" Основой экосистемы Web3 является кошелек, приложение или расширение для браузера, позволяющее пользователям подтверждать свою личность в Интернете и авторизовывать транзакции. Но использование кошелька всегда предполагало крутую кривую обучения. Новые пользователи должны научиться копировать свои исходные слова и хранить их в надежном месте, создавать надежный пароль для шифрования своего файла хранилища ключей, точно копировать адреса при отправке средств и другим вещам, которым им, возможно, никогда не придется учиться при использовании приложения Web2.
Если новый пользователь хочет сделать адаптацию более доступной, одним из вариантов является использование поставщика кастодиального кошелька, такого как централизованная биржа. Но опытные криптопользователи по уважительной причине почти всегда будут предостерегать их от этого. Мир стал свидетелем того, как централизованные биржи, такие как Mt.Gox, QuadrigaX и FTX, обанкротились из-за взлома или откровенного мошенничества, в результате чего некоторые клиенты потеряли все свои средства из-за использования кастодиального кошелька.
Из-за этого риска многие пользователи криптовалюты по-прежнему считают некастодиальный кошелек, подкрепленный набором начальных слов, единственным безопасным способом для пользователя защитить свою личность в Web3.
Но всегда ли пользователям приходится выбирать между безопасностью и удобством? Или есть способ совместить безопасность некастодиального кошелька с удобством биржи?
Несколько компаний Web3 пытаются создать кошельки, которые просты в использовании, но при этом не требуют от пользователя полного доверия централизованному хранителю. Такие компании, как Magic, Dfns, Kresus, Web3Auth, Immutable и другие, считают, что кошелек может быть таким же простым в использовании, как учетная запись электронной почты, и достаточно безопасным, чтобы ему можно было доверять для защиты личности и средств пользователя. Эти компании используют различные типы новой инфраструктуры кошельков, чтобы воплотить эту идею в жизнь.
Вот краткое изложение некоторых решений, используемых разработчиками кошельков:
Magic
Одной из новых систем является комплект разработчика программного обеспечения Magic (SDK), выпускаемый Magic Labs. Это комплект разработчика и инфраструктура кошелька, позволяющие разработчикам создавать кошельки без сид-слова для пользователей.
Зашифрованная копия хранится на устройстве пользователя в аппаратном модуле безопасности Amazon Web Services (HSM). Шифрование выполняется с использованием мастер-ключа, который не может покинуть HSM. Вся подпись выполняется в HSM, что предотвращает передачу ключа пользователя в Интернет.
Кошельки Magic не используют пароли. Вместо этого, когда пользователи впервые регистрируются в волшебном кошельке, они отправляют свой адрес электронной почты ретранслятору Magic. Затем ретранслятор отправляет одноразовый токен пользователю по электронной почте. Этот токен будет работать только в том случае, если он используется устройством, отправившим запрос, и только в течение ограниченного времени.
Токен используется для аутентификации в Amazon Web Services, когда пользователь щелкает ссылку в электронном письме. Затем открытый и закрытый ключи учетной записи блокчейн-кошелька генерируются на устройстве пользователя и отправляются в HSM. Magic Labs заявляет, что не может видеть сгенерированный закрытый ключ, так как он никогда не попадает на их серверы.
Когда пользователи прекращают использовать свои кошельки и закрывают браузеры, они могут снова открыть свои кошельки, повторив процесс. Они снова отправляют свой адрес электронной почты в Magic и получают новый одноразовый токен. На этот раз после аутентификации они восстанавливают доступ к своему кошельку.
Magic Labs создала демонстрацию, которая показывает, как работает система. Magic Labs, по-видимому, позволяет любому создать кошелек, не загружая расширение для браузера и не копируя сид-слова. Это также позволяет пользователям закрыть свои браузеры и вернуться к своим кошелькам позже, снова войдя в ту же учетную запись Web3.
В настоящее время демоверсия работает только в тестовых сетях, таких как Goerli, Sepolia и Mumbai.
Кошельки на базе Magic
Было выпущено или в настоящее время находится в разработке несколько различных кошельков, использующих Magic. Одним из ярких примеров является кошелек Kresus, мобильное приложение, позволяющее пользователям хранить биткоины, эфиры, Solana, Polygon и токены из этих сетей. Это также позволяет пользователям отправлять криптовалюту, используя доменные имена .kresus вместо крипто-адресов.
11 мая Kresus был выпущен в App Store. Команда сообщила, что версия для Android появится позже в 2023 году.
