Pracovní skupina Etherea, skládající se z vývojářů peněženek, bezpečnostních firem a iniciativy Trillion Dollar Security Initiative Nadace Ethereum, dnes spustila otevřený standard navržený k ukončení slepého podepisování (blind signing) — strukturální chyby, která přispěla ke ztrátám uživatelů v řádech miliard, včetně hacku burzy Bybit. Iniciativa Trillion Dollar Security Initiative Nadace Ethereum přebírá aktivní roli jako důvěryhodně neutrální správce registru Jasného podepisování (Clear Signing).
U velkých exploitů v krypto a blockchainových aplikacích často není posledním krokem chyba v kódu, ale uživatel schvalující transakci. I když je narušení zahájeno phishingem nebo kompromitací infrastruktury, posledním krokem je obvykle potvrzení, kterému uživatel nemůže smysluplně porozumět. Schválení transakce má být poslední linií obrany při uplatňování kontroly nad tím, co se stane s vašimi aktivy na blockchainu. Když se to dělá slepě, tato obrana neobstojí.
Aby se uživatelé a instituce cítili bezpečně při uchovávání a interakci s aktivy na Ethereu v hodnotě bilionů, naším cílem musí být přístup „What You See Is What You Sign“ (WYSIWYS – co vidíš, to podepíšeš) a Jasné podepisování (Clear Signing) musí být standardem.
Dnes schválení transakce často znamená snahu pochopit, co se chystáte udělat, na základě informací, které nejsou určeny pro lidské čtení. Ve vysoce rizikových situacích se uživatelé mohou spoléhat na oddělené zařízení pro překontrolování detailů, zejména pokud by aplikace, kterou používají, mohla být kompromitována. V praxi jsou tyto informace často zobrazovány v nízkoúrovňových, strojově čitelných formátech, které jsou sice přesné, ale bez technických znalostí je obtížné je interpretovat.
Je zapotřebí způsob, jakým by stávající i nové aplikace na Ethereu mohly poskytovat jasné, lidsky čitelné a strukturované popisy toho, co transakce provede, aby peněženky mohly tyto informace uživatelům prezentovat konzistentně a spolehlivě. Dosažení tohoto cíle vyžaduje sdílený formát pro tyto popisy (ERC-7730), registr pro jejich ukládání a distribuci, způsob ověření jejich přesnosti a nástroje, které peněženkám a vývojářům usnadní přijetí tohoto přístupu, spolu s důvěryhodně neutrální stranou, která by tuto infrastrukturu podpořila.
Kdokoli může do tohoto systému přispět deskriptory. Jejich přesnost je ověřována prostřednictvím nezávislých kontrol a atestací a peněženky samy rozhodují, kterým zdrojům důvěřují. Ačkoli jsou tyto deskriptory poskytovány společně s transakcí, a nejsou do ní přímo vloženy, tento přístup umožňuje podporovat stávající i nové aplikace a zároveň stále umožňuje nezávislé ověření jejich přesnosti.
Iniciativa One Trillion Dollar Security Initiative Nadace Ethereum se zavázala k hostování této infrastruktury a podpoře jejího vývoje, přičemž nástroje vytvářejí a udržují přispěvatelé napříč ekosystémem a adopce je podporována prostřednictvím clearsigning.org, aby se Jasné podepisování stalo na Ethereu standardem.
Vyzýváme vývojáře peněženek, aby tento přístup přijali a integrovali podporu pro jasná, lidsky čitelná potvrzení transakcí. Vývojáři tvořící aplikace jsou vyzýváni, aby poskytovali přesné popisy toho, co jejich transakce dělají, a bezpečnostní experti jsou vyzýváni k jejich kontrole a potvrzování jejich správnosti. Informace o dostupných nástrojích, včetně knihoven v jazycích Rust a TypeScript financovaných prostřednictvím 1TS, naleznete na clearsigning.org.
Přechodem na Jasné podepisování posilujeme poslední linii obrany a činíme ekosystém Etherea bezpečnějším, přístupnějším a lépe připraveným na další vlnu uživatelů a institucionální adopci.
Chceme ocenit a poděkovat společnosti Ledger za iniciaci standardu ERC-7730 a rané úsilí v oblasti nástrojů, infrastruktury a vzdělávání. Jedná se o záměrně vícestranné úsilí s příspěvky napříč výzkumem, vývojem knihoven, audity a koordinací, do kterého jsou zapojeny týmy jako ZKnox, Sourcify, Cyfrin, Zama, WalletConnect, Fireblocks, Trezor, Keycard, MetaMask, Argot a nezávislí přispěvatelé z celého ekosystému.