympics Opening Ceremony t o „Embarrass‟ South Korea. http://time.com/5155234/hackers-t argeted-pyeongchang-opening-ceremony 2018,2,13 ② TSMC Chip Maker Blames WannaCry Malware for Producti on Halt. https://thehackernews.com/2018/08/tsmc-wannacry-ran somware-attack.html 2018,8,7
徐恪等:基于区块链的网络安全体系结构与关键技术研究进展 露°,各种网络安全事件都表明,一旦网络遭受攻的前期工作同样也只是集中在物联网安全领域, 击,将对人们的生活造成极其严重的影响。因此,对基于区块链的应用前景进行了描述,认为区块链 如何确保网络安全是网络发展的重点研究对象。去中心化的特点与物联网( Internet of Thing,oT) 直以来,研究者们在网络安全领域开展了大分布式的特点相适应,且区块链强大的算力储备能 量的研究工作,但是随着网络规模的扩大以及恶意弥补loT设备资源受限的窘境。Chen等人的工作 攻击行为的多样化复杂化,传统网络安全体系结构则主要是对区块链在域间路由安全的应用研究进 与关键技术己经暴露出诸多弊端。首先,如今的大行介绍,Tara等人的工作虽然对基于区块链的安 部分网络安全基础设施都是基于中心化的体系架全服务进行介绍,但并不是主要针对网络安全领 构,例如公钥基础设施( Public Key Infrastructure,域,其中主要涉及PKI、数据隐私、溯源三个方面。 PKⅠ)和资源公钥基础设施( Resource pkl,RPKⅠ)。与本文最相似的一篇综述则是来自于2018年陈烨 然而,作为许多现有网络安全技术的信任中心,这等人的工作国,该文章主要介绍了区块链在网络数 些网络安全基础设施却暴露出了严重的单点信任据安全和隐私保护、物联网设备的权限管理以及 问题(如单点作恶、操作失误等)。荷兰CA安全DDoS防御三方面的应用,然而该文章所涉及的区 证书提供商 Diginotar遭受入侵为超过500个冈站块链应用场景较少,且并没有对这些应用研究进行 发布恶意证书,以及证书颁发机构赛门铁克误发分类梳理,也没能对区块链应用于网络安全所要注 超过三万个证书扩展凭证等事件都表明,一旦这意的问题进行分析。本文对近几年基于区块链的网 些信任中心发生事故,将对整个互联网造成严重的络安全体系结构与关键技术研究进行梳理,以 影响。其次,由于网络架构的早期设计并没有详细TCP/P网络体系架构为基准,从网络层安全、应用 考虑安全问题,而许多后来提出的安全机制(例如层安全以及PKI安全三个方面介绍了基于区块链的 DNSsec和 BGPsecl)不仅需要对现有网络协议进网络安全体系结构与关键技术研究的最新进展;然 行改动,而且还会严重影响网络的运行效率,从而后对区块链引入的隐私问题、可扩展性问题、安全 造成这些机制实际部署上的困境;此外,随着万物问题以及区块链结构演进的方向进行了分析,并结 互联时代的到来,网络的复杂度将持续扩大,网络合现有的解决思路对未来应用研究进行了展望。 安全建设应该由现阶段的不同组织独立参与发展 本文后续组织如下:第二节对区块链体系结构 为多组织协同参与甚至全民参与,然而目前还缺乏与原理进行了介绍;第三节对区块链在网络安全的 套可信的激励机制来协调不同组织之间的合作应用进行了概述;第四节对区块链在网络层安全的 并调动大家参与网络安全建设的积极性。针对这些应用具体展开了介绍:第五节对区块链在应用层安 问题,区块链技术的出现提供了新的解决思路。 