能否自己編制區塊鏈

區塊鏈在數據安全上有國際標准嗎？

有的，由趣鏈科技牽頭制定的「區塊鏈+?聯邦計算」的融合技術標准P3227《》（基於區塊鏈和聯邦計算的數據安全流通參考框架）在IEEE標准協會標准理事會（IEEESASB）大會正式通過。

近日，《金融分布式賬本技術安全規范》（JR/T0184—2020）金融行業標准（以下簡稱標准）由中國人民銀行正式發布，《標准》規定了金融分布式賬本技術的安全體系，包括基礎硬體、基礎軟體、密碼演算法、節點通信、賬本數據、共識協議、智能合約、身份管理、隱私保護、監管支撐、運維要求和治理機制等方面。該標准適用於在金融領域從事分布式賬本系統建設或服務運營的機構。

據悉，該《標准》由全國金融標准化技術委員會歸口管理，由中國人民銀行數字貨幣研究所提出並負責起草，中國人民銀行科技司、中國工商銀行、中國農業銀行、中國銀行、中國建設銀行、國家開發銀行等單位共同參與起草。

在央行看來，區塊鏈技術是一種新型的分布式資料庫，也稱為分布式賬本，所以《金融分布式賬本技術安全規范》被業內認為是「國內金融行業首個區塊鏈標准」。

這一標準的發布，有助於金融機構按照規范進行系統部署和維護，避免出現安全問題。金融行業正引導區塊鏈技術的應用走向規范，積極地服務實體經濟，同時也將大大提速區塊鏈供應鏈金融的發展。目前，國內發布的區塊鏈標准已有10項左右，在研究的也有20多項，這些標准都將引導且推動我國區塊鏈技術和產業發展。只不過目前這些標准也主要偏技術層面，落地到產品應用層面還需要一段時間。

隨著上海城市數字化轉型腳步的加快，區塊鏈技術在政務、金融、物流、司法等眾多領域得到深入應用。在應用過程中，不僅催生了新的業務形態和商業模式，也產生了很多安全問題，因而安全監管顯得尤為重要。安全測評作為監管重要手段之一，成為很多區塊鏈研發廠商和應用企業的關注熱點。本文就大家關心的區塊鏈合規性安全測評談談我們做的一點探索和實踐。

一、區塊鏈技術測評

區塊鏈技術測評一般分為功能測試、性能測試和安全測評。

1、功能測試

功能測試是對底層區塊鏈系統支持的基礎功能的測試，目的是衡量底層區塊鏈系統的能力范圍。

區塊鏈功能測試主要依據GB/T25000.10-2016《系統與軟體質量要求和評價（SQuaRE）第10部分：系統與軟體質量模型》、GB/T25000.51-2016《系統與軟體質量要求和評價（SQuaRE）第51部分：就緒可用軟體產品（RUSP）的質量要求和測試細則》等標准，驗證被測軟體是否滿足相關測試標准要求。

區塊鏈功能測試具體包括組網方式和通信、數據存儲和傳輸、加密模塊可用性、共識功能和容錯、智能合約功能、系統管理穩定性、鏈穩定性、隱私保護、互操作能力、賬戶和交易類型、私鑰管理方案、審計管理等模塊。

2、性能測試

性能測試是為描述測試對象與性能相關的特徵並對其進行評價而實施和執行的一類測試，大多在項目驗收測評中，用來驗證既定的技術指標是否完成。

區塊鏈性能測試具體包括高並發壓力測試場景、尖峰沖擊測試場景、長時間穩定運行測試場景、查詢測試場景等模塊。

3、安全測評

區塊鏈安全測評主要是對賬戶數據、密碼學機制、共識機制、智能合約等進行安全測試和評價。

區塊鏈安全測評的主要依據是《DB31/T1331-2021區塊鏈技術安全通用要求》。也可根據實際測試需求參考《JR/T0193-2020區塊鏈技術金融應用評估規則》、《JR/T0184—2020金融分布式賬本技術安全規范》等標准。

