CareerOn联合创始人、首席技术官周燃Mccoy做客《老司机的安全“套”路》系列线上分享会，并担任第三期的主讲人。

本次分享会的主要内容围绕着：安全运营方面展开，下面是本次分享会答疑部分的详细文字版。

各个文件块的密钥由谁如何管理？

周燃：如何分块，分块密钥的产生，以及分块信息、密钥信息都在专有智能合约完成。这些信息，只有对应的有权限的用户（比如简历的所有者、被授权的人等等）才能获取到。

单聊区块链技术，其安全的边界和维度该如何定义？安全服务企业又能向哪些客户提供何种防护？

周燃：区块链角度，主要有链本身的安全、合约安全两个方面。链本身的安全主要是共识安全问题，而合约安全问题实际更多是合约架构以及研发管理问题。事实上，相对于传统环境，区块链本身是可信计算的一种实现，其安全性远高于传统环境。现实环境中，人们根本更多需要关注的是合约安全问题。

如果公司甲拿到某人的简历，抄写一份线下给了电话销售公司，如何追溯？

周燃：这里我提到了“批量贩卖”，手抄这种确实不可追溯。但是，手抄这种效率如此之低的做法，对于犯罪分子无法产生规模效应。

至于单个简历泄露问题，这种确实无法完全杜绝，但我们先解决了目前那种批量贩卖问题，就已经帮市场解决了百分之八九十的问题了，这也是一种极大的进步。

你们的链基于什么共识机制？token模型是什么？

周燃：我们的链早期会基于pow共识机制，后期会改成pow+pos结合的方式。token是基于这样的逻辑：一个经济激励措施的token，叫做COT；以及一个燃料性质的token，叫做COB。COT做经济激励，COB做燃料，需要由COT购买。所有在链上交易的人都需要燃料。

密钥如何存储？如何保证密钥安全？

周燃：刚才也回答过：密钥的产生以及存储、使用都在智能合约内部完成。除了有权限的用户账户以及授权的用户账户，其他任何人拿不到密钥。存储位置都是在智能合约内部。

 如何激励求职者上传简历，ipfs节点由谁维护？

周燃：一是求职者上传简历会获得token，同时利用简历的永续存储、简历链不可篡改等特性，尽最大可能使得用户上传自己的真实信息；同时，猎头及企业查看简历并表示感兴趣时，平台会把从猎头、企业收取的token的一部分奖励给求职者。ipfs节点维护：CareerOn自身会维护一部分节点，用于保证数据完整性，确保数据不丢失；同时，利用其它公共节点以及参与者的自有节点实现内容分发。

 如果密钥存在合约内部，任何人/节点都可以拿到，如何保护他们的安全？

周燃：智能合约内部的数据谁能拿到，并不是“任何人”，智能合约代码会做权限控制，不可能允许任何人都能拿到。