慢雾：BigONE 最新安全监测报告

慢雾科技于 2019 年 3 月和 BigONE 开始正式对接安全，持续到现在，慢雾科技针对 BigONE 做了许多安全监测的工作，在这，我们正式做些必要的披露以客观看待 BigONE 当下的安全体系能力。

据慢雾科技的近期安全监测显示，BigONE 的业务基线安全、生产网安全、服务器安全、应用安全、私钥安全、办公网安全等重要安全项目当前处于优质状态，同时 BigONE 的风控体系完善，配备多项措施保障用户资产安全。慢雾科技对 BigONE 当前的安全体系建设工作整体评估为：优秀。

- 业务基线安全 -

1、Web 应用防火墙(WAF)策略

结论：优秀

描述：BigONE 关键业务相关的域名及 IP 都做了全面的 WAF 策略，这个策略可以很好抵御来自外部针对 Web 服务的直接攻击，这些对于用户来说，通过 Web 及 App 访问 BigONE 的服务是安全且隐私的。

2、DDoS/CC 防御策略

结论：优秀

描述：BigONE 关键业务相关的服务器都做了全方位的 DDoS/CC 防御策略，这个策略可以很好抵御来自外部针对服务器的 DDoS/CC 攻击，这些对于用户来说，通过 Web 及 App 访问 BigONE 的服务是安全且稳定的。

3、注册安全策略

结论：优秀

描述：BigONE 关键业务系统的注册模块，都启用了滑块验证码来进行人机识别，并且密码复杂度要求严格，这个策略可以很好抵御外部的机器人注册，提升用户密码安全等级，保障平台用户的资产安全。

4、登录安全策略

结论：优秀

描述：BigONE 关键业务系统的登录模块，都启用了滑块验证码来进行人机识别，并且有防钓鱼提醒，这个策略可以有效降低用户被“撞库”风险，同时避免用户被钓鱼。

5、数据传输安全策略

结论：优秀

描述：通过相关安全工具及人工的审计，BigONE 全站均部署了 HTTPS，可以防止潜在的中间人劫持攻击风险，用户在 BigONE 上做的关键敏感操作所传输的数据做了额外一层安全加密保护。

6、2FA 安全策略

结论：优秀

描述：2FA 指双因素认证，这个策略是安全策略里的最佳安全实践，BigONE 针对用户的敏感操作尤其涉及到资金的操作都做了全面完备的 2FA 策略，可以大大降低用户被盗号攻击、撞库攻击导致的风险。

7、会话安全策略

结论：优秀

描述：用户会话 Token 具有时效性，且严格遵守 OWASP 安全规范实现。

8、交易所 API 安全策略

结论：优秀

描述：API 的创建、删除均需要 2FA 验证，可有效保障用户资产安全。

9、充值安全策略

结论：优秀

描述：各币种充值确认数均符合安全要求，并与慢雾区块链威胁情报(BTI)系统联动，出现突发事件时可灵活调整确认数。BigONE 充值环节接入了慢雾 AML 系统，可有效阻断涉及钓鱼、勒索、盗币等恶意行为的资产进入平台。

10、提币安全策略

结论：优秀

描述：BigONE 提币环节部署了严格的风控策略，且接入了慢雾 AML 系统，可有效防止用户遭受钓鱼、勒索等攻击，保障用户资产安全。

11、交易安全策略

结论：优秀

描述：BigONE 交易模块部署了严格的风控策略，对可能存在风险的交易行为（如：非常用设备、IP、异常价格等）进行监控。对于高风险用户在提现时给予限制，可有效保障用户资产安全。

12、安全教育

结论：优秀

描述：数字货币领域对许多新人来说是个陌生的领域，新人是被攻击的高危人群，在首次使用 BigONE 的服务时有安全教育机制，对用户来说是种很好的安全引导。

13、防钓鱼策略

结论：优秀

描述：BigONE 关键业务系统的登录模块，都设置了防钓鱼提醒，这个策略可以有效降低用户被钓鱼风险。

14、上币安全策略

结论：优秀

描述：BigONE 上币流程包含安全审计环节，BigONE 将进行内部审计（代码审计、合约审计），同时项目方可提交 BigONE 认可的第三方安全审计机构（如：慢雾）出具的安全审计报告。

