Chào bạn, Ghiền Coin đây. Trong thế giới Web3, nhiều ứng dụng cho bạn đăng nhập bằng cách kết nối ví và ký một thông điệp, thay vì gõ tên đăng nhập và mật khẩu. Chữ ký đó chứng minh bạn giữ chìa khoá của địa chỉ ví, và địa chỉ ví trở thành tài khoản của bạn. Cách này không cần nhớ mật khẩu, không phụ thuộc vào tài khoản của nền tảng lớn. Nhưng nó có một mặt trái nguy hiểm: một chữ ký nhầm có thể không phải để đăng nhập, mà để cho phép ai đó rút tài sản trong ví.
Tập này giúp bạn phân biệt ký để đăng nhập với ký để cấp quyền, một kỹ năng tự vệ quan trọng nếu bạn từng tìm hiểu ứng dụng Web3.
Đăng nhập kiểu cũ và kiểu mới
Kiểu cũ: bạn tạo tài khoản với tên đăng nhập và mật khẩu ở từng trang. Hoặc bạn dùng nút đăng nhập bằng tài khoản của một nền tảng lớn, tiện nhưng nền tảng đó biết bạn dùng dịch vụ nào.
Kiểu mới: bạn bấm kết nối ví. Ví hiện ra một thông điệp, thường có dạng tôi đồng ý đăng nhập vào trang này, kèm một chuỗi ngẫu nhiên và thời gian. Bạn ký. Trang web kiểm tra chữ ký bằng khoá công khai, biết bạn là chủ địa chỉ đó.
Không có mật khẩu nào được gửi đi hay lưu trên máy chủ của trang web. Không có nền tảng trung gian.
Về lý thuyết, đây là một cách đăng nhập khá thanh lịch, dựa trên đúng nguyên lý chữ ký số mình đã giải thích nhiều lần.
Những điểm hay
Không có mật khẩu thì không có mật khẩu bị lộ. Trang web bị rò rỉ dữ liệu cũng không làm lộ thứ gì giúp kẻ gian vào tài khoản của bạn ở nơi khác.
Bạn dùng một địa chỉ cho nhiều ứng dụng mà không cần tạo tài khoản mới, và không ứng dụng nào có quyền khoá danh tính chung của bạn.
Các ứng dụng có thể đọc thông tin công khai gắn với địa chỉ, như những mã thông báo bạn có, để cá nhân hoá trải nghiệm, nếu bạn đồng ý.
Có những chuẩn chung cho thông điệp đăng nhập bằng ví, giúp ví hiển thị rõ ràng đây là yêu cầu đăng nhập vào trang nào.
Mặt trái: mọi giao dịch đều công khai
Điểm hay số ba cũng là mặt trái. Địa chỉ ví công khai, lịch sử giao dịch công khai. Khi bạn dùng một địa chỉ để đăng nhập nhiều nơi, các nơi đó có thể nhìn thấy toàn bộ tài sản và hoạt động của địa chỉ đó.
Nếu địa chỉ ví từng được gắn với danh tính thật của bạn, ví dụ qua một dịch vụ có định danh, thì mọi ứng dụng bạn đăng nhập đều có thể ghép thông tin lại.
Vì vậy, nhiều người cẩn thận dùng địa chỉ khác nhau cho những mục đích khác nhau, và không dùng địa chỉ chứa tài sản để đăng nhập vào ứng dụng lạ.
Quyền riêng tư trên blockchain công khai đòi hỏi chủ động, nó không tự có.
Ký đăng nhập khác ký cấp quyền
Đây là phần quan trọng nhất. Ví có thể hiện ra nhiều loại yêu cầu ký. Ký một thông điệp đăng nhập chỉ chứng minh bạn là ai, không chuyển tài sản, không cấp quyền gì.
Nhưng có những yêu cầu ký khác: cho phép một hợp đồng thông minh được tiêu một loại mã thông báo của bạn, có khi là không giới hạn số lượng. Hay ký một lệnh chuyển tài sản, được trình bày dưới dạng khó hiểu.
