Çoklu cüzdan çatışma çözümü EIP-6963 analizi

Yazan: Mundus Security Derleyen: Deep Tide TechFlow

Yakın zamanda önerilen EIP-6963, kullanıcılar tek bir web tarayıcısında birden fazla cüzdan sağlayıcısı kullanmaya çalıştıklarında ortaya çıkan çelişkili sorunları çözmeyi amaçlıyor. Bu durumda, bu çakışma sorunları, bozulmuş bir kullanıcı deneyimine yol açabilir, kullanıcıların Ethereum arayüzlerini kontrol etmelerini engelleyebilir ve dApp'lerle etkileşim sürecini karmaşıklaştırabilir.

Soruna giriş

Şu anda, tarayıcı uzantıları sunan cüzdan sağlayıcıları, ethereum sağlayıcılarını (EIP-1193 standardına göre) tarayıcının ethereum nesnesine enjekte etmelidir. Bu mekanizma, birden çok tarayıcı uzantısı yüklemiş olan kullanıcılar için bir sorun oluşturur. Tarayıcı uzantıları, web sayfalarına öngörülemeyen ve düzensiz bir sırada yüklenir ve kullanıcıların ethereum nesnesinde kendi Ethereum cüzdanlarını seçmelerini imkansız hale getirir. Genellikle yüklenecek son cüzdan, kontrol sayfasını açan cüzdandır.

EIP-6963: Önerilen çözüm

Bunu ele almak için EIP-6963, ethereum'un EIP-1193 sağlayıcısını değiştirmek için mevcut bir mekanizma önerir. Teklif, Ethereum kitaplıkları ile tarayıcı uzantıları tarafından sağlanan enjekte edilen komut dosyaları arasında iki yönlü bir iletişim protokolünü etkinleştirmek için bir dizi pencere olayı sunar. Bu çözüm, birden fazla cüzdan sağlayıcısı arasındaki birlikte çalışabilirliği optimize eder, yeni cüzdan sağlayıcıları için giriş engelini azaltır ve Ethereum ağındaki kullanıcı deneyimini geliştirir.

Teklif, cüzdan seçimi açılır penceresini doldurmak için gerekli olan standartlaştırılmış bir sağlayıcı bilgi arayüzünü (EIP6963ProviderInfo) özetlemektedir. Ayrıca, geriye dönük uyumluluk için EIP-1193 sağlayıcı arabirimini değiştirmeden bırakan sağlayıcı arabirimini (EIP6963ProviderDetail) bildirmenin önemini vurgular.

Sağlayıcı bilgileri arabirimindeki temel özellikler şunları içerir:

• walletId: Cüzdan sağlayıcının küresel olarak benzersiz tanımlayıcısı (örneğin, io.dopewallet.extension veya harikawallet).
• **uuid: **Cüzdan sağlayıcısı için UUID v4.0 uyumlu yerel olarak benzersiz tanımlayıcı.
• ad: M-cüzdan sağlayıcısının okunabilir adı (örneğin, DopeWalletExtension veya Awesome).
• simge: Bir görüntüyü işaret eden bir URI, minimum 96x96 piksel çözünürlüğe sahip bir kare olmalıdır. PNG ve WebP veya SVG gibi vektör görüntü formatları önerilir. Teklif ekibi, JPG/JPEG gibi kayıplı biçimlerin kullanılmasını kesinlikle önermemektedir.

Olayları tetikleme açısından, hem Ethereum kitaplığı hem de cüzdan sağlayıcısı, olayları yaymak için dispatchEvent işlevini ve olayları gözlemlemek için addEventListener işlevini kullanır. Ethereum kitaplığı başlatıldığında, bir "eip6963:requestProvider" olayı yayar ve cüzdan sağlayıcısı, sağlayıcı arabiriminin ayrıntıları ve bilgileriyle birlikte bir "eip6963:announceProvider" olayı yayar.

EIP-6963'ün Etkisi

İyimser tahminlere göre, EIP-6963'ün kabulü ve uygulanması yaklaşık üç ila altı ay sürebilir. Bu gelişme, yıl sonuna kadar yeni bir cüzdan hikayesine yol açabilir, potansiyel olarak Metamask gibi önde gelen cüzdan sağlayıcılarının hegemonyasını kırabilir ve sağlayıcılar arasında daha rekabetçi bir ortam yaratabilir.

