Chữ ký

Chữ ký trong crypto là gì?

 

Chữ ký trong crypto là bằng chứng số cho thấy ví, khóa riêng tư hoặc tài khoản được cấp quyền đã phê duyệt một giao dịch, thông điệp, lệnh, phiếu bầu hoặc hành động hợp đồng thông minh cụ thể.

 

Khác với chữ ký viết tay, chữ ký crypto được tạo bằng mật mã học và phần mềm có thể kiểm tra mà không làm lộ khóa riêng tư.

 

Tiêu chuẩn Chữ ký số NIST chính thức giải thích rằng chữ ký số được dùng để phát hiện thay đổi dữ liệu trái phép và xác thực danh tính người ký.

 

Trong hệ thống blockchain, chữ ký chứng minh cá nhân hoặc hệ thống kiểm soát khóa riêng tư đã cho phép một dữ liệu cụ thể.

 

Đây là lý do người dùng có thể gửi tiền mã hóa mà không cần nhập tên người dùng, mật khẩu hoặc mã ủy quyền kiểu ngân hàng trực tiếp vào blockchain.

 

Ví ký giao dịch và mạng xác minh chữ ký khớp với tài khoản đang cố chi tiêu tiền hoặc thực hiện hành động.

 

Chữ ký không chứng minh người ký đã hiểu giao dịch.

 

Nó chứng minh khóa riêng tư, ví hoặc tài khoản dựa trên hợp đồng đã tạo quyền cho phép hợp lệ cho dữ liệu đã ký.

 

Nói đơn giản, chữ ký crypto là sự phê duyệt toán học báo cho blockchain hoặc ứng dụng rằng “ví này đã cho phép chính xác hành động này”.

Vì sao chữ ký quan trọng trong crypto?

 

Chữ ký quan trọng vì quyền sở hữu crypto dựa trên quyền cho phép mật mã thay vì hệ thống đăng nhập tài khoản truyền thống.

 

Tài liệu chính thức về tài khoản Ethereum giải thích rằng tài khoản dùng cặp khóa công khai và khóa riêng tư, trong đó khóa riêng tư dùng để ký thông điệp và giao dịch.

 

Khi người dùng ký giao dịch, blockchain có thể xác nhận giao dịch được chủ sở hữu tài khoản cho phép mà không thấy khóa riêng tư.

 

Điều này khiến chữ ký trở thành một trong các nền tảng quan trọng nhất của tự lưu ký.

 

Nếu không có chữ ký, blockchain không thể biết an toàn ai được phép di chuyển coin, phê duyệt token, bỏ phiếu quản trị, nhận phần thưởng hoặc tương tác với hợp đồng thông minh.

 

Chữ ký cũng giúp ứng dụng phi tập trung khả thi vì người dùng có thể cho phép hành động trực tiếp từ ví.

 

Hợp đồng thông minh có thể chấp nhận permit, lệnh, phê duyệt hoặc phiếu bầu đã ký và thực thi logic dựa trên quyền cho phép đó.

 

Bridge, ví multisignature hoặc hệ thống account abstraction cũng có thể phụ thuộc vào chữ ký để quyết định yêu cầu có hợp lệ hay không.

 

Với người dùng, chữ ký quan trọng vì việc ký thường là bước cuối trước khi tài sản, quyền hoặc quyền lợi thực tế thay đổi.

 

Với nhà phát triển, chữ ký quan trọng vì một luồng ký yếu có thể khiến toàn bộ giao thức đối mặt với tấn công replay, phishing hoặc thực thi trái phép.

Chữ ký crypto hoạt động như thế nào?

 

Chữ ký crypto được tạo khi phần mềm ví sử dụng khóa riêng tư để ký một giao dịch hoặc thông điệp cụ thể.

 

Ví trước tiên chuẩn bị dữ liệu cần phê duyệt.

 

Sau đó, ví hash hoặc mã hóa dữ liệu theo quy tắc ký của blockchain.

 

Khóa riêng tư được dùng trong thuật toán chữ ký số để tạo chữ ký.

 

Chữ ký được gắn vào giao dịch hoặc gửi kèm thông điệp.

 

Phần mềm khác có thể sử dụng chữ ký, dữ liệu đã ký và khóa công khai hoặc địa chỉ để kiểm tra chữ ký có hợp lệ hay không.

 

Nếu dữ liệu thay đổi, cùng chữ ký đó sẽ không còn xác minh được đối với dữ liệu đã thay đổi.

 

Điều này nghĩa là chữ ký bảo vệ cả quyền cho phép lẫn tính toàn vẹn dữ liệu.

 

Chữ ký hợp lệ chứng minh người ký đã phê duyệt một payload cụ thể, không phải một ý định chung mơ hồ.

 

Đây là lý do người dùng nên quan tâm chính xác ví yêu cầu họ ký nội dung gì.

Khóa riêng tư

 

Khóa riêng tư là giá trị bí mật tạo chữ ký crypto.

 

Không được chia sẻ khóa riêng tư vì bất kỳ ai có quyền truy cập thường có thể ký giao dịch và di chuyển tài sản từ tài khoản liên quan.

 

Khóa riêng tư không giống mật khẩu email vì blockchain thường không thể đặt lại nếu bị mất.

 

Ví thường chuyển quyền kiểm soát khóa riêng tư thành cụm từ khôi phục hoặc seed phrase để người dùng sao lưu tài khoản.

 

Hướng dẫn bảo mật ví Bitcoin chính thức cảnh báo người dùng cần bảo vệ ví vì kiểm soát khóa riêng tư là yếu tố thiết yếu để kiểm soát tiền.

 

Khi khóa riêng tư ký dữ liệu, khóa không cần rời khỏi ví hoặc thiết bị ký.

