技术极客:周鸿祎夸大了360发布的EOS安全漏洞的危害

转载

2346 天前

17707

网易科技

来源：网易科技

火讯财经注：区块链技术本身存在很多潜在的安全问题，EOS出现安全漏洞很正常，需要时间不断完善。

网易科技讯5月30日消息，近日，360发布EOS高危安全漏洞消息。EOS创始人BM回应称，360在故意制造恐慌。周鸿祎回答王峰邀十问时对此表示否认。网易科技在“3点霞客行&EOS踢馆护馆群”中邀请嘉宾，就EOS此次发现安全漏洞问题展开讨论。很多嘉宾认为，区块链技术本身存在很多潜在的安全问题，EOS出现安全漏洞很正常，需要时间不断完善。但是也有嘉宾认为，BM认为360故意制造恐慌的说法，是不敢正视问题，这种态度对技术极度不尊重。

嘉宾核心观点提炼

Ruff CEO Roy Li：安全漏洞不会让EOS归零，BM的回应不够尊重技术

安全漏洞虽然在区块链里危害很大，但是我不支持，危险会让EOS归零的说法，也不支持完全无视这种风险，认为安全公司在找茬借机炒作的阴谋论。

区块链潜在的安全问题是很多，比如智能合约、代码级漏洞等问题很容易发生。图灵完备代表足够高的底层自由度，这个自由度会导致逻辑当参数传进去，或是字段边界控制不力导致溢出，或者网络同步，共识节点要承载安全上的压力。节点本身一旦被攻击，恶意行为就可能产生。

一条公链的诞生到成熟，一定是千疮百孔。即便是中心化的系统，如支付宝，也是久病成医的，所以不存在所谓技术上的踢馆。我觉得关键是对漏洞的态度，但如果驱动技术社区的力量对安全的重视和态度不够，就会扭曲黑帽子和白帽子的平衡，攻守平衡被打破，未来的问题只会越来越多。

多年前，有个黑客入侵MySpace , 将入侵过程发邮件告诉MySpace管理层，结果MySpace报警抓人。后来又有个黑客入侵Facebook，同样将过程提交给了zuckerberg，结果被招进了公司，成为了早期员工，这两家公司的命运都可以看到。

网络安全是要专业的人干专业的事。什么叫尊重？好比有人喊一句all in区块链，然后冲下场发一个空气币，这不叫尊重区块链。360也有过漏洞。我曾经在微博上就爆过360的漏洞。2011年，周鸿祎拉谭晓生跟我聊，老谭态度特别好，执行力很强，周鸿祎并没有因此说我炒作。

竞选eos节点的团队，你们以为开一台高防服务器，就等着挖币了吗？你们能扛多大的攻击？安全措施有方案吗？渗透测试哪家做？我对BM不评价，最多只是觉得他对ETH事件的有点看法。我觉得还是社区的反应比较过激。BAT的安全团队实力储备是何等强，还是三天两头要救火。EOS临近上线，在安全方面的测试也许需要更完备一些，否则主网上线后损失会更大。

Zformular EosBepal节点技术负责人：EOS社群不应该盲目崇拜BM

Zformular EosBepal节点技术负责人觉得，首先，公链的安全是真枪实弹需要时间来验证的，更需要公链的技术社区共同推动。我对于EOS的期待，就如同09年时许多人对于Bitcoin的期待。希望一个想法、一份技术论文、一份技术白皮书被一个技术社区共同推动，共同验证。这个过程中，我们可以容忍狂热的神教徒、投机的炒币者、执着的技术派.....所有人在参与这场实验。

目前，EOS的安全性面临几个比较突出的问题：

第一个是超级节点被DDOS的风险。

第二个是前期客户端代码致命漏洞。

第三个是技术社区过于集中专制化。

第四个是整体社区安全意识薄弱。

昨天，EOS技术生态的参与者，国内知名的360安全团队，就给整个社区上了生动的一课。当然，之前的慢雾科技，也在很努力的为社区各节点提供安全建议、测试等。

技术社区心态应该更开放，接纳更多的开发者，已经进入EOS技术生态社区的技术人员不应该盲目崇拜BM及其团队。大家应该站在更利于EOS发展的角度思考，并努力推动EOS技术迭代，极端情况下，我个人认为分叉不失为一种解决方式。对于这个问题我还没有思考很深入，因为涉及到社区自治方面的问题。希望大家能有更好的建议。

YOYOW公链团队成员ALEX：360发布的漏洞没那么严重

YOYOW公链团队成员ALEX提出，首先说一下BM这位技术大牛，他是唯一一个开发出两个成功的区块链项目Bitshares和Steem，同时也为很多项目贡献过代码，比如boost，以及他所开发的区块链开发框架 - graphene框架。同时BM也是DPOS共识算法的发明者，我并不怀疑BM这个人的技术能力。YOYOW也是选择了graphene框架进行开发。

至于出现的溢出bug，其实任何项目都可能遇到，实际上也是很常见的一类问题。但问题的提出和修复的这个过程也是开源项目的魅力所在。发现了问题，社区提出来，然后进行修复，代码是公开的，比闭源项目更容易找到问题所在，也能更快速修复。

而且就这个问题而言，在一般的通常情况下，是不可能获取root权限。每个BP也应该有自己的安全策略。就这个问题而言，也就是说控制整个节点的可能性并不大，再且要同时控制15个超级节点，这个难度更大。实现的可能性那么小，所以BM也说这是FUD。

EOS还在开发过程中，之前的提的issue遇到的问题还更大更多。360这些大厂入局肯定是好事，为EOS和其他公链项目保驾护航也是好事。毕竟开源项目的精神也在这。