1. Những điểm chính của báo cáo nghiên cứu

• Passkey là thế hệ tiếp theo của công nghệ tài khoản Web2, có tính năng không cần cài đặt, bảo mật, tiện lợi và riêng tư.

• Ví Passkey giới thiệu công nghệ này với thế giới blockchain và mang đến cho chúng ta trải nghiệm ví mới

• Trải nghiệm người dùng của nó thậm chí còn vượt xa các tài khoản Web2 truyền thống và trải nghiệm người dùng mới cũng sẽ tạo ra các kịch bản người dùng mới.

• Ngưỡng cho người dùng thông thường bước vào thế giới blockchain đã hoàn toàn bị xóa và việc phổ biến quy mô lớn của Web3 có thể sắp đến gần.

2. Tổng quan

2.1 Giới thiệu công nghệ Passkey

Trước khi giới thiệu Passkey thì cần phải giới thiệu WebAuthn trước. Đây là công nghệ đăng nhập không cần mật khẩu do Liên minh FIDO đề xuất bởi Apple, Google, Microsoft, Meta, v.v. Nó thực hiện xác thực người dùng thông qua cặp khóa bất đối xứng do thiết bị tạo ra, thay thế sơ đồ xác thực mật khẩu người dùng. Nguyên tắc của nó tương tự như tấm chắn USB hoặc ví phần cứng mà chúng ta thường sử dụng, người dùng sử dụng khóa riêng được lưu trong thiết bị để tạo chữ ký số nhằm xác thực danh tính của mình với máy chủ.

Khóa riêng của WebAuthn được tạo và quản lý trong chip bảo mật chuyên dụng, tương ứng với Secure Enclave của thiết bị Apple, Phần tử bảo mật của thiết bị Android và TPM của thiết bị PC. Chúng đều là những con chip độc lập, không phụ thuộc vào CPU và hệ điều hành và có mức độ bảo mật rất cao. Ví dụ: thông tin thẻ tín dụng Apple Pay được lưu trữ trong khu vực này. Khóa riêng trong chip bảo mật không thể được đọc thông qua API bên ngoài mà chỉ có thể được mô-đun màn hình khóa của hệ thống (thường là sinh trắc học) gọi ra để thực hiện các thao tác chữ ký số.

Passkey là giải pháp đồng bộ hóa mã hóa khóa dựa trên WebAuthn. Người dùng có thể sử dụng tài khoản icloud hoặc Google để tự động mã hóa và đồng bộ hóa khóa riêng của thiết bị nhằm đạt được trải nghiệm đăng nhập tự động vào một trang web trên nhiều thiết bị cùng một lúc. Hiện tại, các thiết bị phổ thông bao gồm iOS, Android và MacOS đều hỗ trợ đầy đủ Passkey, trong khi Windows 10/11 chỉ hỗ trợ WebAuthn.

Passkey/WebAuthn (vì sự khác biệt kỹ thuật duy nhất giữa hai loại này là đồng bộ hóa nên từ nay chúng sẽ được gọi chung là Passkey) công nghệ là công nghệ xác thực tài khoản thế hệ tiếp theo được các công ty lớn quảng bá. Nó có những ưu điểm rất rõ ràng: không cần mật khẩu, chống mất mát, chống hàng giả, đơn giản và dễ sử dụng, v.v. Nhưng nó cũng có khuyết điểm tự nhiên, đó là các thiết bị của các thương hiệu khác nhau không thể tin cậy lẫn nhau, không thể đồng bộ hóa Passkey iOS với thiết bị Android nên việc đăng nhập vào tài khoản trên các thiết bị đầu cuối của thương hiệu luôn là một vấn đề lớn.

2.2 Passkey kết hợp ưu điểm của Web3

Bản thân công nghệ Passkey được thiết kế cho các dịch vụ mạng Web2 và không tính đến các kịch bản ứng dụng Web3/Crypto. Nhưng do kiến ​​trúc khóa bất đối xứng nên nó sẽ phát huy được lợi thế lớn khi kết hợp với Web3.

• Ví Passkey có thể được sử dụng để xây dựng một ví không giám sát mà không cần mật khẩu và từ ngữ.

• Ví Passkey không cần tiết lộ bất kỳ thông tin cá nhân nào của người dùng, bao gồm email, số điện thoại di động hoặc thậm chí tên người dùng

• Ví Passkey cải thiện tính bảo mật ví của người dùng thông thường đến cấp độ phần cứng và cung cấp trải nghiệm người dùng tốt hơn.

• Blockchain có thể đóng vai trò là trung gian tin cậy, cho phép các Passkey được tạo bởi các thiết bị của các thương hiệu khác nhau được công nhận lẫn nhau, điều này có thể mang lại trải nghiệm người dùng tốt hơn so với khi Web2 sử dụng Passkey.

