关键词： 智能合约   版权保护   软件水印   代码混淆  

摘要： 区块链技术已渗透到市场经济和社会治理的各个领域。其中,智能合约作为区块链技术的组成之一,其满足预定条件即自动执行的特点,使得各个领域如数字货币、金融交易、数字政务都可实现更高效、更可靠的运作。但最近的研究表明,智能合约存在着大量的代码重用和代码抄袭现象。为了打击这种现象,关键举措是利用软件水印技术研究出针对智能合约的版权保护技术。但现有的技术暴露了以下问题:一方面,现有水印技术难以在智能合约中隐藏,因为智能合约在区块链运行需要消耗费用的机制限制了智能合约的代码体积,所以导致了恶意的敌手更容易通过逆向工程分析智能合约代码并操纵水印;另一方面,嵌入水印可能增加智能合约的运行成本,因为智能合约在运行时会根据操作码计算消耗从而花费成本,如果嵌入的水印增加了运行成本,会导致开发者需要在版权保护和运行成本两者之间权衡。因为上述的问题得不到解决,导致目前缺少完备性的智能合约原创性验证和版权保护方案。现有的研究或增强了智能合约剽窃的难度,但不足以验证一个智能合约是否为原创,也没有增强智能合约被攻击后的弹性。针对上述问题,本文基于软件水印技术的智能合约版权保护技术展开研究。主要贡献如下: (1)基于代码混淆的智能合约水印算法。传统的软件水印技术通常利用源程序结构复杂的特点,将水印进行编码并嵌入到难以分析的代码结构中。增强敌手对源程序进行静态分析的难度。但智能合约相对其他语言的代码体积会更小,结构更为简单,所以难以在智能合约中隐藏水印。为此,本文提出了一种基于代码混淆的智能合约水印算法。首先,利用智能合约的操作码作为智能合约的唯一特征构建水印。其次,采用控制流混淆算法并提出一种新颖的布局混淆算法进行水印的嵌入,增强水印的隐蔽性和分布性。并结合完整性保护方案和盗版追溯方案以促进水印算法在实际场景中的应用。最后,在真实数据集Ethereum-smart-contract上进行了相关实验,以评估所提出的方法。实验结果表明基于控制流混淆的方法会对智能合约的运行造成10～20%的影响,基于布局混淆的方法在性能上不会对智能合约有影响。所提出的算法能够在性能方面开销提升可接受的范围内抵御多种水印攻击,保护智能合约版权。 (2)基于零代码的智能合约水印算法。传统的软件水印算法在提取水印时通常需要提供真实的水印位置。对水印的安全造成很大的威胁,因为无法保证水印位置是否会被泄露。此外,传统的软件算法在嵌入水印的过程中,会侵入式地引入额外的代码,对于智能合约而言可能会增加其运行成本。为此,本文提出了一种基于零代码水印算法的智能合约水印算法。首先,利用智能合约源码本身的结构进行统计学分析。其次,根据统计学的分析结果用户介入构建水印。并提出一个可信的版权认证中心注册水印,并将水印进行加密将版权所有者密钥授予用户。最后,在真实数据集Ethereum-smartcontract上进行了相关实验以评估所提出的方法,实验的综合数据表明在最坏情况下水印检测率超过50%,篡改检测率达100%。所提出的算法能够不会提升智能合约运行开销的基础上保护智能合约版权同时实现篡改检测。

关键词： 智能合约   漏洞检测   特征融合   操作码序列  

摘要： 智能合约作为区块链技术的核心创新,凭借其自动化执行、去中心化和高度透明的特性,正在引领数字交易和合同执行的变革。然而,随着智能合约的广泛应用,其潜在漏洞和安全风险也日益突出。智能合约漏洞可能导致合约规则执行不当、资产丢失和遭受恶意攻击,因此,深入研究智能合约漏洞检测具有重要意义。 智能合约存在多种漏洞类型,包括但不限于可重入漏洞、溢出错误和权限控制问题。这些漏洞可能由于代码逻辑不完善、测试不充分或对区块链特性的误解而产生。由于智能合约一旦部署就无法更改,因此全面检测其漏洞至关重要。然而,现有的智能合约漏洞检测方法主要还是局限于链下环境,它们在链上动态环境中的应用远未成熟,对未知漏洞类型的预测和防御更是存在显著的研究空白。随着区块链技术的深入发展,开发出全面、动态的智能合约漏洞检测机制显得尤为重要。 为解决上述问题,本文提出了一种使用行为链特征融合的智能合约漏洞检测方法,主要贡献如下: (1)提出了一种基于深度学习的智能合约已知漏洞检测方法。与传统方法不同,该方法通过收集智能合约运行过程中产生的操作码序列,将交易的操作码序列视为类似于自然语言的文本并对其进行检测,实现了对智能合约已知漏洞的动态检测。 (2)提出了一种使用行为链特征融合的智能合约已知漏洞检测改进方法,创新地从操作对象、系统资源、种类和gas值四个维度定义了操作码的行为特征,并利用CNN-Bi LSTM模型进行多分类检测。该模型通过嵌入层、卷积层和Bi LSTM层提取并融合操作码序列和行为特征。相比未融合模型,特征融合后的模型在准确率和加权平均F1-Score方面均提升了1.40%。 (3)提出了一种使用行为链特征融合的智能合约未知漏洞检测方法,利用未知漏洞与已知漏洞的相似性,使用深度学习模型学习已知漏洞特征,并检测未知漏洞。通过设置累积概率阈值和置信度阈值,判断测试样本是否为未知漏洞。相比未融合模型,特征融合后的模型在准确率和加权平均F1-Score方面分别提升了4.18%和4.15%。

