بعد EIP-3074، هل ستتسبب التوقيعات الضارة في استنفاد أموال حساب Ethereum؟

المصدر: MetaCat

المؤلفون المشاركون EIP-3074 موجودون هنا! قبل أن تخرج الأمور عن نطاق السيطرة، اسمحوا لي أن أضع هذا القلق جانبًا للحظة.

أولاً: لم أسمع عن أي محفظة تدعم حاليًا التوقيع على البيانات غير البادئة. وهذا يعني أنه لا توجد محفظة تدعم حاليًا EIP-3074. بغض النظر عن عدد لوحات التحكم التي تتصفحها أو عدد الميزات المتقدمة التي تقوم بتشغيلها. غير قادر على توقيع الرسالة لـ EIP-3074 في الوقت الحالي.

الرسالة التي تسجلها "لتسجيل الدخول" في التطبيق اللامركزي تستخدم معيارًا مختلفًا تمامًا عن EIP-3074، استنادًا إلى EIP-191 . سيؤدي هذا إلى إضافة البيانات التالية إلى رسالتك الموقعة:

0x19 <0x45 (E) > <هناك رسالة موقعة:\n" + len(message)> <بيانات للتوقيع

هذا هو السبب في أنه من المستحيل خداع شخص قام بتسجيل الدخول إلى تطبيق dapp ليقوم فعليًا بالتوقيع على معاملة Ethereum صالحة.

المعاملات مسبوقة بقيمة بايت واحدة:

0x01 - 2930 tx
0x02 - 1559 tx
0x03 - 4844 tx

لمزيد من المعلومات، راجع: https://github.com/ethereum/execution-specs/tree /master /lists/signature-types

من المخطط أن يستخدم EIP-3074 البادئة 0x04 والتي ستزيله من جميع الأنواع الأخرى في إيثريوم. غموض البيانات القابلة للتوقيع يجب أن تختار المحافظ بشكل فعال السماح للمستخدمين بالتوقيع على هذه الرسائل

استنادًا إلى تكامل المحفظة EIP-. 3074. طرق محددة قد تجعل المستخدمين أكثر عرضة للاستغلال لفهم ذلك، نحتاج إلى التأكد من فهمنا لكيفية عمل توقيع EIP-3074

تحتوي رسالة المصادقة التي تنشئ التوقيع على الحقول التالية. والأهم من ذلك أنها تتضمن عنوان المتصل. وهذا هو العنوان الوحيد الذي تعتبره AUTH أن التوقيع صالح.

بالنسبة للحساب الذي يريد استنفاد رصيده، يجب < /strong> يمكن تلبيتها في نفس الوقت:

1) تحتاج المحفظة إلى السماح للمستخدمين بالتسجيل إلى أي عنوان مستدعي،

2) يجب ألا يتحقق المستخدم مما إذا كان المتصل (المستدعي) جديرًا بالثقة.

وهذا يعني أنه لن تكون هناك مشكلة إذا قام المستخدم بتنفيذ أي منها.

نأمل أن يتفهم برنامج المحفظة ما يلي: EIP-3074 يشبه المستدعي امتدادًا لرمز برنامج المحفظة أكثر من كونه عقدًا . لا تسمح المحافظ للمستخدمين بتشغيل تعليمات برمجية عشوائية والوصول إلى PKs (المفاتيح الخاصة) الخاصة بهم بحرية؛ وبالمثل، لا ينبغي لهم السماح للمستخدمين بتفويض حساباتهم على Ethereum بشكل تعسفي.

لذلك، إذا كان برنامج المحفظة يدمج EIP-3074 بشكل غير آمن،و لا يتحقق المستخدمون من المتصل الذي يتفاعلون معه، فمن الممكن سيتم تفويضها للمتصلين الخبيثة. ومع ذلك، لا يزال من الممكن التراجع عن ذلك عن طريق إرسال رسالة واحدة من EOA. سيؤدي هذا إلى إلغاء كافة توقيعات AUTH "قيد التقدم".