 

Đây là lý do ví phần cứng có thể tạo chữ ký trong khi giữ khóa riêng tư tách biệt với máy tính hoặc điện thoại.

 

Nếu khóa riêng tư bị đánh cắp, kẻ tấn công có thể tạo chữ ký hợp lệ và blockchain có thể coi các chữ ký đó là hợp pháp.

 

Vì vậy, bảo mật chữ ký bắt đầu từ bảo mật khóa riêng tư.

Khóa công khai

 

Khóa công khai là giá trị cho phép người khác xác minh chữ ký được tạo bởi khóa riêng tư tương ứng.

 

Khóa công khai có thể được chia sẻ vì theo giả định mật mã thông thường, nó không làm lộ khóa riêng tư.

 

Nhiều địa chỉ blockchain được dẫn xuất từ khóa công khai hoặc hash khóa công khai.

 

Chữ ký có thể chứng minh người ký đã kiểm soát khóa riêng tư liên kết với khóa công khai hoặc địa chỉ.

 

Điều này không chứng minh danh tính ngoài đời thực của người ký, trừ khi địa chỉ đó đã được liên kết với danh tính qua quy trình riêng.

 

Ví dụ, chữ ký hợp lệ có thể chứng minh quyền kiểm soát địa chỉ ví nhưng không chứng minh người ký đáng tin cậy.

 

Khóa công khai và chữ ký phối hợp để hỗ trợ quyền sở hữu mà không cần cơ quan tài khoản tập trung.

 

Đây là lý do quan trọng giúp tài sản crypto có thể được chuyển ngang hàng.

 

Khóa công khai xác minh quyền kiểm soát, còn khóa riêng tư tạo quyền kiểm soát.

Chữ ký giao dịch

 

Chữ ký giao dịch là chữ ký được gắn vào giao dịch blockchain.

 

Nó chứng minh người ký bắt buộc đã phê duyệt nội dung giao dịch.

 

Trong Bitcoin, chữ ký giúp chứng minh người chi tiêu được phép chi tiêu các đầu ra cụ thể theo quy tắc script.

 

Hướng dẫn giao dịch cho nhà phát triển Bitcoin chính thức cho biết Bitcoin sử dụng ECDSA với đường cong secp256k1.

 

Trong các hệ thống theo phong cách Ethereum, chữ ký giao dịch cho phép tài khoản dùng nonce, trả phí, gửi giá trị và gọi dữ liệu hợp đồng.

 

Trong Solana, giao dịch có thể yêu cầu chữ ký từ nhiều tài khoản tùy theo chỉ dẫn được thực thi.

 

Tài liệu giao dịch Solana chính thức cho biết mỗi người ký cung cấp chữ ký Ed25519 dài 64 byte.

 

Nếu chữ ký giao dịch bắt buộc bị thiếu hoặc không hợp lệ, mạng phải từ chối giao dịch.

 

Đây là lý do chữ ký giao dịch đóng vai trò trung tâm trong việc ngăn chặn các giao dịch chuyển tài sản không được chủ sở hữu cho phép.

Chữ ký thông điệp

 

Chữ ký thông điệp là chữ ký trên một thông điệp có thể không ngay lập tức trở thành giao dịch on-chain.

 

Người dùng có thể ký thông điệp để đăng nhập ứng dụng phi tập trung, chứng minh quyền sở hữu ví, phê duyệt lệnh off-chain, bỏ phiếu không tốn gas hoặc tạo permit để sử dụng sau.

 

Ký thông điệp có thể tạo cảm giác vô hại vì không phát giao dịch ngay.

 

Tuy nhiên, thông điệp đã ký vẫn có thể cho phép hành động mạnh nếu hợp đồng thông minh hoặc ứng dụng chấp nhận nó sau đó.

 

Ví dụ, permit đã ký có thể cho phép địa chỉ khác chi tiêu token theo quy tắc cụ thể.

 

Lệnh đã ký có thể cho phép giao dịch được thực hiện về sau.

 

Yêu cầu nhận đã ký có thể cho phép ai đó nhận token từ hợp đồng phân phối.

 

Người dùng nên đọc kỹ lời nhắc thông điệp vì chữ ký thông điệp có thể mang ý nghĩa tài chính thực tế.

 

Ký gasless không có nghĩa là ký không có rủi ro.

Chữ ký và xác minh chữ ký

 

Chữ ký là bằng chứng do người ký tạo ra.

 

Xác minh chữ ký là quá trình kiểm tra bằng chứng đó có hợp lệ hay không.

 

Việc ký diễn ra khi ví dùng khóa riêng tư hoặc quy tắc tài khoản để phê duyệt dữ liệu.

 

Xác minh diễn ra khi node, ví, ứng dụng, hợp đồng thông minh hoặc máy chủ kiểm tra chữ ký khớp với người ký và thông điệp dự kiến.

 

Cả hai bước đều cần thiết để cấp quyền crypto an toàn.

 

Chữ ký không bao giờ được xác minh là vô ích.

 

Quy trình xác minh không có chữ ký chính xác phải từ chối hành động.

 

Người dùng thường trải nghiệm việc ký qua lời nhắc ví, trong khi xác minh diễn ra ở phía sau.

 

Nhà phát triển phải hiểu cả hai vì quy tắc xác minh kém có thể chấp nhận chữ ký không nên được chấp nhận.

Chữ ký ECDSA

 

ECDSA là viết tắt của Elliptic Curve Digital Signature Algorithm.

 

Bitcoin và các hệ thống theo phong cách Ethereum thường dùng ECDSA trên đường cong secp256k1 cho chữ ký tài khoản và giao dịch.

