跳到主要內容

IOTA 被嚴重高估?市場價格停滯不前,看似完善的技術支持其實存在漏洞,協調員 (Coordinator) 的存在暗示這其實是中心化系統?



近日國內外對 IOTA 的技術都提出了不少懷疑論,甚至有分析師大膽指出 IOTA 交易網路根本是中心化產物而且非常不穩定,更令人擔憂的是 IOTA 開發團隊採取消極處理,就宛如放任程式存在嚴重漏洞一般,安全性非常堪憂。

目前已經爆發的爭議點大概就是網路上有許多非官方的錢包 SEED 產生器,SEED 是 IOTA 錢包唯一的安全防線,一但對方擁有你的 SEED 就等於擁有你的資產,那不肖的非官方產生器就可能盜錄你的 SEED 碼,因為這些假的產生器,IOTA 用戶損失近 4 百萬美元,為什麼會這麼多?其實在事件爆發出來時許多用戶就要將自己的 IOTA 領出確保財產安全,但駭客卻在同時 DDoS 攻擊熱門的 Nodes 而造成用戶沒辦法將財產領出。


IOTA 錢包只是單純提醒用戶不要使用線上 SEED 產生器
這完全就凸顯了 IOTA 的 Tangle 網路其實沒有想像中的安全,如果是去中心化應該是沒辦法被針對攻擊,況且退一萬步來說,即便今天 Nodes 沒被攻擊,IOTA 也不應該放任這些人製造假的 SEED 產生器,對於一個市值前十的加密貨幣來說把 SEED 產生器的功能加到錢包而且會自動生成應該很基本吧?但 IOTA 一直以來都消極處理這些狀況,反而比技術的問題更讓人失望。


以及加密貨幣投資公司 - Multicoin Capital 提出了這份 IOTA 報告,指出了幾個技術上的明顯問題,包括以下 :

1. IOTA 協調員 (Coordinator) 是中心化的證明

IOTA 網路需要靠一個叫做 協調員 (Coordinator) 的非開源程序來保護網路安全免於駭客攻擊,但不論是在白皮書或 IOTA 開發團隊的回應中都沒有明確指出協調員的運作方式以及什麼時候才能脫離協調員成為自給自足的去中心化網路。


2. IOTA 需要升級成更好的設備 (IoT Devices) 來支持整個網路

為了讓 IOTA 發揮完整潛力,他們需要物聯網設備來支持這個系統,但這是一個很矛盾的問題,沒有設備就沒有辦法完整發揮,沒有完整發揮廠商就不會願意提供設備,由於好的市場策略他們在第一階段表現的很成功 (和微軟簽約..等),不過能不能持續下去仍有待觀察。


3. 網路曾經停擺

IOTA 網絡多次無法使用,也曾經歷停機的窘境 (有一陣子傳輸都發不出去),原因多半是因為錯誤或被攻擊,使得官方不得不關閉協調員進而導致了整個網路的失靈。這是一個很嚴重的問題,因為照理來說 IOTA 使用者眾多,應該可以結成非常穩固的去中心化 Tangle 網路,但對協調員的依賴性也導致了分散式網路不再成立。


4. 加密問題和程式漏洞

這絕對是全部問題中最嚴重的一點,Neha Narula 和她的團隊在 MIT 實驗室發現了 IOTA 的程式漏洞 (來源),在加密的 Hash Function 中有著關鍵的瑕疵,而且 IOTA 違反了密碼學的金科玉律-不要發明自己的加密演算法,有人把這點比喻成如果你要建一架飛機,也千萬不要自己發明引擎一樣。但對於這點 IOTA 的回應是那是刻意留下的漏洞 (?),他們稱之為 "copy-protection" 來防止有人想製造山寨版的 IOTA,但由於協調員並沒有開放源碼,所以外界根本無法驗證開發團隊講的是不是屬實。