Bảo mật, tiện lợi và không bị giam giữ, ba lợi thế dường như không thể đạt được này có thể đạt được trên ví Passkey. Nó sẽ là một yếu tố thúc đẩy quan trọng cho câu chuyện về việc áp dụng hàng loạt Web3.

2.3 Phân tích ngắn gọn về ví ERC 4337 và MPC

Cũng tập trung vào câu chuyện áp dụng hàng loạt, hiện đã có hai giải pháp chính thống trên thị trường, đó là ví trừu tượng tài khoản ERC 4337 và ví điện toán đa bên bảo mật MPC. Trước tiên chúng ta hãy xem xét ngắn gọn các nguyên tắc và đặc điểm của chúng.

Ví ERC 4337

ERC 4337 là tiêu chuẩn lớp ứng dụng cho ví hợp đồng EVM. Ưu điểm của ví hợp đồng bao gồm đặt lại khóa riêng nếu bị mất, thanh toán phí xử lý, quản lý quyền linh hoạt, giao dịch hàng loạt, v.v. Nhưng nhược điểm của nó cũng rất rõ ràng, bao gồm chi phí khởi tạo cao, phí giao dịch đơn lẻ cao, khả năng tương thích dapp kém, v.v. Đây là những ưu nhược điểm về mặt lý thuyết của ví hợp đồng, khi sử dụng thực tế lại bộc lộ nhiều khuyết điểm khác.

Người dùng vẫn cần khóa riêng, cách tạo và quản lý nó là một câu hỏi

Vấn đề về neo tin cậy khi khóa riêng bị mất và đặt lại: Ai có thẩm quyền đặt lại khóa riêng của ví người dùng?

Vấn đề đồng bộ hóa đa chuỗi của việc đặt lại khóa riêng: Giả sử rằng người dùng chỉ có tài sản trên Polygon và đặt lại khóa riêng vào thời điểm này, liệu khóa riêng của hợp đồng trên Ethereum có nên được đặt lại không? Nếu đặt lại, phí xử lý sẽ cao, nếu không đặt lại, người dùng tiếp theo sẽ không thể sử dụng tài khoản của họ trên Ethereum.

Có vấn đề về nguồn phí triển khai ban đầu, người dùng phải thanh toán hoặc bên thứ ba trợ cấp.

Các vấn đề khuyến khích cho các gói theo giao thức 4337

Những vấn đề lý thuyết và thực tiễn này dẫn đến tỷ lệ chấp nhận thực tế của ví ERC 4337 thấp hơn dự kiến.

Ví MPC

Ví MPC có nhiệm vụ chia khóa riêng thành nhiều phần và giao cho nhiều bên để bảo quản, khi cần có chữ ký thì các khóa riêng sẽ được ghép lại với nhau để tạo thành một khóa riêng hoàn chỉnh rồi ký tên, hoặc từng đoạn được ký tên riêng biệt và các chữ ký được gộp lại và tính thành chữ ký hoàn chỉnh. . Ưu điểm của ví MPC bao gồm

Chi phí trên chuỗi thấp và người dùng không cần phải trả thêm phí thực hiện hợp đồng ví

Giải pháp khôi phục rất linh hoạt, người dùng có thể sử dụng email, điện thoại di động, mật khẩu, lưu trữ đám mây và các phương pháp khác làm phương pháp xác thực để lấy các mảnh khôi phục.

Nền tảng độc lập, ví MPC không chỉ hỗ trợ EVM mà còn hỗ trợ về mặt lý thuyết các hệ thống blockchain khác nhau

Nhưng MPC cũng có một thiếu sót tương đối lớn, đó là phải đưa ra các dịch vụ lưu trữ phân đoạn và chữ ký tập trung. Họ yêu cầu rất nhiều chi phí để duy trì bảo mật thông tin và sao lưu dữ liệu của máy chủ phân đoạn, đồng thời để đảm bảo rằng họ có thể đáp ứng kịp thời các yêu cầu chữ ký của người dùng. Điều này cũng dẫn đến thực tế là mô hình kinh doanh của ví MPC là B SaaS và người dùng rất khó di chuyển. Điều này cũng dẫn đến các ứng dụng thường không muốn ràng buộc người dùng với một nhà cung cấp dịch vụ MPC nhất định.

3. Phân tích sản phẩm ví Passkey

3.1 Ba hướng ví Passkey

Chúng tôi đã phân tích các ví Passkey hiện có trên thị trường và nhận thấy rằng chúng chủ yếu được chia thành ba hướng kỹ thuật.

