WEB:技术大牛解析：火必员工维权风波 对平台安全影响几何？_WEBN token

近期，在网络上火必裁员的文章和言论引发行业热议，根据火必员工维权群里流出的截图显示，一些在火必任职技术岗位的员工扬言要通过“删库”、“植入恶意代码”等偏激方式来向公司索赔，某些推特大V也顺势引导平台安全风险。在这里，我们暂不去对火必裁员和员工维权等事件做任何评论，对于用户来说，最为关心的还是平台安全问题，因为这直接关系到我们的资产安全。

为了探究真相，我们采访了一位曾在Huobi任职5年以上的技术安全大牛为我们解答疑惑，究竟这番舆论风波是否会影响平台的安全性？

1、工程师是否可以植入恶意代码到生产系统？

包括火必在内的大型交易平台，其研发流程往往是研发根据产品需求编写程序代码，然后提交给测试人员进行完整的功能性测试。测试验证通过后，提交到公司的安全审计部门进行代码审核。审核通过后这次变更才会被发布到线上。上边提到的的每个环节都是由系统进行卡控，仅凭单独个人是无法绕过整个流程体系完成代码变更上线，更不要说植入恶意代码。所以即使个别人存在植入恶意代码到生产系统的想法，除非他能够说服从研发到测试再到安审等所有流程环节的关键节点审核人，才能将恶意代码植入到上线产品中，就可行性来看难度较大，除非该维权员工在火必身居要职，处在核心高管团队之中，具有以上所提到的所有部门的调用权限。但在这个关键时刻，显然火必会进一步强化整个流程环节的管控，发现任何异常都会格外警惕，目前难度不亚于破解层层防守的地下金库中然后悄无声息取走全部黄金。

北京大兴国际机场临空经济区：利用区块链等技术大力推行“不见面”审批:12月3日，北京大兴国际机场临空经济区（大兴）管理委员会专职副主任罗伯明在一场发布会上介绍临空区赋权。罗伯明表示，为做好赋权承接工作，临空区管委会将因地制宜服务社会企业，灵活把握项目时序，合理安排建设任务，提升治理能力。目前已搭建起“一网通办”受理系统，下一步将以企业需求为导向，利用区块链、大数据等信息技术，大力推行“不见面”审批，构建极简高效的审批机制，确保赋权事项批得快；以有力监督为目标，推进审管衔接，确保赋权事项管得好。（中国新闻网）[2020/12/3 22:59:51]

2、DBA是否可以删库跑路？

数据库是生产环境链路中关键的基础设施之一，数据库稳定性决定着生产服务是否可持续运行，从我在Huobi的经验来看，火必针对数据库可用性、数据安全性与一致性做了很多工作，其数据库管理主要通过如下几个角度保证安全性：

声音 | Arianee联创：服装行业透明度亟待提高 区块链技术大有可为:据ChangingMarkets近期发布的一份报告，消费者要求服装行业在对人和环境的影响方面更加透明。报告显示，不到五分之一（17%）的受访消费者认为了解了时尚行业的环境和社会影响，而有近八成（79%）的受访者认为服装品牌应该就环境问题提供的信息，近七成（68%）受访者认为品牌应该提供关于其粘胶制造商的信息，以及生产对环境的影响。而在最近的播客中，数字身份联盟Arianee的联合创始人Pierre-Nicolas Hurstel讨论了如何在奢侈品和时尚行业中使用区块链技术。他指出，供应链是主要问题，公司应确保让消费者知悉服装制造的过程、地点和原料。他进一步表示：“区块链解决了透明性问题，但它还没有广泛实施，但在下一个10-15年，区块链将广泛发展。”（AMBCrypto）[2020/2/2]

l安全与审计层面：

动态 | 江西软件职业技术大学成立区块链学院:据中国日报消息，6月30日，江西软件职业技术大学举行了区块链学院揭牌仪式。该校在软件工程、信息安全与管理、电子商务三个本科专业开设了区块链方向，计划招收150名本科学生，这将是中国高校第一次招生本科层次的区块链技术学生。[2019/7/1]

DBA登陆生产环境数据库服务器，需要先登陆内网VPN，再通过堡垒机接入生产环境服务器，所有生产执行的操作可被审计。堡垒机记录所有生产环境操作记录的日志与录像，DBSOS自助服务平台对生产数据库DDL，DML变更操作记录日志，可被审计，堡垒机与DBSOS日志同步到安全团队进行审计。