 

Chữ ký ECDSA thường được biểu diễn bằng các giá trị chữ ký cho phép phần mềm xác minh khóa riêng tư đã phê duyệt dữ liệu ký.

 

Chữ ký theo phong cách Ethereum thường bao gồm giá trị khôi phục, giúp khôi phục khóa công khai hoặc địa chỉ của người ký từ chữ ký.

 

ECDSA được sử dụng rộng rãi trong crypto nhưng phải được triển khai cẩn thận.

 

Tính ngẫu nhiên yếu hoặc tái sử dụng nonce khi ký có thể làm lộ khóa riêng tư.

 

Xác thực chữ ký kém có thể tạo vấn đề biến đổi hoặc replay.

 

Nhà phát triển nên dùng thư viện mật mã trưởng thành thay vì mã ECDSA tùy chỉnh.

 

Người dùng nên hiểu chữ ký ECDSA hợp lệ là bằng chứng mạnh về quyền kiểm soát khóa, nhưng không chứng minh hành động đã ký an toàn.

Chữ ký Schnorr

 

Chữ ký Schnorr là một loại chữ ký số khác, được dùng trong một số ngữ cảnh liên quan đến Bitcoin và các hệ thống mật mã khác.

 

Đặc tả chữ ký Schnorr BIP-340 xác định cơ chế chữ ký Schnorr cho đường cong secp256k1.

 

Chữ ký Schnorr có thể hỗ trợ các lợi ích như đặc tính tổng hợp đơn giản hơn và thiết kế chữ ký gọn gàng hơn trong một số hệ thống.

 

Trong Bitcoin, chữ ký Schnorr liên kết với các cải tiến thời Taproot.

 

Tổng hợp chữ ký và các thiết kế liên quan có thể giúp giảm kích thước dữ liệu và cải thiện quyền riêng tư trong một số trường hợp sử dụng nâng cao.

 

Người dùng thường không tự chọn ECDSA hay Schnorr khi sử dụng ví thông thường.

 

Ví, loại script và quy tắc mạng quyết định phương pháp chữ ký áp dụng.

 

Nhà phát triển và người dùng nâng cao vẫn nên hiểu các cơ chế chữ ký khác nhau có quy tắc và giả định bảo mật khác nhau.

 

Định dạng chữ ký là một phần trong kiến trúc bảo mật của blockchain.

Chữ ký Ed25519

 

Ed25519 là cơ chế chữ ký số được một số blockchain dùng, bao gồm Solana cho chữ ký giao dịch thông thường.

 

Chữ ký Ed25519 gọn và hiệu quả, phù hợp với môi trường blockchain có thông lượng cao.

 

Giao dịch Solana yêu cầu chữ ký từ các tài khoản được đánh dấu là người ký trong thông điệp giao dịch.

 

Các chữ ký này chứng minh cơ quan có thẩm quyền bắt buộc đã phê duyệt chỉ dẫn.

 

Đối với nhà phát triển Solana, không đủ để giả định một tài khoản đã được đưa vào chương trình đúng cách.

 

Chương trình cũng phải kiểm tra tài khoản đúng đã ký khi cần quyền người ký.

 

Thiếu kiểm tra người ký có thể trở thành lỗ hổng hợp đồng thông minh hoặc chương trình nghiêm trọng.

 

Người dùng nên nhớ chữ ký Ed25519 vẫn là một sự kiện cấp quyền.

 

Phê duyệt sai giao dịch vẫn có thể di chuyển tài sản hoặc cấp quyền.

Payload chữ ký

 

Payload chữ ký là dữ liệu chính xác đang được ký.

 

Với giao dịch, payload có thể gồm thông tin người gửi, người nhận, giá trị, phí, nonce, chain ID, chỉ dẫn, dữ liệu hợp đồng hoặc các trường khác tùy mạng.

 

Với thông điệp, payload có thể gồm thử thách đăng nhập, chi tiết lệnh, số tiền phê duyệt, thời hạn, nonce hoặc phiếu bầu quản trị.

 

Cùng khóa riêng tư có thể ký nhiều payload khác nhau, nên ý nghĩa đến từ chính xác payload đó.

 

Đây là lý do người dùng không nên ký dữ liệu mơ hồ hoặc không thể đọc nếu không hiểu dữ liệu cấp quyền gì.

 

Chữ ký trên một payload không nên hợp lệ cho payload khác.

 

Tiêu chuẩn ký tốt làm payload rõ ràng và theo ngữ cảnh cụ thể.

 

Thiết kế ký kém có thể khiến chữ ký tái sử dụng được, gây nhầm lẫn hoặc nguy hiểm.

 

Trong crypto, payload là chỉ dẫn, còn chữ ký là phê duyệt.

Hash chữ ký

 

Hash chữ ký là hash của dữ liệu đang được ký.

 

Hash chuyển dữ liệu thành bản tóm lược kích thước cố định trước khi thuật toán chữ ký xử lý.

 

Điều này giúp ký hiệu quả và bảo đảm ngay cả thay đổi dữ liệu nhỏ cũng tạo kết quả ký khác.

 

Các blockchain và tiêu chuẩn khác nhau dùng quy tắc hash và mã hóa khác nhau.

 

Chữ ký giao dịch Bitcoin, chữ ký dữ liệu có kiểu Ethereum và chữ ký giao dịch Solana không có cùng định dạng.

 

Nhà phát triển phải dùng quy tắc hash đúng cho mạng và tiêu chuẩn ký mục tiêu.

 

Nếu hash sai được ký hoặc xác minh, chữ ký có thể thất bại hoặc tạo ra sự không khớp nguy hiểm.

 

Người dùng thường không thấy trực tiếp hash, nhưng phụ thuộc vào ví và ứng dụng để tạo hash đúng.