关键词： 数据交易机制   智能合约   进程代数CSP   形式化建模与验证   安全性  

摘要： 在信息时代,数据资源逐渐演变为助推科技创新和经济繁荣的重要动力,数据交易在社会资源流通和共享中的地位节节攀升。但传统单一的交易定价方式已无法满足社会日益增长的对高质量数据的需求,这一矛盾推动了数据拍卖领域的蓬勃发展。数据拍卖这一新兴的交易形式,为全球的卖家和买家提供了灵活便捷的数据交易环境。与此同时,数据拍卖也面临着一系列的挑战:匿名的环境可能会导致出现串通勾结的现象,影响交易的结果;过于依赖第三方的交易平台会影响数据拍卖系统的性能。在此背景下,基于智能合约的数据交易机制应运而生,创造了去中心化的交易环境,广受欢迎。然而,关于该数据交易机制可靠性和安全性的研究非常有限。形式化方法以其严密的数学语义和无二义性且准确的表达方式,填补了目前研究的空缺。因此,从形式化方法的角度对基于智能合约的数据交易机制进行建模与验证具有深远的意义。本文使用形式化方法中的进程代数CSP(Communicating Sequential Processes)构建基于智能合约的数据交易机制的形式化模型。模型由六个实体组成,包括:数据卖家、数据买家、数据交易中心、文件系统、仲裁机构、智能合约。我们模拟数据交易的具体流程,详细刻画进程的行为和进程间的通信交互过程,建立系统的整体模型。为了研究数据交易机制是否稳定可靠,我们使用模型检测工具PAT(Process Analysis Toolkit)对安全环境下的形式化模型开展功能性性质验证,包括:无死锁性、数据可达性、数据正确性。验证结果表明数据交易机制满足上述性质,能够在正常的通信过程中保持高可靠运行,得到正确的数据交易结果。为了开展对于数据交易机制的安全性分析,我们模拟真实网络中的攻击,通过引入入侵者,更新数据交易机制的形式化模型,并验证模型是否满足安全性性质:反串通性和数据一致性。验证结果表明数据交易机制满足安全性性质,能够抵御入侵者的窃听和篡改行为,保障交易数据的隐私性和一致性。

