关键词： 同态加密   机器学习   智能合约   抽象语法树  

摘要： 智能合约的安全是保证目前区块链系统安全的必要条件。目前常见的智能合约代码分析方法可分为四类:静态分析方法,动态分析方法,机器学习分析方法和深度学习分析方法。而这些方法当前都存在着一些缺点。静态分析方法的准确率较低,误报率较高。动态分析方法需要去执行代码,要求较高,流程比较复杂,消耗的时间较多。机器学习和深度学习目前都需要自己手动去发掘并设置特征属性。而且目前的分析模型都没有考虑隐私保护的问题,都是对于智能合约明文进行分析,这会导致智能合约的信息泄露。为解决上述问题,本文提出了一种基于同态加密的区块链智能合约机器学习分析模型。本文的创新点概括如下:(1)该模型首先利用抽象语法树,通过智能合约抽象语法树之间的结构相似性自动的提取特征值,因此不用手动去发掘特征属性。(2)其次,本模型结合机器学习对于从抽象语法树中提取的特征值进行漏洞分析,很大幅度的提高了漏洞分析模型的效率。(3)本模型利用同态加密技术,在提取抽象语法树时会对参与分析检测的抽象语法树信息进行加密,达到不需要智能合约的明文就可以提取特征值并进行分析的目的,保护了这些被检测智能合约的机密性。为了验证我们提出模型的性能,本文从真实环境下收集智能合约数据集,并进行实验分析。实验显示针对于所有的漏洞,该模型的准确率,召回率和精确率都超过了80%。我们也将模型与常见的智能合约分析工具进行性能对比实验,实验结果显示本文的模型性能远超过Oyente,Smart Check等智能合约分析工具。其次,本文对基于同态加密的特征值提取方案与未加密的原始方案进行了时间和结果对比实验,实验证明了两种方案提取特征值结果的一致性,并且结果显示加密的模型只多花费了20多秒的时间,并没有耗费太大的时间成本。

关键词： 数据安全技术   欺诈识别   钓鱼网站   以太坊智能合约   机器学习  

摘要： 近年来,信用卡诈骗、企业诈骗、洗钱等金融诈骗受到了人们的广泛关注。本文意图使用机器学习与深度学习算法来检测识别网站和以太坊区块链合约的欺诈。在文章第一部分,我们研究了针对仿冒合法网站的钓鱼网站的检测。在第二部分,我们研究了针对以太坊智能合约中隐藏的恶意设计的检测。 如今,日益增多的钓鱼网站所带来的难以察觉的风险已经构成了一个重大威胁。钓鱼网站会使互联网用户将虚假网站误认为是真实的,从而在用户不知情的情况下泄露用户信息和隐私,如登录名、密码、信用卡号码等。这种类型的网络攻击通常是由电子邮件、即时消息或电话所触发。目前现有的反网络钓鱼技术主要依赖于第三方服务,这可能会影响钓鱼URL的分类结果。机器学习技术常被用来提高检测效率并降低误分类率。然而,这些技术大多从第三方服务、搜索引擎、网站流量中提取特征,这些特征复杂且不便于实时使用。由于近年来深度学习技术的迅速发展,许多基于深度学习的方法也被引入来提高分类性能。 自2009年以来,比特币、以太坊等加密货币在追随者中广受欢迎,并成为一个热门的研究方向。然而,不法分子却通过区块链的匿名性以利用这个新的生态系统来实施离线欺诈。这给账户安全与网络监管带来了巨大挑战。因此,基于以太坊智能合约的旁氏合约成为一种安全的投资方案。作为一个开源、流行的区块链平台,以太坊发布了各种各样的智能合约来执行相应工作。同时,区块链的技术特点来源于许多复杂的技术的融合,这增加了区块链的复杂性,导致投资者和账户合约之间的技术限制越来越高。过高的技术要求导致投资者难以识别运行在以太坊区块链上的账户合约背后的特定商业逻辑。这些技术障碍使得以太坊区块链上的投资受制于黑客构建的庞氏骗局与异常合约。 本论文的主要贡献如下: 1.提出了基于字符级卷积神经网络的快速URL钓鱼检测模型,该模型使用字符级卷积神经网络(CNN)对钓鱼网站的URL进行检测,既不需要检索目标网站内容,也不需要使用任何第三方服务。该模型在不需要事先了解钓鱼信息的情况下,通过获取URL字符串的信息和序列模式,利用序列模式特征来对URL进行快速分类; 2.提出了一种基于URL和HTML特征的钓鱼网站检测方法,该方法将没有网络钓鱼先验知识的URL字符序列、各种超链接信息和网页文本内容结合起来,从纯文本和HTML内容中提取字符级词频-逆文档频率(TF-IDF)特征,并选择不同的能够检测零时攻击且不依赖任何第三方服务的客户端的特定特性进入XGBoost分类器进行训练。此外,本文提出的超链接功能使得我们能够发现网站链接与网站内容之间的关联。由于缺乏公开可用的大型网络钓鱼数据集,我们创建了一个包含60252个网页的数据集以验证提出的解决方案,该数据包含32972个正常网页和27280个钓鱼网页;该方法提高了网站欺诈行为的检测效率; 3.提出了一种用于检测以太坊区块链中庞氏智能合约的有监督学习模型,该模型首先构造智能庞氏智能合约数据集,并通过自适应合成采样来消除不平衡数据集;进而,根据智能合约的操作码(opcodes)定义了n-gram特征;最后,结合Bagging-Tree和XGBoost分类器设计了一种集成分类模型,以提高庞氏智能合约的检测准确度。当以太坊区块链存在庞氏智能合约时,该模型更加可靠,提高了庞氏智能合约的欺诈行为检测准确度; 4.提出了一种面向以太坊区块链的基于特征的异常合约检测的鲁棒方法,该方法通过分析操作码、交易历史和智能合约源代码,从无需专家干预的n-gram操作码特征、来自交易数据的不同行为特征和来自智能合约源代码的TF-IDF字符级特征中提取一组混合特征。将这些特征整合起来,通过基于加权软投票的ExtraTrees和梯度上升分类器(Gradient Boosting Machine)组合来训练此模型,从而提高对异常合约账户的欺诈检测效率。大量实验表明,所提出的检测方法在各种评估指标上对真实数据集都具有竞争力。