 

Chữ ký chỉ có ý nghĩa khi dữ liệu đúng được hash và ký.

Dữ liệu đã ký Ethereum

 

Ethereum hỗ trợ một số định dạng ký cho thông điệp và dữ liệu có kiểu.

 

Tiêu chuẩn dữ liệu được ký ERC-191 chính thức xác định định dạng tiêu chuẩn xử lý dữ liệu đã ký trong hợp đồng Ethereum.

 

ERC-191 giúp phân biệt thông điệp đã ký với giao dịch thô và hỗ trợ xử lý dữ liệu ký an toàn hơn.

 

Tiêu chuẩn dữ liệu có cấu trúc được định kiểu EIP-712 chính thức xác định phương pháp hash và ký dữ liệu có cấu trúc được định kiểu.

 

EIP-712 quan trọng vì có thể làm lời nhắc ký dễ đọc hơn và theo ngữ cảnh cụ thể hơn.

 

Chữ ký dữ liệu có kiểu có thể bao gồm thông tin miền như ứng dụng, chain, hợp đồng, phiên bản và chi tiết hành động.

 

Điều này giúp giảm rủi ro replay giữa các ứng dụng hoặc mạng khác nhau nếu triển khai đúng.

 

Người dùng vẫn nên xem xét cẩn thận chữ ký dữ liệu có kiểu vì lời nhắc dễ đọc vẫn có thể cho phép hành động rủi ro.

 

Tiêu chuẩn giúp rõ ràng hơn nhưng không thay thế sự thận trọng.

Chữ ký hợp đồng thông minh

 

Ví hợp đồng thông minh có thể dùng logic chữ ký khác với tài khoản khóa riêng tư đơn giản.

 

Tiêu chuẩn xác thực chữ ký ERC-1271 chính thức xác định phương pháp để hợp đồng xác nhận chữ ký có hợp lệ với một hash nhất định hay không.

 

Điều này quan trọng vì ví hợp đồng thông minh có thể yêu cầu nhiều phê duyệt, giới hạn chi tiêu, khóa phiên, quy tắc khôi phục hoặc quyền cho phép dựa trên quản trị.

 

Tài khoản sở hữu bên ngoài thông thường có thể tạo chữ ký trực tiếp bằng khóa riêng tư.

 

Ví hợp đồng thông minh có thể xác thực quyền cho phép bằng logic hợp đồng.

 

Các ứng dụng chỉ hỗ trợ chữ ký tài khoản đơn giản có thể không hoạt động với ví hợp đồng thông minh.

 

Khi account abstraction phát triển, hệ thống chữ ký đang linh hoạt hơn.

 

Lộ trình account abstraction Ethereum chính thức giải thích rằng account abstraction có thể giúp ví lập trình được nhiều hơn.

 

Trong môi trường này, chữ ký có thể nghĩa là sự phê duyệt từ khóa, nhóm, bộ quy tắc hoặc chính sách tài khoản hợp đồng thông minh.

Multisignature

 

Ví multisignature yêu cầu nhiều hơn một chữ ký hoặc phê duyệt trước khi hành động được thực hiện.

 

Ví dụ, ví có thể yêu cầu hai trong ba người ký hoặc ba trong năm người ký.

 

Hệ thống multisignature giảm rủi ro một khóa vì một khóa bị đánh cắp có thể chưa đủ để di chuyển tiền.

 

Chúng được dùng rộng rãi cho kho bạc, vai trò quản trị giao thức, quy trình lưu ký và tiền do nhóm kiểm soát.

 

Thiết lập multisignature vẫn phụ thuộc vào việc xem xét giao dịch rõ ràng và sự độc lập của người ký.

 

Nếu nhiều người ký cùng phê duyệt giao dịch độc hại, giao dịch vẫn có thể được thực hiện.

 

Vì vậy, bảo mật multisignature bao gồm cả yếu tố kỹ thuật và vận hành.

 

Thực hành multisignature tốt gồm dùng thiết bị riêng, người riêng, chính sách rõ ràng, mô phỏng giao dịch và xác minh địa chỉ cẩn thận.

 

Nhiều chữ ký có thể cải thiện an toàn nhưng không loại bỏ nhu cầu đánh giá của con người.

Chữ ký ngưỡng

 

Chữ ký ngưỡng là hệ thống mật mã trong đó số lượng người tham gia bắt buộc phối hợp để tạo một chữ ký hợp lệ.

 

Không giống multisignature đơn giản có thể hiển thị nhiều chữ ký riêng biệt on-chain, chữ ký ngưỡng đôi khi có thể xuất hiện như một chữ ký thông thường.

 

Điều này có thể cải thiện quyền riêng tư, giảm kích thước dữ liệu hoặc hỗ trợ mô hình lưu ký tổ chức tùy chain và cách triển khai.

 

Ký ngưỡng có thể giảm rủi ro một khóa vì không người tham gia nào cần tự giữ toàn bộ bí mật ký.

 

Nó cũng có thể tạo phức tạp vận hành vì người tham gia phải phối hợp chính xác.

 

Hệ thống ngưỡng có thể thất bại nếu quá nhiều người tham gia offline, bị xâm phạm hoặc không khả dụng.

 

Người dùng nên hiểu mô hình lưu ký của mọi ví hoặc dịch vụ dùng ký ngưỡng.

 

Ý chính là quyền ký có thể được phân bổ mà không trao cho một thiết bị hoặc cá nhân quyền kiểm soát hoàn toàn.

 

Chữ ký ngưỡng cho thấy chữ ký crypto có thể hỗ trợ thiết kế bảo mật nâng cao ngoài một khóa và một ví.

Chữ ký và phê duyệt token

 

Chữ ký có thể cho phép phê duyệt token khi token hoặc ứng dụng hỗ trợ luồng phê duyệt đã ký.