全的应用具体展开了介绍;第六节对区块链在PKI 块链是一种集成了P2P技术、密码学、共识安全的应用具体展开了介绍;第七节针对区块链应 机制以及分布式存储技术的可信分布式数据库,并用在网络安全过程中所需要注意的隐私问题、可扩 且具有可审计、去中心化、不可篡改等特点。正展性问题、安全问题以及区块链结构演进方向进行 是这些特点促使大量研究人员在基于区块链的网了分析与展望;最后对全文进行了总结 络安全体系结构与关键技术方面开展研究工作。然 而,现阶段却缺乏对这些研究进行系统性梳理的工2区块链体系结构 作,最早的一篇相关工作来自2017年赵阔等人向 但该文章主要针对物联网安全领域,因此没能对区 区块链这一概念最早起源于2008年中本聪发 块链在网络安全领域的应用进行系统性介绍;我们布的比特币白皮书9,之后分别经历了以太坊为 代表的智能合约时代和 Hyperledger为代表的联 ①史上规模最大!万豪旗下酒店发生5亿客户信息被泄露.htp 盟链时代的发展,如今区块链已经应用到了数字货 币、供应链管理、云游戏等各个领域,其体系结构 l2018,12,1 也呈现出了一种多元化的趋势,但总体上可以概括 2Diginotar.https:/en.wikipediaorg/wiki/diginotar 为数据层、网络层、共识层、智能合约层、应用层 3 Google takes Symantec to the woodshed for mis-issuing,0 Httpscertshttps://arstechnica.com/information-technolog 以及激励机制六个部分 v/2017/03/gooele-takes-symantec-to-the-woodshed-for-mis-issui (1)数据层是区块链可审计性的来源,其主
?期 徐 恪等：基于区块链的网络安全体系结构与关键技术研究进展 3 露 ①，各种网络安全事件都表明，一旦网络遭受攻 击，将对人们的生活造成极其严重的影响。因此， 如何确保网络安全是网络发展的重点研究对象。 一直以来，研究者们在网络安全领域开展了大 量的研究工作，但是随着网络规模的扩大以及恶意 攻击行为的多样化复杂化，传统网络安全体系结构 与关键技术已经暴露出诸多弊端。首先，如今的大 部分网络安全基础设施都是基于中心化的体系架 构，例如公钥基础设施（Public Key Infrastructure， PKI）和资源公钥基础设施（Resource PKI，RPKI）。 然而，作为许多现有网络安全技术的信任中心，这 些网络安全基础设施却暴露出了严重的单点信任 问题（如单点作恶、操作失误等）。荷兰 CA 安全 证书提供商 DigiNotar 遭受入侵为超过 500 个网站 发布恶意证书②，以及证书颁发机构赛门铁克误发 超过三万个证书扩展凭证③等事件都表明，一旦这 些信任中心发生事故，将对整个互联网造成严重的 影响。其次，由于网络架构的早期设计并没有详细 考虑安全问题，而许多后来提出的安全机制（例如 DNSsec [1]和 BGPsec [2]）不仅需要对现有网络协议进 行改动，而且还会严重影响网络的运行效率，从而 造成这些机制实际部署上的困境；此外，随着万物 互联时代的到来，网络的复杂度将持续扩大，网络 安全建设应该由现阶段的不同组织独立参与发展 为多组织协同参与甚至全民参与，然而目前还缺乏 一套可信的激励机制来协调不同组织之间的合作 并调动大家参与网络安全建设的积极性。针对这些 问题，区块链技术的出现提供了新的解决思路。 区块链是一种集成了 P2P 技术、密码学、共识 机制以及分布式存储技术的可信分布式数据库，并 且具有可审计、去中心化、不可篡改等特点[3]。正 是这些特点促使大量研究人员在基于区块链的网 络安全体系结构与关键技术方面开展研究工作。