关键词： 区块链   身份隐私   交易隐私   匿名认证   智能合约   电子招投标  

摘要： 电子招投标相对于传统的招投标方式,具有广泛、高效、低耗的优势,是未来招投标行业发展的必然趋势,但该技术目前还存在诸多不足,其中隐私泄露和不易监管已成为该技术中最亟待解决的问题。而区块链作为一种分布式存储技术,因具有去中心化、公开透明、交易记录无法篡改和可追溯等特点,已逐渐应用到了金融、医疗、供应链等各种领域,解决了诸多行业痛点。因此,本文从隐私保护角度出发,结合区块链及相关技术,对电子招投标场景下的身份隐私、交易隐私及其他业务需求进行了研究。第一:针对电子招投标中可能发生的定向攻击问题和监管需求,本文设计了一个融合Idemix加密协议和群签名技术的可追踪匿名认证协议。该协议采用隐藏证书属性的方式为用户提供了灵活的认证策略,保护了用户的身份隐私性。同时利用群签名技术实现了用户身份的可追踪性,在达到身份隐私保护的同时满足了招投标场景的监管需求。第二:针对电子招投标场景中的标书定时发送需求,设计了一种基于时间控制加密的数据分解传输智能合约。该合约通过对标书密文进行分解再加密的方式,使密文碎片的持有者及攻击者无法破解出有效明文信息,保证了交易的隐私性。同时,由区块链节点代替传统时间服务器的中介角色,对收到的密文碎片进行定时重组上链,实现了具有隐私保护的定时发送功能。第三:结合上述两种隐私保护手段,设计并实现了基于Hyperledger Fabric的电子招投标隐私保护方案。同时,本文基于Raft机制设计了一种密文重组共识算法,解决了密文分解后的重组问题。并通过对Fabric中的认证过程和交易流程进行改造,使方案贴合了电子招投标的应用场景。最后,对上述电子招投标隐私保护方案进行了功能实现和效率分析。实验结果表明,该方案在保证合理计算开销的前提下,满足了电子招投标场景中对身份隐私和交易隐私的高标准保护,并在有监管需求时可对违规用户的真实身份进行追踪审查,具有一定的应用价值和研究意义。

