로그인(이더리움으로 로그인)을 위해 암호화폐 지갑을 사용하는 방법은 무엇입니까?

Ethereum을 사용한 로그인 이해

1. 이더리움으로 로그인은 사용자가 기존 사용자 이름-비밀번호 조합 대신 이더리움 지갑을 사용하여 애플리케이션에 로그인할 수 있게 해주는 분산형 인증 프로토콜입니다.

2. 이더리움 블록체인의 암호화 서명 기능을 활용하여 사용자가 개인 키를 공개하지 않고도 주소 소유권을 증명할 수 있습니다.

3. 이 프로세스는 웹사이트가 지갑 보유자로부터 서명된 메시지를 요청하고 확인하는 방법을 표준화하는 EIP-4361에 의존합니다.

4. OAuth 제공자와 달리 이 방법은 중앙화된 신원 중개자를 제거하고 사용자에게 개인 데이터에 대한 모든 권한을 부여합니다.

5. 지원되는 지갑에는 MetaMask, Coinbase Wallet, Trust Wallet 및 Phantom이 포함되며 모두 EIP-4361 호환 메시지에 서명할 수 있습니다.

단계별 로그인 흐름

1. 사용자가 dApp 또는 Web3 플랫폼 인터페이스에서 “이더리움으로 로그인”을 클릭합니다.

2. 애플리케이션은 EIP-4361 사양을 준수하는 고유한 시간 제한 도메인별 로그인 메시지를 생성합니다.

3. 사용자의 지갑에는 도메인, 명세서, URI, 버전, 체인 ID 및 만료 시간을 포함하여 검토할 메시지가 표시됩니다.

4. 확인 후 지갑은 사용자의 개인 키를 사용하여 메시지에 서명하고 서명, 주소 및 서명된 페이로드를 앱에 반환합니다.

5. 백엔드는 제공된 이더리움 주소에 대한 서명을 확인하고 액세스 권한을 부여하기 전에 메시지 구조와 타임스탬프의 유효성을 검사합니다.

보안 고려 사항

1. 사용자는 서명되지 않았거나 형식이 잘못된 메시지를 승인해서는 안 됩니다. 악성 사이트에서는 임의 데이터에 대한 서명을 요청하여 승인되지 않은 승인이나 자금 이체가 발생할 수 있습니다.

2. 애플리케이션은 서로 다른 출처에서 서명이 재사용되는 것을 방지하기 위해 도메인 필드 의 엄격한 유효성 검사를 시행해야 합니다.

3. 재생 공격을 완화하려면 타임스탬프 및 만료 필드를 서버 측에서 시행해야 합니다.

4. 지갑은 사람이 읽을 수 있는 설명을 명확하게 표시해야 하며, 의도를 모호하게 만드는 기술적 전문 용어를 피해야 합니다.

5. 개발자는 원시 서명을 장기간 저장하는 것을 피해야 합니다. 대신 세션 토큰이나 JWT를 인증 후 발급해야 합니다.

개발자 통합 요구 사항

1. siwe-js 와 같은 프런트엔드 라이브러리는 주요 브라우저와 모바일 지갑 전반에 걸쳐 메시지 생성과 지갑 상호 작용을 원활하게 처리합니다.

2. 백엔드 검증에는 EIP-4361 구문 분석 및 ECDSA 서명 복구를 구현하는 siwe-verify 또는 사용자 정의 로직과 같은 라이브러리가 필요합니다.

3. dApp 도메인과 지갑 주입 지점(예: window.ethereum) 간의 통신을 허용하려면 적절한 CORS 구성이 필수적입니다.

4. 체인 ID 일관성이 적용되어야 합니다. 프런트엔드가 Polygon에 대한 서명을 요청하는 경우 백엔드는 해당 체인의 매개변수에 대해 유효성을 검사해야 합니다.

5. 오류 처리에서는 사용자 거부, 유효하지 않은 서명, 만료된 메시지, 도메인 불일치를 구별해야 하며, 각각에는 고유한 UX 응답이 필요합니다.

자주 묻는 질문

Q: 모바일 앱에서 Ethereum으로 로그인을 사용할 수 있습니까? 답변: 예. Coinbase Wallet 및 Trust Wallet과 같은 호환 지갑은 딥 링크 또는 WalletConnect 통합을 통해 iOS 및 Android에서 EIP-4361 서명을 지원합니다.

Q: 로그인하면 지갑 잔액이나 거래 내역이 노출되나요? A: 아니요. 프로토콜은 암호화 서명을 통해서만 주소 소유권을 증명합니다. 이후 애플리케이션에서 명시적으로 요청하지 않는 한 온체인 데이터는 자동으로 가져오거나 공유되지 않습니다.

Q: 로그인 후 지갑에 접근할 수 없게 되면 어떻게 되나요? A: 중앙 계정이 존재하지 않기 때문에 지갑 액세스 권한을 잃으면 애플리케이션이 이메일 대체 또는 소셜 로그인 브리지와 같은 복구 옵션을 제공하지 않는 한 인증 기능을 잃게 됩니다. 이는 순수한 Web3 원칙과 모순됩니다.

Q: 하나의 프로필에 여러 개의 지갑을 연결할 수 있나요? A: 예. 애플리케이션을 통해 사용자는 처음 로그인한 후 추가 Ethereum 주소를 연결할 수 있으며, 종종 제어 확인을 위해 보조 서명 문제를 사용합니다.