何谓Craig线？

Posted 2023-05-13

不是这个，是地球化学方面的。。。晕

如果企业认为自己的数据存储已经非常安全了，那就大错特错了。目前，企业数据泄露的问题非常突出，这里我们介绍五种常见的数据安全风险，并给出规避风险的建议。

让我们一起来思考一个问题： 企业数据所面临的最大安全威胁是什么？如果你的回答是黑客攻击或者说是IT人员的违规行为的话，那并不完全正确。的确，黑客的恶意攻击总能引起人们的高度重视，IT人员的恶意违规行为更是不能容忍，但事实上，最有可能泄露企业数据的却往往是那些没有丝毫恶意的员工，换句话说，内部员工使用网络文件共享或者乱用笔记本电脑造成数据泄露的可能性最大。

据Ponemon Institute最新的调查报告显示，内部员工的粗心大意是到目前为止企业数据安全的最大威胁，由此造成的数据安全事故高达78%。在这份报告中还指出，在企业不断尝试和应用最新企业内部数据保护技术的同时，却没有充分意识到企业内部员工的笔记本电脑以及其他移动存储设备所存在的安全隐患。

存储网络工业协会（SNIA）曾发布过企业存储安全性自我评估方法，用来测试企业对数据的保护程度。结果显示，目前大多数企业受到数据泄露问题的困扰。ITRC（Identity Theft Resource Center）的资料也显示，在美国，2008年出现的数据泄露事件比上一年增长了47%。“况且这些还只是有记载的数字，我的电子邮箱里就经常收到一些促销信息，显然我的个人信息通过某种渠道被泄露了。” ITRC的创始人、身份认证管理专家Craig Muller说。

事实上，现在人们应该充分意识到问题的严重性了。Ponemon Institute在2008年进行的另一项调查显示，在1795名受访者中有超过一半以上的人表示其在过去24个月中被告知数据泄露的次数大于两次，而8%的人则表示收到过四次以上这样的通知。但是，到目前为止，企业还不知道该如何保护自己。在Ponemon Institute的这份调查中显示，在577名安全专家中仅有16%的人认为当前的安全措施足以保护企业的数据安全了。

目前，解决问题惟一的方法就是借鉴其他企业的前车之鉴，以避免自己出现类似的问题。下面介绍五种常见的数据泄露问题，每种情况我们都给出了规避安全风险的建议。

内部窃取

2007年11月，Certegy Check Services（Fidelity National Information Services的一家子公司）的高级数据库管理员利用特许的数据存取权限偷走了超过850万客户的数据资料。随后，他将数据卖给了一家中间商，价格是50万美元，之后这家中间商又将数据卖给了其他商家。事情败露后，这名员工被判入狱四年并负责赔偿320万美元的经济损失。Certegy Check Services官方宣称事情很快就得到了解决，客户的个人信息并没有被泄露，不过，其客户还是收到了其他厂商发来的促销信息，而这些厂商恰恰购买了被窃数据。

还有一个案例，一位在DuPont工作的技术专家在离开公司之前拷贝了价值4亿美元的商业机密，然后跳槽到了一家与DuPont竞争的亚洲公司。根据法院的记录，他利用特许存取权限下载了大约2.2万份摘要以及1.67万份PDF文件，这些文件记录了DuPont的主要产品线，其中还包括一些开发中的新技术。他在下载数据之前与DuPont的竞争对手讨价还价了两个月之久，并最终达成了“协议”。依据这些犯罪记录，法院宣判其服刑18个月。

代价：在DuPont的案例中，虽然最终美国政府为其损失补偿了18万美元，但其被泄露的商业机密估计价值超过4亿美元。而且，没有任何证据可以证明，DuPont泄露的数据已经被竞争对手，也就是上述那位技术专家的“同谋”得到，这就使得DuPont无法通过更有效的法律途径解决问题。

据Semple的研究显示，客户信息失窃比知识产权失窃带来的损失更大。在2008年，Certegy Check Services公司为客户信息丢失所付出的代价是每人每次2万美元。

