區塊鏈:金色觀察丨分享加密項目審計”干貨”

金色觀察丨分享加密項目審計”干貨”

金色財經Jason.

10分鐘前

3310

金色財經區塊鏈1月31日訊?一份好的加密項目審計報告可以讓客戶發現潛在問題，并助之解決這些問題，最后可以幫助該項目或產品得到改進，使客戶獲得更高的價值。不過，這要建立在審計人員以專業和客觀的態度與你合作，雙方共同實現這個目標的前提基礎上。如果審計人員都能遵循一定的質量和道德標準，那么客戶就能更好地達到他們的預期和要求。

通常，客戶對加密項目的要求不僅僅是找到問題，而是能找到解決方案。因此，這要求審計人員能夠為每個發現的問題都提供一些附帶的解決建議，而不是在重言式推薦中簡單寫一句“修復這個問題”。其次，應具體說明問題并在可能的情況下提供補丁。雖然作為審計師，找出最佳解決方法并不總是那么容易的，但可以嘗試先寫下幾種解決策略，然后再與客戶進行討論。不僅如此，解決方案還可區分為短期修復和長期修復。短期修復的解決方案比較簡單，例如添加其他的健全性檢查或更新某些依賴性方案；而長期修復的解決方案耗時較長，有可能需要做更多工作或進行系統/設計更改。

金色午報 | 5月10日午間重要動態一覽:7:00-12:00關鍵詞：以太坊、亞馬遜、數字人民幣

1.以太坊站上4000美元，再創歷史新高；

2.Terra 確認亞馬遜將采用 UST 作為支付結算方式；

3.Rari Capital被盜2600枚ETH后發布補償計劃；

4.用友與“國能e購”實現電商采購平臺數字人民幣在線支付；

5.價值11861枚比特幣的GBTC份額將于本周解鎖；

6.支付寶已對部分用戶新增數字人民幣模塊；

7.以太坊信標鏈更新Altair升級擬于三季度部署到信標鏈；

8.紐約市主計長候選人：紐約市應拿出養老基金的1-3%投資加密貨幣。[2021/5/10 21:43:00]

提到與客戶的討論，在這里要建議審計師積極與客戶進行交流，通常來說，最好在準備工作說明時或是在啟動會議期間能和對方就如何使用溝通渠道達成共識。不僅如此，審核人員定期與客戶共享他們的審計工作進度是非常重要的，比如自己正在評審代碼中的哪一部分、發現哪些內容不清楚或有錯誤信息，同時還要在發現問題后立即報告，這將有助于審計師及早發現錯誤，并讓開發人員實施debug措施。

當然，如果最終的審計報告中沒有涉及到任何一個安全問題的話，對審核員和客戶而言可能都會感到一絲尷尬，客戶甚至會以為審核人員可能沒有很好地完成工作，自己的錢也許白花了。所以為了減輕這種擔憂，無論最終的報告中什么問題都沒發現還是發現了一堆問題，建議最好可以首先列出自己一直在尋找的錯誤類型，然后還可以描述自己使用過哪些審計工具及其配置，并枚舉已驗證的屬性。

金色財經合約行情分析 | 市場行情低迷，日K多條均線粘合:據火幣BTC永續合約行情顯示，截至今日19:00（GMT+8），BTC價格暫報9240美元（+0.47%），20:00（GMT+8）結算資金費率為0.010000%。昨日晚8點BTC出現短時下探9100美元的小波動，后迅速拉升走高，目前在9200美元-9300美元間震蕩。根據火幣交割合約數據，BTC當季合約成交額下降，持倉量窄幅下跌，精英多頭占比略增，當季合約窄幅溢價較穩定。市場行情低迷，日k多條均線粘合。USDT于火幣全球站OTC的報價為6.94元，溢價率為-0.71%。[2020/7/15]