然 而，现阶段却缺乏对这些研究进行系统性梳理的工 作，最早的一篇相关工作来自 2017 年赵阔等人[4]， 但该文章主要针对物联网安全领域，因此没能对区 块链在网络安全领域的应用进行系统性介绍；我们 ① 史上规模最大！万豪旗下酒店发生 5 亿客户信息被泄露. http s://tech.sina.com.cn/roll/2018-12-01/doc-ihpevhcm5918790.shtm l 2018,12,1 ② DigiNotar. https://en.wikipedia.org/wiki/DigiNotar ③ Google takes Symantec to the woodshed for mis-issuing30,0 00 HTTPS certs. https://arstechnica.com/information-technolog y/2017/03/google-takes-symantec-to-the-woodshed-for-mis-issui ng-30000-https-certs/ 2017,3,24 的前期工作[5]同样也只是集中在物联网安全领域， 对基于区块链的应用前景进行了描述，认为区块链 去中心化的特点与物联网（Internet of Thing，IoT） 分布式的特点相适应，且区块链强大的算力储备能 弥补 IoT 设备资源受限的窘境。Chen 等人[6]的工作 则主要是对区块链在域间路由安全的应用研究进 行介绍，Tara [7]等人的工作虽然对基于区块链的安 全服务进行介绍，但并不是主要针对网络安全领 域，其中主要涉及 PKI、数据隐私、溯源三个方面。 与本文最相似的一篇综述则是来自于 2018 年陈烨 等人的工作[8]，该文章主要介绍了区块链在网络数 据安全和隐私保护、物联网设备的权限管理以及 DDoS 防御三方面的应用，然而该文章所涉及的区 块链应用场景较少，且并没有对这些应用研究进行 分类梳理，也没能对区块链应用于网络安全所要注 意的问题进行分析。本文对近几年基于区块链的网 络安全体系结构与关键技术研究进行梳理，以 TCP/IP 网络体系架构为基准，从网络层安全、应用 层安全以及PKI安全三个方面介绍了基于区块链的 网络安全体系结构与关键技术研究的最新进展；然 后对区块链引入的隐私问题、可扩展性问题、安全 问题以及区块链结构演进的方向进行了分析，并结 合现有的解决思路对未来应用研究进行了展望。 本文后续组织如下：第二节对区块链体系结构 与原理进行了介绍；第三节对区块链在网络安全的 应用进行了概述；第四节对区块链在网络层安全的 应用具体展开了介绍；第五节对区块链在应用层安 全的应用具体展开了介绍；第六节对区块链在 PKI 安全的应用具体展开了介绍；第七节针对区块链应 用在网络安全过程中所需要注意的隐私问题、可扩 展性问题、安全问题以及区块链结构演进方向进行 了分析与展望；最后对全文进行了总结。 2 区块链体系结构 区块链这一概念最早起源于 2008 年中本聪发 布的比特币白皮书[9]，之后分别经历了以太坊[10]为 代表的智能合约时代和 Hyperledger[11]为代表的联 盟链时代的发展，如今区块链已经应用到了数字货 币、供应链管理、云游戏等各个领域，其体系结构 也呈现出了一种多元化的趋势，但总体上可以概括 为数据层、网络层、共识层、智能合约层、应用层 以及激励机制六个部分。 （1）数据层是区块链可审计性的来源，其主
