DB61_T 1283-2019 区块链安全测评 指标体系.docxVIP

库七七提供下载

ICS35.020

L70

DB61

陕 西 省 地 方 标 准

DB61/T1283—2019

区块链安全测评指标体系

BlockchainSecurityAssessment—Indicatorsystem

2019-11-27发布 2019-12-27实施

陕西省市场监督管理局 发布

DB61/T1283—2019

目??次

前言 II

范围 1

规范性引用文件 1

术语和定义 1

区块链安全测评指标体系 1

安全测评指标 2

I

DB61/T1283—2019

前??言

本标准按照GB/T1.1—2009给出的规则起草。本标准由陕西省工业和信息化厅提出并归口。

本标准起草单位：西安电子科技大学、西安西电链融科技有限公司、陕西省网络与信息安全测评中心、广东安创信息科技开发有限公司。

本标准主要起草人：刘景伟、裴庆祺、李志奇、杨帆、赵首花、陈晨、杨向东、何果、梁天宇、李晓璐。

本标准由西安电子科技大学负责解释。本标准首次发布。

联系信息如下：

单位：西安电子科技大学电话地址：西安市太白南路2号邮编：710071

II

DB61/T1283—2019

区块链安全测评指标体系

范围

本标准规定了区块链系统的安全架构、测评模型、测评指标体系和测评技术要求。本标准适用于区块链安全系统的测试评价。

规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T25069 信息安全技术术语

术语和定义

GB/T25069界定的以及下列术语和定义适用于本文件。

区块链 blockchain

在网络环境下，通过透明、可信的规则，构建的不可伪造、不可篡改和可追溯的分布式数据库。

3.2

共识算法 consensusalgorithm

在分布式的网络环境下，使区块链各节点间达成一致的计算方法。

3.3

分布式账本 distributedledger

在多个站点、不同地理位置或者多个机构组成的网络里实现共同治理及分享的资产数据库。

3.4

智能合约 smartcontract

基于预定事件触发、不可篡改、自动执行的计算机程序。

区块链安全测评指标体系

评测模型

区块链安全测评模型如图1所示。

1

DB61/T1283—2019

图1 区块链安全测评模型

测评指标体系

区块链安全测评指标体系如图2所示。

图2 区块链安全测评指标体系

安全测评指标

基础设施安全

网络与通信安全要求如下：

应保证网络设备的业务处理能力达到规定的阈值；

网络节点的监控能力应达到及时发现和抵抗网络攻击的要求。

分布式数据库安全要求如下：

应具备检测和防御各种攻击行为的能力；

应保证数据交互过程中的高效性和隐私性；

应具有修复损坏数据的能力。

2

DB61/T1283—2019

运行环境安全要求如下：

应具备防范入侵的能力；

应具备防范恶意代码的能力；

应具备处理漏洞和防范风险的能力。

算法与结构安全

密码算法要求如下：

应支持国际主流密码算法和我国商密算法，如AES、RSA、ECC、SM2、SM3、SM4、SM9等；

应具备抵御破解的能力，定期审核加密算法的安全性；

应满足参数配置和生成过程、随机数的使用、操作模式等安全性需求。

账本安全要求如下：

应具备持久化存储账本记录的能力，保证数据的可追溯性；

应保证各个节点能对正确的账本进行同步；

应具备向获得授权者提供真实数据的能力。

区块安全要求如下：

区块应通过健壮的激励机制形成；

区块应具备抵抗攻击的能力。

密钥安全要求如下：

应具有明确的密钥管理方案；

密钥应安全生成、导入和存储；

密钥应能够正确、有效、安全备份；

应具有密钥找回功能；

应提供密钥撤销机制。

协议与机制安全

共识机制安全要求如下：

正常运行的节点的请求应能在规定时间内达成正确、一致的共识；

不超过理论值的节点数故障应不影响整个系统正常工作；

每一参与节点应具有独立判断能力；

共识方案的发布应具备清晰的应用场景和规模参数；

在理论值范围内的恶意节点发出恶意请求时，系统应能够做出正确的响应，保证一致性。

激励机制安全要求如下：

应保证激励发行和分配过程的公平性；

应考虑通信成本、网络维护成本以及计算资源消耗成本；

应设置对节点恶意行为的惩罚机制。

智能合约安全要求如下：

智能合约开发应标准化、规范化；

智能合约代码应能够进行安全性测试；

智能合约代码审计验证应标准化、规范化；

应建立智能合约安全漏洞信息平台；

智能合约应不可被恶意篡改。

跨链通信安全要求如下：