Еще один пример - неизменяемый паспорт. Это интерфейс прикладного программирования (API), созданный разработчиком игр Web3 Immutable. Когда игры интегрируют свои веб-сайты с Passport, это позволяет игрокам создавать кошельки непосредственно через сайт игры.
Immutable сообщил, что кошельки Passport подключаются к сети Immutable X, протоколу Ethereum уровня 2, который позволяет игрокам хранить все свои игровые предметы Immutable в одной учетной записи, независимо от того, в какой игре они изначально зарегистрировались.
Как сообщила команда, Immutable недавно внедрила Passport в качестве метода входа по умолчанию для своего портала разработчиков, и они планируют использовать его как минимум для одной страницы входа в игру к лету 2023 года.
Проблемы безопасности с Magic
В системе безопасности Magic SDK содержит одну известную уязвимость, которую разработчики намерены устранить. Поскольку для аутентификации пользователя используются токены электронной почты, злоумышленник потенциально может получить доступ к HSM пользователя, взломав его учетную запись электронной почты, а затем запросив аутентификацию с собственного устройства злоумышленника. Получив доступ к HSM, они могут авторизовать любые транзакции из учетной записи пользователя.
По этой причине и Immutable Passport, и Kresus планируют использовать двухфакторную аутентификацию (2FA) в качестве дополнительного уровня безопасности на случай, если учетная запись электронной почты пользователя будет скомпрометирована.
Кошельки на базе Magic не имеют паролей, поэтому их нельзя взломать обычным методом кражи и взлома хэша пароля.
Web3Auth
Другой новой инфраструктурой кошелька, которую часто используют разработчики, является Web3Auth.
Web3Auth - это сеть управления ключами, которая использует многосторонние вычисления (MPC) для обеспечения возможности восстановления закрытых ключей. Когда пользователи регистрируют учетную запись с помощью Web3Auth, они, как обычно, генерируют закрытый ключ. Затем этот ключ делится на три «доли».
Первый общий ресурс хранится на их устройстве, второй хранится в сети Web3Auth у провайдера входа в систему, а третий является резервным общим ресурсом, который должен храниться на отдельном устройстве или в автономном режиме. В зависимости от предпочтения пользователя, третья доля также может быть сгенерирована из контрольных вопросов.
Из-за того, как работают многосторонние вычисления, пользователь может генерировать закрытый ключ и подтверждать транзакции только с двумя из трех общих ресурсов. Это означает, что пользователь по-прежнему может восстановить свой кошелек, если его устройство выйдет из строя или он потеряет свой резервный ключ. В то же время провайдер входа в систему не может выполнять транзакции без разрешения пользователя, так как у провайдера есть только одна доля ключа.
Провайдер также не может подвергать транзакции цензуре. Если провайдер отказывается предоставить пользователю второй общий ресурс после правильной аутентификации, пользователь может сгенерировать свой закрытый ключ, используя комбинацию общего ресурса, хранящегося на его устройстве, и резервного общего ресурса.
В Web3Auth общий ресурс провайдера входа в систему дополнительно делится на девять разных сегментов и распределяется по сети узлов хранения, при этом для восстановления общего ресурса провайдера требуется пять сегментов. Это не позволяет провайдеру входа в систему хранить свои общие ресурсы в своей собственной инфраструктуре.
Кошельки Web3Auth
Web3Auth был интегрирован в несколько розничных кошельков, включая Binance Wallet и закрытую бета-версию Trust Wallet. В расширенной версии Binance Wallet пользователи могут создавать учетные записи кошелька, используя свои логины Google. Согласно официальному видео из аккаунта Web3Auth в Twitter, в версии Trust Wallet Google, Apple, Discord и Telegram являются вариантами входа в систему.
В любом случае пользователю все равно нужно скопировать начальные слова. Однако учетную запись можно восстановить, даже если эти слова будут утеряны, если у пользователя по-прежнему есть доступ как к своему устройству, так и к учетной записи поставщика услуг входа.
Генеральный директор Web3Auth Чжэнь Юй Юн заявил, что переход к использованию нескольких общих ключей в Web3 аналогичен эволюции 2FA на сайтах Web2:
«Имена пользователей и пароли было очень легко потерять в начале 2000-х или в конце 1990-х годов. Тогда мы думали, что финансовые приложения никогда не будут созданы в Интернете. С именами пользователей и паролями мы в конечном итоге перешли к двухфакторной аутентификации. Я думаю, что это тот же самый переход, который мы пытаемся протолкнуть здесь… Вместо того, чтобы использовать исходную фразу с одним фактором, мы разделяем ее на несколько разных факторов и делаем это так, чтобы все это было вашим доступом».