區塊鏈安全測評具體包括存儲、網路、計算、共識機制、密碼學機制、時序機制、個人信息保護、組網機制、智能合約、服務與訪問等內容。

二、區塊鏈合規性安全測評

區塊鏈合規性安全測評一般包括「區塊鏈信息服務安全評估」、「網路安全等級保護測評」和「專項資金項目驗收測評」三類。

1、區塊鏈信息服務安全評估

區塊鏈信息服務安全評估主要依據國家互聯網信息辦公室2019年1月10日發布的《區塊鏈信息服務管理規定》（以下簡稱「《規定》」）和參考區塊鏈國家標准《區塊鏈信息服務安全規范（徵求意見稿）》進行。

《規定》旨在明確區塊鏈信息服務提供者的信息安全管理責任，規范和促進區塊鏈技術及相關服務的健康發展，規避區塊鏈信息服務安全風險，為區塊鏈信息服務的提供、使用、管理等提供有效的法律依據。《規定》第九條指出：區塊鏈信息服務提供者開發上線新產品、新應用、新功能的，應當按照有關規定報國家和省、自治區、直轄市互聯網信息辦公室進行安全評估。

《區塊鏈信息服務安全規范》是由中國科學院信息工程研究所牽頭，浙江大學、中國電子技術標准化研究院、上海市信息安全測評認證中心等單位共同參與編寫的一項建設和評估區塊鏈信息服務安全能力的國家標准。《區塊鏈信息服務安全規范》規定了聯盟鏈和私有鏈的區塊鏈信息服務提供者應滿足的安全要求，包括安全技術要求和安全保障要求以及相應的測試評估方法，適用於指導區塊鏈信息服務安全評估和區塊鏈信息服務安全建設。標准提出的安全技術要求、保障要求框架如下：

圖1區塊鏈信息服務安全要求模型

2、網路安全等級保護測評

網路安全等級保護測評的主要依據包括《GB/T22239-2019網路安全等級保護基本要求》、《GB/T28448-2019網路安全等級保護測評要求》。

區塊鏈作為一種新興信息技術，構建的應用系統同樣屬於等級保護對象，需要按照規定開展等級保護測評。等級保護安全測評通用要求適用於評估區塊鏈的基礎設施部分，但目前並沒有提出區塊鏈特有的安全要求。因此，區塊鏈安全測評擴展要求還有待進一步探索和研究。

3、專項資金項目驗收測評

根據市經信委有關規定，信息化專項資金項目在項目驗收時需出具安全測評報告。區塊鏈應用項目的驗收測評將依據上海市最新發布的區塊鏈地方標准《DB31/T1331-2021區塊鏈技術安全通用要求》開展。

三、區塊鏈安全測評探索與實踐

1、標准編制

上海測評中心積極參與區塊鏈標准編制工作。由上海測評中心牽頭，蘇州同濟區塊鏈研究院有限公司、上海七印信息科技有限公司、上海墨珩網路科技有限公司、電信科學技術第一研究所等單位參加編寫的區塊鏈地方標准《DB31/T1331-2021區塊鏈技術安全通用要求》已於2021年12月正式發布，今年3月1日起正式實施。上海測評中心參與編寫的區塊鏈國標《區塊鏈信息服務安全規范》正處於徵求意見階段。

