Node.js生态要靠区块链拯救? 以太坊团队这位小哥给出了开源协作的新方案
2006年秋天，Google 认为要运行现代 Web 应用，浏览器必须有一个性能非常强劲的 Java 引擎，于是开发了一个高性能的开源 Java 引擎，名为 V8。
两年后，V8 与 Chrome 在同一天宣布开源
2009年，Ryan 正式推出了基于 Java 语言和 V8 引擎的开源 Web 服务器项目，名为 Node.js。
从此 Java 也可以在后端服务器开发，由于已经有很多的 Java 开发人员，所以Node 很快流行起来了。
Node.js 可以安装在 Linux、Mac、Windows 平台上，NPM 其实是 Node.js 的包管理工具，它可以让开发人员方便的安装、卸载 js 模块，自动解决依赖关系。
But！每个基于 Web 或 Node 应用开展工作的人，总会遇到这样的情况：
由于受到 event-stream 依赖项攻击，用户 copay#9346 的钱包丢失了。
这种关于加密和安全的新闻数不胜数，它们根本上质疑着我们使用 Node.js 构建开源软件的方式。
基于此，我有以下解决方案：
NPM模块应该是多重签名的；
应在区块链上处理证书和信任模型；
开源开发人员根据他们对付费软件的贡献来签署包并获得共享，这可以通过加密支付和智能合约自动处理；
新的维护者只获得签名权，而不拥有发布权；
模块管理器的自动签名和验证检查可以确定未知和不可信的新签名，并根据规则和各个威胁模型接受或拒绝更新，以更有针对性的方式审核这些模块。
接下来，我会分别从典型案例分析、开源、更新问题和 NPM 模块安全4方面告诉你我是如何得出以上5点结论的。
一个典型的 Node.js 生态问题案例
不妨看看 GitHub 和 NPM 的 event-stream repository 案例：
7年前，开发者 dominictarr 创建了一个名为“event-stream”的NPM模块，这是一个容易创建和使用 stream 的工具包。它非常受欢迎，周下载量接近200万：
周下载次数 1911379
两个月前，在经历了82个版本更新之后，最新版本 4.0.1 发布了。令人意想不到的是，发布者不再是 dominictarr，而是一个名为 @ right9ctrl 的黑客。
对于黑客来说，目的不在于「轻松创建和使用stream」，而是「窃取用户所有的加密货币」。
没有人会自愿使用这样的模块，所以黑客将代码做加密处理，并利用 event-stream 模块已有的信用和品牌，将恶意代码隐藏到数百万个其他项目中。
那么黑客是如何盗取官方NPM账户的？他们入侵了 dominictarr 的帐户？还是敲诈勒索了他？他被黑客用枪支胁迫后泄漏了证书？
不，都不是，仅仅是一份邮件足矣！dominictarr 通过这份邮件得知了黑客的需求，然后将这个每年有着1.12亿新增用户模块的完全控制权给了黑客。
他发邮件告诉我，他想要 event-stream 模块的控制权，然后我就给了他。
我没有得到任何利益，我甚至好多年都没有使用这个模块了。
许多开发人员因意识到他们时刻处于危险之中而感到不安，他们的用户已经失去或将来会失去他们的金钱：
因将控制权给予黑客导致上百万用户受害，往往原始开发者会拒绝承担责任。
由于来自外部的巨大压力，原始开发者在2天前发布了一份官方声明：
嘿，大家好！请注意，这不是一件小事情。
你的依赖树中还有很多其他模块，它们已经成为原始开发者的负担了。
我当时并不是因为利他动机而选择敲下了这些代码，纯粹是觉得好玩儿，一切都为了精神上的自我满足。
但随时间推移，它慢慢变得不再有趣了，我就得不到相应的回报，所以不会再去花费精力维护它。
如今，我们正处于一个非常难受的境地，原始开发者对自己「产品」已失去兴趣、甚至逐渐倦怠，他们勉强地维护着这些无趣的东西，而且自己也早已不再使用了。
很幸运，我找到了两个有力的解决方案：
1）给予维护者一定的收益；2）亲自参与维护。
开源有罪吗？
除了互联网行业，我还没有看到其他任何一个行业，大量工作是免费的，开源开发者们经常这么做。
他们要么为了“乐趣”，要么是想得到某些“反馈”，因为他们知道，如果没有开源软件，很多事情就不会成为现实。
但是，我们对开源项目有着与付费软件相同的责任和期望。开发人员和维护人员经常因“不做”工作或未“及时”回应而受到骚扰。同时，我们忘记了大多数开发者都在按照自己的时间表工作，也许敲代码并不是他们的主业，他们从事着其他行业，并希望与家人一起生活，那么“及时”就不存在了。
