DID:如何利用分布式帐本实现自主身份？

前言

每个人都有过回答“你是谁”这个问题的经验。最近一次被问到“你是谁”时，你是怎麽介绍自己的？是回答姓名与职称？或是身份证字号？还是某活动的报名序号？

当我们在尝试回答“你是谁”的时候，也正在定义我们的身份。

身份会因情境不同而不同，有时是姓名，有时是身份证字号，也有时是某个临时编号。

什么是数位身份(DigitalIdentity)？

数位身份就是以数位形式表现与储存的身份，自全球资讯网被发明以来，数位身份便跟著开始发展直到今日，网站域名、电子信箱、社群帐号等等都是数位身份的一种。

我们的日常生活离不开数位身份的使用：上社群网站发文、订演唱会门票、上PTT看废文、用GMail联络公事、用线上课程进修、用云端硬碟备份资料等等。

几乎可以说没有数位身份，就没有现代便利的生活。

自主身份出现之前，数位身份的发展大致可以分为三个阶段：

第一阶段：中心化身份(CentralizedIdentity)

数位身份第一次随著全球资讯网的流行而有了大量的需求。

如雨后春笋般冒出来的各种网站显露了一个迫切的问题：要怎麽证明你正在浏览的网站是可信任的？

一个直觉的思路是：我们可以对可信任的网站域名颁发凭证(Certificate)，那么由谁来颁发？

由于颁发凭证的机构必须是具有公信力的机构，因此凭证机构(CertificateAuthority,CA)被设立，负责域名的审核与凭证的颁发。

自1995年发展至今，凭证机构现在仍是Https的骨干。

然而，CA是中心化且阶层化的(Hierarchical)：

根CA(RootCA)颁发凭证给次级CA，次级CA再颁发凭证给更次级的CA，更次级的CA可以颁发凭证给注册某域名的网站，拥有凭证的域名则可以让用户信任，使用户愿意于此域名注册身份。

高盛：探索如何确定比特币和其他加密资产的“基本面”:本周，高盛经济研究团队的Zach Pandl和Isabella Rosenberg发布报告，探索了如何确定加密资产的基本面问题。报告指出，将加密资产等同于黄金是确定其基本面的常见框架，但除此之外，加密货币价格也与其底层分布式网络的价值有关。报告使用区块链地址估算网络用户数量，并与货币市值进行比较，观察到：“市值与网络规模之间存在明显的相关性”，且相关性超过1。他们基于历史数据计算出的平均增长曲线接近价值=用户数的1.4次幂，这给出了一个利用基本面作为市值参考的基准比率。基于该推断，报告指出BTC的市值远大于基本面，其基于用户增量的价值（基本面）与市值相比存在严重偏差。过去几年，比特币市值较2018年平均水平上涨520%，但网络仅增长60-100%。报告认为这一偏差意味着要么比特币现在被高估，要么2018年被低估，要么兼而有之。但报告也指出，除基本面因素外，加密货币上涨还有众多其他因素，包括情绪，以及它作为一种快速致富的新方式的吸引力。但投机交易带来的网络活动增加并不能完全反应基本面的改善，因为平台并未获得更高的经济价值，要使加密货币网络具备可持续价值，活动需要由非投机性用例驱动，而目前此类用例十分缺乏。（雅虎财经）[2021/7/21 1:06:15]

在这样阶层化的架构下，一个用户的身份可以一直往上追朔到根CA，也就是说，根CA是身份的根基。

由此可知，这样的数位身份非常依赖可信的根凭证机构，且用户的身份完全掌控于注册身份的域名拥有者，随着使用服务的增长，一个用户可能必须同时在数十个服务注册身份，身份变得破碎而脆弱。

第二阶段：联合身份(FederatedIdentity)

为了解决身份的破碎，一个直觉的思路是：让身份由数个组织组成的联盟共同管理，于联盟中任一个域名注册的身份都可以在联盟中通用，其中一个例子就是由昇阳(Sun)主导的自由联盟(LibertyAlliance,2001)。

