Hyperledger Fabric2.0架构安全报告

@2022云安全联盟大中华区-保留所有权利。本文档英文版本发布在云安全联盟官网 （https://cloudsecurityalliance.org），中文版本发布在云安全联盟大中华区官网(http://www.c-csa.cn)。您可在满足如下要求的情况下在您本人计算机上下载、存储、展示、查看、打印此文档：（a）本文只可作个人信息获取，不可用作商业用途；(b)本文内容不得篡改;(c)不得对本文进行转发散布;(d)不得删除文中商标、版权声明或其他声明。在遵循美国版权法相关条款情况下合理使用本文内容，使用时请注明引用于云安全联盟。 ©2022国际云安全联盟大中华区版权所有2 序言 区块链技术作为一种可以改变互联网底层基础设施的分布式账本技术，已经作为我国重点发展的战略性技术，逐渐在我国各行各业落地应用。 本报告聚焦贸易金融工作流程在Fabric中的落地实现，分析了Fabric体系架构在贸易金融工作流程运行时所面临的安全威胁，阐述了在云计算环境下，针对运行HyperledgerFabric2.0的许可链网络，如何通过“六步走”的策略，精准、有效地开展安全风险评估，最后从实战经验出发，提出了威胁缓解、安全事件响应准备的相关对策建议。值得金融行业安全从业者、风险控制管理者和金融行业监管机构参考。 李雨航YaleLiCSA大中华区主席兼研究院院长 ©2022国际云安全联盟大中华区版权所有3 致谢 《HyperledgerFabric2.0架构安全报告》(HyperledgerFabric2.0ArchitectureSecurityReport)一文由CSA专家编写，CSA大中华区秘书处组织翻译并审校。 中文版翻译专家组（排名不分先后）： 组长：陈钟翻译组：卞乐彬 蒋蓉生 李安伦 刘广坤 茆正华汤霖 王彪 姚凯 于继万 余晓光 周利斌 审校组：卞乐彬 蒋蓉生 李安伦 刘广坤 茆正华汤霖 王彪 姚凯 于继万 余晓光 周利斌 感谢以下单位对本文档的支持与贡献： 北京启明星辰信息安全技术有限公司北京天融信网络安全技术有限公司华为技术有限公司上海派拉软件股份有限公司 英文版本编写专家 项目负责人:UrmilaNagvekar 作者:CarlosDominguezUrmilaNagvekar 关键贡献者:JohnCarpenterFredericdeVaulxAlexFerraroAshishMehtaNatividadMunozTejuOyewoleJyotiPonnapalliRameshReddiMichaelTheriaultHuiliWang CSA员工:HillaryBaronStephenLumpe(Cover)AnnMarieUlskey(Layout) 审稿人:GoniSarakinovKurtSeifried 在此感谢以上专家。如译文有不妥当之处，敬请读者联系CSAGCR秘书处给与雅正!联系邮箱：research@c-csa.cn；云安全联盟CSA公众号。 ©2022国际云安全联盟大中华区版权所有4 目录 序言3 致谢4 执行摘要6 主要调查结果7 1简介8 1.1概述-Fabric实现贸易金融的工作流8 1.2Fabric架构威胁模型的范围11 2风险识别流程13 2.1风险识别方法13 2.2商业交易业务逻辑的威胁评估13 2.3基于STRIDE模型的威胁分析14 2.4第1步-识别Fabric2.0许可链网络的子系统14 2.5第2步-解构/描绘Fabric2.0授权的网络可信边界（物理和逻辑）16 2.6第3步-在Fabric2.0授权网络运行时，交易金融工作流程的详细说明19 2.7第4步使用STRIDE识别金融交易流程中的漏洞20 2.8第5步通过对漏洞的可能性和影响进行评级以定义风险22 2.9第6步-按功能区域将漏洞分组24 3发现27 3.1业务层（Gartner区块链安全模型）27 3.2风险/IAM流程和技术/IT层(Gartner的区块链安全模型)28 3.3调查结果对贸易金融Fabric网络的影响29 3.4威胁缓解策略的建议29 3.5事件响应策略推荐31 4Fabric2.0许可制网络的加密组件建议31 5术语33 6参考36 ©2022国际云安全联盟大中华区版权所有5 执行摘要 作为用价值互联网取代信息互联网的基础平台（Carter，2019），区块链技术正获得迅速应用 （GlobalBlockchainBusinessCouncil，2020）（GlobalBlockchainBusinessCouncil，2020；霍夫曼等人，2020；Gartner，2020。由企业带来对外部业务工作流程的可追溯性和透明性，以及在不受信任和竞争激烈的业务环境中灌输信任和效率（IBM，2020）。考虑到许多外部业务工作流程涉及数字资产（欧盟委员会，2020）或其他高价值数据形式的交易和价值保管，隐私、保密性、完整性和可用性等网络安全属性无疑占据了区块链领域的中心舞台（Birge等，2018）。[1]任何这些属性的妥协都可能导致严重的商业影响，即贸易损失、所有权损失和/或利益相关者之间的信任损失 （Chia等，2019）。 在这份面向金融行业安全和风险管理领导者和监管机构的HyperledgerFabric2.0（Fabric2.0） 1架构安全报告中，我们旨在通过两种方式减轻上述业务影响： 1.我们首先确定Fabric2.0的架构对网络安全属性（隐私、机密性、完整性、可用性）的风险 （Angelis等，2019），同时在基于云的环境中作为贸易金融业务的许可区块链企业网络实施。2.我们提供与NIST一致的完全可实施的“安全控制检查表” 网络安全框架的控制措施2可主动预防、检测和应对上述风险，从而减轻因交易损失、信任损失和所有权损失而对贸易融资业务流程造成的下游业务影响。 