Автор оригинала: Cipher, основатель JoyID

1. Ключевые моменты исследовательского отчета

·Passkey — это новое поколение технологии учетных записей Web2, не требующее установки, обеспечивающее безопасность, удобство и конфиденциальность.

·Кошелек Passkey представляет эту технологию в мире блокчейна и дает нам новый опыт работы с кошельком.

·Удобство пользователя даже лучше, чем у традиционных учетных записей Web2, а новый пользовательский интерфейс также приведет к появлению новых пользовательских сценариев.

·Порог входа обычных пользователей в мир блокчейнов полностью устранен, и крупномасштабная популяризация Web3 может быть не за горами.

2. Обзор

2.1 Внедрение технологии пароля

Прежде чем вводить пароль, нам нужно представить WebAuthn. Это технология входа без пароля, предложенная FIDO Alliance, совместно поддерживаемая Apple, Google, Microsoft, Meta и т. д. Он выполняет аутентификацию пользователя с помощью пары асимметричных ключей, сгенерированной устройством, заменяя схему аутентификации пользователя по паролю. Его принцип аналогичен USB-щиту или аппаратному кошельку, которые мы традиционно используем. Пользователи используют закрытый ключ, сохраненный на устройстве, для создания цифровой подписи для аутентификации своей личности на сервере.

Закрытый ключ WebAuthn генерируется и управляется с помощью специального чипа безопасности, соответствующего Secure Enclave устройств Apple, Secure Element устройств Android и TPM устройств ПК. Это независимые чипы, независимые от процессора и операционной системы и имеющие очень высокий уровень безопасности. Например, в этой области хранится информация о кредитной карте Apple Pay. Закрытый ключ в чипе безопасности не может быть прочитан через внешние API. Его можно вызвать только с помощью модуля экрана блокировки системы (обычно биометрического) для операций цифровой подписи.

Passkey — это решение для синхронизации шифрования ключей, основанное на WebAuthn. Пользователи могут использовать учетную запись icloud или Google для автоматического шифрования и синхронизации личных ключей своих устройств, чтобы обеспечить возможность автоматического входа на веб-сайт на нескольких устройствах одновременно. В настоящее время основные устройства, включая iOS, Android и MacOS, полностью поддерживают пароль, а Windows 10/11 поддерживает только WebAuthn.

Технология Passkey/WebAuthn (учитывая, что единственной технической разницей между ними является синхронизация, с этого момента они будут называться Passkey) — это технология аутентификации учетной записи нового поколения, продвигаемая крупными компаниями. Она имеет очень очевидные преимущества: отсутствие пароля, защита от потерь, защита от подделок, простота и удобство в использовании и т. д. Но у него есть и естественные недостатки, то есть устройства разных брендов не могут доверять друг другу. Синхронизировать iOS Passkey с Android-устройствами невозможно, поэтому вход в аккаунты через брендовые терминалы всегда является большой проблемой.

2.2 Passkey сочетает в себе преимущества Web3

Сама технология ключей доступа предназначена для сетевых служб Web2 и не учитывает сценарии приложений Web3/Crypto. Но из-за своей асимметричной ключевой архитектуры он будет иметь большие преимущества в сочетании с Web3.

·Кошелек с паролем можно использовать для создания кошелька, не связанного с хранением, без паролей и слов.

·Кошелек с паролем не требует раскрытия какой-либо личной информации пользователя, включая адрес электронной почты, номер мобильного телефона или даже имя пользователя.

·Кошелек с паролем повышает безопасность кошелька обычных пользователей на аппаратном уровне и обеспечивает лучший пользовательский опыт.

·Блокчейн может служить посредником доверия, обеспечивая взаимное распознавание ключей доступа, сгенерированных устройствами разных марок, что может обеспечить лучший пользовательский опыт, чем когда Web2 использует ключ доступа.

Безопасность, удобство и отсутствие необходимости хранения — эти три, казалось бы, невозможных преимущества могут быть достигнуты с помощью кошелька Passkey. Он станет важным пропагандистом идеи массового внедрения Web3.

2.3 Краткий анализ ERC4337 и кошелька MPC

Кроме того, если сосредоточиться на массовом внедрении, на рынке уже есть два основных решения, а именно абстрактный кошелек для учетных записей ERC4337 и безопасный многосторонний вычислительный кошелек MPC. Давайте сначала кратко рассмотрим их принципы и характеристики.

ERC4337 кошелек

ERC4337 — это стандарт прикладного уровня для контрактных кошельков EVM. К преимуществам самого контрактного кошелька относятся возможность сброса закрытого ключа в случае его утери, возможность оплаты комиссий за обработку, гибкое управление разрешениями, пакетные транзакции и т. д. Но его недостатки также очевидны, включая высокие затраты на инициализацию, высокую комиссию за одну транзакцию, плохую совместимость с децентрализованными приложениями и т. д. Таковы теоретические преимущества и недостатки контрактного кошелька. В реальном использовании он обнаруживает множество других недостатков.

·Пользователям по-прежнему нужен закрытый ключ, проблема заключается в том, как он генерируется и управляется.

