如何辨别区块链智能合约(如何辨别区块链智能合约的好坏)

如何理解区块链的智能合约？

智能合约”（smartcontract）这个术语至少可以追溯到1995年，是由多产的跨领域法律学者尼克·萨博（NickSzabo）提出来的。他在发表在自己的网站的几篇文章中提到了智能合约的理念。他的定义如下：

“一个智能合约是一套以数字形式定义的承诺（promises），包括合约参与方可以在上面执行这些承诺的协议。”

让我们更加详细地探讨他的定义的意思。

承诺

一套承诺指的是合约参与方同意的（经常是相互的）权利和义务。这些承诺定义了合约的本质和目的。以一个销售合约为典型例子。卖家承诺发送货物，买家承诺支付合理的货款。

数字形式

数字形式意味着合约不得不写入计算机可读的代码中。这是必须的，因为只要参与方达成协定，智能合约建立的权利和义务，是由一台计算机或者计算机网络执行的。

更进一步地说明：

（1）达成协定

智能合约的参与方什么时候达成协定呢？答案取决于特定的智能合约实施。一般而言，当参与方通过在合约宿主平台上安装合约，致力于合约的执行时，合约就被发现了。

（2）合约执行

“执行”的真正意思也依赖于实施。一般而言，执行意味着通过技术手段积极实施。

（3）计算机可读的代码

另外，合约需要的特定“数字形式”非常依赖于参与方同意使用的协议。

协议

协议是技术实现（technicalimplementation），在这个基础上，合约承诺被实现，或者合约承诺实现被记录下来。选择哪个协议取决于许多因素，最重要的因素是在合约履行期间，被交易资产的本质。

再次以销售合约为例。假设，参与方同意货款以比特币支付。选择的协议很明显将会是比特币协议，在此协议上，智能合约被实施。因此，合约必须要用到的“数字形式”就是比特币脚本语言。比特币脚本语言是一种非图灵完备的、命令式的、基于栈的编程语言，类似于Forth。

智能合约

链乔教育在线旗下学硕创新区块链技术工作站是中国教育部学校规划建设发展中心开展的“智慧学习工场2020-学硕创新工作站”唯一获准的“区块链技术专业”试点工作站。专业站立足为学生提供多样化成长路径，推进专业学位研究生产学研结合培养模式改革，构建应用型、复合型人才培养体系。

随着上海城市数字化转型脚步的加快，区块链技术在政务、金融、物流、司法等众多领域得到深入应用。在应用过程中，不仅催生了新的业务形态和商业模式，也产生了很多安全问题，因而安全监管显得尤为重要。安全测评作为监管重要手段之一，成为很多区块链研发厂商和应用企业的关注热点。本文就大家关心的区块链合规性安全测评谈谈我们做的一点探索和实践。

一、区块链技术测评

区块链技术测评一般分为功能测试、性能测试和安全测评。

1、功能测试

功能测试是对底层区块链系统支持的基础功能的测试，目的是衡量底层区块链系统的能力范围。

区块链功能测试主要依据GB/T25000.10-2016《系统与软件质量要求和评价（SQuaRE）第10部分：系统与软件质量模型》、GB/T25000.51-2016《系统与软件质量要求和评价（SQuaRE）第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》等标准，验证被测软件是否满足相关测试标准要求。

区块链功能测试具体包括组网方式和通信、数据存储和传输、加密模块可用性、共识功能和容错、智能合约功能、系统管理稳定性、链稳定性、隐私保护、互操作能力、账户和交易类型、私钥管理方案、审计管理等模块。

2、性能测试

性能测试是为描述测试对象与性能相关的特征并对其进行评价而实施和执行的一类测试，大多在项目验收测评中，用来验证既定的技术指标是否完成。

区块链性能测试具体包括高并发压力测试场景、尖峰冲击测试场景、长时间稳定运行测试场景、查询测试场景等模块。

3、安全测评

区块链安全测评主要是对账户数据、密码学机制、共识机制、智能合约等进行安全测试和评价。

区块链安全测评的主要依据是《DB31/T1331-2021区块链技术安全通用要求》。也可根据实际测试需求参考《JR/T0193-2020区块链技术金融应用评估规则》、《JR/T0184—2020金融分布式账本技术安全规范》等标准。

