ID ログインに暗号通貨ウォレットを使用するにはどうすればよいですか? (Web3認証)

Web3 認証について

1. Web3 認証は、従来のユーザー名とパスワードの組み合わせを、暗号化ウォレットに保存されている暗号化キーのペアに置き換えます。

2. ユーザーは秘密鍵を使用してチャレンジ メッセージに署名し、鍵自体を公開することなく所有権を証明します。

3. 署名は、ウォレットアドレスの信頼性を信頼するオンチェーンまたはオフチェーンサービス経由で検証されます。

4. この方法では、集中型の ID プロバイダーが不要になり、電子メールベースの回復フローへの依存が軽減されます。

5. ウォレット アドレスは dApp 間で永続的な識別子となり、シームレスなクロスプラットフォーム認識が可能になります。

ウォレット統合の仕組み

1. 開発者は、Wagmi、Web3Modal、RainbowKit などのウォレット接続ライブラリをフロントエンド アプリケーションに埋め込みます。

2. ユーザーが「ウォレットに接続」をクリックすると、インターフェースはインストールされているウォレット拡張機能や、MetaMask や Trust Wallet などのモバイル アプリを検出します。

3. JSON-RPC リクエストはウォレット UI 内で署名プロンプトをトリガーし、nonce に署名するための明示的な同意を求めます。

4. 署名されたメッセージには、リプレイ攻撃を防ぐためのタイムスタンプ、ドメイン、およびセッション固有のデータが含まれています。

5. バックエンド システムは、回復された Ethereum アドレスに対して署名を検証し、JWT またはセッション トークンを発行します。

ID フローにおけるセキュリティの考慮事項

1. ナンス値は、セッション間での署名の再利用をブロックするために、暗号的にランダムで使い捨てでなければなりません。

2. ドメイン バインディングにより、署名が要求元に対してのみ有効であることが保証され、フィッシングのリスクが軽減されます。

3. EIP-1271 をサポートするウォレットにより、スマート コントラクト ウォレットは、標準化されたインターフェイスを通じてオフチェーンで署名を検証できます。

4. フロントエンド コードは、秘密キーを保存したり、署名ロジックを信頼できないスクリプトに公開したりしてはなりません。

5. 認証後に発行されたセッション トークンの有効期限は短く、ウォレットの切断時に取り消される必要があります。

ユーザーエクスペリエンスのパターン

1. オンボーディング画面には、接続試行中に明確な視覚的フィードバックとともにウォレット アイコンが表示されます。

2. 署名リクエストには、目的、期間、データ範囲を説明する人間が読める形式のプロンプトが含​​まれます。

3. 接続に失敗すると、一般的な「エラー 400」ではなく「ウォレットが検出されません」などのコンテキスト エラー メッセージが表示されます。

4. マルチウォレットのサポートにより、ユーザーは再登録せずにハードウェア、モバイル、ブラウザのウォレットを切り替えることができます。

5. アドレス抽象化レイヤーにより、ID をオンチェーン キーに固定しながら、電子メールまたは電話を介したソーシャル ログインが可能になります。

よくある質問

Q: 新しいアカウントを作成せずに、複数の dApp で同じウォレット アドレスを使用できますか?はい。ウォレットアドレスはユニバーサル識別子として機能します。各 dApp は個別に署名を検証し、それを独自のユーザー プロファイルにマッピングします。

Q: ウォレットにアクセスできなくなったらどうなりますか?ソーシャル リカバリまたはマルチシグ ガーディアンを使用してアカウント抽象化を構成していない限り、Web3 ID を制御できなくなります。

Q: ウォレットでサインインすると、取引履歴が公開されますか?いいえ。ログイン プロセスでは、短い一時的なメッセージに署名するだけです。 dApp によって明示的に要求されない限り、ブロックチェーンの読み取りや履歴データのクエリは発生しません。

Q: ハードウェア ウォレットは Web3 認証フローと互換性がありますか?はい。 Ledger および Trezor デバイスは、MetaMask や Rabby などの互換性のあるウォレット インターフェイスと組み合わせると、EIP-1271 および標準の eth_sign メソッドをサポートします。