·Вопрос точки привязки доверия при потере и сбросе закрытого ключа: то есть, кто имеет право сбрасывать закрытый ключ кошелька пользователя.

· Проблема многоцепочной синхронизации при сбросе закрытого ключа: если предположить, что у пользователя есть активы только на Polygon и он сбрасывает закрытый ключ в это время, следует ли сбросить закрытый ключ контракта на Ethereum? В случае сброса потребуется высокая плата за обработку. Если его не сбросить, последующие пользователи не смогут использовать свои учетные записи на Ethereum.

·Существует проблема с источником первоначальной платы за развертывание, которую должен оплатить пользователь или субсидировать третья сторона.

·Вопросы стимулирования для сборщиков по протоколу 4337

Эти теоретические и практические проблемы приводят к тому, что фактическая скорость внедрения кошельков ERC4337 оказывается ниже ожидаемой.

MPC кошелек

Кошелек MPC предназначен для разделения закрытого ключа на несколько частей и передачи их нескольким сторонам для хранения. Когда требуется подпись, закрытые ключи соединяются вместе, чтобы сформировать полный закрытый ключ, а затем подписывается или подписывается каждый фрагмент; отдельно, а подписи объединяются и рассчитываются в полную подпись. Преимущества кошелька MPC включают в себя

·Низкие внутрисетевые затраты, пользователям не нужно платить дополнительные сборы за выполнение контракта кошелька.

·Решение для восстановления является гибким. Пользователи могут использовать электронную почту, мобильный телефон, пароль, облачное хранилище и другие методы в качестве методов аутентификации для получения фрагментов восстановления.

·Независимый от платформы кошелек MPC не только поддерживает EVM, но и теоретически поддерживает различные системы блокчейнов.

Однако у MPC также есть относительно большой недостаток: он должен внедрять централизованные услуги хостинга шардов и подписи. Они требуют больших затрат на поддержание информационной безопасности и резервное копирование данных шард-серверов, а также на обеспечение своевременного ответа на запросы подписей пользователей. Это также приводит к тому, что бизнес-модель кошелька MPC — это toB SaaS, и пользователям сложно мигрировать. Это также приводит к тому, что приложения часто не желают привязывать пользователей к определенному поставщику услуг MPC.

3. Анализ продукта кошелька Passkey

3.1 Три направления кошелька Passkey

Мы проанализировали кошельки Passkey, представленные сейчас на рынке, и обнаружили, что они в основном разделены на три технических направления.

· Схема проверки подписи AA + Passkey, представленная Clave и Banana SDK.

·Схема централизованной аутентификации делегирования, представленная «Под ключ»

·Решение Signature Transform, представленное JoyID

Ниже мы представим и проанализируем их один за другим.

3.2 Ключ и банановый SDK

Первый тип кошелька использует архитектуру подписи AA + Passkey, создает абстрактную учетную запись в цепочке, совместимой с EVM, и напрямую использует смарт-контракты для проверки подписей Passkey. Здесь представлены два репрезентативных проекта.

Изначально Clave был проектом, получившим награду на EthGlobal Hackathon 2023. На момент участия проект назывался opClave. Он использует контракт EVM для расчета подписи secp256r1, необходимой для Passkey (а не обычного secp256k1). Из-за ограничений сложности алгоритма и возможностей EVM проверка подписи Passkey требует от 600 000 до 900 000 газа. Это неприемлемо для реальных сценариев, по крайней мере для сценариев массового внедрения. Поэтому Clave планирует сократить потребление газа, построив отдельную цепочку Layer3 и добавив в нее предварительно скомпилированный контракт проверки подписи secp256r1. Однако этот метод серьезно вредит мультичейновым характеристикам кошелька, поэтому его трудно популяризировать.

Banana SDK (https://www.bananawallet.xyz/) позиционирует себя как toB SDK, а не как кошелек toC. С помощью Banana SDK участники децентрализованных приложений могут встраивать низкопороговые кошельки где угодно, что упрощает импорт пользователей. Но его основное решение и проблемы такие же, как и у Clave. Высокая плата за газ является самым большим препятствием для практичности этого типа продукта.

Чтобы решить проблему стоимости проверки подписи пароля в Ethereum, разработчики выдвинули предложения Ethereum, такие как EIP-7212, надеясь, что EVM будет иметь встроенный предварительно скомпилированный алгоритм проверки подписи secp256r1, что значительно снизит стоимость проверки подписи. Однако этот EIP включает в себя изменения в базовом уровне криптографии и консенсуса. Даже если его удастся пройти, время, необходимое для слияния с основной сетью, будет исчисляться годами. В настоящее время Clave работает с zksync, чтобы заменить EIP-7212 на zksync и в основном развернуть его на нем.

Кроме того, существуют и другие решения для проектов, использующих проверку подписи в цепочке AA + Passkey, в том числе решения, которые используют доказательства с нулевым разглашением для сокращения вычислений в цепочке, такие как известные лаборатории с использованием halo2 и кошелек bonfire с использованием бонсай risc0. Однако большинство продуктов существует только на стадии прототипа, и в настоящее время нет продуктов, которые можно было бы дополнительно проанализировать.

