前言
通信技術讓世界具備了更多的連接,我們每個人都在這樣的連接中被影響和受益著。同時這種連接也產生了更多對于監視需求的便利。許多人的隱私或自由可能會在不經意間受到影響,而這也催生了對于隱私保護的需求。通常,由于中心化服務器的存在,我們很難實現完整的隱私保護,而分布式的存儲等技術,則讓其成為了可能。
無數的開發者加入了Web3的開發實現中,陸續構建一個又一個偉大的Dapp,他們在普通用戶與區塊鏈底層技術中扮演著重要的中間人角色。與此同時,對于普通人接觸的最多的web-ui與IPFS,它們之間的安全也值得被探索。
知道創宇區塊鏈安全實驗室將對此進行詳細解讀。
Web3.0中,分布式的公鏈技術設施提供了各種接口供給使用者調用,但這些接口無法直接被普通用戶直接去使用。對用戶來說,Web-interface是用戶和運行在Web服務器上的軟件之間的橋梁。用戶使用瀏覽器連接Web-interfacce后進行展示與交互,同時通過錢包進行身份識別。對底層區塊鏈基礎設施來說,Web-interface是公鏈/智能合約的一層封裝,將其包裝成為友好的頁面可直接可用的功能展示給用戶。其結構功能類似如下的圖片:
2.IPFS是什么
星際文件系統是分布式存儲和共享文件的網絡傳輸協議,它將現有的成功系統分布式哈希表、版本控制系統Git、BitTorrent、自認證文件系統與區塊鏈相結合。正是這些系統的綜合優勢,給IPFS帶來了以下顯著特性:
1.永久的、去中心化保存和共享文件
2.點對點超媒體:P2P保存各種各樣類型的數據
3.版本化:可追溯文件修改歷史
4.內容可尋址:通過文件內容生成獨立哈希值來標識文件,而不是通過文件保存位置來標識
數據:一地址從CVX/ETH池中提取28257.52 CVX:金色財經報道,數據顯示,北京時間今日上午10:11,28257.52 CVX已由地址0xed4....7ff9從CVX/ETH池中提取。[2023/9/6 13:20:50]
當用戶將文件添加到IPFS時,該文件會被拆分為更小的塊,經過加密哈希處理并賦予內容標識符CID作為唯一指紋;當其他節點查找該文件時,節點會詢問對等節點誰存儲了該文件CID引用的內容,當查看、下載這份文件時,他們將緩存一份副本——同時成為該內容的另一個提供者,直到他們的緩存被清除。
IPFS使用實例
網站?https://ipfs.io?提供一個帶UI界面的客戶端,安裝運行后會啟動IPFS的服務,顯示當前的節點ID、網關和API地址:
我們導入想上傳的文件,上傳文件成功后會生成該文件的CID信息,通過QmHash我們也能查找到指定的文件:
由于IPFS是分布式存儲和共享文件的網絡傳輸協議,因此上傳成功的文件被拷貝到其他節點上后,即使我們本地節點主動刪除,依然可以在IPFS網絡查詢到該文件:
IPFS中的傳統安全問題
根據使用實例,我們知道IPFS允許上傳任意類型的文件,由于允許Web訪問下載文件的特性,導致攻擊者可以像傳統安全一樣使用HTML或SVG文件實現釣魚:
以?https://IPFS.io?網關為例,上傳一個Metamask釣魚網站,由于存儲在受信域名里,受害者訪問該文件很可能攻擊成功:
但由于IPFS只能通過CID查詢文件,使得釣魚攻擊的利用面很窄,沒辦法定向的實施攻擊。既然CID是發起定向攻擊的關鍵,那我們回頭研究下CID。
近30萬枚ETH從兩個未知錢包轉入Coinbase:金色財經報道,Whale Alert數據顯示,今日23:12,總計299,998枚ETH(486,482,166 USD)分兩筆從兩個未知錢包轉入Coinbase。[2023/9/5 13:17:39]
IPLD是構建IPFS的數據層,它定義了默克爾鏈接、默克爾有向無環圖(Merkle-DAG)和默克爾路徑三種數據類型,通過IPLD發送到IPFS的數據保存在鏈上,使用者會收到一個CID來訪問該數據。
CID是一個由Version、Codec和Multihash三部分組成的字符串,目前分成V0和V1兩個版本。V0版采用Base58編碼生成CID,V1版包含表明內容的編號種類Codec、哈希算法MhType和哈希長度MhLength共同構成:
`CID::=`
我們以go-cid生成一組CID測試:
packagemain
import(
"fmt"
mc"github.com/multiformats/go-multicodec"
mh"github.com/multiformats/go-multihash"
cid"github.com/ipfs/go-cid"
)
const(
File="./go.sum"
)
funcmain(){
pref:=cid.Prefix{
Version:?0,
Codec:??mc.Raw,
