Từ EIP4361, khám phá sự thay đổi hệ thống tài khoản từ Web2 sang Web3

Tiêu đề gốc: " Viện nghiên cứu Wanwu: Từ EIP4361, khám phá quá trình chuyển đổi hệ thống tài khoản Web2 sang Web3 》

Tác giả gốc: Jason Chen Jian, Viện vạn vật

MetaMask đã đưa ra thông báo chính thức vào tuần trước để hỗ trợ EIP-4361. Nhiều bạn bè còn bối rối về thỏa thuận này. Nhìn bề ngoài thì khác so với chữ ký thông thường Không có nhiều khác biệt. Bài viết này sẽ giải thích điều đó cho mọi người. Trước hết, bạn phải hiểu rằng EIP-4361 thực sự khá nhỏ, nhưng các khu vực phía sau nó có thể được mở rộng ra một khu vực rộng lớn.>

EIP4361 là đề xuất tiêu chuẩn đặc tả kỹ thuật liên quan đến đăng nhập Ethereum. SiwE (Đăng nhập bằng Ethereum) là một phương thức xác thực phi tập trung cho phép người dùng sử dụng tài khoản Ethereum của họ để đạt được Đăng nhập thống nhất và kiểm soát danh tính của bạn thay vì dựa vào về xác thực tên người dùng/mật khẩu truyền thống được các công ty tập trung sử dụng. Trong các cuộc phỏng vấn trước đây, Vitalik đã đề xuất ba cơ hội lớn nhất cho Web3 vào năm 2023, bao gồm cả việc đăng nhập Ethereum. Ông nói rằng bất kỳ công nghệ nào giúp Ethereum tước bỏ quyền đăng nhập từ các công ty độc quyền tập trung như Facebook, Google và Twitter cuối cùng sẽ cho phép Ethereum giành được nhiều sự thống trị thị trường hơn trong các ứng dụng Internet, vì vậy hệ thống đăng nhập theo quan điểm của Vitalik là đấu tranh cho một tỷ người tiếp theo là một hướng đi quan trọng.

Trên thực tế, đối với Ethereum Bây giờ tôi có thể cảm nhận được sự lo lắng bên trong nó. Mặc dù vị trí hiện tại của Ethereum dường như không thể lay chuyển, nhưng áp lực cạnh tranh mà nó phải đối mặt hiện nay cũng rất cao, đặc biệt là với các chuỗi công khai mới hiệu suất cao như aptos và sui trong quá khứ và trong tương lai. cũng là một chuỗi ngành chuỗi ứng dụng được đại diện bởi Cosmos, vì vậy đây là lý do tại sao Ethereum phải quyết tâm chuyển sang POS, tham gia vào Layer, thực hiện sharding và các hành động khác, đồng thời tối ưu hóa và tăng chip về mặt đồng thuận và hiệu suất. , Nó cũng đã đi sâu hơn vào các lĩnh vực cấp nhập cảnh đối diện với Bên C, chẳng hạn như ENS và đăng nhập, đồng thời liên kết sâu sắc với Bên C để tạo ra con hào riêng. Điều đáng chú ý là có ba người ủng hộ. đằng sau EIP4361, cụ thể là Ethereum Foundation, ENS và Spruce, ngoài Ethereum Foundation, hai công ty còn lại là các công ty DID Ở một mức độ nhất định, có thể nói rằng hai công ty DID và Ethereum Foundation cùng nhau thiết lập các tiêu chuẩn ngành, vì vậy, Tiêu chuẩn không thể hoàn toàn trung lập, như có thể thấy trong tài liệu. Sự ràng buộc với ENS cũng tương đối sâu sắc, trong đó có khả năng phân giải tên miền ENS, v.v.