分析：ITRC的报告中显示，在2008年发生且被记录下来的泄露事件中有16%是由内部窃取所造成的，是2007年的两倍。原因是，现在很多企业在“猎头”的同时，还伴随着商业犯罪—根据卡内基梅隆大学计算机应急响应小组（CERT）的研究，1996年到2007年企业内部犯罪有一半是窃取商业机密。

CERT指出，内部人员窃取商业机密有两大诱因：一是能够获得金钱；二是能够获得商业优势。虽然后者多是从员工准备跳槽开始的，但这类情况大都是在员工离开以后才被发现，因为其留下了秘密访问数据的记录。可见，内部威胁是数据安全管理的难题之一，尤其是对那些有特许权限的员工的管理更是如此。

建议：首先，建议企业做好对数据库非正常访问的监督，为不同用户的当前可用访问权设定限制，这样系统就可以很容易地检测出负责特定工作的员工是否访问了超出工作范围的数据。比如，Dupont公司就是因为检测到该技术专家异常访问了电子数据图书馆才发现了其非法行为的。此外，一旦检测到了数据泄露，最重要的就是快速行动以减小信息扩散的可能性，并提交法律机关迅速展开取证调查。

其次，企业应当使用个人访问控制工具，保证系统记录下每一个曾经访问过重要信息的人。此外，保存客户和员工信息的数据库更应当对访问加以严格限制。事实上，就日常工作而言，能有多少人在没有许可的情况下有查阅身份证件号码和社会保险号码的需要呢！因此，个人信息应该与商业机密有着相同的保密级别。

再次，建议使用防数据丢失工具以防止个人数据在通过电子邮件、打印或者复制到笔记本电脑及其他外部存储设备时发生泄露。这类工具会在有人尝试拷贝个人身份数据时向管理员发出警告，并做记录。但是目前，很多企业都没有应用类似的审查记录工具。

此外，加强内部控制和审计也非常重要。举个例子，企业可以通过设立网络审查或记录数据库活动等方式来进行监督。保存详细记录可能并不够，企业还需要通过审计方式来检查是否有人更改或者非法访问了记录。当然，单独依靠技术手段是不行的，企业还需要确保你所信任的数据使用者是真正值得信任的。

设备失窃

2006年5月，由于美国退伍军人事务部的一名工作人员丢失了自己的笔记本电脑，致使2650万退伍军人的个人资料丢失。万幸的是，最后小偷被捕，并没有酿成更严重的后果。虽然事后FBI（美国联邦调查局）宣称数据没有被泄露，但这个事件的发生还是给退伍军人事务部带来了巨大的影响。无独有偶，2007年1月，退伍军人事务部在阿拉巴马医务中心同样发生了笔记本电脑被盗事件，致使53.5万退伍军人和超过130万内科医生的个人数据被泄露。

代价：在事件发生后的一个多月的时间里，退伍军人事务部为了支撑回答人们关于数据被窃问题的电话应答中心，每天就要花费20万美元，此外，他们还要支付100万美元用来打印和邮寄通知信。

退伍军人事务部因此还遭到了联名起诉，起诉中包括要求其对每个人造成的损失赔偿1000美元。在2007年第二次数据泄露事件之后，退伍军人事务部为现役和已经退伍的军人总共赔偿了2000多万美元，才结束了这场联名诉讼。为此，美国政府还为其拨款2500万美元用来补偿损失。

分析：设备失窃成为了数据泄露的最主要原因—在2008年，大约占到了20%。据芝加哥法律事务所Seyfarth Shaw的合伙人Bart Lazar介绍，在他所处理的数据泄露案件中，由于笔记本电脑丢失而造成的数据泄露占绝大部分。

建议：首先要对存储在笔记本电脑上的个人身份信息加以限定。比如说，不要将客户和员工的名字与其身份证件号码、社会保险号码、信用卡号码等身份信息放在一起保存。可以将这些数字“截断”存储，或者考虑建立个人特殊信息，比如说将每个人的姓氏与社会保险号码的后四位连在一起保存。