 

Phê duyệt token thông thường thường được gửi dưới dạng giao dịch on-chain.

 

Phê duyệt đã ký đôi khi có thể được tạo off-chain và gửi sau đó bởi bên khác hoặc hợp đồng.

 

Điều này có thể tiết kiệm thời gian và phí, nhưng cũng có thể gây nhầm lẫn cho người dùng.

 

Người dùng có thể nghĩ họ chỉ ký thông điệp trong khi thực tế đang cấp quyền chi tiêu.

 

Phê duyệt đã ký nên bao gồm token, chủ sở hữu, bên chi tiêu, số tiền, nonce, thời hạn, chain và hợp đồng xác minh khi liên quan.

 

Nếu các trường này thiếu hoặc không rõ ràng, người dùng đối mặt với rủi ro phishing và replay cao hơn.

 

Người dùng nên thận trọng với chữ ký phê duyệt như với giao dịch phê duyệt.

 

Chữ ký cấp quyền chi tiêu có thể nguy hiểm như giao dịch trực tiếp.

Chữ ký và quản trị

 

Hệ thống quản trị có thể dùng chữ ký để thu thập phiếu bầu, ủy quyền quyền biểu quyết hoặc cho phép hành động đề xuất.

 

Bỏ phiếu off-chain thường dựa vào việc người dùng ký thông điệp có cấu trúc thể hiện lựa chọn của họ.

 

Điều này có thể giảm phí giao dịch và giúp việc tham gia dễ hơn.

 

Tuy nhiên, chữ ký quản trị có thể ảnh hưởng đến quyết định giao thức thực tế.

 

Phiếu bầu đã ký có thể tác động đến chi tiêu kho bạc, nâng cấp, thay đổi tham số hoặc quyết định cộng đồng.

 

Người dùng nên đọc kỹ lời nhắc ký quản trị trước khi phê duyệt.

 

Nhà phát triển nên đưa mã định danh đề xuất, thông tin chain, lựa chọn bỏ phiếu, thời hạn và dữ liệu miền quản trị vào payload ký.

 

Hệ thống ký quản trị tốt giảm sự mơ hồ và rủi ro replay.

 

Chữ ký quản trị hợp lệ chứng minh quyền cho phép ví, không phải sự đồng thuận có hiểu biết.

Chữ ký và bridge

 

Nhiều hệ thống bridge dùng chữ ký để cho phép thông điệp cross-chain, rút tiền, mint, burn hoặc phát hành tài sản bị khóa.

 

Bridge có thể dựa vào chữ ký từ validator, relayer, ủy ban, người ký ngưỡng hoặc hệ thống xác minh khác.

 

Nếu chữ ký bridge bị giả mạo, replay hoặc xác minh không đúng, tài sản có thể bị phát hành hoặc mint sai.

 

Payload chữ ký bridge nên gồm chain nguồn, chain đích, ID thông điệp, token, số tiền, người nhận, nonce và ngữ cảnh miền.

 

Bridge có rủi ro cao vì kết nối các hệ thống có giả định bảo mật khác nhau.

 

Chữ ký bridge hợp lệ chỉ mạnh bằng tập hợp người ký, quy tắc xác minh, mô hình lưu ký và bảo mật hợp đồng thông minh của bridge.

 

Người dùng không nên cho rằng bridge an toàn chỉ vì bridge dùng chữ ký.

 

Chữ ký cần thiết cho nhiều thiết kế bridge nhưng không phải bảo đảm đầy đủ về bảo mật bridge.

 

Chữ ký cross-chain cần thiết kế cẩn thận vì sai sót có thể ảnh hưởng tài sản trên nhiều mạng.

Rủi ro replay chữ ký

 

Rủi ro replay xảy ra khi chữ ký hợp lệ được tái sử dụng ở nơi không nên hợp lệ.

 

Chữ ký dành cho một chain có thể bị tái sử dụng trên chain khác nếu dữ liệu ký không bao gồm chain ID.

 

Chữ ký dành cho một hợp đồng có thể bị tái sử dụng trên hợp đồng khác nếu dữ liệu ký không bao gồm địa chỉ hợp đồng xác minh.

 

Chữ ký dành cho một lệnh có thể bị tái sử dụng nhiều lần nếu dữ liệu ký không gồm nonce hoặc nonce không được đánh dấu đã dùng.

 

Rủi ro replay là một trong những nguy cơ quan trọng nhất trong thiết kế chữ ký.

 

Nhà phát triển giảm rủi ro replay bằng nonce, thời hạn, bộ phân tách miền, chain ID, địa chỉ hợp đồng, loại hành động và theo dõi chữ ký đã dùng.

 

Người dùng giảm rủi ro replay bằng cách tránh chữ ký không rõ ràng và dùng giao diện đáng tin cậy hiển thị chi tiết ký.

 

Chữ ký có thể hợp lệ về mặt toán học nhưng vẫn nguy hiểm nếu được chấp nhận sai ngữ cảnh.

 

Chữ ký tốt có tính cụ thể, giới hạn và khó tái sử dụng ngoài mục đích dự kiến.

Tính biến đổi của chữ ký

 

Tính biến đổi của chữ ký nghĩa là trong một số điều kiện, nhiều giá trị chữ ký có thể hợp lệ cho cùng thông điệp và người ký.

 

Điều này có thể gây vấn đề khi hệ thống giả định mỗi chữ ký hợp lệ chỉ có một dạng duy nhất.

 

Trong hệ thống dựa trên ECDSA, nhà phát triển thường dùng quy tắc chữ ký chuẩn để giảm rủi ro biến đổi.