徐恪等:基于区块链的网络安全体系结构与关键技术研究进展 2020年 要定义了区块链的数据结构并借助密码学技术确节点在加入P2P网络时,都会试图获取其它节点的 保数据的安全性。区块链的数据通常都是采用文件地址信息并与多个节点建立邻居关系。当节点产生 系统(例如比特币)或数据库(例如以太坊)进行交易、区块等数据时会将其传播至邻居节点,邻居 存储,区块链的具体结构则因为区块链共识层、合节点则继续传播直到数据扩散至全网所有区块链 约层等其他部分不同而存在着一定的差异,但交易节点。每个节点都会根据收到的交易、区块等数据 的组织方式和区块的链接方式都大体相同。每个区构建本地区块链,节点与节点之间互为冗余备份, 块都包含头部区域和数据区域,如图1所示,节点从而构成了去中心化的分布式系统,因此可以有效 在打包交易之前,先将交易构建成默克尔树12,即解决单点故障问题 将交易作为一个二叉树的叶子节点,每个中间节点 (3)共识层是区块链一致性、不可篡改的来 为其左右子节点数据连接起来后的哈希值,从而得源,其主要定义了在完全不可信的环境下分布式节 到一个树根节点即默克尔树根;默克尔树根、前一点如何对区块链上的数据达成一致。即在每个区块 区块头部的哈希值以及部分其它字段一起组成区链节点都通过网络层获取到全网所有交易、区块等 块头部,默克尔树除去树根以外的部分则作为区块数据的前提下,即使部分节点可以随意发布恶意信 的数据区域。 息,也能通过共识算法确保其它诚实节点本地区块 区块头部保留的前一区块头部哈希使得区块链的数据是一致且正确的。现阶段主要共识算法有 链形成一种链式结构,在这样一种数据结构的基础工作量证明( Proof of work,PoW)例、权益证明 上,基于密码学的安全性,节点只需要存储任意区 Proof of stake,PoS)、实用拜占庭容错 块头部,就可以对之前区块头部进行哈希计算并与( Practical Byzantine Fault Tolerance,PBFr)等 所存区块头部中的哈希值进行对比,从而对之前所在每轮共识过程中,共识算法会选举或竞争出一个 有区块头部的完整性进行验证。 领导节点将收集的交易打包成区块并通过P2P网络 用默克尔树来组织交易则可以实现对单个交发送给其它节点。每个节点会对区块中的哈希值、 易的正确性进行高效验证,如图1所示,当用户需签名以及交易的有效性等进行验证,并将通过验证 要对交易Tx0进行验证时,可以请求区块链全节点的区块加入到本地区块链。由于在共识过程中所有 返回 Hash1、Hash23;然后将Tx0进行哈希获得节点都完成了区块的验证工作,因此区块链解决了 Hash0,并结合全节点所返回的哈希值计算出一个矿工节点间的互信问题;此外用户在访问区块链 根哈希;将计算出的根哈希与本地存储的哈希头部时,可以对多个节点同时访问,并根据少数服从多 中的根哈希进行比对,即可验证交易的完整性 数原则选择合适的结果,因此在多数节点遵从协议 区块头部 的情况下,区块链具有不可篡改的特性,并可以有 效解决中心化系统所存在的单点信任问题。 部哈希值 4)智能合约层的出现拓展了区块链的应用 Root hash 范围,其建立在共识层之上,主要定义了编写智能 合约的语言以及智能合约的执行环境。智能合约以 段程序的形式部署在分布式区块链节点上,当区 块链节点对本地区块链达成一致后,若区块中存在 交易对智能合约进行调用,或某些状态信息满足要 求,区块链节点将自动执行这段程序,并将程序执 行结果记录在本地区块链中。基于共识层所实现的 全网节点本地区块链的一致性,全网节点共同基于 本地一致的区块链数据库执行智能合约并将执行 图1区块数据结构示意图 结果记录到本地区块链中,从而全网节点能够对智 (2)网络层是区块链去中心化的来源,其主能合约的执行结果达成共识。因此基于共识层所提 要定义了区块链节点之间组网流程以及数据在节供的一致、不可篡改等特性,智能合约具备自动执 点间的传播方式。现阶段区块链主要是采用对等网行、执行结果不可篡改等特点。 络( Peer to peer,P2P)构建网络层,每个区块链 (5)应用层则是通过服务端、前端、app等现