但是，在這要注意的一點是，審計人員通常會夸大問題的嚴重性。而做出這樣的評級決定有時并非因為項目真的有明顯問題，而是因為項目只是“看起來”很糟糕并且會讓審計人員感到尷尬，或者因為他們推測在事件重合的情況下或許會出現漏洞。但要知道，客戶并不關心審計員對bug的個人感覺，他們只需要有意義的風險等級，然后再去確定修復bug的優先級，這樣才能與用戶進行交互。如果漏洞確實非常嚴重，比如按照威脅模型的定義，這些漏洞很可能被利用，而且存在嚴重危害，那么可以將其評估為嚴重漏洞。記住，夸大嚴重性不會幫助審計員在審計工作中樹立聲譽。

如何撰寫高質量審計報告

金色晚報 | 3月15日晚間重要動態一覽:12:00-21:00關鍵詞：央行、經濟措施、CME比特幣

1.央行：繼續綜合采取多種措施促進貸款利率明顯下行。

2.沙特央行行長：如果局面繼續消極發展 將再次采取干預措施來支撐經濟。

3.數字政通：研究區塊鏈技術在城市管理領域的創新與應用。

4.3月12日CME比特幣以26.61%的跌幅領跌主要資產。

5.BB：擔心最近提議的EOS WPS系統將對網絡產生影響。

6.摩根溪創始人：熊市將能揭示誰是真正有信念的人。

7.Circle首席執行官：穩定幣的需求增加令人鼓舞。

8.近7天比特幣搜索指數整體同比上升358%。

9.比特幣寬幅震蕩，最低跌至5068美元，最高漲至5593美元。[2020/3/16]

接下來，我們就來談談如何撰寫一份高質量的審計報告吧。

首先，審計員必須得了解審計目標受眾對象。審計需要滿足目標受眾的需求，因此需要向不同的受眾提供不同的審計文檔，比如如果只有開發人員會閱讀報告，那么一個非正式的輕量級標記語言文檔就足夠了，這樣可以節省編輯時間；但如果報告需要與投資者、合規審計員或高層管理人員共享，那么就必須提交一份帶有顏色和徽標的精美審計報告，以及一份執行摘要。所以，事先了解誰將閱讀審計報告，特別是這份報告是否會被公布是十分重要的。在這種情況下，還需要格外小心，以避免誤解和誤導性引用相關內容。

金色相對論 | 劉昌用：巨頭企業所進行的區塊鏈實踐能夠為高校區塊鏈提供非常有價值的實踐基礎:在今日的金色相對論中，針對“高校區塊鏈教育目前應該涵蓋哪些范疇，與巨頭企業的聯合會帶來哪些促進作用”的問題，知密大學發起人，北京大學經濟學博士劉昌用表示，區塊鏈是一個綜合性的創新，高校教育也應該適應這種綜合性，提供多方面的教育內容。在我看來，目前主要需要一下5個方面：一是通識課程。即能夠簡單通俗地讓不同專業的學生大致了解區塊鏈的歷史背景、基本特征、基本原理、應用方向和發展現狀等等。解決學生的入門需求。二是基礎課程。這是為進一步的專業化教育奠定理論基礎的課程，重點應該是對應用密碼學、點對點網絡系統、共識機制等方面的基本原理的深入講解。三是開發課程。面向區塊鏈應用的開發，讓學生能夠學習如何針對不同的應用場景和應用邏輯開發相應的區塊鏈系統。四是經濟課程。研究和解釋區塊鏈的經濟原理，區塊鏈系統中的經濟關系，各種區塊鏈應用的經濟影響，等等。五是法律課程。研究區塊鏈在社會經濟各領域的應用帶來的法律問題。目前看，這五個方面都是急需的。隨著相關實踐的深入發展，還會深入到學、社會學、哲學等其他領域，這些可以隨著經驗和研究力量的積累，慢慢推進。巨頭企業所進行的區塊鏈實踐能夠為高校區塊鏈提供非常有價值的實踐基礎，防止高校區塊鏈研究和教育脫離現實，過早地走向純學術。[2019/9/12]