Trong số đó, ENS là vốn đã rất quen thuộc với Spruce, nhưng tôi còn khá xa lạ với nó. Hầu như không có báo cáo và giải thích nào về nó ở khu vực Trung Quốc. Nhiệm vụ của nó là cho phép người dùng kiểm soát dữ liệu cá nhân của họ. Nó được hỗ trợ bởi star Capital bao gồm A16Z, YC,. v.v. Nó nằm trong Trường được chia từ loại này sang loại khác và thuộc danh tính tự chủ của SSI trong danh mục DID, cho phép các cá nhân kiểm soát dữ liệu nhận dạng của chính họ, bao gồm cả việc quyết định ứng dụng nào của bên thứ ba có thể sử dụng nó, làm thế nào để sử dụng nó, v.v. Vì vậy, nếu chúng ta thường hiểu DID thông qua Sau khi dữ liệu được thu thập để chứng minh bạn là ai, SSI tập trung vào việc ủy quyền, sử dụng và quản lý cấp độ dữ liệu.

Trước khi nói về việc đăng nhập vào SiwE bằng Ethereum, trước tiên bạn cần nói về hệ thống đăng nhập tài khoản truyền thống và chữ ký ví kết nối hiện có, sau đó bạn có thể hiểu sự khác biệt giữa Ưu điểm của SiwE và SiwE

Hệ thống đăng nhập tài khoản truyền thống sử dụng số điện thoại di động, địa chỉ email, mật khẩu, v.v. để lưu tài khoản người dùng một cách tập trung, đăng nhập và xác minh chúng. Đó là được lưu trữ hoàn toàn trong cơ sở dữ liệu tập trung nên phát sinh các vấn đề như hủy tài khoản, chuyển tài khoản, rò rỉ dữ liệu, v.v. Nó đã trải qua hai giai đoạn phát triển Trước khi xuất hiện các công ty Internet khổng lồ với hệ sinh thái riêng do Tencent và Ali đại diện, số tài khoản của người dùng Hệ thống được duy trì độc lập bởi từng công ty hoặc thậm chí từng sản phẩm Nói chung, sẽ có một bảng Người dùng để lưu trữ tất cả thông tin tài khoản của người dùng, bao gồm tên người dùng, mật khẩu, số điện thoại di động, email, v.v. Mỗi lần người dùng đăng ký Một phần dữ liệu sẽ được lưu trữ trong bảng Người dùng và khi đăng nhập sau đó, tên người dùng và mật khẩu sẽ được nhập để khớp tương ứng. "" 16px="" 0px;="" font- size:="" Medium;="" line-height:="" 32px;="" color:="" rgb(47,="" 47,= "" 47);="" text-align:= ""just;="" font-family:="" avenir,="" helvetica,="" arial,="" "microsoft="" yahei" ,="" sans-serif;="" font-style:="" normal;="" font-variant-ligatures:="" font-variant-caps:="" font-weight:="" 400; ="" letter-spacing:="" trẻ mồ côi:= "" 2;="" text-indent:="" text-transform:="" none;="" white-space:="" góa phụ:=" " word-spacing:="" -webkit-text- nét-width:="" text-trang trí-độ dày:="" ban đầu;="" text-trang trí-style:="" text-trang trí-color:= "" ban đầu;"="">

Người dùng sẽ rất phiền phức khi phải tự mình quản lý nhiều tài khoản và mật khẩu, dễ bị mất và quên. Để thuận tiện, nhiều người người dùng sẽ đặt mật khẩu tài khoản cho tất cả các sản phẩm. Nếu cơ sở dữ liệu của một sản phẩm bị rò rỉ, tin tặc sẽ sử dụng các cuộc tấn công nhồi thông tin xác thực để đăng nhập hàng loạt vào tất cả các sản phẩm. Với nhiều tài khoản và quản lý tập trung như vậy, rủi ro là cực kỳ cao, nhưng sau này tôi sẽ đăng nhập. bắt đầu sử dụng nhiều xác minh điện thoại di động và giai đoạn đau đớn khi thay đổi số điện thoại di động của tôi mỗi lần xuất hiện