Coin98, Coinbase Wallet, Trust Wallet, Phantom, Taho, Rabby, Frame, XDEFI, Rainbow, Zerion, Spot, Frontier, MEW, Dawn Wallet, Blockwallet, Bitski, SafePal, BitKeep ve MathWallet gibi cüzdanlar bundan yararlanmaya hazırlanıyor gelişme

lehte ve aleyhte olanlar:

EIP-6963, dikkate alınması gereken bazı güvenlik sorunları ortaya çıkarır.

avantaj:

• TEK BİR ARIZA NOKTASI YOK: Birden fazla cüzdan sağlayıcısına izin vererek, tek bir arıza noktası sorununu ortadan kaldırdık. Bu, güvenlik açısından faydalıdır, çünkü bir cüzdan sağlayıcı bir saldırıya veya teknik bir arızaya maruz kalırsa, kullanıcıların alternatifleri vardır.
• Tek bir sağlayıcıya olan bağımlılığı azaltın: Şu anda, Ethereum topluluğu tek bir sağlayıcıya, MetaMask'a güveniyor. Bu potansiyel bir risk teşkil eder çünkü MetaMask tehlikeye girerse çoğu Ethereum kullanıcısı etkilenecektir. EIP-6963, birden fazla cüzdanı destekleyerek riski yayar.
• Geliştirilmiş Kullanıcı Kontrolü: Birden fazla cüzdan sağlayıcısı seçebilme özelliği, kullanıcılara güvenlikleri üzerinde daha fazla kontrol sağlar. Kullanıcılar, kişisel güvenlik tercihlerine ve güven seviyelerine uygun bir cüzdan sağlayıcı seçebilir.

eksiklik:

• ** Artırılmış saldırı yüzeyi: ** EIP-6963'ün uygulanması saldırı yüzeyini arttırır. Bunun nedeni, kötü niyetli aktörler tarafından saldırıya uğrayabilen cüzdan sağlayıcılarının sayısının artmasıdır. Her cüzdan sağlayıcı, bu riski en aza indirmek için yüksek güvenlik standartlarına uymalıdır.
• **SVG görüntü kullanımının potansiyel riskleri: **EIP-6963, cüzdan sağlayıcıları için SVG görüntülerini simgeler olarak kullanmayı önerir. Ancak SVG görüntüleri, siteler arası komut dosyası oluşturma (XSS) riski oluşturabilecek Java kodu içerebilir. EIP, Java yürütmesini önlemek için SVG görüntülerinin etiketler kullanılarak işlenmesi gerektiğini belirtse de, bu öneri yalnızca üçüncü taraflar veya her bir uygulamanın denetçileri tarafından doğrulanabilir.
• Ethereum'u değiştirmenin etkisi: EIP, ethereum'u değiştirerek mevcut uygulamaları doğrudan kesintiye uğratmasa da, bunun kullanıcılar bir cüzdan seçtikten sonra yapılmasını önerir. Bu tavsiye, her uygulamada yalnızca bir 3. taraf veya denetçi tarafından doğrulanabilir.

Sonuç olarak

EIP-6963, birden fazla cüzdan sağlayıcısı arasındaki birlikte çalışabilirliği geliştirmeyi, yeni sağlayıcılar için giriş engellerini azaltmayı ve Ethereum ağındaki kullanıcı deneyimini iyileştirmeyi amaçlar. Aynı zamanda, güvenlik üzerindeki etkisi karmaşıktır.

Kullanıcılar, cüzdan sağlayıcıları ve Ethereum kitaplığı geliştiricileri, Ethereum ekosisteminin güvenli kalmasını sağlamak için en iyi uygulamalara bağlı kalmalıdır.

Bu öneriyi uygulayarak, Ethereum ekosistemi daha kullanıcı dostu ve rekabetçi bir ortama doğru gelişerek hem cüzdan sağlayıcılarına hem de kullanıcılarına fayda sağlayabilir.