Dfns
Dfns, произносится как defense, представляет собой сеть управления ключами MPC, которая позволяет учреждениям, разработчикам и конечным пользователям создавать кошельки без пароля и сид-фразы. Он содержит закрытый ключ каждого блокчейна в виде нескольких сегментов, распределенных между узлами по всей сети Dfns.
Чтобы авторизовать транзакцию, узлы Dfns должны совместно создать подпись, используя каждый сегмент.
В отличие от Web3Auth, Dfns не хранит часть закрытого ключа блокчейна на устройстве пользователя или в качестве резервной копии. Все фрагменты хранятся в самой сети.
Узлы Dfns используют протокол под названием «WebAuthn» для проверки того, что пользователь авторизовал транзакцию. Этот протокол был создан Консорциумом World Wide Web, чтобы пользователи могли входить на веб-сайты без пароля. В Dfns узлы запрограммированы только на то, чтобы подписывать транзакцию своим шардом, если конечный пользователь прошел аутентификацию с использованием этого протокола.
Когда пользователь регистрируется на веб-сайте с помощью WebAuthn, сайт создает закрытый ключ на устройстве пользователя. Этот закрытый ключ не используется ни в одном блокчейне. Он существует только для того, чтобы пользователь мог войти на сайт.
При создании ключа пользователю предлагается защитить ключ пин-кодом или биометрическим замком. На ПК с Windows эту блокировку можно создать с помощью Windows Hello, которая является частью операционной системы, или с помощью отдельного устройства, такого как мобильный телефон или Yubikey. На мобильном устройстве блокировка создается с использованием встроенной системы безопасности.
Пример запроса регистрации WebAuthn. Источник: WebAuthn.io.
На веб-сайте, реализующем регистрацию WebAuthn, пользователю не требуется адрес электронной почты или пароль для регистрации. Вместо этого устройство использует собственную систему безопасности для идентификации пользователя.
Когда команда разработчиков кошелька создает кошелек с помощью Dfns, они могут передать этот метод аутентификации конечному пользователю. В этом случае кошелек считается некастодиальным, поскольку поставщик кошелька не имеет устройства пользователя, пин-кода или биометрических данных и, следовательно, не может авторизовать транзакции.
Конечный пользователь также может добавлять устройства в кошелек, если первое выходит из строя.
Разработчики кошельков также могут создавать кастодиальные кошельки с помощью Dfns. В этом случае разработчик кошелька должен пройти аутентификацию в сети с помощью WebAuthn. Они могут использовать любой метод для аутентификации пользователя, включая даже имена пользователей и пароли.
Кошельки, использующие Dfns
Кларисса Хагеж, основатель Dfns заявила, что многие из клиентов платформы - это учреждения и команды разработчиков на рынке B2B.
Однако в последнее время команда начала привлекать больше поставщиков кошельков для бизнеса. По ее словам, розничное приложение для крипто-сбережений SavingBlocks использует Dfns, и компания ведет переговоры с парой децентрализованных бирж, чтобы помочь создать кошельки для своих клиентов.
Хагеж утверждает, что для массового внедрения криптовалюты пользователи не должны даже знать, что существует закрытый ключ блокчейна, когда они совершают транзакции.
«Наша цель - сотни тысяч разработчиков, которые создадут варианты использования, ориентированные на массовое внедрение блокчейна, ориентированные на людей, которые не хотят знать, что у них есть закрытый ключ, - пояснила Хагеж. - У нас есть сеть серверов, которые управляют этой генерацией ключей, и важно не фактическое владение закрытым или общим ключом, а владение доступом к API».
Будет ли новая технология кошелька принята массами?
В настоящее время неизвестно, приведут ли эти новые технологии кошельков к массовому внедрению и даже будут ли они приняты нынешними пользователями. Несмотря на их простоту, они по-прежнему могут быть слишком сложными для пользователей, которые предпочитают хранить свою криптовалюту на бирже. С другой стороны, пользователи, которые верят в мантру «не ваши ключи, не ваша криптовалюта», могут с подозрением относиться к доверию сети MPC или аппаратному модулю безопасности, принадлежащему Amazon, для авторизации собственных транзакций.
Тем не менее, некоторые пользователи могут решить, что преимущества MPC или Magic слишком хороши, чтобы их упускать. Время покажет.
Тем временем эти новые технологии, вероятно, спровоцируют дискуссию о том, как обеспечить пользователям контроль над своими средствами или о том, что на самом деле означает «самостоятельное хранение».