关键词： 联盟链   智能合约   共识机制   知识推理   规则推理  

摘要： 规则推理作为一种可解释性的推理技术,具有出色的解释能力和泛化能力,正逐步成为研究的新热点。传统规则推理的推理数据和推理逻辑常常存储在中心数据库或单个主机上,数据容易被篡改且难以追溯攻击源头。而推理结果的准确性高度依赖推理数据,一旦推理数据或推理逻辑被篡改,推理结果或决策会出错。因此,为了保障推理数据和推理逻辑的可信存储以及推理过程的可靠性,本文提出了一种基于区块链的多节点可信协作规则推理方法。以联盟链开源网络框架Hyperledger Fabric为底层技术构建可信多节点协作推理环境,封装逻辑规则推理算法、多级存储策略、安全审计机制、节点划分机制、基于选择的共识机制以及判定器模块,保障推理全过程的安全可信。基于区块链的多节点可信协作规则推理方法研究主要分为以下两部分: (1)基于区块链的可信规则推理和存储方案。针对推理数据和推理逻辑容易被篡改且无法追踪溯源的问题,利用联盟区块链构建可信执行环境,将可解释性推理算法封装于智能合约模块中,使得区块链网络具有推理的能力。在区块链网络上执行整个推理流程,记录推理的中间结论和操作信息,并将推理的初始数据、中间结论、结果以及操作信息等按照设置的多级存储策略存储在数据库和区块链上。此外,引入审计机制,将推理过程链条化,方便用户追溯推理流程和推理细节,确保推理过程的透明性和可审计性。经过实验测试,该方案的推理耗时在毫秒级别,内存占用比原始区块链网络少,保障了推理数据和推理逻辑的安全可信存储。 (2)基于区块链的多节点协作推理方案。针对方案(1)的推理网络架构中存在的节点间推理独立性较高,推理不充分等问题进行优化,构建具有交互隐私的推理协作网络,充分发挥高性能节点优势,提升推理数据隐私性和推理的充分性。通过节点划分机制,明确节点的职责,根据节点性能及特征进行优先级排序。同时,设置节点访问控制机制,依据节点的职责划分和优先级设置节点准入策略,控制节点访问数据和节点交互的范围,保障推理数据隐私和隔离性。此外,设计基于选择的共识机制,动态选择背书策略,智能选择多个合适的背书节点进行多方背书,校验推理结果,确保多节点协作推理结果的正确性。设置判定器模块,对背书策略适用性和推理充分性进行判定。背书策略适用性主要判定选取的背书组织和背书节点是否符合当前推理的要求。推理充分性判定主要根据节点的优先级判定是否存在其他节点能够进行进一步的推理任务,若存在则转交给其他节点进行推理。该方案保障推理的充分性,将推理的准确率提高了20%左右。

摘要： 智能合约是一种以代码形式编写的自动化合约，以自动化为核心，运行在去中心化的区块链网络上。智能合约对金融行业产生了革命性的影响。智能合约实现了去中心化交易，消除了传统金融中介机构的需求，从而降低了交易成本和执行时间。其也增强了金融交易的透明度和可追溯性。同时，智能合约的财务相关性在交易过程中表现得淋漓尽致。然而，其也存在相关挑战，包括安全性问题，如合约中的漏洞可能会被利用，以及合法性问题，尤其是在跨境交易中如何适用传统法律框架的疑问。由此体现了智能合约审计的必要性。

关键词： 区块链   智能合约   可信执行环境   数字水印  

摘要： 随着人工智能、大数据、云计算等新一代信息技术的飞速发展,人们产生和处理的数据量日益增加。为了降低数据存储成本,越来越多的机构和个人将数据存储在云端。云存储方式一方面能够满足用户通过远程连接访问和管理数据的需求,并允许用户按需调整存储容量,控制存储成本;另一方面使数据共享更加方便快捷,利于提高数据资源的利用效率。然而,数据云存储在带来便利的同时也伴随着一些安全隐患。首先,云存储导致数据管理权和所有权分离,云服务提供方拥有云端数据的优先管控权。其次,用户对云服务提供方的可信性存在疑虑,难以确认云服务提供方是否采用了足够高的安全保障措施。最后,数据还可能面临着来自云平台中其他用户或用户端内部人员的攻击威胁。为解决上述问题,人们通常采用数据安全审计,特别是数据操作行为审计来保障存储数据的安全性。 传统的中心化数据操作行为审计引入一个可信的第三方机构,旨在保障数据操作行为审计过程的安全性和审计结果的可信性。然而,近年来频繁发生的数据泄露等安全事件表明第三方并不总是值得信赖。如果第三方受到网络攻击或发生单点故障,则会危及整个系统的安全性,造成审计结果不可信。此外,第三方可能为了牟取利益而泄露数据和用户身份等信息,存在隐私泄露的风险。 针对上述问题,本文面向云存储数据的安全共享需求,基于区块链技术深入研究数据操作行为可信审计技术,主要工作如下: (1)提出了一种基于区块链和可信执行环境的数据操作行为审计协议。本协议实现了对数据操作行为的多维度审计。首先,利用链上存储的日志块标签实现对操作行为日志块的完整性审计,保证了日志块的安全性和可靠性。其次,在可信执行环境内对操作行为记录解密,结合数字签名验证操作行为信息的可信性。最后,借助可信执行环境的安全特性与区块链上存储的权限表实现了对具体操作行为的合规性审计。 (2)提出了一种基于区块链和数字水印的数据操作行为审计协议。首先,在审计中引入区块链,一方面使用区块链替代第三方,解决了第三方造成的审计结果不可信等问题;另一方面,用区块链存储操作行为权限表和日志块的块标签,保证了权限数据和操作行为数据的真实性和安全性。其次,本协议在云存储的原始数据中嵌入鲁棒性水印,可以实现数据共享时的版权保护。最后,将操作行为合规性验证所需的关键数据重新编码,作为脆弱性水印嵌入到加密后的操作行为记录中,既保证了操作行为数据的隐私性,又实现了操作行为合规验证。

