ログインに暗号通貨ウォレットを使用する方法 (イーサリアムでサインイン)?

Ethereum でのサインインについて

1. Ethereum でのサインインは、ユーザーが従来のユーザー名とパスワードの組み合わせの代わりに Ethereum ウォレットを使用してアプリケーションにログインできるようにする分散型認証プロトコルです。

2. イーサリアム ブロックチェーンの暗号署名機能を活用し、ユーザーが秘密キーを明らかにすることなくアドレスの所有権を証明できるようにします。

3. このプロセスは、Web サイトがウォレット所有者からの署名付きメッセージを要求および検証する方法を標準化する EIP-4361 に依存しています。

4. OAuth プロバイダーとは異なり、この方法では集中型の ID 仲介者が排除され、個人データに対する完全な制御がユーザーに与えられます。

5. サポートされているウォレットには、MetaMask、Coinbase Wallet、Trust Wallet、Phantom が含まれており、すべて EIP-4361 準拠のメッセージに署名できます。

段階的なログイン フロー

1. ユーザーが dApp または Web3 プラットフォーム インターフェイスで [Sign in with Ethereum] をクリックします。

2. アプリケーションは、EIP-4361 仕様に準拠した、期限付きのドメイン固有の固有のサインイン メッセージを生成します。

3. ユーザーのウォレットには、ドメイン、ステートメント、URI、バージョン、チェーン ID、有効期限などの確認用のメッセージが表示されます。

4. 確認後、ウォレットはユーザーの秘密キーを使用してメッセージに署名し、署名、アドレス、署名されたペイロードをアプリに返します。

5. バックエンドは、アクセスを許可する前に、提供された Ethereum アドレスに対して署名を検証し、メッセージ構造とタイムスタンプを検証します。

セキュリティに関する考慮事項

1. ユーザーは、署名のないメッセージや不正な形式のメッセージを決して承認してはなりません。悪意のあるサイトが任意のデータの署名を要求し、不正な承認や資金移動につながる可能性があります。

2. アプリケーションは、異なるオリジン間での署名の再利用を防ぐために、ドメイン フィールドの厳密な検証を強制する必要があります。

3. リプレイ攻撃を軽減するには、タイムスタンプと有効期限フィールドをサーバー側で強制する必要があります。

4. ウォレットには、意図を曖昧にする専門用語を避け、人間が読める形式のステートメントを明確に表示する必要があります。

5. 開発者は、未加工の署名を長期間保存することを避けなければなりません。代わりに、セッション トークンまたは JWT を検証後に発行する必要があります。

開発者の統合要件

1. siwe-jsのようなフロントエンド ライブラリは、主要なブラウザとモバイル ウォレット間でメッセージの生成とウォレットの対話をシームレスに処理します。

2. バックエンド検証には、siwe-verifyなどのライブラリ、または EIP-4361 解析および ECDSA 署名回復を実装するカスタム ロジックが必要です。

3. dApp ドメインとウォレット インジェクション ポイント (window.ethereum など) の間の通信を可能にするためには、適切な CORS 設定が不可欠です。

4. チェーン ID の一貫性を強制する必要があります。フロントエンドが Polygon への署名を要求した場合、バックエンドはそのチェーンのパラメータに対して検証する必要があります。

5. エラー処理では、ユーザーの拒否、無効な署名、期限切れのメッセージ、ドメインの不一致を区別する必要があり、それぞれに個別の UX 応答が必要です。

よくある質問

Q: モバイル アプリでイーサリアムを使用したサインインを使用できますか? A: はい — Coinbase Wallet や Trust Wallet などの互換性のあるウォレットは、ディープリンクまたは WalletConnect 統合を通じて iOS および Android での EIP-4361 署名をサポートしています。

Q: サインインすると、ウォレットの残高や取引履歴が公開されますか? A: いいえ — このプロトコルは、暗号化署名によってアドレスの所有権を証明するだけです。後でアプリケーションによって明示的に要求されない限り、オンチェーン データは自動的に取得または共有されません。

Q: サインイン後にウォレットにアクセスできなくなった場合はどうなりますか? A: 中央アカウントが存在しないため、アプリケーションが電子メール フォールバックやソーシャル ログイン ブリッジなどの回復オプションを提供しない限り、ウォレット アクセスが失われるということは、認証機能が失われることを意味します。ただし、これらは純粋な Web3 原則と矛盾します。

Q: 複数のウォレットを 1 つのプロファイルにリンクすることはできますか? A: はい — アプリケーションでは、ユーザーが最初のサインイン後に追加のイーサリアム アドレスを関連付けることができ、多くの場合、制御を確認するために二次署名チャレンジが使用されます。