على أقل تقدير، يجب أن يجعل برنامج المحفظة توقيع رسائل EIP-3074 أمرًا مهمًا، تمامًا كما يعد تصدير مفتاحك الخاص أمرًا مهمًا.

بافتراض أن المحفظة تدمج 3074 بشكل آمن، فلا يزال من الممكن اختراق الحساب. هذه هي الخاصية الأساسية للمعاملات بالجملة. فهو يتيح لك إرسال إجراءات متعددة بسهولة، تمامًا كما يسمح للمهاجم بخداعك لإرسال مجموعة من الأصول إلى عنوان يتحكم فيه.

يجب أن يعرض برنامج المحفظة بوضوح كل إجراء تقوم بالتوقيع عليه. بهذه الطريقة، من السهل ملاحظة "كنت أنوي إجراء معاملة واحدة فقط، لكن طلب التوقيع هذا جعلني أقوم بإجراء عشرات المعاملات الأخرى." لا يمكن اكتشاف ذلك إذا تمت المعالجة المجمعة عبر التوقيع الأعمى.

نعم، EIP-3074 يثق بالمحفظة كثيرًا. ومع ذلك، فإننا نثق بهم بالفعل بشكل آمن من خلال مفتاحنا الخاص! لا يوجد مستوى أعلى من الثقة.

يمكن دمج EIP-3074 واستخدامه بأمان. إذا كانت لدى أي محفظة أسئلة حول كيفية القيام بذلك، فلا تتردد في الاتصال بنا. باعتبارنا مؤلفي EIP-3074، فإننا نفكر حاليًا في كيفية تقديم المساعدة الأفضل في المرحلة التالية من تطور المعيار.

على مدى السنوات القليلة الماضية، أمضينا الكثير من الوقت في تطوير سيناريوهات "ماذا لو" حول كيفية استخدامها وإساءة استخدامها. نحن متحمسون لأن هذه الأفكار بدأت تنتقل إلى الإنتاج. ولكننا ندرك أيضًا أن هذا هو الجزء الأصعب.

لتلخيص المخاوف من أن توقيعًا واحدًا سيئًا سوف يستنزف رصيد حساب Ethereum الخاص بك بعد EIP-3074:

- لا تدعم المحفظة حاليًا توقيعات نوع EIP-3074، التي تتبع التنسيق الجديد.

- حقل المتصل في توقيع EIP-3074 مهم جدًا. يمكن للمتصل السيئ أن يسرق أموالك.

- تحتاج المحفظة إلى التأكد من أن عنوان المتصل جدير بالثقة. وهذا مشابه لكيفية منع المحافظ حاليًا تنفيذ التعليمات البرمجية التعسفية.

- لا تزال المعاملات المجمعة في EIP-3074 تفتح عالمًا حيث يمكن للجهات الفاعلة الضارة خداعك لتوقيع المعاملات التي تنقل الأصول. تحتاج المحافظ إلى إظهار ما يحدث بوضوح عند توقيع رسالة EIP-3074.

- نعم، لدينا مستوى عالٍ من الثقة في المحافظ، لكن المستخدمين قد عهدوا إليها بمفاتيحهم الخاصة، وهو أعلى مستوى من الثقة.

EIP-3074  EIP-4337

يعد EIP-3074 أمرًا جيدًا جدًا لموفري خدمات تجريد الحسابات لأنه مفيد جدًا لعملائنا.

- ERC-4337 هو أفضل طريقة لتعريف المستخدمين الجدد بمجال التشفير.

- EIP-3074 هو أفضل طريقة لإلحاق المستخدمين الحاليين بالحسابات الذكية.

الرابط الأصلي: https://twitter.com/lightclients/status/1778823652584120497

EIP-3074 سيكون كن متصلاً بالإنترنت في انقسام Ethereum القادم.