其次，对笔记本电脑上存储的个人信息进行加密，尽管这会产生一些潜在成本（大约每台笔记本电脑50到100美元），同时还会损失一些性能，但这是必须的。美国存储网络工业协会负责存储安全的副主席Blair Semple曾表示，对数据进行加密，需要企业和员工都形成这种强烈的意识才行，在很多情况下，对数据进行加密并不困难，但人们却没有这么做，不难看出，管理层面上的问题才是最大的。

最后，建议在数据载体上设置保护性更强的口令密码。

外部入侵

2007年1月，零售商TJX Companies 发现其客户交易系统被黑客入侵，令人不解的是，此入侵从2003年就已经开始了，一直延续到2006年12月，黑客从中获取了9400万客户的账户信息，而数据被盗事件在4年后才因一次伪造信用卡事件被发现。2008年夏天，11人因与此事相关而被起诉，这是美国法律部门有史以来受理的最大规模的黑客盗窃案件。

代价：据估计，TJX在此次数据泄露事件中的损失大约在2.56亿美元，包括恢复计算机系统、法律诉讼费、调查研究以及其他支持费用，损失中还包括对VISA和MasterCard的赔偿。此外，美国联邦商务委员会还要求TJX必须每隔一年委托独立的第三方机构进行安全检查，并持续20年。

甚至有人预测，TJX因此受到的损失会达到10亿美元以上，因为还要将法律和解费用以及因此失去很多客户的代价计算在内。据Ponemon在2008年4月进行的一项研究表明，通常发生数据泄露事故的企业将会失去31%的客户基础和收入来源。在Ponemon最近发布的年度数据泄露损失统计报告中显示，每泄露一份客户信息，公司就将损失202美元，而在1997年，这个数字是197美元，其中因数据泄露失去的商业机会所带来的损失是损失增长中最重要的部分。

分析：据Ponemon的研究，黑客入侵造成的数据泄露在安全威胁中名列第五。据ITRC的调查，在2008年有记载的数据泄露事件中有14%是由黑客攻击所造成的。但这并不意味着企业对此就应该束手无策，甚至放任不管。

在TJX的案例中，黑客是利用War-Driving渗透到系统内并入侵企业网络的。而这主要是因为TJX使用的网络编码低于标准规格，且在网络上的计算机并没有安装防火墙，传输数据也没有进行加密，这才使得黑客可以在网络上安装软件并访问系统上的客户信息，甚至还可以拦截在价格检查设备、收银机和商场计算机之间传输的数据流。

建议：如果对数据库的访问非常容易的话，那么建议企业使用高级别的数据安全措施和数据编码。

员工大意

Pfizer公司的一名员工一直是通过网络和笔记本电脑进行远程办公的，没想到，他的妻子在其工作用的笔记本电脑上安装了未经授权的文件共享软件，致使外部人员通过这个软件获得了1.7万名Pfizer公司现任员工和前任员工的个人信息，其中包括姓名、社保账号、地址和奖金信息等。统计显示，大约有1.57万人通过P2P软件下载了这些数据，另外有1250人转发了这些数据。

代价：为了将数据泄露事件的危害降至最低，并避免类似事件的发生，Pfizer与一家信用报告代理商签署了一项“支持与保护”合同，合同包括对与泄露数据相关的信息进行为期一年的信用监控服务，以及一份因数据泄露对个人损失进行赔偿的保险单。

分析：据Ponemon的最新研究表明，粗心的员工（虽然不是故意的）是数据安全的最大威胁。有数据显示，88%的数据泄露与员工的大意有关。如果企业的员工能够具有更高的安全意识，数据泄露的数量将会大幅下降。在Pfizer的案例中，就是因为员工的妻子在其笔记本电脑上安装了文件共享软件，这才使得其他人能够通过P2P软件获得笔记本电脑上的数据，包括Pfizer公司的内部数据信息。