3.3 Под ключ

Учитывая стоимость проверки подписей ключа доступа в смарт-контрактах, такие разработчики, как Turnkey (https://turnkey.com), вынесли проверку ключа доступа за пределы цепочки и вместо этого позволили централизованному сервису проверять подпись ключа доступа пользователя и контролировать шифрование после Проверка подписи прошла успешно. По сути, это решение аналогично тому, как Web2 использует Passkey, заменяя имя пользователя и пароль парой открытого и закрытого ключей, но окончательное решение по аутентификации по-прежнему принимается централизованным сервером.

Turnkey позиционирует себя как WaaS-сервис toB. Его преимуществом является то, что инструменты разработки очень полны, опыт разработчиков очень хорош, а экологическая поддержка также очень хороша. Уже есть много партнеров, разрабатывающих продукты. Например, Dynamic.xyz предоставляет услугу кошелька toC на основе «под ключ», и у пользователей хороший опыт.

Но проблема с Turnkey также очень заметна, то есть он по сути управляет закрытым ключом кошелька пользователя (хотя в его документации неоднократно подчеркивается, что он некапиталистический. Причина, видимо, в том, что закрытый ключ находится в среде TEE сервер, и администратор не может напрямую получить доступ к TEE), а бизнес-моделью является SaaS-сервис toB. Как только сервис отключится, пользователи столкнутся с проблемой невозможности подписи.

3.4 Идентификатор местоположения

Технически кошелек JoyID (joy.id) использует уникальный маршрут под названием Signature Transform. Сам кошелек JoyID поддерживает несколько цепочек, включая Ethereum, Bitcoin, Solana и т. д., и ведет себя в этих цепочках как стандартный кошелек EOA. В то же время он децентрализует свои собственные ключи и авторизованное оборудование через учетную запись AA в управлении Nervos CKB. . Это особая архитектура, которая сочетает в себе гибкость учетной записи AA с низкой стоимостью и высокой совместимостью учетной записи EOA.

Учетная запись AA, управляемая JoyID, в основном отвечает за взаимную авторизацию пароля между несколькими устройствами и сохраняет зашифрованные фрагменты, рассчитанные с помощью ключа 2 из 2. Другой фрагмент рассчитывается устройством в реальном времени с помощью пароля при подписании. для достижения децентрализованного преобразования подписи между secp256r1 → secp256k1. Это решение не требует вмешательства сервера при подписании транзакций. Оно полностью основано на подписи чипа безопасности на стороне пользовательского устройства, обеспечивая безопасность, децентрализацию и отсутствие необходимости хранения.

С точки зрения реального опыта работы с продуктом, весь процесс JoyID очень плавный и плавный. Пользователям не нужно вводить какую-либо информацию, и они могут напрямую завершить создание кошелька с помощью двух системных аутентификаций. Весь процесс занимает всего несколько секунд, и за это время не нужно ничего платить. На данный момент это наиболее полное и зрелое решение среди всех кошельков Passkey.

4. Будущее кошельков Web3

Подводя итог преимуществам кошелька Passkey: установка не требуется, безопасность на аппаратном уровне, биометрическая аутентификация, мнемоническая фраза не требуется, может быть восстановлена ​​в любое время, пароль не требуется, нет необходимости предоставлять личную информацию, нет зависимости от крупных компаний Web2. высокая совместимость EOA (поддерживается некоторыми кошельками) подождите. По сравнению с традиционными подключаемыми кошельками Metamask и мнемоническими кошельками, его пользовательский опыт и даже безопасность были значительно улучшены. Даже его пользовательский опыт превзошел опыт регистрации учетной записи Web2, которая не только требует от пользователей предоставления своей электронной почты и номеров мобильных телефонов, но также должна пройти проверку проверочного кода.

Новый пользовательский опыт приведет к появлению новых пользователей, что, в свою очередь, приведет к появлению новых сценариев применения. Приложения Web3, такие как музыка NFT, экономика авторов, Open Loyalty и DAO, раньше были ограничены спекулятивным характером основных пользователей кошельков и часто не могли сосредоточиться на своем собственном ценном бизнесе. После прихода большого количества неспекулятивных пользователей эти сценарии применения могут проявить свои реальные преимущества и обеспечить долгосрочную ценность для клиентов.

Будущая модель кошельков Web3, вероятно, будет похожа на отношения между WeChat Pay и Alipay. Пользователи пользуются финансовыми услугами через Alipay и совершают ежедневные небольшие платежи через WeChat. Что касается кошельков Web3, каждый будет использовать аппаратные кошельки или мнемонические кошельки для бизнеса DeFi и хранения активов, а также использовать кошельки Passkey для ежедневного взаимодействия с децентрализованными приложениями и микроплатежей. С нетерпением ждем, когда кошелек Passkey станет популярным и привлечет реальных крупных пользователей.

Эта статья взята из материала и не отражает точку зрения BlockBeats.