Aave社區新提案建議替換Aave GrantsDAO的DAI額度為GHO額度:8月25日消息,Aave社區發布了一項新的ARFC非正式提案,旨在推動GHO的采納和使用。該提案建議替換Aave GrantsDAO(AGD)的DAI額度為GHO額度。目前,AGD尚有約38萬美元未領取的DAI。此次提議旨在將AGD現有的DAI額度替換為新的GHO額度,這將使AGD的貢獻者和贈款接受者能夠用GHO以及AGD多重簽名中持有的任何其他資產獲得獎勵。鑒于GHO的交易價格低于1美元,AaveDAO可以在市場上購買GHO,這將有助于支持其錨定價格,然后使用GHO為AGD提供資金。
此提案預計將在增加GHO利率的ARFC提案實施以及在GHO與Aave V3 GHO池的集成中發現的技術問題得到解決之后實施。[2023/8/25 10:02:49]
MhType:??mh.Base58,
MhLength:-1,
}
c,err:=pref.Sum(byte("CIDTest"))
iferr!=nil{...}
fmt.Println("CID:",c)
}
可以看到在生成CID的過程中,無法實現結果的預測和更換,我們再往上分析上傳文件的部分。將文件上傳到IPFS,通過塊的方式保存到本地blockstore的過程位于/go-ipfs-master/core/commands/add.go:
typeAddEventstruct{
Name?string
Hash?string`json:",omitempty"`
投行Cowen下調對比特幣礦企Marathon Digital的收入預期:金色財經報道,在第二季度業績低迷之后,投資銀行Cowen下調對比特幣礦企Marathon Digital Holdings(MARA)的收入、調整后的EBITDA以及采礦利潤率的預期,并對該公司雄心勃勃的算力目標提出警告。
Cowen分析師Stephen Glagola和George Kuhle在給客戶的一份說明中說,由于Marathon對第三方供應商的依賴和缺乏對基礎設施的控制,這些交易伴隨著執行風險。Cowen將Marathon 2022年的收入預期從2.04億美元降至1.5億美元,低于1.89億美元的平均預期。Cowen還將調整后的EBITDA預期從8600萬美元降至3900萬美元,采礦利潤從1.32億美元和64.7%的利潤率降至9100萬美元,利潤率為61%。(CoinDesk)[2022/8/24 12:44:16]
Bytesint64?`json:",omitempty"`
Size?string`json:",omitempty"`
}
const(
quietOptionName????="quiet"
quieterOptionName???="quieter"
silentOptionName???="silent"
progressOptionName??="progress"
trickleOptionName???="trickle"
wrapOptionName????="wrap-with-directory"
CZ:比特幣可能會在兩年內保持低于69,000美元的峰值:金色財經消息,幣安創始人趙長鵬(CZ)表示,四年前人們會對目前比特幣20,000美元的價值感到滿意,比特幣可能會在未來兩年內保持在69,000美元的歷史高位以下。[2022/6/23 1:27:00]
onlyHashOptionName??="only-hash"
chunkerOptionName???="chunker"
pinOptionName?????="pin"
rawLeavesOptionName??="raw-leaves"
noCopyOptionName???="nocopy"
fstoreCacheOptionName="fscache"
cidVersionOptionName?="cid-version"
hashOptionName????="hash"
inlineOptionName???="inline"
inlineLimitOptionName="inline-limit"
)
把上傳文件信息保存到AddEvent對象中,再通過/go-ipfs-master/core/coreunix/add.go里的addALLAndPin和fileAdder.AddFile方法遍歷文件路徑,讀取文件內容,將數據送入塊中:
func(adder*Adder)AddAllAndPin(ctxcontext.Context,filefiles.Node)(ipld.Node,error){
ctx,span:=tracing.Span(ctx,"CoreUnix.Adder","AddAllAndPin")
deferspan.End()
ifadder.Pin{//knownsec如果被鎖定
adder.unlocker=adder.gcLocker.PinLock(ctx)
}
deferfunc(){
ifadder.unlocker!=nil{
adder.unlocker.Unlock(ctx)
}
}()