联合身份虽然稍微解决在联盟之间身份破碎的问题，但是于联盟之外的身份仍然是破碎的，且身份仍由服务提供者掌控。

英国央行官员：如果稳定币被用作一种支付方式，将研究如何对其进行监管:英国央行金融市场基础设施执行董事Christina Segal-Knowles演讲表示， 如果稳定币被用作一种支付方式，她会研究如何对其进行监管。如果监管得当，像稳定币这样的数字货币可能会有好处：包括更便宜的支付方式和更多的功能。它们可能对金融稳定有潜在的好处。但这需要监管机构按照我们对当前使用的货币所期望的标准来控制新形式的货币。[2021/6/10 23:27:58]

第三阶段：以用户为中心的身份(User-CentricIdentity)

这就是我们目前所在的阶段：让不同服务、不同联盟的身份互通以及给予用户更多对身份的掌控，是此阶段的目标。

若要使某一服务的身份可以在多个服务之间通用，则各家服务需要共同制定同一套规格以跨服务验证身份。

重视用户允许(UserConsent)与互通性(Interoperability)的结果使用户成为了身份的中心。

用户可以自行决定是否要从一个服务分享自己的身份至另一个服务，防止数位身份的破碎。

例如OpenID(2005)/OAuth(2010)/FIDO(2013)这些开发者熟知的验证(Authentication)协定就是遵循此原则的产物。

虽然用户对身份拥有更多掌控以及有更好的互通性，但用户对于中心化服务的依赖程度却更胜以往，导致服务商拥有“滥用”用户隐私的权力，例如以广告营收为主要获利来源的企业，可以在不经用户同意下便使用或贩售用户资讯，用户隐私有受到侵犯的风险。

身份的价值与厚度来自社交行为与频繁的互动，在完全理想(例如非数位)的场景下，身份应当是一个整体，并能依据情境不同而揭露不同资讯，正如同当我被询问“我是谁”时，我可以依照情境的不同给予不同的身份证明。

然而，我们当今使用的数位身份既脆弱也无法表达身份的厚度。

那么要如何实现一个不受任何中心化服务掌控的身份呢？

经济日报：区块链的价值和前途取决于如何运用:4月20日，经济日报刊文“加密资产走热带来什么价值”。文章表示，加密资产市场正在见证投机与人性的疯狂。从技术进步的维度看，部分加密资产由于运用了区块链技术，的确为创作者乃至知识产权保护带来益处。事实上，无论如何炒作，区块链作为技术本身是中立的，其价值和前途取决于如何运用。目前，区块链技术还存在性能不足、普及尚浅、未获权威认可等问题。如果抛开加密资产市场的噱头与炒作，更多看到以NFT等为代表的确权体系对知识产权保护、重塑数字娱乐等产业的作用，进一步完善区块链建设，发挥出其更大的潜力，造福于人，可能会给这一轮热情烙印上更深远的意义。[2021/4/20 20:38:16]

这个问题的答案一直到最近才出现?—?分散式帐本就是实现自主身份的最后一块拼图。

什么是自主身份？

自主身份(Self-sovereignIdentity)就是用户可以完全掌控且于任何服务之间互通使用的数位身份。

自主身份与当今的数位身份不同?—?自主身份锚定于分散式帐本，不被任何中心化服务掌控。

分散式帐本使数位身份具备下列特性，且正是这些特性保证了数位身份的自主性：

存在性(Existence)

中心化服务可以随时窜改数位身份的存在；分散式帐本则使身份能以去中心化识别符(DID)的形式锚定在其上且保护其不受篡改。

掌控性(Control)

中心化服务可以完全掌控数位身份；分散式帐本使用数位签章，掌控私钥即掌控身份，且私钥由用户自行保管。

存取性(Access)

中心化服务可以轻易限制身份存取；分散式帐本是复制状态机，用户可以于任一节点随时存取身份。

透明性(Transparency)