关键词： 智能合约   区块链   法律风险   防范对策  

摘要： 智能合约是嵌于区块链的特殊身份合同,智能合约交易方具有一致的意思表示。智能合约较传统合同具有以下优势:提升交易效率,降低交易成本;缓解执行困境,增强执行保障;减少诉讼劳累,推进技术治理;保护主体隐私,助力信息共享。智能合约面临语言转化和解释存在瑕疵,缔约民事主体行为能力较难判断,意思表示不真实,履行、变更、解除受到限制,权利救济困难等方面的法律风险。借鉴域外智能合约有益立法经验,完善我国智能合约风险防范法律前沿设计,应当统摄法学和技术学视角,打造智能合约法律与技术协同治理格局。具体而言,一是要强化法律他治。一方面应完善智能合约纳入传统合同法律框架的路径,将智能合约纳入《民法典》合同编调整,对意思表示一致认定做扩大解释,前置要约承诺规则,明确智能合约生效时间,增加对智能合约不可逆性的法律救济路径,扩充智能合约违约救济路径等。另一方面,要强化智能合约的公力救济,明晰智能合约相关法律主体承担的违约责任或侵权责任,明确智能合约平台提供者应适用避风港原则、智能财产的远程物理控制应遵循比例原则,解决智能合约诉讼的实体和程序争议等。二是要注重代码自治。要重点建立和完善统一的智能合约链上争议解决机制。三是要实现法律他治与代码自治的协调发展。要将智能合约技术与法律基本价值进行深度融合,积极引入应用程序接口等新技术,优化和提升监管效率。

关键词： 元宇宙赋权   网络人   数字关系秩序   消费者主权   走廊式制度   智能合约  

摘要： 元宇宙的本质在于现象学揭示的主观间性。借助多重世界模型，可以发现互动关系和沟通对于人类数字化生存方式的深远意义。元宇宙呈现出众多小宇宙各自解读所造成的叙事“根茎结构”，尤其值得注意的是，接口革命所形成的数字式关系秩序与模拟式法律秩序之间交叉嵌入、密切耦合现象。在元宇宙的虚拟与现实交融过程中，存在根据交换构想重新进行理性设计的可能性，并且可以从主体交互的有序化机制归纳出数字时代的十二个基本法学命题。这些新的法学命题表明，伴随着消费者主权和分布式自治组织的确立，元宇宙将带来秩序原理的大转型；从网络空间通往链下社会的走廊式制度将以代码程序与智能合约作为两个主要支点或接口进行构建，并由此产生关系与法律的一系列不同组合方式。

关键词： 区块链   智能合约   隐私保护   安全多方计算   可信执行环境  

摘要： 区块链的概念自2008年由化名为中本聪的学者提出以来,因其去中心化、去信任化、不可篡改以及不可伪造等特点得到了较高的关注,并在数字货币、金融等领域有着了广阔的应用前景。随着比特币的广泛流通和迅速发展,可供用户进行编程的、图灵完备的区块链平台逐渐出现,使得区块链技术逐步进入智能合约时代。然而,在区块链的实际应用中,完全透明的账本使得链上数据向所有成员公开,隐私保护问题逐渐成为新的挑战。一方面,验证节点需要通过账本中记录的交易信息对区块链交易进行合法性验证;另一方面,完全透明的账本使得用户的交易信息甚至身份信息皆暴露在所有成员面前。对于以比特币为代表的区块链,隐私问题可分为2种,即身份隐私和交易隐私;对以智能合约为代表的区块链,隐私问题可分为2种,即智能合约代码隐私和输入输出数据隐私。针对区块链中存在的隐私问题,研究者们基于同态加密、混币、环签名等技术提出了一系列的解决方案,但这些方案存在对隐私问题考虑不全面以及性能较弱等不足之处。因此,为解决区块链中存在的隐私问题,本文提出了相应的解决方案,具体研究内容如下:首先,面向联盟链和基于账户的区块链模型,提出了基于群签名和同态加密的联盟链隐私保护方法。基于群签名和同态加密的特点,在满足交易合法性可验证和交易数据可用性的前提下,实现用户身份和交易金额的双重隐私保护。并提出主要节点的4步验证方法,通过对群签名、账户所属权和交易金额正确性、合法性的逐步验证,实现在交易数据以及用户身份不可见前提下对交易合法性的验证。四步紧凑的验证可以抵抗篡改攻击和公钥替换攻击,具有较高的安全性。最后,提出新的区块交易信息写入结构,使得单个交易事务占区块长度降低,提高区块的利用率。然后,为实现对智能合约运行过程中输入和输出数据的隐私保护,提出了一种基于安全多方计算的隐私保护智能合约模型。方案在不影响智能合约原有的运行层次的基础上插入一层安全多方计算层,实现对智能合约输入以及输出的隐私保护。此外,基于(t,n)门限秘密共享设计了一种计算参与者随机选择策略,通过随机选择参与安全多方计算的节点来抵抗共谋攻击。最后,利用密码学方法,对隐私数据进行加密,减少隐私的泄露的可能,具有计算正确性、隐私性和抗共谋的特点。最后,针对因密码学方法构造困难、效率低、占用区块链存储空间等缺点造成难以应用于智能合约的问题,提出一种基于可信执行环境的隐私保护高效智能合约模型。基于可信执行环境,将智能合约的运行过程完全放在TEE中进行,同时保障了智能合约输入输出隐私以及代码隐私。并利用可验证随机函数随机选取执行智能合约的运算节点,降低不诚实的智能合约运算节点共谋的可能性,进一步提高智能合约运行的隐私性和安全性。最后,将支持区块并发操作的基于有向无环图(DAG)的图式账本与高性能的可信执行环境相结合,模型吞吐量相较于传统超级账本提升34%。