Vì Tencent và Alibaba có ma trận sản phẩm và hệ sinh thái riêng nên người dùng sẽ cần phải chuyển đổi giữa các sản phẩm khác nhau để đăng nhập. Tài khoản rất rắc rối và Vấn đề lớn nhất là các tài khoản giữa các sản phẩm khác nhau bị cô lập, điều này ngăn cản Tencent và Ali "sử dụng dữ liệu người dùng" hoàn toàn. Ví dụ: tôi đã mua ga trải giường bằng cách sử dụng Ele.me và đặt hàng mang đi bằng Ele.me, sau đó thông qua phân tích dữ liệu. , Tôi thực sự có thể được gắn mác là "thanh niên độc thân đang làm việc", nhưng vì đây là hai sản phẩm và mỗi sản phẩm có hệ thống tài khoản riêng nên hoàn toàn không thể biết được mối quan hệ giữa người dùng của hai sản phẩm này.

Phương pháp này là sử dụng một tài khoản thống nhất để khớp và nhận dạng, chẳng hạn như sử dụng số điện thoại di động để đăng ký, để tất cả các sản phẩm chỉ cần sử dụng cùng một số điện thoại di động Đó là cùng một người và người kia là sử dụng đăng nhập một lần hoặc đăng nhập thống nhất. Ví dụ: hình đăng nhập WeChat được sử dụng phổ biến nhất hiện nay. sử dụng WeChat làm phương thức đăng nhập sẽ được miễn đăng ký lại và quản lý tài khoản. Quy trình dư thừa sẽ hạ thấp ngưỡng người dùng đối với các sản phẩm của bên thứ ba và cho phép thu hút khách hàng tốt hơn. Đối với WeChat, nhiều người dùng và sản phẩm của bên thứ ba hơn sử dụng WeChat làm tài khoản của họ. cổng đăng nhập, có thể làm tăng đáng kể các rào cản cạnh tranh của nó.

Hệ thống đăng nhập của toC có thể sử dụng các giải pháp doanh nghiệp cấp sinh thái như Tencent và Alibaba. Hệ thống đăng nhập của ToB cũng gặp phải nhiều vấn đề rắc rối hơn, vì khi công ty phát triển, các sản phẩm được sử dụng nội bộ sẽ đa dạng, bao gồm cả hoạt động mua sắm tùy chỉnh của bên thứ ba. Các nhà cung cấp SaaS, khả năng tự nghiên cứu, v.v., cùng với số lượng lớn nhân viên liên quan đến số lượng lớn quyền, bảo mật dữ liệu và các vấn đề khác, làm thế nào để cho phép hàng chục nghìn nhân viên sử dụng hàng trăm sản phẩm nội bộ một cách suôn sẻ và an toàn cũng là một vấn đề cần giải quyết, chẳng hạn như Các công ty như Authing, Okta và các công ty khác cung cấp giải pháp đăng nhập một lần cho doanh nghiệp.

Trên đây là truyền thống Trải nghiệm Web2 Sau sự phát triển lớn của hệ thống nhận dạng tài khoản trong 20 năm qua, sự khác biệt trực quan nhất trong trải nghiệm Web3 đối với người dùng thông thường là họ có thể sử dụng tất cả các sản phẩm Web3 bằng một ví. Đây là cách trực tiếp nhất để người dùng sử dụng. cảm nhận ý nghĩa của mạng lưới toàn cầu hoặc sự hiện thực hóa thực sự của mạng "Internet".

Nhưng do nội dung trên chuỗi Các đặc điểm của Web2 khiến mọi người phải chịu trách nhiệm về bảo mật của riêng mình. Không còn nền tảng bên thứ ba như Web2 có trách nhiệm và nghĩa vụ đảm bảo tính bảo mật cho tiền của người dùng. số lượng lớn các môi trường chứa đầy các trang web lừa đảo. Miễn là các chữ ký có liên quan và tài sản được ủy quyền được thực hiện, tài sản có thể bị đánh cắp, đặc biệt khi các ví hiện tại được đại diện bởi metamask tiết lộ quá ít thông tin trong quá trình tương tác và khả năng đọc của chúng rất kém. -nền tảng kỹ thuật thậm chí không thể hiểu được các yêu cầu hầu hết thời gian. Nội dung của cửa sổ bật lên cho chữ ký và ủy quyền có ý nghĩa gì? Do đó, cần phải xây dựng các tiêu chuẩn nghiêm ngặt cho hành động yêu cầu ủy quyền chữ ký của người dùng và thông báo đầy đủ. người sử dụng nội dung sẽ được thực hiện.

