作者：WeiLienDang，UnusualVentures普通合伙人，领导安全、基础设施软件和开发工具赛道的投资
来源：Techcrunch
编译：RichardLee，链捕手
在Web1.0和Web2.0中，安全模型随着应用程序架构的变化而变化，以帮助开启全新的经济。
在Web1.0中，安全套接字层由Netscape率先提出，用于在用户浏览器和这些服务器之间提供安全通信；受信任的Web2.0中介机构，如谷歌、微软、亚马逊和证书颁发机构，则在推动传输层安全的实现方面发挥了核心作用，TLS是SSL的继任者。
同样的情况也会发生在Web3上。这就是为什么去年对新的web3安全公司的投资增加了10倍多、总金额达到10亿美元以上的关键原因。
观点：PayPal提供的加密服务恐会变成一场“税务噩梦”:支付巨头PayPal宣布加入加密货币市场，将允许客户使用该公司的在线钱包购买、出售和持有比特币和其他加密货币。从2021年初开始，该公司的用户还将能够使用加密货币在其网络上的2600万商家处购物。加密借贷平台Celsius首席执行官Alex Mashinsky预测，这一整合可能会导致“数百万新用户”进入加密领域。然而，由于加密资产的波动性和纳税申报要求，他们可能面临一场“税务噩梦”。
据美国国税局称，比特币等数字资产被视为财产，而非货币。这意味着，每当你为了购买其他东西而出售、交换或处理加密货币时，这就成为一个应税事件。PayPal称，除了支付网关之外，它还将充当一个交易所：“消费者将能够立即将他们选择的加密货币余额转换为法币，价值确定，无需增加费用。”然而，它不允许将加密货币从平台上取出并发送到银行，或返回到钱包中。在PayPal内出售加密货币会触发一个应税事件，就像使用加密来购买任何东西一样，因为PayPal会在向商家付款之前先将加密资金转换成法币。由于加密资产是波动的，用户将需要为资产在购买和使用期间获得的金额缴纳大量资本利得税。（Cointelegraph）[2020/10/22]
Web3的成功取决于创新的安全模型，它能解决不同应用程序架构带来的新型安全挑战。在web3中，去中心化的应用程序不依赖Web2.0中存在的传统应用程序逻辑和数据库层而构建，而是依靠区块链、网络节点和智能合约管理逻辑和状态。
观点：蚂蚁被列入美国“黑名单”传闻不会阻止在其区块链等领域投资:有分析认为，蚂蚁被列入美国“黑名单”的传闻很大程度上是象征性的，不会阻止蚂蚁上市或在关键领域（如区块链）进行投资，对蚂蚁的业务和IPO计划的影响都微乎其微。（财联社）[2020/10/16]
用户仍然可以访问连接到这些节点的前端来更新数据，例如发布新内容或进行购买。这些活动要求用户使用私钥签署交易，私钥通常由钱包管理，这种模式旨在保护用户控制和隐私。区块链上的交易完全透明、可公开访问且不可更改。
与任何系统一样，这种设计也有安全权衡。区块链不需要像Web2.0那样信任参与者，但更难进行更新以解决安全问题。用户可以保持对其身份的控制，但在发生攻击或密钥泄露时，没有中间人提供追索权。钱包仍然可能泄露以太坊地址之类的敏感信息——它仍然是软件，软件从来都不是完美的。
观点：当前比特币市场周期有利于其中期增长:随着比特币市场开始趋稳，比特币在强劲的上涨趋势下开始整合。分析师表示，比特币市场正在经历一个健康的周期，这将有利于它的中期增长。从历史上看，在比特币牛市周期中，这种加密货币往往会出现大幅上涨趋势和巩固阶段。如果比特币持续上涨，而没有间歇，可能会让其容易受到极端波动的影响，例如期货市场。当比特币在一次大涨后企稳时，它将使市场平静下来，从而增强其上升趋势的基本基础。（U.Today）[2020/8/23]
这些权衡理所当然地引发了重大的安全问题，但它们不应该阻碍web3的发展势头，实际上，它们不太可能。
