Файл: Образовательная программа Программирование и системная интеграция итрешений отчет о прохождении учебной практики.docx
ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 26.10.2023
Просмотров: 40
Скачиваний: 1
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
Третье преимущество – Прозрачность в выборе источников
Некоторые компании публикуют отчеты, чтобы сделать свои цепочки поставок и операции более прозрачными и сделать свой бренд более привлекательным для потребителей.
Этот тип «прозрачного маркетинга» эффективен в сфере производства продуктов питания и потребительских товаров, поскольку он побуждает потребителей совершить покупку, поскольку они получают необходимую информацию о продукте.
Четвертое преимущество – соблюдение требований.
Возможность отслеживать движение и потребление материалов имеет решающее значение для соблюдения нормативных требований.
Чтобы соответствовать этому стандарту ISO 9000, очень важно иметь возможность идентифицировать отдельные единицы продукта. Также вы должны собрать информацию о подкомпонентах. Эта информация позволит отслеживать части продуктов по всей вашей цепочке поставок.
Нормативные требования к документации отслеживаемости постоянно развиваются. Например, Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США (FDA) опубликовало «Предлагаемое правило отслеживаемости пищевых продуктов», Что потребовало дополнительных учетных записей для отслеживания определенных пищевых продуктов. FDA поощряет добровольное принятие этих новых методов для всех пищевых продуктов. Эти новые требования коснутся всех, кто производит, обрабатывает, упаковывает или хранит продукты питания.
Пятое преимущество – борьба с подделками и утечкой / воровством путем выявления слабых мест в цепочке поставок.
Одна из худших вещей, которые могут случиться с любым бизнесом, - это подделка или кража их продуктов.Подделки не только приводят к прямой потере продаж, но и покупатели могут потерять веру в ваш бренд. Если у человека окажется некачественный поддельный продукт с вашим именем и логотипом, есть большая вероятность, что он будет недоволен вашим брендом и перенесет свой бизнес в другое место. А если ваши продукты украдены или украдены, вы теряете деньги и можете столкнуться с гораздо более серьезной проблемой в цепочке поставок.
Отслеживание цепочки поставок похоже на инструмент судебной экспертизы, помогающий бороться с подделками, утечкой и множеством других проблем.
3 Анализ теоретического материала по теме работы
3.1 Основные понятия блокчейна
Блокчейн является одним из видов более широкого класса технологий хранения и синхронизации данных – распределенного реестра (англ. DLT – Distributed Ledger Technology). Ключевое свойство всего класса технологий распределенного реестра – отсутствие централизованного управления. Каждый узел распределенной системы (состоящий из сопутствующего программного обеспечения и собственно реестра) делает записи в своей версии реестра независимо от других узлов и синхронизируется с ними в рамках одноранговой сети. Особенностью блокчейна как вида распределенного реестра является то, что записи соединяются в инкрементальную цепочку блоков с использованием криптографических алгоритмов, отсюда и его название (англ. blockchain, цепочка блоков).
Итак, блокчейн – это децентрализованная база данных, в которой все записи собираются в блоки и связываются между собой средствами криптографии. Помимо самих записей (или транзакций) и идентификатора блока, в блок включаются хеш-суммы текущего и предыдущего блоков. Они являются результатом вычисления криптографических хеш-функций. Хеш-функции в блокчейне, в сочетании с его распределенной архитектурой, обеспечивают неизменность и необратимость всей цепочки блоков и транзакций.
Помимо хеш-функций важную роль в блокчейне выполняет набор математических правил и функций, называемый алгоритмом консенсуса. Основной задачей алгоритма консенсуса является генерация и синхронизация цепи блоков у всех участников сети. База данных блокчейна хранится у неограниченного количества участников блокчейн-сети в специальных узлах сети (называемыми узлами консенсуса или узлами майнинга). При этом участники сети заранее неизвестны и могут подключаться или отключаться в любой момент. Алгоритм консенсуса обеспечивает достижение общего соглашения о текущем состоянии базы данных всеми участниками сети. Работа по группировке новых транзакций в блоки и вычислению хеш-функций для защиты цепи блоков выполняется также узлами консенсуса, как правило, получающими за это вознаграждение в виде цифрового актива (например, криптовалюты). Все эти особенности, включая экономические мотивационные механизмы для участников блокчейн-сетей, привели к созданию специализированных алгоритмов консенсуса, отличных от консенсусов распределенных систем, использовавшихся до появления блокчейна.