EIP-4361 Đã làm rõ quy trình tiêu chuẩn về cách xác thực tài khoản Ethereum thông qua các dịch vụ ngoài chuỗi, chẳng hạn như xác thực xảy ra bằng cách ký một định dạng thông báo tiêu chuẩn được cấu trúc với chi tiết phiên, cơ chế bảo mật và phạm vi, tức là được hiển thị với các tham số trường tiêu chuẩn, cung cấp cho nhà phát triển cơ sở hạ tầng để tạo lớp nhận dạng thống nhất cho các ứng dụng Web2 và Web3. Quá trình này miễn phí cho người dùng. Họ chỉ cần ký vào tin nhắn và không cần thực hiện giao dịch với blockchain hoặc gửi tiền cho thợ mỏ.

Như tài liệu nói " Với tư cách là một công ty web2, bạn sẽ có cơ hội trở thành đầu mối liên hệ đầu tiên của người dùng khi truy cập web3 và giúp họ kiểm soát danh tính kỹ thuật số của mình." SiwE hy vọng sẽ chuẩn hóa quy trình kết nối ví-gửi chữ ký-đăng nhập hoàn chỉnh. Hãy để Web2 thêm các sản phẩm có thể truy cập được và trở thành một tùy chọn đăng nhập. Giống như khi chúng tôi sử dụng một số sản phẩm nhất định, chúng tôi có thể chọn phương thức đăng nhập bao gồm đăng nhập Google, đăng nhập twitter và đăng nhập facebook. Chúng tôi có thể đặt một Đăng nhập Ethereum khác bên dưới. số lượng lớn người dùng bằng cách nhúng cổng đăng nhập.

Dành cho các giao diện sản phẩm web2 này Động lực tham gia SiwE là vì nó có thể cung cấp các dịch vụ tương ứng dựa trên tài sản trên chuỗi được tiết lộ của người dùng. Nghĩa là, nếu bạn đăng nhập bằng Google hoặc Twitter, bạn chỉ cần hoàn tất hành động đăng nhập, nhưng nếu bạn đăng nhập bằng Ethereum. , bạn có thể đưa ra quyết định dựa trên việc nắm giữ tài sản của người dùng. Đối với các dịch vụ cụ thể hơn, nếu bạn nắm giữ một NFT nhất định, bạn có thể được giảm giá 20%, v.v.

Liên kết đến đề xuất cho EIP-4361 như sau: https://eips.ethereum.org/EIPS/eip-4361 Hình ảnh bên dưới hiển thị thông báo mẫu của SiwE, ABNF hoàn chỉnh và kiểu cửa sổ bật lên tương ứng. có thể thấy rằng nó được chuẩn hóa với cấu trúc đặc biệt. Phương thức này hiển thị nội dung Thông báo mà người dùng muốn thực thi, URI URL yêu cầu đăng nhập, phiên bản hiện tại, ID chuỗi đã đăng nhập, Nonce để ngăn chặn các cuộc tấn công phát lại, thông tin đăng nhập. thời gian hiệu lực được ban hành AT và thời gian kết thúc hết hạn AT.

ABNF là một bản mở rộng xuyên suốt Mô hình Backus (dạng Backus–Naur tăng cường) là một hệ thống chính thức mô tả một ngôn ngữ như một giao thức giao tiếp hai chiều. Đây cũng là trọng tâm của EIP-4361, hệ thống này chuẩn hóa quy trình đăng nhập.

Như đã đề cập ở trên, có ENS đằng sau EIP-4361, do đó đề xuất cũng bao gồm việc nhúng ENS tương đối sâu. SiwE có thể được sử dụng để phân tích cú pháp ENS Dữ liệu bao gồm tên ENS, hình đại diện ENS và mọi tài nguyên có thể phân giải được chỉ định trong tài liệu ENS, như minh họa trong hình bên dưới, ENS cũng có thể liên kết một lượng lớn thông tin bao gồm địa chỉ ví, email,. discord, twitter, v.v.