Giải pháp xác minh chữ ký AA + Passkey, được đại diện bởi Clave và Banana SDK

Sơ đồ xác thực ủy quyền tập trung, được đại diện bởi Chìa khóa trao tay

Giải pháp Signature Transform, đại diện bởi JoyID

Dưới đây chúng tôi sẽ giới thiệu và phân tích từng cái một.

3.2 Clave & Banana SDK

Loại ví đầu tiên áp dụng kiến ​​trúc chữ ký AA + Passkey, xây dựng một tài khoản trừu tượng trên chuỗi tương thích EVM và trực tiếp sử dụng hợp đồng thông minh để xác minh chữ ký Passkey. Hai dự án tiêu biểu được giới thiệu ở đây.

Clave (https://www.getclave.io/) ban đầu là một dự án đã giành được giải thưởng tại EthGlobal Hackathon 2023. Dự án được đặt tên là opClave khi tham gia. Nó sử dụng hợp đồng EVM để tính toán chữ ký secp 256 r 1 mà Passkey yêu cầu (không phải secp 256 k 1 thông thường). Do những hạn chế về độ phức tạp của thuật toán và khả năng EVM, việc xác minh chữ ký Passkey cần 600.000 đến 900.000 gas. Điều này là không thể chấp nhận được đối với các kịch bản thực tế, ít nhất là các kịch bản được áp dụng rộng rãi. Do đó, Clave có kế hoạch giảm mức tiêu thụ gas bằng cách xây dựng chuỗi Lớp 3 riêng biệt và thêm hợp đồng xác minh chữ ký secp 256 r 1 được biên dịch sẵn vào chuỗi đó. Tuy nhiên, phương pháp này làm tổn hại nghiêm trọng đến đặc tính đa chuỗi của ví nên khó được phổ biến.

Banana SDK (https://www.bananawallet.xyz/) tự định vị mình là SDK toB chứ không phải ví toC. Thông qua Banana SDK, các bên dapp có thể nhúng ví có ngưỡng thấp ở bất cứ đâu, giúp người dùng dễ dàng nhập. Nhưng giải pháp và vấn đề cơ bản của nó cũng giống như Clave, phí gas cao là trở ngại lớn nhất đối với tính thực tiễn của loại sản phẩm này.

Để giải quyết vấn đề chi phí xác minh chữ ký Passkey trên Ethereum, các nhà phát triển đã đề xuất EIP-7212 (https://eips.ethereum.org/EIPS/eip-7212) và các đề xuất Ethereum khác hy vọng rằng EVM sẽ có thuật toán xác minh chữ ký secp 256 r 1 được biên dịch sẵn, do đó giảm đáng kể chi phí xác minh chữ ký. Tuy nhiên, EIP này liên quan đến việc sửa đổi lớp đồng thuận và mật mã cơ bản, ngay cả khi nó có thể được thông qua thì thời gian cần thiết để hợp nhất vào mạng chính sẽ được tính bằng năm. Clave hiện đang hợp tác với zksync, thay thế EIP-7212 thành zksync và chủ yếu triển khai trên đó.

Ngoài ra, còn có các giải pháp khác cho các dự án tương tự như xác minh chữ ký trên chuỗi AA + Passkey, bao gồm các giải pháp sử dụng bằng chứng không có kiến ​​thức để giảm tính toán trên chuỗi, chẳng hạn nhưknownothinglabsSử dụng hào quang 2.bonfire walletSử dụng cây cảnh risc 0. Tuy nhiên, hầu hết các sản phẩm chỉ tồn tại ở giai đoạn nguyên mẫu sản phẩm và hiện tại không có sản phẩm nào có thể phân tích sâu hơn.

3.3 Turnkey

Xem xét chi phí xác minh hợp đồng thông minh của chữ ký Passkey, Chìa khóa trao tay (https://turnkey.com) và các nhà phát triển khác đưa việc xác minh Passkey ra ngoài chuỗi, thay vào đó để dịch vụ tập trung xác minh chữ ký Passkey của người dùng. Sau khi xác minh chữ ký thành công, máy mã hóa sẽ được điều khiển để tạo chữ ký. Giải pháp này thực chất là cách Web2 sử dụng Passkey, thay thế tên người dùng và mật khẩu bằng cặp khóa công khai, nhưng quyết định xác thực cuối cùng vẫn được đưa ra bởi máy chủ tập trung.

Chìa khóa trao tay tự định vị mình là dịch vụ WaaS của B. Ưu điểm của nó là các công cụ phát triển rất đầy đủ, trải nghiệm của nhà phát triển rất tốt và hỗ trợ sinh thái cũng rất tốt. Hiện đã có nhiều đối tác phát triển sản phẩm nhưdynamic.xyzNó cung cấp dịch vụ ví toC dựa trên Chìa khóa trao tay và có trải nghiệm người dùng tốt.

