使用多重签名、权限和白名单保护EOSIO社区成员的资产。
image
EOS区块链被宣传为最具扩展性和安全性的网络，内置争议解决论坛，以保护用户免受诈骗、盗窃和网络钓鱼攻击。由于EOS主网已经运行了7个月，社区成员了解到ECAF的基础是建立在错误的假设之上的，大多数人投票反对它的权限。
许多成员（如我自己）一直在争论在协议层上解决争端的无效性和无法与网络进行扩展，从基础层中删除ECAF的权限对于我们来说是一个胜利。但对于其他希望有一个健全的结构保护社区资金/利益的人来说，这似乎令人心碎。
在过去的几天里，看到一些社区成员被假Telos网站钓鱼，我感到非常沮丧。骗子正在使用智能合约，一旦有人试图认领TLOS代币(使用Scatter)，该合约就会更改密钥。很少有受害者拥有匹配的 owner 和 active 密钥，因此他们无法更改帐户的密钥并收回对代币的控制权。没有ECAF，这些受害者就无法追索。除了这种网络钓鱼攻击，还有黑客通过电报发送文件以通过像Seven这样的DApp控制密钥和假1CO的案例。由于任何DApp都可以随时更新自己的智能合约，用户可能会因为信任新推出的DApp而面临资金风险。
确保EOS的安全以供大规模采用。
对于普通人来说，他们的钱在加密货币中比在银行账户中更容易受到攻击。这对绝大多数设法维护法律正义的人来说尤其如此。不管你喜不喜欢，“AML(反洗钱)/ KYC(了解客户，尽职调查)”规则与信用卡和银行存款保险相结合，可以保护人们免受许多犯罪的侵害，因为隐藏身份和转移资金变得更加困难。如果你的银行密码被泄露，损失由银行承担，而不是你。如果你的银行损失全部资金，通货膨胀支持的保险将弥补损失。如果你丢失了密码，银行可以验证你的身份并把钱还给你。如果银行在验证提款时出错，银行应对损失负责。
在人们采用区块链技术和使用DApp方面，我们还处于非常早期的阶段。大多数人投资EOS这样的项目是为了快速获利。从技术上讲，他们并不像许多活跃的社区成员那样精通。从我与一些成员的交流中，我可以说，更改权限或向他们的帐户中添加多重签名(为了确保他们的代币安全)的过程对他们来说仍然非常复杂。
如果我们愿意向更广泛的受众推广基于EOSIO的网络，我们就需要研究各种选项，确保EOS帐户的使用安全。我们不应要求用户向其帐户添加智能合约或多重签名，而是需要为他们提供选项，即使他们使用单个公钥的帐户，也可以安全地进行交易。
从传统互联网“取经”。
普通用户发现在使用SSL证书并被浏览器标记为安全的网站上进行交易非常容易。为了给互联网用户提供安全，Chrome和Mozilla向使用“HTTP”的网站发出警告，在URL字段或其他地方显示不安全标签。在没有任何合法证书的网站上使用信用卡的用户会得到web浏览器的通知。
image
image
Firefox浏览器显示的站点安全详细信息。
互联网试图提供可见的可信的网站而不是黑名单的坏行为，这反过来帮助建立了一个安全标准。
我们在EOS上有可以帮助实现类似功能的特性吗?
是的，我们有的！遗憾的是，在关于基础层仲裁的辩论中，我们没有对EOSIO包附带的一些重要特性进行自我(和其他人)的教育。
多重签名和权限
帐户是存储在区块链上的人类可读标识符。每个帐户有两个默认的命名权限，owner 和 active。开发人员还可以引入自定义的命名权限。每个命名权限都有一个阈值，必须满足该阈值，在该权限下签名的事务才能被视为有效。事务是通过使用一个客户端来签名的，该客户端有一个加载和解锁的钱包。钱包是一种保护和使用你的密钥的软件。这些密钥可能被授予，也可能不被授予区块链上的帐户权限。
简单地说，多重签名和权限帮助受信任的成员控制指定条件下的帐户。用户/实体可以使用具有不同功能的多重签名帐户，如委托、转账或冻结智能合同。让我们通过一个例子来学习multi-sig（多重签名）的工作原理 -
image
来源 - EOSIO开发者门户网站
这里的多重签名帐号’X’有两个签名者–Bob和Stacy。要更改active密钥，帐户“X”需要同时获得Bob和Stacy的批准，因为两者的权重均为1，“owner”权限的阈值为2。
对于其他事务，Bob或Stacy中的任意一个都可以批准。(“active”权限的阈值为1，Bob和Stacy的权重都为+1。)
对于Publish(自定义权限-发布)，Bob(2)或Stacy(2)中的任意一个都可以批准(阈值2)。如果我们在‘Publish’中再添加一个条件来延迟事务，权重为+1，‘wait’为3600秒，这将有助于公钥EOS7HnvXX(1)..满足阈值(2)，事务延迟为3600秒(1)。
(未完待续)
网友评论