同時，測評中心還參與編寫了國家人力資源和社會保障部組織，同濟大學牽頭編寫的區塊鏈工程技術人員初級和中級教材，負責編制「測試區塊鏈系統」章節內容。

2、項目實踐

近年來，上海測評中心依據相關技術標准進行了大量的區塊鏈安全測評實踐，包括等級保護測評、信息服務安全評估、項目安全測評等。在測評實踐中，發現的主要安全問題如下：

表1區塊鏈主要是安全問題

序號

測評項

問題描述

1

共識演算法

共識演算法採用Kafka或Raft共識，不支持拜占庭容錯，不支持容忍節點惡意行為。

2

上鏈數據

上鏈敏感信息未進行加密處理，通過查詢介面或區塊鏈瀏覽器可訪問鏈上所有數據。

3

密碼演算法

密碼演算法中使用的隨機數不符合GB/T32915-2016對隨機性的要求。

4

節點防護

對於聯盟鏈，未能對節點伺服器所在區域配置安全防護措施。

5

通信傳輸

節點間通信、區塊鏈與上層應用之間通信時，未建立安全的信息傳輸通道。

6

共識演算法

系統部署節點數量較少，有時甚至沒有達到共識演算法要求的容錯數量。

7

智能合約

未對智能合約的運行進行監測，無法及時發現、處置智能合約運行過程中出現的問題。

8

服務與訪問

上層應用存在未授權、越權等訪問控制缺陷，導致業務錯亂、數據泄露。

9

智能合約

智能合約編碼不規范，當智能合約出現錯誤時，不提供智能合約凍結功能。

10

智能合約

智能合約的運行環境沒有與外部隔離，存在外部攻擊的風險。

3、工具應用

測評中心在組織編制《DB31/T1331-2021區塊鏈技術安全通用要求》時，已考慮與等級保護測評的銜接需求。DB31/T1331中的「基礎設施層」安全與等級保護的安全物理環境、安全通信網路、安全區域邊界、安全計算環境、安全管理中心等相關要求保持一致，「協議層安全」、「擴展層安全」則更多體現區塊鏈特有的安全保護要求。

測評中心依據DB31/T1331相關安全要求，正在組織編寫區塊鏈測評擴展要求，相關成果將應用於網路安全等級保護測評工具——測評能手。屆時，使用「測評能手」軟體的測評機構就能准確、規范、高效地開展區塊鏈安全測評，發現區塊鏈安全風險，並提出對應的整改建議

『捌』 如何注冊區塊鏈公司，需要什麼條件

一、上海內資注冊流程：
商號(字型大小)查詢->名稱預先核准->准備設立登記須提交的文件材料->申請設立登記->領取營業執照或駁回通知書

二、上海內資注冊條件：
1、股東符合法定人數;
2、股東出資達到法定資本最低限額;
3、股東共同制訂公司章程;
4、有公司名稱，建立符合有限責任公司要求的組織機構;
5、有固定的生產經營場所和必要的生產經營條件。

三、內資有限責任公司設立登記文件清單
1、公司董事長或者執行董事簽署的《公司設立登記申請書》;
2、全體股東指定代表或者共同委託代理人辦理公司設立登記的證明注①;
3、公司章程;
4、具有法定資格的驗資機構出具的驗資證明注③;
5、股東的法人資格證明或者自然人身份證明復印件注①②;
6、公司法定代表人的任職文件和身份證明復印件注⑥，股東會選舉董事、監事的決議，董事會或者執行董事聘任經理的決議或者決定注⑤;
7、《企業名稱預先核准通知書》;
8、住所使用證明注④;
9、法律、行政法規規定設立有限責任公司必須報經審批或經營范圍中有必須報經審批項目的，還應當提交有關的批准文件;
10、公司登記機關要求提交的其他文件。

備 註：在本科申請設立的有限責任公司應當是依據《公司法》設立、非自然人股東占股50%以上的公司。
①上述第2項和第5項在名稱預先核准時已提交的，公司設立登記時免。
②股東的資格證明是指：a、企業法人營業執照復印件(內地的企業法人營業執照復印件須由登記地工商部門蓋章方為有效);b、自然人的身份證明(外國自然人及港澳台胞須同時提交與其投資額相當的銀行資信證明);c、社團法人登記證、事業法人登記證或者編制批文;d、其他合法開業證明。法律、法規和行政規章對股東投資資格有特別規定的，還應當提交股東的投資資格證明。
③以實物、工業產權、非專利技術或者土地使用權作價出資的，應當同時提交具有法定資格的評估機構出具的資產評估報告。
④住所為租賃的，提交房屋租賃合同原件和房屋產權證明復印件，或者經租賃管理部門登記蓋章的租賃合同原件;住所為股東自有的，提交房屋產權證明復印件以及股東提供給公司使用的證明。
⑤有關決議或決定中須載明董事、監事、經理的姓名、住所。
⑥未指明為復印件的應當提交原件，指明為復印件的應當提供原件核對(法定代表人的身份證明復印件除外)