再考虑一下Web1和Web2的相似之处。SSL/TLS的初始版本存在严重漏洞。早期的安全工具充其量只是初步的，随着时间的推移变得更加健壮。Web3安全公司和Certik、Forta、Slita和Securify等项目与最初为Web1.0和Web2.0应用程序开发的代码扫描和应用程序安全测试工具相当。
声音 | 律师观点：网信办新规级别高于央行公告，是区块链第一部规章级别法律文件:徐凯律师称，国家网信办，是经国务院授权负责全国互联网信息内容管理工作，并负责监督管理执法的机构，可以在其权限范围内制定规章。在该规定之前，与区块链领域密切相关的，有两份“其他规范性文件”：一是2013年12月央行等五部委发布的《关于防范比特币风险的通知》；二是2017年9月，央行等七部委发布的《关于防范代币发行融资风险的公告》。2013年通知和2017年公告都不是正式的法律渊源，属于《行政诉讼法》规定的“其他规范性文件”，效力在规章之下，并且可以成为司法一并审查的对象，而规章及以上的法律渊源不能成为司法一并审查的对象。由上述背景知识可以得出的结论是：该规定的法律层级，高于2013年通知和2017年公告，是区块链领域第一部规章级别的法律渊源。[2018/10/21]
然而，在Web2.0中，安全模型的很大一部分是关于响应的。在web3中，事务一旦执行就无法更改，必须内置机制来验证事务是否应该首先发生。换句话说，安全必须非常善于预防。
这意味着Web3社区必须找出如何在技术上最好地解决系统性弱点，以阻止针对从加密原语到智能合约漏洞的所有新攻击向量。同时，至少有四项计划可以推进预防性web3安全模型：
一、漏洞的真相数据来源
对于已知的web3漏洞和弱点，需要有一个真相来源。如今，国家脆弱性数据库为脆弱性管理计划提供了核心数据。
Web3需要一个去中心化的等价物。目前，不完整信息散布在SWC注册表、Rekt、智能合约攻击向量和DeFi威胁矩阵等地方，诸如Immunefi运行的漏洞赏金程序旨在暴露新的弱点。
二、安全决策规范
web3中关键安全设计选择和个别事件的决策模型目前尚不清楚。权力下放意味着没有人对这些问题负责，这对用户的影响可能是巨大的。最近的Log4j漏洞等例子是将安全留给去中心化社区的警示故事。
需要更清楚地了解分散自治组织、安全专家、Alchemy和Infura等提供商以及其他人如何协作管理紧急安全问题。从大型开源社区如何组建OpenSSF和CNCF咨询小组，以及如何建立解决安全问题的流程中，可以得到一些适用的经验教训。
三、身份验证和签名
如今，大多数DAPP，包括最著名的DAPP，都不会对其API响应进行身份验证或签名。这意味着，当用户的钱包从这些应用程序检索数据时，在验证响应是否来自预期应用程序以及数据是否以某种方式被篡改等方面，存在差距。
在一个应用程序不采用基本安全最佳实践的世界里，由用户决定他们的安全态势和可信度，这几乎是不可能的任务。至少，需要有更好的方法向用户暴露风险。
四、更简单、用户控制的私钥管理
加密私钥奠定了用户在web3范式中进行交易的能力。众所周知，加密私钥也很难正确管理。目前已有整个业务围绕密钥管理而建立。
管理私钥的复杂性和风险是促使用户选择托管钱包，而非非托管钱包的主要考虑因素。然而，使用托管钱包会带来两个权衡：它们会产生新的“中介”，比如Coinbase，这有损于web3完全去中心化的方向；它们还限制了用户接触web3事物的能力。理想情况下，进一步的安全创新将为用户提供更好的可用性和对非托管场景的保护。
总结
值得注意的是，前两项计划更多地围绕人和流程展开，而第三和第四项计划将需要技术变革。让新技术、新兴流程和大量用户保持一致，是让了解web3安全性变得困难的原因。
与此同时，最令人鼓舞的变化之一是web3安全创新正在公开进行，我们永远不应该低估这会带来创造性的解决方案。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。