Сочетание свойств распределенного реестра с блочной структурой данных, основанной на криптографической связанности, позволяет блокчейну эффективно реализовывать два из трех ключевых аспектов информационной безопасности – целостность и доступность информации. В силу децентрализованной топологии и криптографических механизмов, злоумышленные манипуляции информацией становятся крайне дорогостоящими и затруднительными, а сама информация остается доступной для всех участников при значительных изменениях в размерах блокчейн-сети. Однако традиционная модель децентрализованной публичной блокчейн-сети, обеспечивающей прозрачность и устойчивость к цензуре, в силу своей архитектуры и идеологии не позволяет обеспечить третий аспект ИБ – конфиденциальность данных. По этой причине, а также из-за проблем масштабируемости, появилась модель приватного блокчейна.
Приватный или частный блокчейн в первую очередь отличается моделью обеспечения доступа к сети, при которой право вносить изменения в реестр есть у строго определенных участников. Кроме того, обычно ограничен доступ на чтение записей реестра. Приватный блокчейн идеологически отличается от публичного. В такой сети появляется оператор, и она уже не может быть децентрализованной, только распределенной. Тем не менее приватный блокчейн позволяет обеспечивать конфиденциальность записей, так как теперь доступ предоставляется согласно политикам безопасности. Такие сети получают все большее распространение как инфраструктура для корпоративных и государственных задач.
Существует модель гибридного блокчейна, совмещающая оба подхода. При ней записи из приватной сети или их метаданные могут дополнительно храниться в публичном блокчейне, обеспечивая дополнительную отказоустойчивость всего реестра.
С точки зрения безопасности блокчейн стоит оценивать не как самостоятельную технологию, а как инфраструктурный слой для конкретного сценария – базу данных для корпоративной информационной системы, среду исполнения децентрализованного приложения или смарт-контракта и т.д. Анализ многочисленных инцидентов ИБ, связанных с блокчейн-решениями, показывает, что часто самой уязвимой частью является не блокчейн-сеть, а смежные компоненты и информационные системы. Далее в статье будут рассмотрены наиболее интересные и актуальные векторы атак на блокчейн-решения, а также особенности реализации базовых принципов безопасности.
3.2 Рассмотрим виды блокчейна
3.2.1 Публичный блокчейн
История публичного блокчейна неразрывно связана с криптовалютами. В целом как технологическое явление блокчейн обрел популярность благодаря первой криптовалюте Биткоин (англ. Bitcoin). Являясь базовым сценарием, сформировавшим технологию в ее текущем виде, криптовалюты и сопутствующие финансовые инструменты продолжают активно развивать технологию и решать архитектурные ограничения первых реализаций. С другой стороны, капитал всегда привлекает значительное внимание злоумышленников, и публичные блокчейн-сети, генерирующие и обслуживающие цифровые активы, постоянно подвергаются разнообразным атакам.
Самые распространенные атаки напрямую не воздействуют на блокчейн-сети. Они нацелены на хищение активов, доступ к которым обеспечивается с помощью приватного ключа. Перед тем как разбирать этот вид угроз, необходимо описать принцип владения цифровым активом, в частности, криптовалютой.
Безопасное хранение приватного ключа как основа защиты цифровых активов
Каждая транзакция (например, перевод криптовалюты из одного кошелька в другой) внутри блока подписывается ассиметричной электронной подписью (далее — ЭП). Этот дополнительный криптографический слой необходим в публичной сети, где участники анонимны и не доверяют друг другу.
Использование асимметричного механизма в цифровой подписи отличается от традиционного асимметричного шифрования. Подписание производится закрытым или приватным ключом, а проверка подписи — открытым или публичным ключом (проверить подпись транзакции может любой участник). Значение открытого ключа вычисляется на основе закрытого ключа, а вот обратное преобразование требует пока практически неосуществимого объема вычислений.