其次，了解審計行業的最新動態，做好功課也是很重要的。比如有哪些最新的參考資料文獻和最新的漏洞和攻擊策略，這會幫助審計員節省相當多的時間來維護加密組件中常見問題的清單，以及特定于某些變成語言的常見錯誤和缺陷清單。此外，創建自己的審計工具也是一種十分有效的做法，這可以使審計過程自動化并節省時間。目前市場上已經有了不少這種工具，因此審計員可以在開始審計之前先熟悉下相關審計工具。

分析 | 金色盤面：LTC短線遇阻，注意回調風險:金色盤面分析師表示：LTC在過去24小時內漲幅3.31%，短線明顯受阻于76.50美元附近，小心回撤風險，下方支撐關注75.00美元。[2018/8/6]

再次，要記住詳盡的報告好過于簡潔的報告。對于一個熟悉攻擊和利用技術安全漏洞的審核員來說，往往很想跳過一些細節問題，并期望讀者自己填補漏洞描述和解決建議中的空白，但這樣做的確有一定風險，因為讀者會誤解實際問題，繼而無法正確解決。編寫詳細的報告信息還可以幫助你發現分析中的潛在錯誤或誤解，同時也可以充分利用外部資源，例如博客文章、研究文章、甚至來自類似項目的代碼庫。

另外請記住，在進行審計的時候，即使某些代碼的編寫質量可能會令人感到震驚，但也不要使用貶義或嘲諷的語氣，而是要坦率而誠實地進行評估。同樣，當代碼質量高于平均水平時，也不要過分贊美。

給審計員的建議

為了減輕審計員工作量，在這給出一個建議，那就是審核員可以將代碼審核任務按照代碼庫的不同組件進行劃分，比如package、subcrates等，然后在團隊成員之間分配工作，畢竟人多力量大嘛。但這種方法也有一些問題，那就是某一個人只關注給定的代碼行，而沒有完全了解組件之間的交互。所以如果想做的更好，其實可以讓兩個人負責審計同一組件，并且每個人至少要對所審查的所有組件以及它們如何協同工作有基本的了解。不僅如此，兩個人工作也會有助于共同討論識別錯誤和檢測模型錯誤，而且不會讓人感到無聊。

提到團隊合作，那么記錄自己的工作也是十分重要的。比如每工作1、2個小時后，通過追蹤自己的工作，包括已經分析的文件/功能/機制，然后記下想法或是失敗的攻擊嘗試，然后與團隊其他人進行共享。此外，這種做法也是向客戶證明工作合理性的一種嘗試。

那么說完了審計員的工作，再來談談他們的收費情況吧。雖然說一般都是嚴格按照工作時間收費，但這并不總是規則，特別是在規模較大和專業程度較低的公司中。“一天”的工作通常被理解為相當于8個小時的工作，因此，審計員應該按每8小時工作的天數收費，而不是為分配給該項目的員工出現在辦公室并工作了一個工作日的每個工作日收費。畢竟，有時候你需要在會議和茶歇之間耗費好幾個小時。

給客戶的建議

為了更好地對一個加密項目進行評估，選擇一個好的審計員固然重要，對于客戶來說，確定審計需求并與審計人員進行溝通也是十分重要的。客戶最好能從項目角度詳細說明這意味著什么，比如是否最擔心編碼錯誤；是否擔心代碼和規范之間不匹配；是否擔心出現設計錯誤等。

其次，客戶需要讓審核人員知道審核的重點放在哪里，以及自認為最大的風險是什么，然后在威脅模型和運營模型的背景下描述這些問題。要記住，盡可能多地共享信息，不要相信“代碼足以說明文檔”這種話，尤其是面對復雜的加密協議時。即使代碼清楚地描述了已完成的工作，也無法準確描述出應采取的安全措施，更不用說對抗模型和目標安全屬性了。因此，擁有詳細的解釋文檔，并與審核人員共享所有設計文檔、相關研究論文、以前的審核報告是十分重要的。這不光可以使審計人員節省時間，還可以幫助他們掌握被審核系統的所有內容。?????