中心化服务多为闭源专案；分散式帐本大多为开源专案，用户可以掌控软体运作的细节。

央行行长易纲 ：将继续研究如何加强央行数字货币的风险管理:4月17日，财新举办主题为“金融科技与人民币可自由使用”的研讨会。中国人民银行行长易纲在会上表示，央行数字货币项目已取得较大进展，当前阶段在部分城市及部分场景进行内部封闭试点测试，同时表示“将继续研究如何加强央行数字货币的风险管理，包括了解你的客户(KYC)等。”

对于金融科技在此次疫情期间发挥的作用，易纲表示肯定，但也强调商业银行依然是主力；科技公司积极参与有助于提升金融服务水平；人民币国际化主要依靠市场驱动，平等竞争，中国会继续推进金融开放和改革。[2020/5/4]

持续性(Persistence)

中心化服务有服务中断的风险；分散式帐本多由受到经济激励的节点共同维护，不易中断服务。

自主身份的技术架构

OverviewofSelf-sovereignIdentity

数位身份由识别(Identifier)、验证机制(Authentication)、凭证(Credential)这三个要素组成。

自主身份除了这三个要素，还具备了第四个要素：私钥与资料管理机制(DKMS)，这是由于自主身份使用数位签章而有管理私钥的需求。

自主身份并不是全新的发明?—?许多技术的思路基本上沿用了现有的规格，自主身份真正的创举在于制定一套通用规格：

去中心化识别符(DecentralizedIdentifier,DID)，使身份能够以同一标准锚定于不同分散式帐本并且互相通用。

自主身份的四个要素之间具有如上图所示的关系，这些要素形成一个堆叠(Stack)的架构：

动态 | 电脑安全软件公司：揭示朝鲜黑客如何利用恶意软件入侵加密货币交易:据BeinCrypto消息，电脑安全软件公司Objective-See发布报告，揭示了加密货币交易被朝鲜一个新的恶意软件入侵的细节。这种新的恶意软件由朝鲜黑客组织Lazarus APT集团操作，以一种叫做“JTM交易软件”的客户端交易软件为幌子，主要通过电子邮件分发给毫无戒心的受害者，在被安装后窃取私钥和访问详细信息。[2019/10/16]

最底层的#1负责身份的锚定；

第二层的#2需要和底层的分散式帐本互动及负责用户资料与私钥的储存；

第三层的#3则需要使用第二层的资料以进行用户身份的验证；

成功完成验证后，最顶层的#4则可以发送各种凭证以表明用户的身份。

这种上层依赖下层且同层之间互通的架构类似TCP/IP的七层网路协定?—?各层具有各自的协定与规格，且各层之间的运作细节是抽象的。

哪些组织在推动自主身份？

由于自主身份需要一系列协定的紧密配合，因此自主身份的进展有赖于统一的规格与设计良好的协定，这需要由业界组成的非营利组织共同推动与维护。

目前有许多非营利的组织都在自主身份领域持续贡献，例如：

重启信任网路

(RebootingWebofTrust,RWoT)

全球资讯网协会的凭证社群组

(W3CCredentialCommunityGroup,W3CCCG)

去中心化身份基金会

(DecentralizedIdentityFoundation,DIF)

网际网路身份工作坊

(InternetIdentityWorkshop,IIW)

这些组织在近3年来都有非常丰硕的产出。

其中最活跃的应该就属RWoT：自2016年开始启动以来，RWoT发表超过40篇的论文、技术规格与开源程式码；RWoT孕育的技术规格也进一步提案给W3C或者IETF以进行标准化；

DID规格草稿有一大部分是奠基于RWoT的工作成果；甚至连“自主身份”这个词彙也是在RWoT被创造的。

实现自主身份的技术规格

那么自主身份架构中的各层是如何运作的？

1.去中心化识别符(DecentralizedIdentifier,DID)

DID是自主身份技术架构中最底层、也是最关键的一层?—?它负责身份于分散式帐本的写入/读取，其对于识别符的格式以及解析方法都有明确的定义，下列简述几个重要的部分：

DID(DecentralizedIdentifier)