关键词： 区块链   健康信息共享   超级账本   IPFS   代理重加密   智能合约  

摘要： 在健康医疗领域,越来越多的电子健康记录(Electronic Health Record,EHR)从不同层次的医疗机构和非医疗机构集成产生出来,为医疗健康数据共享提出了巨大挑战。包括,共享仅局限在单一医院内部,无法实现跨机构共享;依靠第三方数据库维护用于共享的医疗健康数据容易造成单点故障及数据泄露;现有的健康信息共享平台多数没有关注电子健康信息的所有权以及使用权问题;目前的共享平台并没有解决共享数据的价值交换问题等。针对上述问题,本文提出了基于区块链技术的解决方案,目的在于利用区块链的网络节点对等化、难以篡改以及可溯源等特性,提高跨机构医疗健康数据共享的可信性。主要研究工作包括:搭建区块链P2P网络,实现可信的、可追溯的跨机构共享平台;利用区块链的智能合约机制,实现健康信息的链上确权及交易;基于区块链的加密及核验机制,确保健康信息的安全存储及访问;通过区块链和IPFS分布式文件系统相结合的健康信息存储方法,进一步转移了区块链平台在存储方面的压力;采用代理重加密算法,既可以为数据隐私保驾护航,也实现了数据的访问控制。本文的主要贡献在于研究了Hyperledger Fabric区块链平台,并在其上实现了用户注册登录、健康信息存储及访问、健康信息确权及交易等功能模块,最终给出了完整的健康信息共享平台并对平台进行了量化评估和测试。本文有效地解决了健康信息共享过程中存在的数据安全、隐私保护、数据所有权不明晰、数据使用权不明晰、数据价值交换等问题,实现了健康信息安全可信共享,有助于吸引更多人参与到健康信息共享进程中,真正意义上最大化电子健康信息的价值。

关键词： 区块链   预言机   数字版权管理   跨链   智能合约  

摘要： 随着互联网进入大数据时代,海量数据存储在人们的手机和电脑中,新兴的自媒体行业每天都会产生大量的数字内容,相关的侵权案件屡屡发生。传统数字版权管理系统存在取证难、耗时长、价格高、中心化等问题,区块链的公开透明、不可篡改、可追溯等内在特性恰巧与分布式数字版权管理的需求相契合,因此“区块链技术+数字版权管理”也成为了目前最流行的区块链应用场景之一。然而,区块链的相互独立性严重制约着自身的发展,不同区块链网络之间相互封闭,在数据传输、资产转移等方面存在技术壁垒,只能借助区块链预言机将外部数据上链。区块链预言机作为桥梁,连接区块链网络与外部现实世界,保证外部数据源提供的可信数据完整地传输到区块链内部。本文对区块链间的互操作性和数字版权管理展开了深入的研究,利用预言机解决了多区块链之间的提案确权问题,并应用于数字版权场景中,为分布式数字版权管理提供新的方法,具体取得如下成果:(1)针对不同区块链之间的提案确权请求问题,提出了一种基于多区块链的确权预言机方案 HBRO(A Registration Oracle Scheme for Digital Rights Management Based on Heterogeneous Blockchains)。HBRO请求联盟链审核者与公有链投票者对提案进行表决,当参与者提交结果后,利用公证人机制完成联盟链和公有链之间的数据交互,最终完成确权。与已有的工作相比,本文提出的方案对确权场景更加的高效,引入了跨链机制,达到中心化与去中心化的平衡点。(2)将HBRO与数字版权管理(Digital Rights Management,DRM)进行结合,提出了基于HBRO的数字版权确权方法。内容所有者通过HBRO预言机对数字内容进行确权,通过智能合约完成版权登记,利用审核与投票的双重模式校验数字内容确权的准确性,设计对应的奖惩机制以提高参与者的诚实性。(3)提出了基于HBRO的数字内容交易方案,详细介绍了两种新型交易策略,在交易过程中引入代理者提高交易效率,降低内容所有者的工作量,提高代理者参与交易的积极性。本文还结合了现有密码学技术,将混合加密与代理重加密应用于数字内容交易场景,确保交易过程中的密钥以及密文的机密性,降低侵权事件发生率。

