Solana公布安全审计报告

在过去的两个月中，Solana工程团队与世界著名的软件安全公司Kudelski Security进行了合作，对Solana软件架构的每个细节进行了审计。Kudelski团队深入研究了Solana的八个核心创新，并让我们的团队在每一步都捍卫我们的设计决策，以彻底检查和剖析Solana基础架构的每个元素。

Kudelski在全球享有很高的声誉，其审计被认为是金标准。DISH区块链负责人Rob Steiner表示：“鉴于我们对Kudelski的信任，我们很高兴看到Solana与Kudelski合作来审核其技术。” “Kudelski是一家备受推崇的国际网络安全公司。” Electric Coin Company的首席运营官（Zcash的创始人）David Campbell证实道。

总体而言，Kudelski对Solana的分析表明了明显的积极立场。Kudelski特别喜欢历史证明，并立即意识到它是Lamport时钟，这是高性能计算项目中的常见现象。他们研究了TowerBFT，这是我们在共识层的创新，并理解了使用权益证明的选择是如何为打破传统的BFT算法并简化共识创造了机会。Kudelski团队能够提供各种方法来划分网络以挑战TowerBFT，并发现了我们的文档和测试套件中没有覆盖某些情况的缺陷。从现在到主网启动，我们的团队将把重点放在适应这些极端情况上。

Kudelski报告指出：“虽然此次分析的主要目的是专注于设计和实施的技术，但它简短地肯定了Solana团队的技能和知识。Solana实施了一项人才战略，利用个人才能来实现技术上的飞跃，同时不断关注回馈和知识转移。”

报告还认为：“Solana团队是一个真正的团队，每个成员都可以发表评论并丰富讨论，而不论特定主题是什么。这意味着Solana团队的关键人力资源结构能够很好地实现增长，并且可以容忍个人的流失或离开，而不会失去对该平台持续开发和实施的关注或能力。对于小型公司和初创公司来说，这通常是一种风险，但值得注意的是，Solana并非如此。他们在整个团队中传播和分享知识与培训方面做得非常出色。”

尽管发现绝大多数Solana基础设施是密闭的，但Kudelski的分析旨在从各种可能的角度揭示潜在的破坏可能性，无论多么微小。Sealevel运行时的事务并行性引起了很多讨论。我们指出了并行是安全的情况，Kudelski团队提出了针对这些情况的攻击，以防止实际发生这些情况。经过一番来回的摸索，我们确信资金雄厚的攻击者理论上可以减慢对特定帐户的访问。

 

以下是一个例子：

如果有人利用Solana进行众筹活动，则攻击者可以连续快速地向众筹账户支付少量代币。小额付款将会阻止其他人同时进行大额付款。如果攻击持续超过两分钟，那么诚实的客户将需要重新生成新交易并重新提交。如果Solana提供了进入Sealevel的高优先级通道（当前的实现方式是这样做的），那么只要他们愿意支付交易费用，资金雄厚的攻击者就可以让所有其他客户黯然失色。我想要说，我们会立即堵住这个漏洞！

Kudelski的审计超出了我们的预期。仅仅拥有健全的体系结构还不够，他们希望看到对所有极端情况的自动化探索，以及一支能够快速应对意外情况的弹性团队。当我们进入Solana主网开发的最后阶段时，Kudelski的发现让我们深受鼓舞，但我们也更清楚地了解了在发布前必须适应的极端情况和例外情况。

Kudelski的审计结果让我们感到任重道远。我们坚信透明度，并很高兴与公众分享这份完整的安全审计报告。

点击此处阅读Kudelski撰写的关于Solana的完整报告。

https://solana.com/solana-security-audit-2019.pdf

如需了解更多信息，请访问Solana的官方渠道：

官网： https://solana.com

Telegram： https://t.me/solanaio

Reddit： https://reddit.com/r/solana

Twitter： https://twitter.com/solanalabs

Medium： https://medium.com/solana-labs

Github： https://github.com/solana-labs

YouTube： https://www.youtube.com/channel/UC9AdQPUe4BdVJ8M9X7wxHUA