nsec vs npub: что такое каждый из них и как их не перепутать

Каждый пользователь Nostr видит две строки, начинающиеся с npub1 и nsec1, в течение минуты после создания учётной записи. Они выглядят почти одинаково, имеют одинаковую длину и обе выглядят как случайные символы. Их смешивание — одна из самых распространённых и наиболее серьёзных ошибок в сети.

Это руководство закрепляет различие визуально и концептуально, так что вы никогда их больше не перепутаете.

TL;DR. npub1... — это ваш публичный ключ: безопасно делиться, это то, что вы даёте людям. nsec1... — это ваш приватный ключ: никогда не делитесь, никогда не вставляйте на веб-сайты, никогда не сохраняйте в облачные заметки. Оба имеют длину 63 символа. Первые три буквы — это единственное, что имеет значение.

Когда будете готовы, заберите адрес @nostr.blog →

Различие в одну строку

Ваша пара ключей имеет две половины.

• npub = nostr public (публичный). Идентификатор, который вы публикуете, делитесь и используете как своё "имя учётной записи".
• nsec = nostr secret (секрет). Криптографический секрет, который доказывает, что вы владеете учётной записью.

"npub" содержит слово "pub" для публичного. "nsec" содержит "sec" для секрета. Эта мнемоника не случайна; разработчики выбрали префиксы так, чтобы они были самоочевидными.

Что вы на самом деле видите

Обе строки имеют 63 символа. Обе начинаются с n, а затем трёхбуквенный префикс. Обе используют строчные a-z и цифры 0-9 из ограниченного алфавита Bech32.

Пример npub:

npub1pf8hkx3ang2jngcgpsawtmj48c90pgqasmgpva7qhvnsty5j87yqwk3vy5

Пример nsec (этот вымышленный; никогда не делитесь реальным nsec):

nsec1qqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqq

Они отличаются только префиксом после n. pub vs sec. Каждый другой символ может быть чем угодно; этот префикс — единственное место, где вы можете их различить.

Откуда берётся каждый из них

Когда вы впервые запускаете клиент Nostr, он генерирует 32 случайных байта и называет их вашим приватным ключом. Это становится вашим nsec после кодирования Bech32. Затем клиент выполняет одну математическую операцию (умножение эллиптической кривой на secp256k1) для получения соответствующего публичного ключа и кодирует его в Bech32 как ваш npub.

Отношение — это в одну сторону. Учитывая nsec, получение npub происходит быстро. Учитывая npub, восстановление nsec считается невозможным с использованием любого компьютера, который существует или может существовать.

Вот почему вы можете опубликовать свой npub на своём веб-сайте, в Twitter, на визитных карточках и в подписи своего письма без какихлибо последствий для безопасности. Это также почему потеря nsec — неустранимая катастрофа: никто, даже вы, не может восстановить её из npub.

Для чего используется каждый ключ

nsec имеет ровно одну задачу: подписывать события. Каждый раз, когда вы публикуете, реагируете, следите за кем-то, обновляете свой профиль или отправляете прямое сообщение, ваш клиент создаёт событие и подписывает его с помощью nsec. Подпись входит в событие перед публикацией на relay.

npub имеет несколько задач:

• Личность. Когда кто-то вас следит, они ссылаются на ваш npub.
• Проверка. Каждый клиент, получающий событие, проверяет подпись для npub, прикреплённого к событию. Действительная подпись означает, что событие поступило от того, кто владеет соответствующим nsec.
• Маршрутизация. Relay используют npub в фильтрах. Подписка на "события от npub X" — вот как ваши подписчики получают ваши посты.
• Упоминания. Когда кто-то упоминает вас в посте, они встраивают ваш npub в теги события.

nsec никогда не появляется в сети. Он остаётся на вашем устройстве (или на доверенном подписывающем устройстве, таком как расширение NIP-07 или приложение удалённого подписывающего). npub постоянно находится в сети, прикреплённый к каждому событию, которое вы подписываете.

Типичные ошибки и их последствия

Ошибка 1: вставка вашего nsec там, где запрашивается npub.

Сценарий: форма редактирования профиля говорит "ваш публичный ключ", а вы случайно вставляете nsec. Последствия: в зависимости от клиента, форма может вас предупредить (хорошие клиенты проверяют префикс и отклоняют nsec в публичных полях). Плохие клиенты могут опубликовать nsec там, где он не должен быть. Всегда проверяйте трёхбуквенный префикс перед вставкой.

Ошибка 2: публикация вашего nsec в социальных сетях в качестве демонстрации.

Каждый год новый пользователь размещает скриншот своих "деталей учётной записи Nostr", который включает обе строки. Последствия: любой, кто видит скриншот, теперь может подписывать события от вашего имени, пока вы не поймёте, что произошло, и не обновите ключ. Исправление — делиться только половиной npub.

Ошибка 3: сохранение nsec в облачные заметки "временно".

Сценарий: вы генерируете пару ключей, хотите скопировать её на второе устройство и вставляете nsec в iCloud Notes или черновик Gmail для перемещения. Последствия: этот провайдер теперь хранит ваш nsec в форме, которую он может читать. Взлом этого провайдера — это взлом вашей личности Nostr. Используйте менеджер паролей со сквозным шифрованием или (для одноразового перемещения) QR-код, который вы сканируете между устройствами без сохранения в синхронизируемом в облаке месте.

Ошибка 4: вставка nsec в форму входа веб-сайта.

Сценарий: новое веб-приложение Nostr просит ваш nsec, чтобы "войти в систему". Последствия: этот веб-сайт теперь имеет ваш nsec постоянно, даже после того, как вы закроете вкладку. Никогда этого не делайте. Авторитетные веб-клиенты используют расширение браузера NIP-07; расширение держит nsec и подписывает только по запросу, никогда не раскрывая сырой секрет веб-странице.

Трюк с контрольной суммой Bech32

И npub, и nsec используют кодирование Bech32, которое включает встроенную контрольную сумму для обнаружения ошибок. Если вы измените один символ npub или nsec, контрольная сумма не пройдёт и любой соответствующий инструмент отклонит строку как недействительную.

Это полезно на практике: если вы скопируете-вставите ключ и символ будет потерян или заменён, инструмент принятия сообщит вам немедленно, вместо того чтобы молча принять другую (выглядящую действительной) личность.

Шестнадцатеричные ключи не имеют этого свойства. Один неправильный символ в шестнадцатеричном ключе создаёт другой, но "действительный" ключ, указывающий на совершенно другую личность. Всегда отдавайте предпочтение форме Bech32 (npub/nsec) при вставке ключей между системами.

Как проверить, какой из них вы смотрите

Первые четыре символа. Это весь чек.

• Начинается с npub1: безопасно делиться, это публичная половина.
• Начинается с nsec1: не делитесь ни при каких обстоятельствах, это секретная половина.
• Начинается с note1: это идентификатор события (для конкретного поста), а не ключ.
• Начинается с nprofile1: это публичный ключ, привязанный к рекомендуемым relay.
• Начинается с nevent1: это идентификатор события, привязанный к автору и relay.
• Начинается с naddr1: это адрес долгоформенной статьи.

Полезное ментальное правило: любая строка Bech32, начинающаяся с nsec, остаётся на вашем устройстве. Всё остальное (npub, note, nprofile, nevent, naddr) предназначено для совместного использования.

Конкретный ритуал безопасности

В момент генерации новой личности Nostr сделайте следующее:

1. Откройте менеджер паролей.
2. Создайте новую запись с надписью "Nostr nsec [имя учётной записи]".
3. Вставьте nsec в поле пароля.
4. Сохраните.
5. Закройте приложение.

Общее время: 30 секунд. Альтернатива: распечатайте nsec на бумаге надёжным принтером и сохраните бумагу где-нибудь, где вы её не потеряете. Пять минут.

Теперь у вас есть путь восстановления. nsec находится в месте, зашифрованном вашим основным паролем, или полностью в автономном режиме. Если вы потеряете свой телефон, вы сможете войти на новый, вставив nsec обратно. Если вы потеряете свой ноутбук — то же самое.

Единственное место, где люди сопротивляются этому: они генерируют ключи на телефоне, nsec находится в связке ключей, "я это позже резервирую". Позже так никогда и не наступает. Затем они очищают телефон, или обновляют его, или теряют, и личность исчезает. Резервная копия — это единственный шаг, который это предотвращает, и он занимает меньше времени, чем чтение этого абзаца.