 

Tính biến đổi có thể ảnh hưởng đến theo dõi replay, mã định danh giao dịch, khớp lệnh và giả định về tính duy nhất của chữ ký.

 

Hầu hết người dùng không bao giờ trực tiếp thấy vấn đề này vì ví và thư viện xử lý nó.

 

Nhà phát triển vẫn cần hiểu khi xây dựng hợp đồng thông minh, hệ thống lệnh hoặc logic xác minh.

 

Dùng thư viện trưởng thành an toàn hơn triển khai quy tắc chữ ký thủ công.

 

Tính biến đổi chữ ký nhắc nhở rằng chi tiết mật mã nhỏ có thể tạo vấn đề giao thức lớn.

 

Chữ ký phải hợp lệ về cả toán học lẫn điều khoản riêng của giao thức.

Chữ ký và phishing

 

Phishing là một trong các rủi ro người dùng lớn nhất liên quan đến chữ ký.

 

Trang phishing có thể lừa người dùng ký giao dịch, permit, thông điệp, phê duyệt hoặc lệnh mang lại lợi ích cho kẻ tấn công.

 

Chữ ký có thể hoàn toàn hợp lệ dù người dùng bị lừa.

 

Cảnh báo nhà đầu tư của SEC về lừa đảo tài sản crypto cảnh báo kẻ lừa đảo lợi dụng sự phổ biến của crypto để dụ nạn nhân vào lừa đảo.

 

Phishing crypto thường dựa vào tính khẩn cấp, phần thưởng giả, hỗ trợ giả, airdrop giả, trang khôi phục giả và thiết kế website sao chép.

 

Người dùng không nên giả định chữ ký an toàn chỉ vì website trông chuyên nghiệp.

 

Họ nên kiểm tra miền, địa chỉ hợp đồng, lời nhắc ví, địa chỉ bên chi tiêu, số lượng token và mục đích thông điệp.

 

Nếu ví hiển thị dữ liệu thập lục phân thô hoặc nội dung không rõ, người dùng cần đặc biệt thận trọng.

 

Phishing chữ ký hoạt động vì blockchain chấp nhận chữ ký hợp lệ, không phải ý định tốt.

Chữ ký và ví phần cứng

 

Ví phần cứng là thiết bị tạo chữ ký trong khi giữ khóa riêng tư tách biệt với máy tính hoặc điện thoại được kết nối.

 

Điều này có thể giảm rủi ro malware đánh cắp khóa riêng tư.

 

Ví phần cứng vẫn cần người dùng phê duyệt hành động đang được ký.

 

Nếu người dùng phê duyệt giao dịch độc hại, ví phần cứng có thể tạo chữ ký hợp lệ cho hành động độc hại đó.

 

Đây là lý do màn hình ví phần cứng, bản xem trước giao dịch và chi tiết ký rõ ràng quan trọng.

 

Ký mù rủi ro vì người dùng có thể phê duyệt dữ liệu không thể đọc đầy đủ trên thiết bị.

 

Ví phần cứng cải thiện bảo vệ khóa nhưng không bảo đảm người dùng hiểu giao dịch.

 

Người dùng nên kiểm tra địa chỉ người nhận, phê duyệt token, lệnh gọi hợp đồng và số tiền trên thiết bị khi có thể.

 

Chữ ký an toàn nhất là chữ ký do khóa được bảo vệ tạo sau khi người dùng hiểu yêu cầu.

Chữ ký và account abstraction

 

Account abstraction thay đổi cách chữ ký có thể hoạt động trong hệ thống ví.

 

Thay vì mọi tài khoản dựa vào một định dạng chữ ký khóa riêng tư tiêu chuẩn, smart account có thể xác định quy tắc cấp quyền tùy chỉnh.

 

Smart account có thể dùng Passkey, khóa phiên, quy tắc multisignature, giới hạn chi tiêu, khôi phục xã hội, giới hạn thời gian hoặc điều kiện có thể lập trình khác.

 

Điều này có thể cải thiện trải nghiệm người dùng và bảo mật nếu triển khai tốt.

 

Nó cũng có thể khiến xác minh phức tạp hơn vì ứng dụng phải hiểu quy tắc chữ ký dựa trên hợp đồng.

 

ERC-1271 và các phương pháp tương tự giúp ứng dụng xác minh chữ ký từ ví hợp đồng thông minh.

 

Khi smart account trở nên phổ biến hơn, nghĩa của chữ ký có thể mở rộng từ một khóa phê duyệt một hành động thành chính sách ví phê duyệt hành động.

 

Người dùng vẫn nên coi mọi thao tác được phê duyệt là nghiêm túc vì ví có thể lập trình vẫn có thể cho phép di chuyển tài sản thực.

 

Account abstraction làm chữ ký linh hoạt hơn, không tự động loại bỏ rủi ro.

Chữ ký và bảo mật hợp đồng thông minh

 

Hợp đồng thông minh chấp nhận chữ ký phải được viết cẩn thận.

 

Hợp đồng nên kiểm tra người ký dự kiến, hành động đã ký, số tiền, người nhận, nonce, thời hạn, chain ID và hợp đồng xác minh khi liên quan.

 

Nếu thiếu bất kỳ trường nào, chữ ký có thể tái sử dụng hoặc bị diễn giải sai.

 

Hợp đồng nên từ chối chữ ký hết hạn và đánh dấu chính xác nonce đã dùng.

 

Hợp đồng cũng nên hỗ trợ ví hợp đồng thông minh khi ứng dụng dự kiến có người dùng này.

 

Lỗi trong xác minh chữ ký có thể cho phép kẻ tấn công nhận phần thưởng, thực hiện lệnh, phê duyệt chi tiêu, bỏ phiếu hoặc rút tiền mà không được cấp quyền đúng.