iferr:=adder.addFileNode(ctx,"",file,true);err!=nil{
returnnil,err
}
mr,err:=adder.mfsRoot()
iferr!=nil{
returnnil,err
}
varrootmfs.FSNode
rootdir:=mr.GetDirectory()//knownsec獲取路徑
root=rootdir
err=root.Flush()
iferr!=nil{
returnnil,err
}
_,dir:=file.(files.Directory)
varnamestring
if!dir{
children,err:=rootdir.ListNames(adder.ctx)//knownsec展示當前路徑文件名
iferr!=nil{
returnnil,err
}
iflen(children)==0{
returnnil,fmt.Errorf("expectedatleastonechilddir,gotnone")
}
name=children
root,err=rootdir.Child(name)
iferr!=nil{
returnnil,err
}
}
err=mr.Close()
iferr!=nil{
returnnil,err
}
nd,err:=root.GetNode()
iferr!=nil{
returnnil,err
}
err=adder.outputDirs(name,root)
iferr!=nil{
returnnil,err
}
ifasyncDagService,ok:=adder.dagService.(syncer);ok{
err=asyncDagService.Sync()
iferr!=nil{
returnnil,err
}
}
if!adder.Pin{
returnnd,nil
}
returnnd,adder.PinRoot(ctx,nd)
}
最后再利用addFile函數完成文件的上傳:
func(adder*Adder)addFile(pathstring,filefiles.File)error{
varreaderio.Reader=file
ifadder.Progress{
rdr:=&progressReader{file:reader,path:path,out:adder.Out}//knonwsec按字節讀取文件
iffi,ok:=file.(files.FileInfo);ok{
reader=&progressReader2{rdr,fi}
}else{
reader=rdr
}
}
dagnode,err:=adder.add(reader)//knownsec添加上傳文件
iferr!=nil{
returnerr
}
returnadder.addNode(dagnode,path)
}
分析代碼發現,IPFS在打包文件上傳返回CID的整個過程,都沒實現劫持的可能,而成功上傳的文件無法實現修改其內容,同樣無法實現篡改:
后記
Web3建立在區塊鏈技術之上,無需中央機構即可維護。其允許用戶在互聯網上保護他們的數據,并允許網絡平臺的去中心化。而IPFS技術對他來說就如同一臺電腦的硬盤,web-ui就如同主機的顯示器一樣不可或缺,其間亦存在著復雜而多樣的安全風險可能給予不法分子可乘之機,理解其風險并避免發生問題是每一位Web3從業人員的責任與義務。
近期,跨鏈協議Hop和Layer2擴容方案??Optimism通過鏈上轉賬數據追查「空投獵人」,封禁了不少「羊毛黨」的賬戶。下面這款隱私轉賬協議對于羊毛黨來說,或許會是一個不錯的工具.
1900/1/1 0:00:00尊敬的歐易OKX用戶:歐易OKX將支持Terra官方LUNA空投與代幣遷移計劃,原LUNA和UST將分別更名為LUNC和USTC,并會將平臺收到的空投代幣全部分發給用戶.
1900/1/1 0:00:00尊敬的CITEX用戶: CITEX即將上線MMST幣種,并開放MMST/USDT交易對,具體安排如下:?充值時間:2022年04月18日14:00:00(UTC8)交易時間:2022年04月19.
1900/1/1 0:00:00CITEXToken是由CITEX交易平臺官方推出的用戶增值服務權益體系,是基于以太坊Ethereum的去中心化的區塊鏈數字資產.
1900/1/1 0:00:002022年5月26日下午,GameSpace&DaoChainTechnology(DAO鏈科技)簽署戰略合作投資協議書在美國科州隆重舉行.GameSpace負責人兼CAR游戲技術開發團.
1900/1/1 0:00:00尊敬的唯客用戶您好! 唯客WEEX近期部份地區發生的網絡異常情況,排查原因為其中一個亞馬遜伺服器AWS服務端異常,造成部份區域合約行情卡頓及顯示停滯問題,我們對此非常抱歉.
1900/1/1 0:00:00