大意的员工再加上文件共享软件，这绝对是个危险的组合。Dartmouth College在2007年的研究表明，虽然大部分企业不允许在企业网络上安装P2P软件，但是很多员工却在远程计算机和家用PC上安装了这种软件。研究发现，有三十家美国银行的员工在使用P2P软件分享音乐和其他文件，并在不经意间向潜在的网络犯罪分子泄露了银行账户数据。一旦业务数据发生泄露，将会通过P2P软件扩散到全世界的很多计算机上。

建议：企业的IT部门应该全面禁止员工使用P2P软件，或者制定规章限制P2P的使用，并安装工具来强化这一规章。并且，应该对员工的计算机系统进行审核，阻止员工进行软件下载。比如，可以将员工的管理员资格取消，这样他们就不能安装任何程序了。同时，最重要的就是教育和培训，因为这样能够让员工了解P2P的危险性。

合作伙伴泄露

2008年11月，亚利桑那州经济安全部给大约4万名儿童的家长发出了通知——这些孩子的个人信息可能已经因为代理商将几个磁盘丢失而被泄露。磁盘虽然有密码保护，但却没有进行加密。

代价：统计数据显示，对企业来说，合作伙伴将数据泄露的损失往往比企业内部泄露的损失更大。据Ponemon的调查统计，合作伙伴泄露一份数据记录企业要损失231美元，而企业内部泄露一份数据记录造成的损失约为171美元。

分析：Ponemon的年度损失报告表明，外包、转包、咨询和商业合作伙伴造成的数据泄露在不断增长，去年大约占到所有数据泄露事件的44%，比2007年增长了40%。ITRC的研究也指出，2008年10%的数据泄露与代理商有关。

建议：企业需要签订更高服务级别的详细合同，确保代理商遵守协议，一旦其违反了合同就能够对其进行处罚。此外，在使用备份磁带或者磁盘时，一定要进行加密和密码保护。 参考技术A Craig线又叫大气降水线，是大气降水沿直线的演化规律。是Craig统计的不同纬度的大量大气降水样品的氢氧同位素成分后得出的关系式

Craig S. Wright博客精选 | 定义“扩容”

发表时间：2022年3月2日
信息来源：craigwright.net

---

关于比特币或BTC等基于区块链的系统的扩容问题，一直以来有许多争论。当Hyperledger等其它相关系统的支持者在讨论同样的话题时，显然是围绕着交易量而展开争论的。《牛津英语词典》把“扩容”定义为可以根据规模来进行衡量或分级的一个概念。在一个基于区块链的系统中，规模或级别代表了这个系统可以处理的交易量。

Li等人讨论过如何将交易处理数速率TPS提升至约每秒6400笔交易。不论支持或反对扩容，扩容的定义都是非常明确的。扩大区块链的容量意味着网络有能力在何时间段里，处理更多的交易。区块链被定义为这样的一种系统：由节点运营商收集并处理批量交易，并将这些交易构建成一个区块，他们之间通过竞争（如工作量证明的方式），随后他们将据此发布验证信息，其它节点都可以对这一验证信息的有效性进行检查。

那些围绕着“链上扩容”还是“链下扩容”的争论并不是关于扩容本身。所有的交易都应该要存在于区块链上，并公开可见，区块头也应该是被广泛公开的。客户端系统可以在这个网络上验证任何交易，并确认区块头的有效性。与许多人的认知相反，比特币的安全性并不在于它使用的哈希算法，而是来源于广泛公开和传播的区块哈希，众多使用这个系统的人都保存了它们。也正是因为这样的原因，“私有区块链”与区块链技术的公开特性是相悖的：如果哈希后的信息不被公开，私有区块链就会同时存在多个副本——就像欺诈性的会计记录可以被保存在不同的账本中一样。