 

Luồng dựa trên chữ ký nên được kiểm thử với người dùng bình thường, người dùng độc hại, nỗ lực replay, thời hạn hết hạn, sai chain, sai hợp đồng và sai người ký.

 

Kiểm toán viên nên xem logic chữ ký là khu vực rủi ro cao.

 

Trong bảo mật hợp đồng thông minh, chữ ký thường là kiểm soát truy cập dưới dạng mật mã.

Các lỗi chữ ký phổ biến

 

Một lỗi phổ biến là cho rằng ký thông điệp luôn vô hại.

 

Lỗi khác là phê duyệt dữ liệu thô mà không hiểu ý nghĩa.

 

Lỗi thứ ba là nhầm kết nối ví với ký bằng ví.

 

Lỗi thứ tư là cấp quyền chi tiêu token qua permit đã ký mà không để ý bên chi tiêu.

 

Lỗi thứ năm là tin lời nhắc chữ ký vì website dùng logo quen thuộc.

 

Lỗi thứ sáu là xây dựng thông điệp ký không có nonce hoặc thời hạn.

 

Lỗi thứ bảy là không đưa chain ID và địa chỉ hợp đồng vào payload ký.

 

Lỗi thứ tám là không hỗ trợ chữ ký ví hợp đồng thông minh.

 

Lỗi thứ chín là dùng mã chữ ký tùy chỉnh thay vì thư viện đã được kiểm toán.

 

Lỗi thứ mười là tin chữ ký hợp lệ chứng minh người ký muốn kết quả hoặc hiểu mọi rủi ro.

Lợi ích của chữ ký

 

Lợi ích thứ nhất là cấp quyền giao dịch an toàn mà không làm lộ khóa riêng tư.

 

Lợi ích thứ hai là chứng minh quyền sở hữu ví.

 

Lợi ích thứ ba là bảo vệ chống thay đổi trái phép với dữ liệu đã ký.

 

Lợi ích thứ tư là hỗ trợ tự lưu ký.

 

Lợi ích thứ năm là tương thích với hợp đồng thông minh, DeFi, NFT, quản trị, staking và đăng nhập ví.

 

Lợi ích thứ sáu là cấp quyền gasless cho một số hành động off-chain hoặc trì hoãn.

 

Lợi ích thứ bảy là hỗ trợ thiết kế bảo mật multisignature và chữ ký ngưỡng.

 

Lợi ích thứ tám là xác thực phi tập trung tốt hơn mà không cần cơ sở dữ liệu mật khẩu truyền thống.

 

Lợi ích thứ chín là phối hợp liên hệ thống khi chữ ký được thiết kế với bảo vệ replay mạnh.

 

Lợi ích thứ mười là chữ ký giúp quyền sở hữu kỹ thuật số được mật mã thực thi.

Rủi ro và hạn chế của chữ ký

 

Rủi ro thứ nhất là khóa riêng tư bị đánh cắp có thể tạo chữ ký hợp lệ.

 

Rủi ro thứ hai là người dùng bị lừa có thể ký giao dịch hoặc thông điệp độc hại.

 

Rủi ro thứ ba là replay nếu dữ liệu ký không bao gồm đủ ngữ cảnh.

 

Rủi ro thứ tư là lời nhắc ví không thể đọc.

 

Rủi ro thứ năm là tính biến đổi chữ ký hoặc logic xác minh kém.

 

Rủi ro thứ sáu là phần mềm ví yếu hoặc thiết bị ký không an toàn.

 

Rủi ro thứ bảy là phishing qua website giả và tài khoản hỗ trợ giả.

 

Rủi ro thứ tám là nhầm lẫn cross-chain khi chữ ký không dành riêng cho miền.

 

Rủi ro thứ chín là lỗi hợp đồng thông minh khi chấp nhận chữ ký.

 

Rủi ro thứ mười là sự tự tin sai lầm vì chữ ký hợp lệ chứng minh quyền cho phép, không chứng minh an toàn, công bằng hoặc lợi nhuận.

Các phương pháp tốt nhất cho người dùng

 

Đọc mọi lời nhắc ví trước khi ký.

 

Kiểm tra miền website trước khi phê duyệt bất kỳ yêu cầu chữ ký nào.

 

Kiểm tra chữ ký là để đăng nhập, phê duyệt, chuyển, permit, lệnh, phiếu bầu hay hành động tài chính khác.

 

Thận trọng với thông điệp thập lục phân thô và lời nhắc không rõ.

 

Xem xét kỹ địa chỉ bên chi tiêu token và số tiền phê duyệt.

 

Tránh ký yêu cầu khẩn cấp từ liên kết không rõ, airdrop giả, tài khoản hỗ trợ giả hoặc tin nhắn riêng.

 

Dùng ví phần cứng hoặc thiết lập lưu ký mạnh hơn cho số dư lớn khi phù hợp.

 

Tách ví lưu trữ giá trị cao khỏi ví tương tác hằng ngày khi có thể.

 

Thu hồi phê duyệt không cần thiết khi phù hợp với hoạt động ví.

 

Hãy nhớ chữ ký là quyền cho phép, không phải cú nhấp chuột thông thường.

Các phương pháp tốt nhất cho nhà phát triển

 

Dùng tiêu chuẩn ký đã được thiết lập thay vì định dạng tùy chỉnh bất cứ khi nào có thể.

 

Dùng dữ liệu có kiểu EIP-712 cho các phê duyệt phức tạp theo phong cách Ethereum khi ký có cấu trúc dễ đọc phù hợp.

 

Đưa chain ID, hợp đồng xác minh, nonce, thời hạn, người ký, người nhận, số tiền và loại hành động khi các trường đó liên quan.

 

Từ chối chữ ký hết hạn và nonce đã dùng.

