LNURL-auth: inicia sesión con tu wallet, sin email ni contraseña

LNURL-auth — это способ входа, в котором ваш Lightning-кошелёк выступает в роли ключа. Вы сканируете QR-код, подтверждаете действие в кошельке и входите. Сайт никогда не получает ваш email, пароль или имя.

Проблема email и паролей

Каждый аккаунт, созданный через email, оставляет на стороннем сервере три вещи: ваш адрес, пароль (будем надеяться, надёжно зашифрованный) и связь между ними и вашей активностью на этом сайте. Если происходит утечка базы данных, утекает всё это. Кроме того, email идентифицирует вас на разных сайтах. Два совершенно не связанных сервиса могут сопоставить ваши данные только потому, что вы использовали один и тот же адрес. LNURL-auth устраняет обе проблемы: здесь нет ни пароля, который можно украсть, ни данных для связывания.

Что происходит, когда вы сканируете QR-код

1. Сайт генерирует челлендж. Это одноразовое случайное число, включенное в QR-код вместе с адресом сайта.
2. Ваш кошелёк создаёт ключ для этого сайта. На основе вашего сида и домена он деривирует пару ключей, эксклюзивную для этого домена.
3. Ваш кошелёк подписывает челлендж приватным ключом этой пары.
4. Сайт проверяет подпись с помощью публичного ключа, который отправляет кошелёк.
5. Этот публичный ключ — ваш аккаунт. В следующий раз, когда вы подпишете запрос этим ключом, сайт узнает, что это вы.

Всё происходит за пару секунд. Ни один сатоши не перемещается: вход — это не платёж и он не даёт разрешения на трату.

Что видит сайт, а что нет

Почему каждый сайт видит уникальный ключ

Ключ деривируется с использованием домена в качестве ингредиента. В результате на site-a.com вы представляете собой один ключ, а на site-b.com — другой, без видимой связи между ними. Два сайта не могут сравнить записи, чтобы узнать, что вы один и тот же человек. Это уровень приватности, который электронная почта не может предложить.

Что нужно знать перед использованием

Ваш кошелёк — это ваш аккаунт. Здесь нет функции «забыл пароль». Если вы потеряете кошелёк и у вас не будет его резервной копии, никто не сможет вернуть вам доступ, так как сайт не хранит никаких данных для вашей идентификации. Сохраните резервные слова. Если вы восстановите кошелёк с помощью 12 или 24 слов, вы восстановите тот же самый ключ, а вместе с ним и ваш аккаунт. Восстанавливайте в том же приложении. Не все кошельки деривируют ключ входа одинаково. С теми же словами другое приложение может сгенерировать другой ключ, и сайт увидит его как новый аккаунт. В кастодиальном кошельке ключом владеет провайдер. Если эта компания закроется или заблокирует ваш аккаунт, вы также потеряете доступ к сайтам, куда входили с его помощью. Для аккаунтов, которые вы хотите сохранить, используйте кошелёк, где вы сами контролируете резервные слова. Проверяйте домен перед подтверждением. Ваш кошелёк показывает, на какой сайт вы входите. Если это не тот сайт, который вы ожидали, отмените вход.