DID是一个由数字与英文字母组成的识别符，其是唯一的且映射至一个位于某个帐本的DID文件。

DID由三个部分组成：格式(scheme)、DID方法(DIDMethod)以及DID方法特化字串(DIDMethod-specificString)。

DID方法将于下一点阐述；DID方法特化字串的产生方式则需于DID方法的规格中明确定义。

DID方法(DIDMethods)

为位于DID中的一组字串，功能为区分每个DID的解析方式?—?每一种帐本都有专属该帐本的DID方法，且其对应位于该帐本之DID文件的创建/解析规则。

例如注册于以太坊的DID会是像did:eth:12345这样的形式，DID方法需要向W3C注册以被解析器辨识。

DID文件(DIDDocument)

分散式帐本可以被想像成一个键值资料库(Key-valueDatabase)?—?DID是键值，它所对应的内容就是写入分散式帐本的DID文件(DIDDocument)。

DID文件包含：代表身份的公钥、验证协定、能与此身份互动的的服务终端等等。

DID解析器(DIDResolver)

协助更上层协定便于查询DID文件，解析器能够针对不同的DID方法进行解析，再将解析结果返回上层，上层协定不需要理会关于文件解析的细节。

DIF针对解析的需求开发了通用解析器(UniversalResolver)，如此该解析器只需要部署一次，日后若有新的DID方法被注册，只需针对该方法进行扩充即可。

2.去中心化私钥管理系统(DecentralizedKeyManagementSystem,DKMS)

DKMS是用户使用自主身份的主要介面，除了与底层的DID连接之外，还需提供凭证的储存、私钥的备份等等，任务相当多元。

规格上来说，DKMS可以再细分成三个子层：

DID层(DIDLayer)

负责与更底层的分散式帐本连结以执行DID查询。

云端层(CloudLayer)

负责储存用户的个人资料供上层协定使用，例如可验证凭证。

边缘层(EdgeLayer)

负责管理私钥，同时也是让用户可以使用自主身份的去中心化应用程式(DApp)。

3.DID验证(DIDAuthentication)

目前仍尚未有任何准备成为通用标准的DID验证规格的提案，只有一份RWoT的文件深入探讨了验证流程。

DID验证的任务只有一个：就是让用户证明自己拥有某身份?—?用户只要证明自己拥有跟某个自主身份公钥匹配的私钥即可。

进行验证后便能使不同个体之间建立可信任且更长久的通讯管道，以利更上层协定交换其他资料，例如可验证凭证。

现今存在许多行之有年的验证方式，例如OAuth/OpenID等等。

类似这些验证方法，DID验证也使用挑战-回应循环(Challenge-responseCycle)进行验证：

验证者发出挑战，身份拥有者根据挑战作出回应，验证者再检验回应是否有效。

至于挑战的形式则没有明确的定义，不过我们一定都有回应挑战的经验—我们在登入某帐号前都必须输入的帐号密码就是其中一种挑战的方式。

4.可验证凭证(VerifiableCredential,VC)

VC是自主身份架构中发展最早、也是最成熟的规格。

作为自主身份架构最顶层的协定，它只有一个目的：取代用户皮夹裡的所有证件。

VC是基于密码学的数位凭证，可在不同应用程式间通用，它让身份回归到最理想的状态：身份是完整的且完全受用户掌控的，用户可以依照情境的不同而揭露不同的凭证。

由于所有自主身份都能发行与保存凭证，也就没有身份破碎的问题。

VC包含三个部分：

断言(Claims)

为关于主体的一段陈述，表示之间的关係，例如：代表小明为有间学校的学生。

凭证后设资料(CredentialMetadata)

为有关凭证的其他资讯，例如类型、发行者、发行时间等等。

证明(Proof)

为发行者对凭证内容的数位签章。

在使用VC揭露身份时，要如何避免不会暴露过多的隐私？

可验证陈述(VerifiablePresentation)便是利用零知识证明(Zero-knowledgeProof)保护凭证的进阶规格，细节容笔者于日后令撰文分析。

标签：DIDENTDENTNTRDID币Neverend Ecentralization Could ExangeMY IDENTITY COINJNTR币

XRP热门资讯