 

Dùng thư viện mật mã đáng tin cậy, tránh tự viết logic khôi phục chữ ký khi không có chuyên môn vững.

 

Hỗ trợ ERC-1271 khi người dùng có thể tương tác qua ví hợp đồng thông minh.

 

Kiểm thử chữ ký trên các ví, mạng, trình duyệt, thư viện và trường hợp biên.

 

Làm lời nhắc người dùng đủ rõ để người không chuyên có thể hiểu.

 

Kiểm toán cẩn thận các đường cấp quyền dựa trên chữ ký.

 

Coi chữ ký là một phần của kiểm soát truy cập, không chỉ là tính năng giao diện người dùng.

FAQ

Chữ ký trong crypto nghĩa là gì?

 

Chữ ký trong crypto là bằng chứng số cho thấy ví, khóa riêng tư hoặc tài khoản được cấp quyền đã phê duyệt dữ liệu cụ thể như giao dịch hoặc thông điệp.

Chữ ký crypto có giống chữ ký viết tay không?

 

Không. Chữ ký crypto là quyền cho phép toán học được tạo bằng khóa riêng tư, còn chữ ký viết tay là dấu hiệu vật lý gắn với danh tính pháp lý hoặc cá nhân.

Việc ký có làm lộ khóa riêng tư không?

 

Không. Chữ ký số đúng cách chứng minh quyền kiểm soát khóa riêng tư mà không làm lộ khóa riêng tư.

Chữ ký có thể di chuyển crypto của tôi không?

 

Có. Chữ ký giao dịch có thể di chuyển crypto và một số chữ ký thông điệp có thể cho phép hành động sau đó như chi tiêu token hoặc thực hiện lệnh.

Khác biệt giữa chữ ký giao dịch và chữ ký thông điệp là gì?

 

Chữ ký giao dịch cho phép giao dịch on-chain, trong khi chữ ký thông điệp phê duyệt dữ liệu có thể được dùng cho đăng nhập, permit, phiếu bầu, lệnh hoặc hành động off-chain hay trì hoãn khác.

Bitcoin dùng thuật toán chữ ký nào?

 

Bitcoin từng sử dụng ECDSA với đường cong secp256k1 và cũng hỗ trợ chữ ký Schnorr trong các ngữ cảnh liên quan đến Taproot.

Solana dùng thuật toán chữ ký nào?

 

Việc ký giao dịch Solana dùng chữ ký Ed25519 từ những người ký bắt buộc.

Chữ ký hợp lệ vẫn có thể nguy hiểm không?

 

Có. Chữ ký hợp lệ có thể nguy hiểm nếu nó cho phép phê duyệt, chuyển, permit, lệnh, thông điệp bridge hoặc hành động hợp đồng thông minh độc hại.

Replay chữ ký là gì?

 

Replay chữ ký là khi chữ ký hợp lệ được tái sử dụng ở địa điểm, thời gian, chain, hợp đồng hoặc hành động mà nó không nên hợp lệ.

Làm sao để an toàn hơn khi ký?

 

Bạn có thể an toàn hơn bằng cách đọc lời nhắc ví, kiểm tra miền, kiểm tra địa chỉ bên chi tiêu, tránh thông điệp mơ hồ, dùng ví đáng tin cậy và từ chối chữ ký không hiểu rõ.

Kết luận

 

Chữ ký trong crypto là quyền cho phép số được tạo bởi khóa riêng tư, ví hoặc quy tắc smart account để phê duyệt một giao dịch hoặc thông điệp cụ thể.

 

Chữ ký là nền tảng của quyền sở hữu blockchain vì cho phép mạng xác minh ai đã cho phép hành động mà không làm lộ khóa riêng tư.

 

Chúng được dùng trong giao dịch, đăng nhập bằng thông điệp, permit token, lệnh off-chain, phiếu bầu quản trị, thông điệp bridge, ví multisignature, ví hợp đồng thông minh và hệ thống account abstraction.

 

Các blockchain khác nhau dùng cơ chế chữ ký khác nhau, gồm ECDSA, Schnorr và Ed25519 tùy mạng và ngữ cảnh.

 

Chữ ký chứng minh quyền cho phép dựa trên khóa, nhưng không chứng minh người ký đã hiểu hành động hoặc hợp đồng an toàn.

 

Người dùng nên coi mọi yêu cầu chữ ký là sự kiện phê duyệt nghiêm túc vì dữ liệu đã ký có thể di chuyển tài sản, cấp quyền hoặc cho phép hành động trong tương lai.

 

Nhà phát triển nên thiết kế luồng chữ ký với payload rõ ràng, phân tách miền, bảo vệ replay, thời hạn, nonce, thư viện trưởng thành và lời nhắc người dùng dễ đọc.

 

Với người mới, chữ ký crypto có thể hiểu là sự phê duyệt bằng mật mã của ví.

 

Với người dùng nâng cao, chữ ký là cơ chế xác thực và toàn vẹn kết nối khóa riêng tư, khóa công khai, hash, tiêu chuẩn ký, hợp đồng thông minh, bảo vệ replay và bảo mật lưu ký.

 

Trong ngữ cảnh thuật ngữ crypto, Chữ ký là bằng chứng số cho phép hành động blockchain và giúp tự lưu ký, giao dịch, tương tác hợp đồng thông minh và danh tính phi tập trung khả thi.

 

Điểm chính là chữ ký giúp quyền sở hữu crypto vận hành, nhưng ký an toàn vẫn phụ thuộc vào khóa riêng tư bảo mật, lời nhắc ví rõ ràng, giao diện đáng tin cậy, tiêu chuẩn mạnh và sự xem xét cẩn thận của người dùng trước khi phê duyệt.