关键词： 区块链   智能合约   漏洞检测   图神经网络   模糊测试  

摘要： 随着区块链技术的广泛使用,智能合约携带的数字资产激增。巨额的数字资产吸引了黑客的觊觎,妄图攻击智能合约,以非法获得经济利益。而智能合约中的漏洞给予黑客窃取数字资产的途径,导致安全事件频发、经济损失严重。若能在智能合约部署至区块链之前发现漏洞,则可及时修复,避免被黑客利用。 近年来,深度学习和模糊测试方法已被应用于智能合约漏洞检测领域。基于深度学习的智能合约漏洞检测方法围绕智能合约的特征提取与分析展开研究,而基于模糊测试的智能合约漏洞检测方法则着重于产生高覆盖率的测试用例。然而,相关研究依然存在一定的不足:基于深度学习的智能合约漏洞检测,过于关注深度学习模型的优化,但特征提取方法却相对粗糙,缺乏深度。基于模糊测试的智能合约漏洞检测,盲目追求测试用例覆盖率,然而,以覆盖率为导向的模糊测试工具不仅达不到相对高的覆盖率,还伴随着较高的时空开销。这些不足影响了检测结果的准确率。 针对上述问题,本文分别提出了基于图神经网络(Graph Nerual Network,GNN)和基于模糊测试的两种优化的智能合约漏洞检测新方法。 具体研究工作如下: (1)提出了Contract GNN——基于图神经网络和漏洞子图的智能合约漏洞检测方法。该方法将新的概念漏洞子图(Vulnerability Sub-graph,VSG)与图神经网络相结合,以检测智能合约漏洞。首先,提出了VSG的概念,用于智能合约漏洞检测。与传统方法相比,利用VSG进行检测更加深入,因为VSG去除了控制流图(Control Flow Graph,CFG)中与漏洞无关的节点。其次,VSG中的直路径和环路径可以被聚合和简化,从而提高了神经网络中消息传递的效率。然后,设计了一种新的特征提取方法,在保留智能合约的语义信息、操作码顺序以及控制流的基础上,实现了更为准确的智能合约特征提取。最后,比较了五种GNN分类模型,并选择了最合适的模型来实现Contract GNN。为了评估Contract GNN的性能,本文收集并测试了58,190份真实的以太坊智能合约;并且,实验结果表明,Contract GNN可以精准地检测智能合约漏洞,其平均F1值达到了89.70%。 (2)提出了SIFuzz:基于语义信息引导模糊测试的智能合约漏洞检测方法。与传统思想不同,本文尝试对模糊器进行引导,定向地产生容易触发漏洞的高质量测试用例。SIFuzz由引导器和模糊器两部分组成。引导器:在函数层面,构造了函数调用关系图,并对其进行简化和静态分析来定位检测的目标函数,确保模糊器仅针对可能触发漏洞的函数产生测试用例。在语句层面,首先,构造了函数的输入空间。而后,提出了“空间压缩”、“空间分裂”和“空间简化”的方法,利用语义信息对输入空间进行优化。最后,为了分析输入空间的复杂程度,SIFuzz给每个输入空间打分,并根据得分给每个输入空间赋予权重。模糊器:首先,根据输入空间的权重的不同,产生不同数量的测试用例,使更多的测试用例覆盖到可能存在漏洞的空间。其次,根据输入空间的权重,确定输入空间的检测顺序,确保模糊器更快地检测到智能合约漏洞。最后,产生大量测试用例进行漏洞检测,并生成漏洞检测报告。为了评估SIFuzz的性能,本文收集并测试了20,184份真实的以太坊智能合约;并且,实验结果表明,具有语义引导的SIFuzz可以精准地检测智能合约漏洞,其平均F1值超过了99.97%。