因此不应存在“私有区块链”这样的概念。因为它不公开数据，所以这样的系统并不是区块链系统。原始白皮书对区块链的运行方式给出了定义：“对需要打上时间戳的数据项的区块进行哈希计算，并将得出的哈希值广泛公开出去”。比特币这样的系统中处理的每一笔交易都是公开的，而这种公开性也是正是某些人想要废除的。那些反对扩容的人提出的理由被伪装成与扩容有关，但它实际上是这些人想要试图找到一种方式去废除“比特币上的每笔交易均可追踪”的能力。

正如最初的比特币白皮书中对比特币节点的准确定义：节点指的是专门用于创建和验证区块的机器。节点的数量和范围都是有限的，长期以来BTC网络只有10到15个节点在同时运行，并且在任何时刻，网络都是由3到4个节点控制了51%以上的算力。媒体上宣扬的网络上有成千上万个节点，以及这将引发“女巫攻击”的说辞，是因为人们将那些从未在比特币网络上生产或验证区块的系统错误定义为了节点，而实际上这些系统并不符合网络对节点的要求。

在区块发布以后，并且其后已经产生了新区块，人们才可以对这个区块里的交易进行验证。只有当一个区块后面又产生了100个区块后，发现这个区块的节点才会得到挖矿奖励，这个区块也才算最终被确认。这时，网络才允许这个节点运营者花费他们得到的交易费用和区块补贴，这些收益是它验证并打包交易、生产区块获得的奖励。创建区块是所有区块链的必要环节，区块中必须包含其打包交易的全部数据。我们先暂时抛开对区块容量的实际需求这种虚假争论不谈，若要将吞吐速率从每秒1000笔交易提升到每秒10000笔交易，我们必须提升需网络中要处理和存储的交易数量。

因此，增加交易量是系统扩容的唯一途径。任何赞成扩容观点的人都需要关注节点处理和传播大型区块的能力。理论上说，随着区块链的持续运行，区块链的数据量必将总是随着交易数量的增加而增长。因此，区块扩容的反对者们并非是反对扩容，而是反对建立一个可追踪交易的系统。有些人错误地认为二层网络是扩容的方法，但它实际上是独立的网络，使用二层网络的目的是不让交易在区块链上留下记录。

想要使用二层网络的人，将其意图伪装成“扩容”，实际上是希望在政府控制之外，创建一个有助于犯罪活动的匿名货币系统。关于扩容的争论应该就集中在以下简单明确的议题上：节点如何获取大区块，并确保大区块可以同步到所有节点。在考虑这一问题之前，要理解网络上只有少量节点，这一点十分重要。而且这些节点都是商业实体，每天它们都在对约3150万美元的收入（基于写本文时的费率和价格）展开竞争。可以推测出，算力排名前三的节点每天都可以获得超过500万美元的收入。

有人认为，一个日收入500万美元的商业运营者，不会为了能够每天处理数TB的区块链数据而进行必要投资，提升带宽和硬盘空间。这种观点是有逻辑缺陷的，因为随着网络上交易量的增加，节点运营商可以获得更多的交易费收入，这必将超过其扩展网络带宽以及扩充存储硬件的投入成本。

通过对系统和证据的分析，我们可以得出唯一合理的结论就是：BTC网络和其它区块链的人正在错误地应用和曲解“扩容”这个词，以掩盖他们在做的“隐私”方案，这种方案实际上是想要隐匿交易。换句话说，这些人在对“扩容”一词进行奥威尔式的故意曲解，但围绕真正的“扩容”所展开的话题，应该围绕区块链的属性，以及系统如何为所有交易提供全面的可追溯性这些议题。

译者注：文章中的多处索引在中文翻译中已删除，索引信息请参见英文原文。

---

目前，全球已有超过400个项目构建于BSV区块链之上。凭借坚如磐石的协议及超高的网络性能，BSV生态系统迅猛发展，我们期待未来出现更多前所未有的商业应用。

• 对BSV区块链开发感兴趣的朋友，可以前往我们的中文开发者专区：https://bsv.csdn.net/

---