4 徐 恪等：基于区块链的网络安全体系结构与关键技术研究进展 2020 年 要定义了区块链的数据结构并借助密码学技术确 保数据的安全性。区块链的数据通常都是采用文件 系统（例如比特币）或数据库（例如以太坊）进行 存储，区块链的具体结构则因为区块链共识层、合 约层等其他部分不同而存在着一定的差异，但交易 的组织方式和区块的链接方式都大体相同。每个区 块都包含头部区域和数据区域，如图 1 所示，节点 在打包交易之前，先将交易构建成默克尔树[12]，即 将交易作为一个二叉树的叶子节点，每个中间节点 为其左右子节点数据连接起来后的哈希值，从而得 到一个树根节点即默克尔树根；默克尔树根、前一 区块头部的哈希值以及部分其它字段一起组成区 块头部，默克尔树除去树根以外的部分则作为区块 的数据区域。 区块头部保留的前一区块头部哈希使得区块 链形成一种链式结构，在这样一种数据结构的基础 上，基于密码学的安全性，节点只需要存储任意区 块头部，就可以对之前区块头部进行哈希计算并与 所存区块头部中的哈希值进行对比，从而对之前所 有区块头部的完整性进行验证。 用默克尔树来组织交易则可以实现对单个交 易的正确性进行高效验证，如图 1 所示，当用户需 要对交易 Tx0 进行验证时，可以请求区块链全节点 返回 Hash1、Hash23；然后将 Tx0 进行哈希获得 Hash0，并结合全节点所返回的哈希值计算出一个 根哈希；将计算出的根哈希与本地存储的哈希头部 中的根哈希进行比对，即可验证交易的完整性。 Hash0 Hash1 Tx0 Tx1 Hash01 Hash2 Hash3 Tx2 Tx3 Hash23 Root Hash 区块头部 前一区块头 部哈希值 其他 字段 区块体 图 1 区块数据结构示意图 （2）网络层是区块链去中心化的来源，其主 要定义了区块链节点之间组网流程以及数据在节 点间的传播方式。现阶段区块链主要是采用对等网 络（Peer to Peer，P2P）构建网络层，每个区块链 节点在加入 P2P 网络时，都会试图获取其它节点的 地址信息并与多个节点建立邻居关系。当节点产生 交易、区块等数据时会将其传播至邻居节点，邻居 节点则继续传播直到数据扩散至全网所有区块链 节点。每个节点都会根据收到的交易、区块等数据 构建本地区块链，节点与节点之间互为冗余备份， 从而构成了去中心化的分布式系统，因此可以有效 解决单点故障问题。 （3）共识层是区块链一致性、不可篡改的来 源，其主要定义了在完全不可信的环境下分布式节 点如何对区块链上的数据达成一致。即在每个区块 链节点都通过网络层获取到全网所有交易、区块等 数据的前提下，即使部分节点可以随意发布恶意信 息，也能通过共识算法确保其它诚实节点本地区块 链的数据是一致且正确的。现阶段主要共识算法有 工作量证明（Proof of Work，PoW）[9]、权益证明 （Proof of Stake，PoS）[13]、实用拜占庭容错 （Practical Byzantine Fault Tolerance，PBFT）[14]等， 在每轮共识过程中，共识算法会选举或竞争出一个 领导节点将收集的交易打包成区块并通过P2P网络 发送给其它节点。每个节点会对区块中的哈希值、 签名以及交易的有效性等进行验证，并将通过验证 的区块加入到本地区块链。由于在共识过程中所有 节点都完成了区块的验证工作，因此区块链解决了 矿工节点间的互信问题；此外用户在访问区块链 时，可以对多个节点同时访问，并根据少数服从多 数原则选择合适的结果，因此在多数节点遵从协议 的情况下，区块链具有不可篡改的特性，并可以有 效解决中心化系统所存在的单点信任问题。 （4）智能合约层的出现拓展了区块链的应用 范围，其建立在共识层之上，主要定义了编写智能 合约的语言以及智能合约的执行环境。智能合约以 一段程序的形式部署在分布式区块链节点上，当区 块链节点对本地区块链达成一致后，若区块中存在 交易对智能合约进行调用，或某些状态信息满足要 求，区块链节点将自动执行这段程序，并将程序执 行结果记录在本地区块链中。基于共识层所实现的 全网节点本地区块链的一致性，全网节点共同基于 本地一致的区块链数据库执行智能合约并将执行 结果记录到本地区块链中，从而全网节点能够对智 能合约的执行结果达成共识。因此基于共识层所提 供的一致、不可篡改等特性，智能合约具备自动执 行、执行结果不可篡改等特点。 （5）应用层则是通过服务端、前端、app 等现
徐恪等:基于区块链的网络安全体系结构与关键技术研究进展 有技术将智能合约的相关接口进行封装,并设计友可编程操作性,将激励机制以及获取激励的条件写 好的图形用户接口,为用户提供比特币钱包等各种到智能合约中,并借助智能合约自动执行且执行结 去中心化的应用服务 果不可篡改的特点确保激励能真实可信的发放到 (6)激励机制在早期作为激励层体现在区块满足条件的用户,从而达到吸引用户的目的;激励 链架构中,但随着区块链的发展,激励机制可以和机制与应用层相结合则是基于应用直接面向用户 区块链各个层次相结合并产生不同的激励效果。与的特点,根据区块链记录的用户历史行为对其进行 共识层结合时,矿工节点在打包区块时会在其中包信用评分,并根据信用评分的不同对用户进行区别 含一个将激励发送给自己的交易,因此激励会随着化服务,从而激励用户保持良好的行为习惯 区块的确认自动发放给相应的矿工节点,从而激励 上述区块链体系结构的内容可由图2进行概 矿工节点参与区块链的维护,比特币和以太坊就是括,正是因为区块链各部分所提供的可审计、去中 采用这种激励机制的典型代表;激励机制与智能合心化、一致性、不可篡改等诸多特点,区块链技术 约层相结合则是基于区块链中智能合约对货币的开始被广泛应用于网络安全领域。 技术支撑 具体应用实例 用户接口 应用层 服务端技术‖前端技术 Ap‖数字货币 供应链 已[ 自动执行 执行结果不 智能合 编程语言 执行环境 可篡改 Scrip Solidity JavaScript Docker 数据一致 共识算法 不可篡改 共识层 工作量证明(PoW) )[权益证明() 实用拜占庭容错(PBFT) P2P网络 去中心化 网络层 网络节点发现 邻居节点维护 数据传播 数据存储 数据安全(密码学技 可审计性 数据层 存储系统 数据结构 哈希函数 非对称加密 数字签名 图2区块链体系结构图 应用层安全中的邮件安全协议 S/MIME都是基于 3基于区块链的网络安全应用概PK1而建立,因此,PKI安全支撑着整个网络安全 体系架构,是网络安全的技术基础。 述 区块链在具体应用的过程中根据参与实体的 不同可以分类为私有链、公有链以及联盟链。其中 从TCP/P网络体系结构的角度出发,网络安私有链的参与方通常都属于一个组织;公有链的参 全体系架构应该被划分为链路层安全、网络层安与方则是任何实体;联盟链的参与方则是加入联盟 全、传输层安全以及应用层安全。然而,传统网络的成员。目前取得广泛应用的区块链类型都属于公 体系结构在设计之初并没有将安全性纳入设计范有链或联盟链,这两类区块链作为一个分布式可信 围,从而导致如今的大部分网络安全技术都需要基账本都涉及不同利益体之间的交互,主要用于解决 于第三方基础设施才能有效构建,这些第三方基础不同利益体之间的信任问题,或者作为一个第三方 设施被称为网络安全基础设施。PKI作为一个重要可信平台用来解决用户对平台的信任问题。因此 的网络安全基础设施支撑着整个网络安全体系架区块链主要在涉及多个平等利益体交互的场景,或 构,从不同层次来看,网络层安全中的 IPsec协议,者需要引入可信第三方的场景中发挥作用。从网络 传输层安全协议( Transport Layer Security,,TLS),安全体系结构的角度来看,具备这样特征的场景主