关键词： 智能合约   双阈值   未知漏洞检测   操作码序列   特征融合  

摘要： 随着以太坊的发展,智能合约的应用日益广泛。智能合约是运行在以太坊上的应用程序,并且涉及大量的资金转账。近年来,许多智能合约因存在未知的漏洞造成了大量的经济损失和有害影响。智能合约一旦部署到区块链上,便无法更改,开发者也无法在安全漏洞出现时及时采取应对措施。尽管许多研究人员投入研究,取得了一些成果,但现有方法往往存在特征类型单一、检测类别较少、误报率较高、只能检测已知漏洞等缺点。因此,对智能合约安全性的全面检测仍然是一个迫切需要解决的挑战。为解决上述问题,本文提出了基于双阈值的智能合约未知漏洞检测方法,主要内容如下: (1)本文提出了一个基于双阈值的未知漏洞检测方法。根据未知漏洞与已知漏洞存在一定相似性的原理,通过设置阈值Sum＿prob来比较未知漏洞与已知漏洞的相似程度以及设置阈值Max＿prob界定已知漏洞的置信度。最终利用多分类模型输出的概率值与设置的双阈值进行条件判定,进而检测智能合约中的未知漏洞。 (2)本文提出了一个基于机器学习的智能合约未知漏洞检测方法。通过N-gram和TF-IDF算法对简化后的操作码序列提取特征,利用多分类机器学习算法来构建漏洞检测模型,同时基于双阈值的未知漏洞检测方法对智能合约进行未知漏洞检测。实验结果证明了该方法的有效性,在检测智能合约中的未知漏洞时,准确率达到90.9%,F1-score达到91.5%。 (3)本文提出了一个基于特征融合的智能合约未知漏洞检测方法。通过对操作码序列与参数特征序列进行特征提取,然后通过特征融合方法连接操作码序列的特征矩阵和参数特征序列的特征矩阵得到混合特征矩阵,并训练卷积神经网络-双向长短时记忆网络-注意力机制(CNN-Bi LSTM-Attention)检测模型,最终利用双阈值的方法检测智能合约未知漏洞。实验结果表明该方法的优越性,在检测智能合约中的未知漏洞时,准确率达到92.74%,F1-score达到94.69%,并且基于特征融合的方法在各项指标相较于基于单一特征的方法表现更优,准确率与F1-score分别比单一特征的方法分别提升了3.83%和4.35%。

关键词： 以太坊区块链   智能合约   重入攻击   攻击行为分析  

摘要： 以太坊区块链和智能合约技术的不断发展为各种不同领域和行业提供了更大的扩展空间,随之而来的是不断出现在以太坊区块链中的安全事件。重入攻击作为以太坊区块链上主要的攻击行为之一,从2016年开始在以太坊区块链上频发,不断造成用户或项目方财产损失、去中心化应用正常执行逻辑被破坏。虽然当前有很多对于重入攻击行为的研究,但是随着以太坊区块链不断更新和发展,这些研究的缺点也日益暴露,因此对重入攻击行为的深入研究仍然具有重要意义。本文主要完成对重入攻击机理层面的研究,将重入攻击行为集中于状态变量的读写冲突问题进行讨论和分析,设计并实现了重入攻击检测框架,本课题的研究内容主要有以下三点: (1)提出重入攻击行为理论模型,本文从重入攻击机理层面对重入攻击行为进行研究和分析,将重入攻击的关键因素集中于状态变量的读写冲突问题上,根据读写行为的不同执行特点,提出新的重入攻击行为分类以及行为特征,在此基础上构建重入攻击行为理论模型; (2)提出基于理论模型的重入攻击检测技术,本文提出动态重入攻击行为检测技术,包括从交易字节码中提取语义信息,构建合约动态调用树,使用动态污点追踪技术完成并分析交易执行过程中数据流的变化过程,根据不同类型重入攻击行为的特征设计对应的攻击检测算法; (3)设计并实现重入攻击检测系统,本文从数据同步、数据处理、攻击行为检测以及结果输出等方面设计了完整的重入攻击检测系统,并完成实验以及系统检测效果的评估。 本文对重入攻击行为从机理层面研究并分析,提出基于状态变量读写冲突问题的重入攻击分类方式,并从交易字节码层面完成对重入攻击的动态检测,提供了一个较为全面的重入攻击理论研究和较为完整的检测系统,不仅能实现对重入攻击行为的有效检测,更能为以太坊区块链中重入攻击行为甚至是其他攻击行为的研究和检测提供参考。

关键词： 水产品   溯源   区块链   HACCP   智能合约   Hyperledger Fabric  

摘要： 针对传统的水产品溯源中心化严重、数据易被篡改等问题，运用区块链技术，基于危害分析与关键控制点(HACCP)设计水产品溯源体系.采用多元线性回归的方法对样品数据指标进行处理，确认了养殖过程中的关键控制点；在确定关键信息的基础上，设计了智能合约对水产品溯源各环节的上传数据进行判定.从系统可行性出发，分别对系统功能、共识拓扑、溯源编码进行详细设计.搭建水产品溯源系统，并对系统的功能和性能进行了测试.结果表明：系统的交易吞吐量固定在320笔/s上下，平均交易延迟在0.5 s左右，交易成功率在99.8%左右，完全可以满足生产实践的需求.