区块链安全测评具体包括存储、网络、计算、共识机制、密码学机制、时序机制、个人信息保护、组网机制、智能合约、服务与访问等内容。

二、区块链合规性安全测评

区块链合规性安全测评一般包括“区块链信息服务安全评估”、“网络安全等级保护测评”和“专项资金项目验收测评”三类。

1、区块链信息服务安全评估

区块链信息服务安全评估主要依据国家互联*息办公室2019年1月10日发布的《区块链信息服务管理规定》（以下简称“《规定》”）和参考区块链国家标准《区块链信息服务安全规范（征求意见稿）》进行。

《规定》旨在明确区块链信息服务提供者的信息安全管理责任，规范和促进区块链技术及相关服务的健康发展，规避区块链信息服务安全风险，为区块链信息服务的提供、使用、管理等提供有效的法律依据。《规定》第九条指出：区块链信息服务提供者开发上线新产品、新应用、新功能的，应当按照有关规定报国家和省、自治区、直辖市互联*息办公室进行安全评估。

《区块链信息服务安全规范》是由中国科学院信息工程研究所牵头，浙江大学、中国电子技术标准化研究院、上海市信息安全测评认证中心等单位共同参与编写的一项建设和评估区块链信息服务安全能力的国家标准。《区块链信息服务安全规范》规定了联盟链和私有链的区块链信息服务提供者应满足的安全要求，包括安全技术要求和安全保障要求以及相应的测试评估方法，适用于指导区块链信息服务安全评估和区块链信息服务安全建设。标准提出的安全技术要求、保障要求框架如下：

图1区块链信息服务安全要求模型

2、网络安全等级保护测评

网络安全等级保护测评的主要依据包括《GB/T22239-2019网络安全等级保护基本要求》、《GB/T28448-2019网络安全等级保护测评要求》。

区块链作为一种新兴信息技术，构建的应用系统同样属于等级保护对象，需要按照规定开展等级保护测评。等级保护安全测评通用要求适用于评估区块链的基础设施部分，但目前并没有提出区块链特有的安全要求。因此，区块链安全测评扩展要求还有待进一步探索和研究。

3、专项资金项目验收测评

根据市经信委有关规定，信息化专项资金项目在项目验收时需出具安全测评报告。区块链应用项目的验收测评将依据上海市最新发布的区块链地方标准《DB31/T1331-2021区块链技术安全通用要求》开展。

三、区块链安全测评探索与实践

1、标准编制

上海测评中心积极参与区块链标准编制工作。由上海测评中心牵头，苏州同济区块链研究院有限公司、上海七印信息科技有限公司、上海墨珩网络科技有限公司、电信科学技术第一研究所等单位参加编写的区块链地方标准《DB31/T1331-2021区块链技术安全通用要求》已于2021年12月正式发布，今年3月1日起正式实施。上海测评中心参与编写的区块链国标《区块链信息服务安全规范》正处于征求意见阶段。

同时，测评中心还参与编写了国家人力资源和社会保障部组织，同济大学牵头编写的区块链工程技术人员初级和中级教材，负责编制“测试区块链系统”章节内容。

2、项目实践

近年来，上海测评中心依据相关技术标准进行了大量的区块链安全测评实践，包括等级保护测评、信息服务安全评估、项目安全测评等。在测评实践中，发现的主要安全问题如下：

表1区块链主要是安全问题

序号

测评项

问题描述

1

共识算法

共识算法采用Kafka或Raft共识，不支持拜占庭容错，不支持容忍节点恶意行为。

2

上链数据

上链敏感信息未进行加密处理，通过查询接口或区块链浏览器可访问链上所有数据。

3

密码算法

密码算法中使用的随机数不符合GB/T32915-2016对随机性的要求。

4

节点防护

对于联盟链，未能对节点服务器所在区域配置安全防护措施。

5

通信传输

节点间通信、区块链与上层应用之间通信时，未建立安全的信息传输通道。

6

共识算法

系统部署节点数量较少，有时甚至没有达到共识算法要求的容错数量。

7

智能合约

未对智能合约的运行进行监测，无法及时发现、处置智能合约运行过程中出现的问题。

8

服务与访问

上层应用存在未授权、越权等访问控制缺陷，导致业务错乱、数据泄露。

9

智能合约

智能合约编码不规范，当智能合约出现错误时，不提供智能合约冻结功能。

10

智能合约

智能合约的运行环境没有与外部隔离，存在外部攻击的风险。

3、工具应用

测评中心在组织编制《DB31/T1331-2021区块链技术安全通用要求》时，已考虑与等级保护测评的衔接需求。DB31/T1331中的“基础设施层”安全与等级保护的安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等相关要求保持一致，“协议层安全”、“扩展层安全”则更多体现区块链特有的安全保护要求。