Ngoài khả năng đăng nhập được tiêu chuẩn hóa, EIP-4361 còn có thể ngăn chặn các cuộc tấn công lừa đảo ở một mức độ nhất định. Hiện tại, một số lượng lớn người dùng bị các trang web lừa đảo đánh cắp tài sản mỗi ngày. Trong số đó, EIP-4361 có ba bước trong quy trình. quá trình đăng nhập ví

1. Thông báo xác minh, Kiểm tra xem nội dung chữ ký có phù hợp với định dạng chuẩn ABNF nêu trên hay không

2. Xác minh tên miền tên, Nếu đáp ứng các tiêu chuẩn đăng nhập của EIP-4361, ví sẽ xác minh xem URL bắt đầu đăng nhập có khớp với URL được gửi trong ABNF hay không, từ đó tránh bị kiêu ngạo

3. Sau đó tạo ether Tiêu chuẩn cho cửa sổ bật lên đăng nhập là tất cả các điều khoản phải được hiển thị đầy đủ cho người dùng và người dùng phải cuộn xuống cuối trang trước khi ký. Điều này tương tự như hướng dẫn sử dụng của nhiều Ứng dụng. phải cuộn xuống phía dưới để đảm bảo Bạn chỉ có thể tiến hành bước tiếp theo sau khi đọc nó trên danh nghĩa

Có 4 mục được đề cập trong thông số thiết kế

1. Cần trình bày một trang mà con người có thể hiểu được, hầu hết không có công việc dành riêng cho máy, chẳng hạn như JOSN, mã hex , Mã hóa cơ sở, v.v. Đây là vấn đề với tương tác ví hiện tại mà tôi đã đề cập ở trên. Những người không rành về kỹ thuật sẽ không biết ý nghĩa của nó sau khi nhấp vào.

2. Phần phụ trợ của ứng dụng cần hỗ trợ đầy đủ thiết bị đầu cuối của nó và không yêu cầu sửa đổi ví bắt buộc. Điều này chủ yếu yêu cầu quyền truy cập vào SiwE Cần có không có ngưỡng trải nghiệm cho người dùng

3. Đối với ví ứng dụng đã sử dụng SiwE, phải thực hiện đường dẫn nâng cấp đơn giản và trực tiếp. Như đã đề cập ở trên, sẽ có số phiên bản xác định Phiên bản SiwE. Các bản nâng cấp SiwE tiếp theo cũng phải đảm bảo khả năng tương thích

4. Cần chuẩn bị đầy đủ cho các cuộc tấn công lặp lại, chữ ký độc hại, v.v.

Ngoài ra, vấn đề quản lý khóa cũng được đề cập trong tài liệu, đó là vì SiwE hy vọng rằng nhiều sản phẩm Web2 có thể được kết nối, hơn thế nữa ở bên ngoài Circle sẽ là Người dùng được đưa vào thế giới của Web3, nhưng người dùng phổ thông đã quen với chức năng "lấy lại mật khẩu" của các sản phẩm Web2, nếu khóa riêng của bạn bị mất thì không thể lấy lại được. ngưỡng giáo dục cao đối với một số lượng lớn người dùng Web2, trên thực tế, tôi cũng mong muốn việc phổ biến ví AA trừu tượng hóa tài khoản để giải quyết vấn đề này thực sự hiệu quả.

Trên đây là diễn giải những thay đổi trong hệ thống tài khoản Web2 sang Web3 dựa trên EIP-4361. Trên thực tế, bản thân EIP-4361 không phải như vậy như việc trừu tượng hóa tài khoản và nâng cấp Thượng Hải. Loại sự kiện này có tác động rất lớn đến việc thiết lập một tiêu chuẩn quy chuẩn của ngành, nhưng chính kiểu tối ưu hóa tinh tế này sẽ dần dần cải thiện trải nghiệm của người dùng Web2 và Web3.

Liên kết gốc

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia