Clear Signing в Ethereum: как ERC-7730 должен заменить слепые подписи

Ledger описывает ту же задачу как перевод сложных транзакций в понятные человеку детали, которые показываются на защищенном экране устройства перед подтверждением.

Как ERC-7730 превращает вызов контракта в понятный текст

Техническое ядро Clear Signing — ERC-7730, или Structured Data Clear Signing Format. В документации Ledger он описан как JSON-формат для clear-signing вызовов смарт-контрактов и типизированных сообщений; в карточке стандарта его статус указан как Draft.

Файл ERC-7730 содержит привязку к конкретному адресу контракта, chain ID, то есть идентификатору сети, и ABI — описанию интерфейса контракта. В нем также задаются метаданные и правила отображения, по которым данные транзакции превращаются в экранную сводку.

По сути, ERC-7730-дескриптор работает как словарь между техническим вызовом и тем, что видит пользователь. Он может описывать как вызовы смарт-контрактов, так и сообщения EIP-712 — структурированные typed-data сообщения, которые приложения Ethereum часто просят подписать отдельно от обычной отправки транзакции.

Если дескриптор есть и кошелек умеет его читать, подтверждение может стать намного понятнее. Если дескриптора нет, кошелек может снова оказаться в старой ситуации: software-кошельки декодируют поля только тогда, когда узнают контракт, а в остальных случаях пользователь фактически подписывает вслепую.

Почему реестры дескрипторов и аудиты критичны

Дескриптор ERC-7730 — не просто удобная подпись к кнопке. Это слой интерпретации, от которого зависит, насколько честно кошелек объяснит действие смарт-контракта пользователю.

Поэтому нужны реестры дескрипторов: кошелькам требуется надежный источник описаний для разных контрактов и сетей. Ethereum Foundation отдельно заявляет, что ее Trillion Dollar Security Initiative берет на себя роль credibly neutral steward, то есть нейтрального куратора реестра Clear Signing.

По данным EthDaily, инфраструктура запуска включает обновленный ERC-7730 для человекочитаемых дескрипторов, нейтральный зеркалируемый реестр, ERC-8176 для аудиторских attestations на базе Ethereum Attestation Service и ERC-8213 для криптографических отпечатков.

Аудит здесь нужен не для формальности. Если дескриптор ошибается или вводит в заблуждение, пользователь может увидеть безопасно выглядящую сводку для рискованного действия. Именно поэтому проверка соответствия дескриптора реальному поведению контракта становится частью модели безопасности.

При этом в предоставленных источниках недостаточно деталей о полном управлении реестром: кто окончательно принимает спорные дескрипторы, как устроен процесс отклонения, обновления и разрешения конфликтов. Эти операционные детали пока нельзя считать установленными на основе имеющихся материалов.

Кто поддерживает стандарт

На официальном уровне Ethereum Foundation говорит о рабочей группе из разработчиков кошельков, компаний по безопасности и собственной Trillion Dollar Security Initiative.

Самый подробно задокументированный сторонник — Ledger. Компания публикует справочную документацию по ERC-7730, технические материалы Clear Signing и пользовательские страницы, а также заявляет, что более 15 популярных провайдеров уже поддерживают Clear Signing и Transaction Check через Ledger Wallet.

EthDaily среди участников рабочей группы называет Ledger, Trezor, MetaMask, WalletConnect, Cyfrin и Fireblocks. Отдельные сообщения также описывали сотрудничество MetaMask и Ledger по усилению поддержки Clear Signing.

Однако это не стоит читать как исчерпывающий официальный список всех кошельков и security-компаний. В предоставленных материалах нет полной таблицы участников, их ролей и уровня внедрения.

Что меняется для пользователя

В лучшем сценарии пользователь больше не видит только техническую строку или непонятный набор параметров. Вместо этого кошелек показывает смысл операции: что именно будет сделано, с каким активом, на какую сумму и с какими разрешениями — если эти данные доступны через дескриптор и поддерживаются интерфейсом кошелька.

Это должно снижать риск фишинга и ошибок при подтверждении операций, потому что пользователь получает шанс проверить детали смарт-контракта до подписи.

Особенно важна проверка на самом устройстве. Ledger подчеркивает, что Clear Signing выводит понятные детали на защищенный экран Ledger, а подключение описывает через Bluetooth или USB.

Какие ограничения остаются

• Покрытие контрактов. Clear Signing не делает автоматически читаемым каждый смарт-контракт Ethereum. Для конкретного контракта или типа сообщения нужен корректный ERC-7730-дескриптор либо эквивалентная поддержка кошелька.
• Новые и малоизвестные протоколы. Ethereum.org прямо отмечает, что software-кошельки показывают декодированные поля только когда узнают контракт; если протокол новый, приложение скомпрометировано или устройство офлайн, пользователь может снова оказаться в режиме blind signing.
• Доверие к реестру. Реестр дескрипторов становится важной точкой доверия. Обсуждение на Ethereum Magicians от разработчиков air-gapped устройств критикует курируемые off-chain реестры вроде ERC-7730 за зависимость от сторонней курации и ограниченное покрытие наиболее известных контрактов.
• Статус стандарта. В документации ERC-7730 указан как Draft, то есть черновой стандарт, а не окончательно закрепленная спецификация.
• Air-gapped аппаратные кошельки. В материалах Ledger описаны сценарии подключения через Bluetooth или USB и показ деталей на устройстве. Но предоставленные источники не объясняют, как ERC-7730-дескрипторы должны доставляться, обновляться и проверяться на полностью air-gapped устройствах, которые принципиально не подключаются к сети.
• Не абсолютная защита. Clear Signing может уменьшить риск фишинга и ошибочных подтверждений, но не отменяет необходимость проверять получателя, сумму, разрешения и контекст операции.

Итог

Clear Signing — важный шаг к тому, чтобы подпись в Ethereum была не актом веры, а осознанным подтверждением. ERC-7730 дает для этого формат JSON-дескрипторов, реестры помогают кошелькам находить нужные описания, а аудиты и attestations должны снижать риск ложных или ошибочных сводок.

Но сила подхода зависит от покрытия и внедрения. Там, где дескриптора нет, кошелек его не поддерживает или устройство не может надежно получить обновления, проблема слепого подписания полностью не исчезает.