中級者用語を調べる
ウォレットでのログイン（Sign-In with Ethereum）とは
- 執筆
- CRYPTO PORT 編集部
- 公開日
- 更新日
- 読了目安
- 5 分
結論
ウォレットでのログインは、サイトが出した文章に署名して「このアドレスの持ち主だ」と示す方式です。取引ではないため手数料はかからず、資産も動きません。ただし署名画面の見た目は取引の承認とよく似ているため、文面を読まずに承認する習慣がつくと危険です。
要点
- 署名する対象は取引ではなくただの文章
- パスワードもメールアドレスも登録しない
- 使い回しを防ぐため乱数と有効期限が入る
- 文面を読まない習慣そのものが最大の弱点
定義
サイトが提示した定型の文章にウォレットで署名し、その署名からアドレスを復元することで本人確認とする認証方式。EIP-4361として文面の書き方が定められている。
仕組みは単純で、サイトは「このドメインに、このアドレスでログインします」という文章に、使い捨ての乱数と発行時刻、有効期限を添えて提示します。利用者がウォレットで署名すると、サイトは署名からアドレスを計算し、一致すれば本人とみなしてセッションを開始します。
この方式ではパスワードを預からずに済むため、サイト側が漏らす情報も減ります。一方で、アドレスは公開されたままなので、同じアドレスで複数のサイトにログインすると、取引履歴を通じて行動が結び付けられる点は理解しておく必要があります。
EIP-4361は、文面にドメイン名と乱数を必ず含めるよう定めています。これは、あるサイト向けの署名を別のサイトが使い回す攻撃を防ぐためです。署名画面に表示されたドメインが、いま自分が開いているサイトと一致しているかは毎回確認してください。
注意点
- · ログインのつもりでも、署名は資産を動かす許可になりうる。文面を最後まで読むこと
- · 文面にトークン名や数量、permit・approveといった語が出てきたら、それはログインではない
- · 表示されたドメインが開いているサイトと違う場合は、その場で拒否する