由于本报告是云安全联盟（CSA）3的一部分，因此特意选择了一个云环境容纳Fabric网络，以利用CSA的专业知识安全地管理Fabric2.0许可区块链网络的物理基础设施。 确定的风险范围和建议的相应安全对策已限制在HyperledgerFabric2.0网络环境的设计和开发阶段，以便使新加入HyperledgerFabric的安全和风险管理领导者能够快速了解评估运营成本所需的相关组织风险，同时平衡安全需求与业务优先级。 1HyperledgerFabric2.0https://www.hyperledger.org/blog/2020/01/30/welcome-hyperledger fabric-2-0-enterprise-dlt-for-production 2NISTCSFFrameworkhttps://www.nist.gov/cyberframework 3CloudSecurityAlliancehttps://cloudsecurityalliance.org/about/ ©2022国际云安全联盟大中华区版权所有6 主要调查结果 风险识别流程包括在云环境中的HyperledgerFabric2.0许可区块链网络上运行的典型进口商和出口商之间的贸易融资工作流程（Copigneaux&EuropeanParliament，2020）。它贯穿于Gartner的区块链安全模型（Gartner，2018）的所有三个层面，即业务、风险和IAM流程以及技术/IT层，并包括以下内容： 1.对贸易融资业务逻辑机密性和隐私的威胁评估以及执行和弹性 2.区块链网络和IAM流程与贸易金融工作流运行时的威胁建模 当涉及到贸易金融业务逻辑和有效载荷保密性和隐私时，Fabric2.0许可的区块链网络发现在设计和默认方面是天然安全的。 它还可以防止对手在执行流程中操纵贸易融资的业务逻辑。 Fabric2.0架构威胁分析确定了14种4高影响和高可能性威胁，其中50%源自具有“提升权限”的受损管理凭据。 上述发现表明，结构系统和证书颁发机构的分散管理，再加上缺乏可靠的治理策略保护管理通道和凭据不受危害，可能会大大扩大攻击面，从而有助于从在贸易融资网络中“建立立足点”，可能会危及整个Fabric网络，并导致贸易损失、所有权损失以及贸易融资工作流程中进口商和出口商之间的信任损失，从而造成严重的业务影响。 4“High”isasriskmethodologydefinitiondescribedinSection“RiskIdentificationProcess” ©2022国际云安全联盟大中华区版权所有7 1简介 1.1概述-Fabric实现贸易金融的工作流 HyperledgerFabric2.0许可区块链网络用于描述贸易融资工作流中的简单交易5:从一方到另一方的货物销售——来自不同国家的买方和卖方之间的传统复杂交易，没有共同的可信中介方确保出口商得到承诺的钱，进口商得到承诺的货物。 Fabric具有不变[记录交易的永久性]和分布[跨多参与者网络的交易定义和验证]（IBM，2020年）的固有属性。通过连接所有授权交易，金融参与者[进口商和进口商银行、出口商和出口商银行、承运人和监管机构]使用Fabric区块链分别在所有参与者之间同步分布式账本的交易状态，实现了这种传统工作流程的透明度和可追溯性。 为Fabric网络开发的基于软件的智能合约嵌入了贸易金融的业务逻辑：即进口商银行向出口商银行作出付款承诺，但分两期付款。出口商从监管部门取得清关证明，将货物交给承运人，并取得收据。收据的产生会触发从进口商银行到出口商银行的第一笔付款分期付款。当货物到达目的港时，进行第二次也是最后一次付款，流程结束。下面列出了此工作流程的详细信息。 1.进口商以货币作为交换向出口商索要货品 2.出口商接受贸易协议 3.进口商向银行申请以出口商为受益人的信用证(LC) 4.进口商银行开具以出口商为受益人的信用证，并支付给出口商银行 5.出口商银行代表出口商接受信用证 6.出口商向监管部门申请E/L 7.监管部门向出口商提供E/L 8.出口商准备装运并交给承运人 9.(a)承运人在验证E/L后接受货物，并且(b)向出口商提供B/L 10.出口商银行向进口商银行索要一半货款 11.进口商银行将一半金额转给出口商银行 12.承运人将货物运送到目的地 13.进口商银行将余款支付给出口商银行 5TradefinancescenariodescriptionandworkflowdiagramfromHyperledgerFabricGitHubRepository.Seehttps://github.com/HyperledgerHandsOn/trade-finance-logistics. ©2022国际云安全联盟大中华区版权所有8 以银行为中介的传统贸易金融工作流程及其相应的Fabric实现分别如图1和图2所示。 9b 1 出口商 2 进口商 7 4 3 6 10 5 监管部门 出口商银 行 1 进口商银 行 13 8 承运 图1:贸易金融用例的业务工作流图 出口商 出口商 云环境 出口商用户 VM VM 出口商用户 FabricClient API/TLS API/TLS FabricClient 出口商网络用户 出口商 网上订购系统 出口商网络用户 进口商 Wallet Peer1 TLS TLS Wallet 节点编号 Peer1 CA CA API/TLS ChainCode ChainCode API/TLS CoachDB PII CoachDB PII CA Peer2 TLS TLS Peer2 ChainChain CodeCode 监管 承运 VM DB CoachDB PII DB CoachDB PII DB VM FabricClient API/TLS API/TLS FabricClient 监管者 承运 Wallet 监管 承运 Wallet