Kẻ gian dựng trang web giả, bảo bạn kết nối ví để nhận quà hay để xác minh. Rồi thay vì yêu cầu ký đăng nhập, họ gửi yêu cầu cấp quyền. Bạn tưởng đang đăng nhập, bấm ký, và đã trao cho họ quyền rút tài sản.
Quy tắc: đọc kỹ màn hình ví trước khi ký. Nếu thấy chữ cấp quyền, phê duyệt, cho phép tiêu, hay một số lượng tài sản, đó không phải đăng nhập. Nếu không hiểu, đừng ký.
Kiểm tra và thu hồi quyền đã cấp
Quyền đã cấp cho một hợp đồng thông minh thường tồn tại mãi cho đến khi bạn thu hồi. Nhiều người đã cấp quyền cho các ứng dụng từ lâu và quên mất.
Có những công cụ cho phép xem địa chỉ của bạn đã cấp quyền cho những hợp đồng nào, và thu hồi. Thu hồi cũng là một giao dịch, tốn phí mạng lưới.
Hãy cẩn thận: kẻ gian cũng làm trang công cụ thu hồi giả, để lừa bạn ký thêm một lần nữa. Chỉ dùng công cụ từ nguồn bạn đã kiểm chứng.
Thói quen tốt là định kỳ rà lại các quyền đã cấp, như bạn rà lại ứng dụng đã cài trên điện thoại.
Thói quen an toàn khi kết nối ví
Dùng một địa chỉ riêng, không chứa tài sản đáng kể, cho việc thử nghiệm ứng dụng lạ. Địa chỉ chứa tài sản thì hạn chế kết nối.
Chỉ kết nối với trang bạn vào bằng dấu trang hay đường dẫn đã kiểm chứng, không qua quảng cáo, tin nhắn, bình luận.
Đọc từng màn hình ký. Không ký khi đang vội, khi bị thúc giục, khi được hứa quà.
Với người chỉ đang tìm hiểu, không có lý do gì để kết nối ví chứa tài sản thật vào bất kỳ ứng dụng nào.
Gói lại
Đăng nhập bằng ví là ký một thông điệp chứng minh bạn giữ chìa khoá, không cần mật khẩu, không qua nền tảng trung gian.
Mặt trái là mọi hoạt động của địa chỉ đều công khai, và chữ ký cấp quyền có thể bị nguỵ trang thành chữ ký đăng nhập.
Đọc kỹ màn hình ví, rà và thu hồi quyền đã cấp, dùng địa chỉ riêng cho thử nghiệm.
Tập sau, tập cuối danh mục Web3, mình nói về những giới hạn và lời phê phán, để có cái nhìn cân bằng.
Câu hỏi thường gặp
Đăng nhập bằng ví hoạt động thế nào?
Ứng dụng yêu cầu bạn ký một thông điệp bằng ví, rồi kiểm tra chữ ký bằng khoá công khai để biết bạn là chủ địa chỉ.
Ký thông điệp đăng nhập có mất tài sản không?
Ký thông điệp đăng nhập thật thì không. Nguy hiểm là khi yêu cầu cấp quyền được nguỵ trang thành đăng nhập.
Làm sao phân biệt ký đăng nhập với ký cấp quyền?
Đọc kỹ màn hình ví. Nếu thấy chữ cấp quyền, phê duyệt, cho phép tiêu hay số lượng tài sản thì không phải đăng nhập.
Quyền đã cấp cho ứng dụng có tự hết hạn không?
Thường không. Quyền tồn tại cho đến khi bạn thu hồi bằng một giao dịch.
Có nên dùng ví chứa tài sản để đăng nhập ứng dụng lạ không?
Không nên. Dùng địa chỉ riêng không chứa tài sản đáng kể cho việc thử nghiệm.