关键词： 隐私保护   数据库加密   私有链   智能合约  

摘要： 随着互联网技术的发展,信息化水平不断提高,我国网民在2021年已达10.11亿人。伴随着网民数量的不断增加,各网站和互联网公司收集了大量的用户个人信息。但是近年来,用户个人信息泄露事件逐年增加,为企业和用户造成了重大的损失。对于公司而言,如何安全管理用户的个人信息,如何对用户信息进行安全的导入导出,如何有效的对网站的数据管理员进行监管,也为各公司对于个人信息的安全保护能力和数据管理能力提出了巨大的挑战。针对网站用户个人信息的保护问题,本学位论文设计并实现了一款网站用户个人信息安全管理系统,通过满足多个不同场景,对个人信息提供多角度保护。本论文设计的网站用户个人信息安全管理系统共分为四大模块:首先,设计网站用户个人信息采集模块。该模块从网站注册页面获取用户填写的注册信息,并对信息加密后存储于服务器的数据库中。用户可以登录网站修改个人信息,修改内容经过加密后在数据库中更新保存。其次,设计个人信息查询与选取模块。授权的部门数据管理员可通过系统查找自己需要的个人信息,经过解密后在页面显示,并且可将查找结果从系统导出。再次,设计个人信息加密导出和导入模块。授权的部门数据管理员可将符合条件的个人信息解密导出,为保证个人信息的安全,在信息导出时,系统采用混合加密技术对个人信息加密保护。导出的加密个人信息,经授权的部门数据管理员将其解密后导入至本地系统。最后,设计信息导出操作的追踪与记录模块。本论文使用区块链技术中的私有链技术,搭建以太坊私有链并设计智能合约,对个人信息导出操作进行记录,加强对数据管理人员操作的监管。可以更有效的对网站用户个人信息的流向进行追踪和记录。实现系统的上述四个模块后,对系统进行功能和性能测试。实验结果表明,本论文提出的网站用户个人信息安全管理系统,用户界面简洁,操作便利,能够快速存储和查询显示用户个人信息,能够安全传输个人信息,并成功对传输情况记录和上传至私有链。系统响应快速,安全可靠。

关键词： 区块链   智能合约   托管   公平交易  

摘要： 在电子商务中,买家和卖家无法做到完全信任,一个基本的、名为“公平交易”的安全要求是:如果买家付了款,那么必须得到货物;如果卖家发了货(如桌子),那么必须得到货款。在现实生活中,公平交易由类似淘宝的集中式第三方平台保证,存在单点故障和第三方平台卷款潜逃的安全风险。为了去除中心化的第三方平台,主流工作基于区块链提出了各种托管协议:买家将数字货币托管在区块链上,当出现争议时,调解者介入,诚实的买家拿回本金,或者诚实的卖家得到货款。但是,现有基于区块链的托管协议存在以下缺陷:1)可用性缺陷,即依赖调解者的无偿奉献。这样会导致找不到调解者,无法交易。2)安全性缺陷,即容易遭受拒绝服务攻击。调解者可以以拒绝调解争议为由,索要额外费用。这样会导致交易成本上升。3)隐私保护缺陷,即交易金额泄露。这样会导致调解者发起攻击的可能性,随着交易金额的增大而变大。本文提出了一个面向以太坊的基于匿名币的托管协议,克服了上述缺陷。本文的解决思路及技术如下:第一,引入了调解者激励机制。一旦交易双方出现争议,调解者介入可以为他带来报酬,报酬由交易双方共同支付,从而克服了可用性缺陷。第二,引入了调解者惩罚机制。调解者需要向智能合约提交一笔押金,在后续的行为中,如果调解者拒绝调解争议,将损失这笔押金。这种方式可以迫使理性的调解者调解争议,从而克服了安全性缺陷。第三,提出了一个新的匿名币方案,通过托管匿名币而不是普通数字货币来隐藏交易金额,从而克服了隐私保护缺陷。我们的匿名币方案是对Kosba方案的改进,我们发现Kosba方案在买卖交易场景下存在以下不足:1)即使是同一对交易方,每次交易仍然需要使用不同的公钥,信任无法积累;2)交易双方无法将匿名币换回以太币。因此,我们对Kosba匿名币方案进行了改进。首先,为了允许交易双方使用固定公钥,我们改进了原方案的铸币逻辑,使用零知识证明来隐藏公钥和匿名币的联系,并通过同时铸造多枚匿名币和零知识证明技术,来隐藏铸币所得匿名币的金额,从而解决使用固定公钥带来某些情况下交易金额被猜中的问题,进而允许使用固定公钥。最后,考虑到只是短暂使用匿名币的情况,我们添加了换回以太币的功能。