光是第四點就讓人非常起疑,如果一切都沒有問題而且終有一天可以不再需要協調員,那為什麼不放出源碼?要讓人不聯想到這一切都是騙局還真有點難度,也或許就是這些待解的問題導致了投資人對 IOTA 的信心大減,市場價格也停滯不前,而且近日在 Reddit 引起廣泛的論戰,多半 IOTA 的擁護者也沒辦法自圓其說,都是用「自己去翻白皮書」「這個技術你不會懂的」這種言語來搪塞,這個曾經被高度看好的加密貨幣如今走到這塊田地還真讓人有點感慨、不勝唏噓阿。





留言



這個網誌中的熱門文章

Linux (Ubuntu) 查詢硬碟容量、剩餘大小指令

在 Ubuntu Desktop 版本或有安裝 GUI 像 Xfce 的 Server 版本當然可以直接從圖形介面查看硬碟容量和已經使用的大小, 但如果是在純 CLI 版本或使用 SSH 連線時呢?那就需要用到指令了。 顯示硬碟容量、已使用、可用大小。 df -h 查詢資料夾所占硬碟的大小。 du -h 查詢檔案大小 ls -l

RealVNC - 支援多系統的 VNC Viewer,免費遠端桌面客戶端 (Windows / Linux (Ubuntu) / Raspberry Pi /...)

對於不熟悉 SSH 介面的使用者來說可能第一個想法都會是使用遠端桌面,但要知道大多數的 VPS 主機都是提供 Linux 系統 (Ubuntu / RedHat / Debian...等),它們架好的 VNC Server 多半是沒辦法直接以 Windows 系統內建的「遠端桌面連線」來操作的,就好像兩端的通道是開了起來但卻仍說著不同的語言,所以就需要專用的 VNC Viewer 來連線, 而 RealVNC 支援非常多不同的作業系統環境,包括 Windows、Linux、Raspberry Pi、Android、iOS...等,幾乎可以說是一應具全啦。 RealVNC 官方網站:  https://www.realvnc.com/en 下載頁面:  https://www.realvnc.com/en/connect/download/viewer 只要從 「File > new connection」 就可以新增一個連線,爾後只要點選介面中已設定好的連線就可以隨時進入遠端主機,而主機端 (VPS) 也記得要先架設好 VNC Server 和新增防火牆例外,避免被拒絕的連線。

TLS / SSL 金鑰轉檔,「.crt / .key」如何轉成「.pem」?( OpenSSL 教學)

不管是哪個 Certificate Authority (CA) 發的憑證多半金鑰檔都是給「.crt / .key」格式的檔案,像是「ca_bundle.crt」、「 certificate.crt」和「.private.key」這種檔案, 但是在實際使用 (Nginx、Apache...等伺服器) 卻會需要的是「.pem」檔 ,那要怎麼轉換呢?其實可以直接使用 OpenSSL 這個軟體和幾行指令來達成。 OpenSSL 官方網站 :  https://www.openssl.org 下載頁面 :  https://www.openssl.org/source sudo apt-get install openssl 以 Linux (Ubuntu / Debian ...等) 為例,可以直接使用 apt-get 指令下載安裝 OpenSSL,如果是其他系統可以參考官方網站的說明。 openssl rsa -in private.key -text > private.pem openssl x509 -inform PEM -in certificate.crt > certificate.pem openssl x509 -inform PEM -in ca_bundle.crt > ca_bundle.pem 以前述所提到的「ca_bundle.crt」、「 certificate.crt」和「.private.key」三個檔案為例,就可以用上方的指令完成轉檔,其實同副檔名的轉檔指令都相同,所以兩個「.crt」的指令其實是重複的,也要記得套換成自己的檔案名稱。 如果需要申請免費的 SSL 憑證也可以參考之前介紹過的 SSL For Free ,它是使用「Let's Encrypt」核發的憑證,以及如果覺得申請憑證和定期更新太麻煩,也可以考慮自動化的 Caddy Server 能自動幫網站升級 HTTPS。