人们常常忘记他们不欠任何人的任何东西。
维护需要花费巨大的精力与成本，这就是在付费软件行业中通过维护赚取大量资金的原因。
但我们忘了 npm install-cat-ascii-faces --saveis 不包括通过一次“购买”就有要求终身维护服务的权利。
更新问题
一旦关键数据指标或收益下降，相对于为最后100或1000名铁杆粉提供优质服务，停止管理一个项目要容易得多。每个人都必须清楚，那些已停止更新的项目，有着大规模的安全问题。
对于这种现象，Electron 核心开发人员 Paul Betts 这样说：
开发软件很容易、扔掉也很容易，难题在于如何维持软件的更新与活力
每次都获得正确的更新是极其困难的。
具有讽刺意味的是，目前用于构建最流行的代码编辑器和加密钱包的 Electron 框架，在其自身依赖关系上存在着大量问题。许多依赖 Electron 的应用程序，仅仅是因为安装后没有及时更新，就将数百万用户置于危险之中了。
但即使你经常更新软件，又如何阻止恶意 NPM 程序包潜入应用程序的代码库呢？ 我还没有检查它，但如果 event-stream 被用在非常流行的应用，例如 VS Code，它可以很容易地升级到完整远程代码，然后执行 RCE 攻击。
拥有完整的主机系统，就好像黑客正坐在你的面前，肆意操作键盘、鼠标、文件系统，相机等。
攻击场景不仅限于从加密钱包中窃取财产。
NPM 模块安全
今年12月初，我在以太坊 Devcon 4 大会上发表了关于浏览器和钱包安全性主题的演讲。其中就有一张幻灯片是讨论过去基于 Electron 应用的攻击向量和成功攻击实例。
该幻灯片基于 Luca Carettoni 提供的 Electronegativity 黑帽演示和威胁模型：
NPM 模块给予了黑客巨大的攻击便利，就在3周前，我向人们发出警告的同时，另一起攻击就正在发生。NPM 或依赖安全性对于 Electron 或 Node.js 来说并不是一个特定的问题。它也不是新的或未知的。
不幸的是，它也不会被新的审计功能解决，而且也无法通过更好的AV集成、扫描、AI 或漏洞检查以及 GitHub 上的标记来解决。
如何修复 Node.js 生态系统？
dominictarr 进行了这样的描述：
开源是由共享驱动的！这很棒！在比特币受欢迎之前，它确实运作良好。
区块链技术是一个很好的解决方案，为创建一个更好的生态系统，我们可以从以下两方面着手：
我们需要一种更简单的方法，根据特定规则自动将奖励分发给开源开发人员
代码和模块需要进行多重签名，并且证书应更便宜且易于验证
一般情况下，在传统场景下完成这两件事是很困难的，但通过区块链技术就可以做到几乎免费获得它们。
那么，如何借助区块链技术修复Node.js生态呢？
假设有一个使用开源模块且使用区块链技术进行应用内付款的项目。就像 event-stream 案例中那样，众多依赖项中的某一个可能会成为恶意程序包。
但原始开发人员不会向新协作者提供完全维护权或完全发布权，而只会为新维护者或 CI 系统提供签名权。所以新开发者会在他们发布的版本上签名，而原作者经过仔细的审查后，会附签声明，表示他检查并批准了这些更改。
随着各个版本的发布和签名，新开发者的签名将会获得更多信任。
但如果某些事情经过审计并被标记，则可能会受到经济处罚等。
如果收到来自安装此模块软件的付款，运行环境中可能存在以下逻辑：基于此开源代码的影响或贡献，自动将每笔付款的几美分分配给模块作者。
不要小看这几美分收益，每年接近1.12亿次的下载量足以累积成巨大财富，这些收益可以用来激励开发者参与其他项目的维护。
虽然听起来有些过于理想，但也许实际上已经拥有了，我们应尽快到达那里。
其他签署模块的项目已开始基于 PGP 密钥并采用此标准，这听起来是符合逻辑的下一步骤，该标准在其他软件领域已经是一种常见的做法。
我非常确定，即使以后会有更多、更好的改进方案，但签名和支付方案很快就会成为现实，并帮助 Node.js 生态系统创建更高质量的代码，并激励更多的开源开发人员做出贡献，因为我们非常需要它们。
— END —
原文链接：
https://hackernoon.com/how-blockchain-technology-could-fix-the-node-js-ecosystem-bccc60832900
推荐阅读
长按识别二维码关注区块链大本营
内容转载请加 171075719，备注“转载”
商务合作请加 fengyan-1101