?期 徐 恪等：基于区块链的网络安全体系结构与关键技术研究进展 5 有技术将智能合约的相关接口进行封装，并设计友 好的图形用户接口，为用户提供比特币钱包等各种 去中心化的应用服务。 （6）激励机制在早期作为激励层体现在区块 链架构中，但随着区块链的发展，激励机制可以和 区块链各个层次相结合并产生不同的激励效果。与 共识层结合时，矿工节点在打包区块时会在其中包 含一个将激励发送给自己的交易，因此激励会随着 区块的确认自动发放给相应的矿工节点，从而激励 矿工节点参与区块链的维护，比特币和以太坊就是 采用这种激励机制的典型代表；激励机制与智能合 约层相结合则是基于区块链中智能合约对货币的 可编程操作性，将激励机制以及获取激励的条件写 到智能合约中，并借助智能合约自动执行且执行结 果不可篡改的特点确保激励能真实可信的发放到 满足条件的用户，从而达到吸引用户的目的；激励 机制与应用层相结合则是基于应用直接面向用户 的特点，根据区块链记录的用户历史行为对其进行 信用评分，并根据信用评分的不同对用户进行区别 化服务，从而激励用户保持良好的行为习惯。 上述区块链体系结构的内容可由图 2 进行概 括，正是因为区块链各部分所提供的可审计、去中 心化、一致性、不可篡改等诸多特点，区块链技术 开始被广泛应用于网络安全领域。 激 励 机 制 智能合 约层 执行环境 本地 EVM Docker 编程语言 Script Solidity JavaScript Go 应用层 具体应用实例 数字货币 供应链 云游戏 技术支撑 服务端技术 前端技术 App技术 共识层 共识算法 工作量证明（PoW） 权益证明（PoS） 实用拜占庭容错（PBFT） 数据层 数据存储 存储系统 数据结构 数据安全（密码学技术） 哈希函数 非对称加密 数字签名 网络层 P2P网络 网络节点发现 邻居节点维护 数据传播 提供友好的 用户接口 自动执行， 执行结果不 可篡改 数据一致， 不可篡改 去中心化 可审计性 图 2 区块链体系结构图 3 基于区块链的网络安全应用概 述 从 TCP/IP 网络体系结构的角度出发，网络安 全体系架构应该被划分为链路层安全、网络层安 全、传输层安全以及应用层安全。然而，传统网络 体系结构在设计之初并没有将安全性纳入设计范 围，从而导致如今的大部分网络安全技术都需要基 于第三方基础设施才能有效构建，这些第三方基础 设施被称为网络安全基础设施。PKI 作为一个重要 的网络安全基础设施支撑着整个网络安全体系架 构，从不同层次来看，网络层安全中的 IPsec 协议， 传输层安全协议（Transport Layer Security，TLS）， 应用层安全中的邮件安全协议 S/MIME 都是基于 PKI 而建立，因此，PKI 安全支撑着整个网络安全 体系架构，是网络安全的技术基础。 区块链在具体应用的过程中根据参与实体的 不同可以分类为私有链、公有链以及联盟链。其中 私有链的参与方通常都属于一个组织；公有链的参 与方则是任何实体；联盟链的参与方则是加入联盟 的成员。目前取得广泛应用的区块链类型都属于公 有链或联盟链，这两类区块链作为一个分布式可信 账本都涉及不同利益体之间的交互，主要用于解决 不同利益体之间的信任问题，或者作为一个第三方 可信平台用来解决用户对平台的信任问题。因此， 区块链主要在涉及多个平等利益体交互的场景，或 者需要引入可信第三方的场景中发挥作用。从网络 安全体系结构的角度来看，具备这样特征的场景主