另外，客戶也需要擺正心態,以建設性的方式看待流程。把審計報告看作是對項目的認可固然很“誘人”，但倘若收到的審計報告發現了工作中的大量問題，也許會讓人很不開心。在這需要明白的一點是：審計不太可能對產品無條件認可，因為這可能會引起對審計人員潛在利益沖突的質疑。而且，審計只是一個時間點審核，審計的目標是發現潛在問題，這樣就可以幫助客戶解決這些問題，并改善審計目標的安全態勢。審計的結果就是應該幫助項目或產品得到改進，并在客戶和審計員雙方的共同努力下實現這個目標。

當然，作為客戶肯定還是需要考慮審計費用的。建議客戶事先就報告內容達成協議，比如你只需要在審計報告中對安全性問題進行非正式描述時，可能不希望為只需要3天時間就能搞定的工作付費，尤其是這項工作可能只是簡單編寫規范而已。因此，請在工作說明或啟動會議的時候準確反映出對審計報告有何期望，以及哪些事情是你不希望看到的。

其次，客戶需要審核下工作量，不要被審計公司牽著鼻子走。假如一個只有500行代碼的項目，審計公司卻提出需要耗費5人/周的工作量，那就太可笑了。這個時候，客戶可以毫不猶豫地直接告訴審計人員自己所發現的問題，或者直接換一家審計公司。另外，相比于那些在項目開發工作中花費大量時間的開發人員，審計人員對代碼庫的了解程度肯定有所欠缺，因此客戶需要確認審計方案和實施措施，并且幫助審計人員充分了解代碼庫，畢竟如果他們不了解項目的代碼在做什么，那么也不太可能在其中發現錯誤。

在這再提供一個小貼士，假如你不一定需要審計報告的話，那么可以要求僅通過IRC、Slack、Signal或其他平臺非正式地向開發人員索要審計報告調查結果。如果你需要一份包含所有調查結果的綜合報告來存檔，但不需要一份超級正式和精良的文件，那么審計人員就不用在報告準備上花費太多時間，這么做也能幫助客戶節省幾天的咨詢費。

最后要提醒客戶一點的是，需小心處理超售工作包。一些審計公司可能會推廣銷售一些“額外工作”，比如：“威脅建模”、“安全強化”、“性能優化”、或其他或多或少相關的子項目之類的東西，這些子項目會增加你的咨詢費用。所以，甲乙雙方都應該事先清楚地理解審計工作內容和目標，以及審計工作將為客戶帶來哪些價值。但有時候，審計咨詢公司的銷售人員可能會推銷許多“不實用”的服務，如果甲方經理不熟悉具體情況、或是在沒有工程師參與時便草草簽約，那么可能會上當受騙，這種情況最終也會傷害甲乙雙方。

總結

以上分享的建議都是綜合了許多有著豐富安全審計工作經驗的大咖的經驗之談，他們十分了解審計過程中有哪些事情行之有效，哪些事情勞而無功。希望這些干貨能夠切實幫助到大家。

本文部分內容編譯自雅虎財經

區塊鏈審計

金色原創

責任編輯：Jason

我要糾錯

聲明：本文系金色財經原創稿件，版權屬金色財經所有，未經授權不得轉載，已經協議授權的媒體下載使用時須注明"稿件來源：金色財經"，違者將依法追究責任。

提示：投資有風險，入市須謹慎。本資訊不作為投資理財建議。

金色財經>區塊鏈>金色觀察丨分享加密項目審計”干貨”

Tags：區塊鏈BTC比特幣數字人區塊鏈運用的技術中不包括哪一項BXBTC比特幣害我家破人亡是真的嗎數字人民幣的可怕之處

酷幣