DApps のユーザ認証に web3.eth.personal.sign を使おう！

Copyright Drecom Co., Ltd. All Rights Reserved. 1
DApps のユーザー認証に
web3.eth.personal.sign
を使おう！
Hi-Con LT
2018/11/10

自己紹介
株式会社ドリコム
DRIP部
エンジニア
小川光典
@ogwmtnr

Drecom

DRIP
https://drip.drecom.co.jp/

LoveChain
2018年7月5日リリース
https://lovechain.ooo

2018年9月26日リリース
https://6-pillars.ooo

ところで

DApps で
ユーザー登録すると
「署名」を
要求されがち

大先輩
CryptoKitties
のフロー

CryptoKitties でのユーザー登録

ユーザーにとっては
ID / Password
よりも楽なので
体感良さそう

実装を
考える

署名
https://web3js.readthedocs.io/en/1.0/web3-eth-personal.html#sign

署名
Ex.
web3.eth.personal.sign(
"Hello world",
"0x11f4d0A3c12e86B4b5F39B213F7E19D048276DAe",
“test password!” // unlock されてるアカウントへの署名ならnull でも動作します
)
.then(console.log);
>"0x30755ed65396facf86c53e6217c52b4daebe72aa4941d89635409de4c9c7f9466d4e9aaec7977f05e923889b33c0d0dd27d7226b6e6f56ce737465c5cfd04be400"

署名
署名するメッセージはユーザーに表示されるので、このように UX の一
部として含めることができそう。

検証
今回は一例として SmartContract 側に検証処理を持たせて JSON-RPC で問い合
わせる設計とする。
https://solidity.readthedocs.io/en/v0.4.25/units-and-global-variables.html
sig =
"0x30755ed65396facf86c53e6217c52b4daebe72aa4941d89635409de4c9c7f9466d4e9aaec7977f05e923889b33c0d0dd27d7226b6e6f56ce737465c5
cfd04be400"
r = “0x” + sig.slice(2, 66)
s = “0x” + sig.slice(66, 130)
v = “0x” + sig.slice(130, 132)
if (v < 27) v += 27

検証
ecrecover に投げる hash は EIP-191 に即した SignedData にする必要あり。
https://eips.ethereum.org/EIPS/eip-191
len(message) は文字数ではなくUTF-8 byte size です。
message = “小川”
len(message) = 6

検証
sig =
"0x30755ed65396facf86c53e6217c52b4daebe72aa4941d89635409de4c9c7f9466d4e9aaec7977f05e923889b33c0d0dd27d7226b6e6f56ce737465c5
cfd04be400"
r = “0x” + sig.slice(2, 66)
s = “0x” + sig.slice(66, 130)
v = “0x” + sig.slice(130, 132)
ただし、v は 27 または 28 でなければいけない。
もし 27 未満だったらv += 27 した上で hex にする。上記の例で言うとv = 0x1b となる。

設計

懸念
https://motemen.hatenablog.com/entry/2018/03/ethereum-dapp-protect-content

現実的な設計

まとめ
• バックエンドを持つ DApps ではウォレットの署名によるユーザー
（アドレス）の認証が可能。
• 署名に使うメッセージはユーザーに提示されるので、UI / UX の1つと
して使うと良さそう。
• メッセージが常に単一なものである場合、メッセージと署名が漏れ
てしまうとユーザーなりすましに使われてしまう危険がある。
• メッセージに「サーバーから発行したワンタイムトークン」を含め
るのが現実的な設計と考えられる。

ご静聴
ありがとうございました！

DApps のユーザ認証に web3.eth.personal.sign を使おう！

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Similar a DApps のユーザ認証に web3.eth.personal.sign を使おう！

Similar a DApps のユーザ認証に web3.eth.personal.sign を使おう！ (20)

Más de Drecom Co., Ltd.

Más de Drecom Co., Ltd. (20)

DApps のユーザ認証に web3.eth.personal.sign を使おう！

Notas del editor