Nhưng vấn đề với Turnkey cũng rất nổi bật, đó là về cơ bản nó quản lý khóa riêng của ví của người dùng (mặc dù tài liệu của nó nhiều lần nhấn mạnh rằng nó không có quyền giám hộ. Lý do có vẻ là khóa riêng nằm trong môi trường TEE của máy chủ và quản trị viên không thể truy cập trực tiếp vào TEE) và mô hình kinh doanh là dịch vụ SaaS của B. Khi dịch vụ ngoại tuyến, người dùng sẽ gặp phải vấn đề không thể đăng nhập.

3.4 JoyID

Ví JoyID (joy.id) về mặt kỹ thuật đang thực hiện một lộ trình độc đáo, được gọi là Chuyển đổi chữ ký. Bản thân ví JoyID hỗ trợ nhiều chuỗi bao gồm Ethereum, Bitcoin, Solana, v.v. và hoạt động như một ví EOA tiêu chuẩn trên các chuỗi này, đồng thời phân cấp khóa riêng và thiết bị được ủy quyền thông qua tài khoản AA trên Nervos CKB. . Đây là một kiến ​​trúc rất đặc biệt kết hợp tính linh hoạt của tài khoản AA với chi phí thấp và khả năng tương thích cao của tài khoản EOA.

Tài khoản AA do JoyID quản lý chịu trách nhiệm chính trong việc ủy ​​quyền Passkey lẫn nhau giữa nhiều thiết bị và lưu các đoạn mã hóa được tính bằng khóa 2 trên 2. Đoạn còn lại được thiết bị tính toán theo thời gian thực thông qua Passkey khi ký. cách để đạt được chuyển đổi chữ ký phi tập trung giữa giây 256 r 1 → giây 256 k 1. Giải pháp này không yêu cầu sự can thiệp của máy chủ khi ký giao dịch, hoàn toàn dựa trên chữ ký chip bảo mật phía thiết bị người dùng, đảm bảo tính bảo mật, phân cấp và không giam giữ.

Về trải nghiệm thực tế sản phẩm, toàn bộ quá trình của JoyID diễn ra rất mượt mà, người dùng không cần nhập bất kỳ thông tin nào và có thể hoàn tất việc tạo ví bằng hai lần xác thực hệ thống. Toàn bộ quá trình chỉ mất vài giây và không cần phải trả bất cứ khoản nào ở giữa. Hiện tại, đây là giải pháp hoàn thiện và hoàn thiện nhất trong số tất cả các ví Passkey.

4. Tương lai của ví Web3

Để tóm tắt các ưu điểm của ví Passkey: không cần cài đặt, bảo mật cấp phần cứng, xác thực sinh trắc học, không cần cụm từ ghi nhớ, có thể khôi phục bất kỳ lúc nào, không cần mật khẩu, không cần cung cấp thông tin cá nhân, không phụ thuộc vào các công ty lớn Web2, Hãy chờ đợi khả năng tương thích EOA cao (được hỗ trợ bởi một số ví). So với ví plug-in Metamask truyền thống và ví ghi nhớ, trải nghiệm người dùng và thậm chí cả tính bảo mật của nó đã được cải thiện rất nhiều. Thậm chí trải nghiệm người dùng của nó còn vượt qua trải nghiệm đăng ký tài khoản Web2, không chỉ yêu cầu người dùng cung cấp email và số điện thoại di động mà còn cần phải vượt qua xác minh mã xác minh.

Trải nghiệm người dùng mới sẽ mang lại người dùng mới, từ đó sẽ tạo ra các kịch bản ứng dụng mới. Các ứng dụng Web3 như NFT âm nhạc, nền kinh tế sáng tạo, Open Loyalty và DAO từng bị hạn chế bởi tính chất đầu cơ của người dùng ví phổ thông và thường không thể tập trung vào hoạt động kinh doanh có giá trị của riêng họ. Sau khi một số lượng lớn người dùng không đầu cơ tham gia, các kịch bản ứng dụng này có thể phát huy lợi thế thực sự của chúng và mang lại giá trị lâu dài cho khách hàng.

Mô hình tương lai của ví Web3 có thể sẽ tương tự như mối quan hệ giữa WeChat Pay và Alipay. Người dùng sử dụng các dịch vụ tài chính thông qua Alipay và thực hiện các khoản thanh toán nhỏ hàng ngày thông qua WeChat. Đối với ví Web3, mọi người sẽ sử dụng ví phần cứng hoặc ví ghi nhớ để lưu trữ tài sản và kinh doanh DeFi, cũng như ví Passkey để tương tác dapp hàng ngày và thanh toán vi mô. Chúng tôi mong muốn ví Passkey trở nên phổ biến và mang lại cho người dùng quy mô lớn thực sự.