测评中心依据DB31/T1331相关安全要求，正在组织编写区块链测评扩展要求，相关成果将应用于网络安全等级保护测评工具——测评能手。届时，使用“测评能手”软件的测评机构就能准确、规范、高效地开展区块链安全测评，发现区块链安全风险，并提出对应的整改建议

智能合约可以简单理解为一段写在区块链上的代码，由事件驱动、具有动态状态、获得多方承认、且能够根据预设条件自动处理链上信息。一旦某个事件触发合约中的条款，代码就会自动执行，智能合约最大的优势是利用程序算法替代人仲裁和执行合同。

智能合约是用计算机语言取代法律语言去记录条款的合约，一旦编写好就可以被用户信赖，合约条款不能被改变，因此合约是不可更改的。程序满足条件就会执行，无法进行人为干扰，保证绝对公正公平。

智能合约的3个技术特性

●数据透明

区块链上所有的数据都是公开透明的，因此智能合约的数据处理也是公开透明的，运行时任何一方都可以查看其代码和数据。

●不可篡改

区块链本身的所有数据不可篡改，因此部署在区块链上的智能合约代码以及运行产生的数据也是不可篡改的，运行智能合约的节点不必担心其他节点恶意修改代码与数据。

●永久运行

支撑区块链网络的节点往往达到数百甚至上千，部分节点的失效并不会导致智能合约的停止，其可靠性理论上接近于永久运行，这样就保证了智能合约能像纸质合同一样每时每刻都有效。

智能合约是一种不需要公证员或公职人员等第三方来验证、促进或执行的合约！

从字面上看意味着你可以与任何第三方进行快速、可靠和信任的交易，不受普通合同的*

智能合约的优势

1、信任

由于区块链独特的信息存储方式，许多计算机共享信息，并对其进行独立验证，可以使用所谓的“分布式账本“，这些信息是有效的，也不能丢失。

2、备份

由于在分布式分类帐中存储信息的机制，网络中有许多副本。这确保了所有创建的文件和所有执行的合同都有备份。

3、自治

网络处理交接和合同条款，它是完全自主的。

4、速度

传统的合同需要验证与第三方进行沟通，基于区块链的网络可以将这过程加快到几个小时或实时交易。

5、自动化

智能合约是它们的”智能“，这意味着你也可以确保满足合同的复杂结构。你不仅有文件的可追溯，而且有货物的可追溯性。

6、加密与安全

一个重要的作用当然是安全了交易。这不仅意味着文件和合同被原存储，而且还意味着只有被允许时才能访问信息。使用非常安全的网络协议和密码学以及其他安全层，确保只有相关方可以访问信息。

智能合约用例

供应链

对于那些拥有全球供应链网络的大型企业来说，对每一笔交易进行数字跟踪录是非常有益的。不仅可以在流程中实现自动化，还可以追溯产品的每一阶段。这将增加透明度，可以帮助识别瓶颈，也有助于管理大量的合同。

另一种情况是，当货物到达时，付款正在处理。这给发送方和接收方提供了合同安全保障。因为只有处理付款是才有可能进行货物转移，这也意味着这种交易不需要进行贸易融资。

不动产

将房产转让给买方，到给予房产使用权。每一笔房地产交易都会涉及到合同。智能合同可以帮助*相关的风险和成本。

在房地产交易中，只有在付款到账后才可以转让房产。有了智能合同，你不需要向银行或公证处来回办理，你可以直接办理，不需要等待时间。

医疗保健

谁可以访问我的病人数据？我的数字病人档案安全吗？以及其他许多问题都是从拥有数字病人档案中产生的。正如我们了解到的，如果只有有限的几个人需要在有限的时间内访问，你的档案始终带在身边，只有当你允许医生访问时才有权限。

高度监管，比如药品储存和配送。