因此，任何人对DBA数据库做变更行为都是一定会被审计和监管觉察到的。

动态 | 比特币鲸鱼利用SegWit技术大额转账4万枚 仅收取3.93美元手续费:据The Next Web消息，5月1日比特币鲸鱼账户“Loaded”大额转账4万枚BTC，仅收取3.93美元手续费。据悉，“Loaded”账户为比特币老派投资者，此前因在论坛BitcoinTalk发帖而闻名，其多年来一直拥有4万枚BTC，并且没隔一段时间就会移动该笔BTC。经查询，此次交易的比特币地址以“bc1”开头，意味着其使用了隔离见证（SegWit）技术，且该笔交易只收取了0.00074227 BTC(约合3.93美元)手续费。

此前消息，5月1日17:20分左右，比特币出现单笔4万枚BTC转账。bc1q9s开头的地址向bc1q5s开头的地址转入4万枚BTC，价值约2.14亿美元。经查询发现，该接收地址目前排名比特币富豪榜第22位，且目前为止只发生过该笔交易，转出地址目前余额为零。这4万枚BTC最初是在2012年9月21日由1.5万枚和2.5万枚BTC合并而成，此后经历多次转移，并于2018年1月27日转入bc1q9s开头的地址，最后于5月1日悉数转出。[2019/5/2]

l可用性层面：

MySQL、Redis、TiDB部署采用多AZ、多副本部署，降低单AZ故障带来的影响与数据安全问题MySQL作为生产环境主要存储介质，采用增强半同步保证Master与Replica的数据一致性，MySQL与Redis均保证<15s完成故障切换。

l数据库备份与恢复层面：

具有完善的可调度的自动化数据库备份系统与binlog——记录所有数据库表结构变更以及表数据修改的二进制日志备份系统，所有集群每天一份全备份，备份数据上传到分布式存储，可恢复近15天任意时间点数据。为了保证备份的有效性，建立自动还原检测系统，每周定期对备份进行还原，生成还原报告，除上述自助恢复检测外，DBA不定期对数据库进行故障节点通过备份恢复

l生产环境数据变更层面

所有数据与表结构变更需求通过内部审批体系，SQL（StructuredQueryLanguage

，结构化查询语言）提交到自助平台，经过平台的审核规则检测，审核通过后由DBA点击执行。所有通过自助平台进行数据变更操作，默认生成回滚SQL，以便可以最快恢复到执行前状态。自助平台工单产生的日志同步到安全组进行审计

过往情况来看，Huobi全年的数据存储服务SLA<=99.999%，SLA的概念，对互联网公司来说就是网站服务可用性的一个保证，9越多代表全年服务可用时间越长服务更可靠，停机时间越短，反之亦然，主流互联网公司表现较好都是99.99%，所以，DBA删库跑路造成不可逆的影响和用户资产丢失的空间和可能性基本上是不存在的。

3、工程师是否可以导致不可恢复的系统宕机？

不会，火必的工程师只有将通过审核的代码权限发布到线上的权限，没有停止和下线的服务的权限。并且针对的所有服务的可用性公司有7X24小时的实时监控及服务质量的巡检机制，发现有异常服务可以迅速处理。

4，工程师是否可以删除整个系统代码？

不会。火必研发使用了业界主流的代码管理工具，有完整的备份在云端。git是一个去中心化的代码版本管理工具，每个负责相应模块的工程师电脑上都有完整的备份代码，甚至每一次的代码变更记录都是记录。

最后：

从职业上讲，IT技术人员删库跑路以及植入恶意代码的行为严重有违职业道德，且投入产出比为基本为零。任何一个员工如果做过类似的事情，将不会有任何雇主敢雇佣有过类似行为的员工。作为一个心智稍微正常、长期靠技术吃饭的IT从业者，没有必要上自己将来的全部职业生涯做出这种损人不利己的行为。

当然了，由于我个人不是法律专家，这里不谈可能会面临的严厉法律制裁。

标签：WEBWEB3以太坊区块链WEBN tokenweb3域名交易记录国内以太坊交易平台区块链存证平台法院

PEPE热门资讯