Приватный ключ генерируется пользователем, и обеспечивает доступ к адресу в блокчейне, на котором может хранится цифровой актив. Зная значение приватного ключа, пользователь фактически владеет и может распоряжаться цифровым активом, закрепленным за ним. Публичный ключ используется как адрес блока или кошелька, а также в качестве проверки подлинности подписи информации в других блоках другими участниками сети. С некоторым допущением можно сказать, что пара публичного и приватного ключа и являются блокчейн-кошельком.
С учетом этой специфики надежное хранение приватного ключа является основой безопасных операций с криптовалютой и другими активами. Наиболее распространенным инструментом хранения являются так называемые «горячие» кошельки - подключенные к интернету приложения для хранения приватных ключей и операций с цифровыми активами. Существуют различные виды подобных решений (например, полностью облачные кошельки или децентрализованные приложения), но их использование по очевидным причинам связано с повышенным риском. Для их взлома, как и для взлома других пользовательских программ, используются самые распространенные атаки – от фишинга до вредоносного ПО.
Альтернативой является «холодный» кошелек – тип хранения приватных ключей, при котором у среды хранения нет прямого взаимодействия с интернетом и блокчейн-сетью. Значение приватного ключа можно хранить как в виде записи на бумаге или в файле на локальном носителе, так и в специализированном аппаратном кошельке. «Холодный» подход обеспечивает более высокий уровень защиты приватного ключа, но в большинстве случаев не позволяет удобно и быстро совершать операции.
Отдельным видом хранения являются кошельки, принадлежащие централизованным сервисам, занимающимся торговлей и обменом криптовалют. Персональные аккаунты и базы данных пользовательских кошельков бирж регулярно взламываются. Многие биржи заявляют, что держат большую часть активов клиентов на «холодных» кошельках. Тем не менее, только в 2019 году было взломано 12 крупных бирж – суммарно пострадали 510 тысяч учетных записей с хищением криптовалюты на общую сумму около 300 млн долларов.
Вектор атаки, направленный на получение доступа к приватному ключу напрямую не связан с блокчейн-сетью. Тем не менее, степень этого риска пытаются понизить в том числе с помощью архитектуры блокчейн-сети. В частности, набирают популярность децентрализованные сервисы, принципиально отличные от традиционных криптобирж. Они не хранят приватные ключи и персональные данные на своих серверах и выступают в роли посредников для сопоставления заявок на покупку и продажу активов. Пользователь отправляет подписанные торговые команды (ордера), биржа сопоставляет подходящие ордера на покупку и продажу актива, а непосредственно обмен происходит напрямую между участниками торгов.
Дополнительная защита цифровых активов реализуется также с помощью технологии мультиподписи или мультисига (англ. multisignature). Фактически это требование нескольких подписей (Y подписей из X подписантов) для подтверждения транзакции. Участие в процессе подтверждения транзакции нескольких пользователей с хранящимися отдельно приватными ключами значительно увеличивает защиту кошелька. Как правило эта конфигурация в кошельке реализуется с помощью смарт-контрактов, о которых написано далее.
(Не)умные контракты
Умные или смарт-контракты (англ. smart contracts) существенно расширяют возможности блокчейн-сетей, но и создают большое количество новых векторов атак.
Смарт-контрактом называют компьютерный алгоритм, предназначенный для самостоятельного исполнения действия при наступлении определенных условий в блокчейн окружении. Стороны подписывают смарт-контракт методами, аналогичными подписи транзакций и размещают по определённому адресу в блокчейн-сети. Умные контракты легли в основу множества блокчейн проектов и инициатив. На них строились ICO-кампании (англ. Initial Coin Offering) по привлечению инвестиций в новые активы; они лежат в основе децентрализованных автономных организаций DAO (англ. Decentralized Autonomous Organization) и децентрализованных приложений (например, азартных или коллекционных игр). На смарт-контрактах работают популярные сейчас децентрализованные финансовые инструменты DeFi (англ. Decentralized Finance).