15、KYC 安全策略

结论：优秀

描述：对接 FACE++ 的人脸识别、证件识别等技术，实现人证合一的检查。对于风险值较高的用户会转入人工审核，并要求用户通过视频等更严格的方式进行审核。

16、AML 安全策略

结论：优秀

描述：BigONE 充提币环节接入了慢雾 AML 系统，可有效阻断涉及钓鱼、勒索、盗币等恶意行为的资产进入平台，阻断洗币行为，规避政策风险。

17、是否有第三方安全审计报告

结论：优秀

描述：BigONE 通过了慢雾科技的多次安全审计，BigONE 当下安全体系建设工作进展顺利。

- 生产网安全 -

1、DNS 安全

结论：优秀

描述：使用业界知名的 Cloudflare 平台管理 DNS，且启用了 Cloudflare 平台的登录 2FA 策略。

2、云服务安全

结论：优秀

描述：GCP 平台登录有严格的权限管理，针对不同功能如：数据库/K8S集群管理/日志等功能有做权限区分。防火墙使用了 GCP 提供的默认安全策略。

3、权限安全

结论：优秀

描述：根据职能划分了不同的安全组，不同安全组只能查看管理对应的功能。GCP 平台账号跟 Gsuite 账号绑定，禁用公司邮箱就可以回收所有权限。

- 服务器安全 -

1、基础配置安全

结论：优秀

描述：所有服务都在 k8s 上进行统一管理维护。

2、升级与补丁策略

结论：优秀

描述：GCP 提供 k8s 的安全升级，当有安全相关的升级提示时会择机停机进行升级。

3、第三方模块安全

结论：通过

描述：依赖 GCP 维护。

4、应用服务安全

结论：优秀

描述：所有服务通过 k8s 治理，通过 Helm 进行发布。发布流程内部有 review 机制。

5、API 服务安全

结论：优秀

描述：对外 API 会做 CORS/CRSF 等安全配置，关键接口均增加了极验等防机器人的安全防护。针对部分关键接口有做限速，内部服务依赖 Istio 做服务治理，控制服务间访问权限。部分接口在此基础上还增加了token 鉴权。

6、数据库服务安全

结论：优秀

描述：使用 VPC 网络进行隔离，不同服务使用不同用户访问。数据库用户严格控制权限，一般只有 Insert/Update/Select 权限，并且用户网络限制为内网。

7、缓存服务安全

结论：优秀

描述：使用 Redis 作为缓存服务，有密码设置，只能内网访问，且屏蔽了 flushdb 等危险命令。

8、私钥管理服务安全

结论：优秀

描述：通过 k8s 的 secret 机制管理所有私钥和密码，并通过环境变量的形式注入到程序的运行时环境。secret 的更新由专人负责，工程师只能引用，无法拿到明文。

9、节点服务安全

结论：优秀

描述：节点之间网络隔离，不导入私钥，同时放在不同的 zone，做到高可用。并且节点服务和业务服务隔离，不会相互影响。

- 应用安全 -

1、Web 安全

结论：通过

描述：BigONE 关键业务 Web 系统均遵照 OWASP ASVS 标准、OWASP TOP 10 规范来实现，未发现问题。

2、App 安全

结论：通过

描述：BigONE App 均遵照 OWASP MASVS 标准来实现，未发现问题。

3、API 安全

结论：通过

描述：BigONE 关键业务 API 均遵照 OWASP ASVS 标准、OWASP TOP 10 规范来实现，未发现问题。

- 私钥安全 -

1、热钱包安全

结论：通过

描述：使用安全的随机数方法生成私钥和 master key，并使用高强度的算法加密存储。所有敏感的信息均在内存中，使用完立即擦除。

2、冷钱包安全

结论：通过

描述：使用安全的随机数方法生成私钥和 master key，并使用高强度的算法加密存储。所有敏感的信息均在内存中，使用完立即擦除。

- 办公网安全 -

1、办公网络安全

结论：通过

描述：办公网络和访客网络隔离，同时根据职能划分出多个子网，保护研发、测试环境的独立。

2、办公终端安全

结论：通过

描述：办公终端依据重要性采购、安装不同的杀毒软件。

关于安全监测报告

慢雾科技力求以最客观最职业的第三方安全机构视角，在获得 BigONE 书面授权情况下，针对 BigONE 目标业务进行全面的安全体系建设工作的持续安全监测并辅以场内确认，最终根据双方意愿客观披露阶段性的安全监测结果。

关于慢雾科技(SlowMist)

厦门慢雾科技有限公司，专注区块链生态安全，总部位于厦门，由一支拥有十多年一线网络安全攻防实战的团队创建，团队成员曾打造了拥有世界级影响力的安全工程。作为中国最早专注且全球领先的区块链生态安全公司，慢雾科技已经为全球多家领先的数字货币交易所、钱包、底层公链、智能合约等项目做了安全审计及防御部署。慢雾科技的安全解决方案包括：安全审计、安全顾问、防御部署、威胁情报(BTI)、漏洞赏金等服务并配套相关安全产品。在行业内曾独立发现并公布多起通用高风险的安全漏洞，得到业界的广泛关注与认可。除了研究全球知名公链如比特币、门罗币、以太坊、EOS、Cosmos、本体、唯链等，慢雾科技还特别深耕以太坊和 EOS 生态，围绕 DApp 安全攻防对抗，安全审计与防御的知名智能合约数百份。给区块链生态带来安全感是慢雾科技努力的方向。