O Web3 baseado na tecnologia blockchain emergiu no palco da história, e uma parte considerável do impulso vem das expectativas das pessoas de que ele pode resistir aos privilégios de organizações comerciais e censura involuntária - substituindo o governo do homem por um código para proteger os direitos e interesses de cada participante. No que diz respeito à situação atual, as várias soluções dadas pela indústria - os usuários registram carteiras intencionalmente para interagir - não apenas levam a frequentes ataques Sybil e ataques de phishing, mas também não podem ser responsabilizados, corroem a confiança da comunidade Web3, e prejudicar a segurança da privacidade e a segurança dos ativos dos usuários do Web3; também impede que os usuários do Web3 que têm reputação na cadeia, mas carecem de ativos, desfrutem de serviços financeiros de alta qualidade (como serviços financeiros no modelo de empréstimo de crédito off-line).
O mau comportamento de "o forte explorando o fraco" criticado na Web2 e "o dinheiro ruim expulsa o bom dinheiro" na sociedade tradicional é reproduzido na Web3. Mesmo a autonomia de dados (SSI) defendida e acreditada pela Web3 (que é uma das características que atraem os usuários) tem sido repetidamente prejudicada no caminho para sua realização, porque os dados privados do usuário são armazenados na centralização de projetos descentralizados. servidor, ou é apresentado de forma pública e completa no blockchain, e sua segurança e privacidade não foram realmente protegidas; até certo ponto, em comparação com a Web2, trouxe um maior grau de perda econômica e, uma vez sofrido É quase irreversível e devido à falta de suporte regulatório adequado, a identidade de invasores mal-intencionados é difícil de localizar e responsabilizar.
Nesse contexto, a Web3 percebe que visualizar a reputação dos sujeitos da identidade, propor contratos com base na identidade e introduzir regulamentações apropriadas são indispensáveis para seu desenvolvimento a longo prazo. Com base nessa consciência básica, o conceito de identidade descentralizada que consiste em "identificador descentralizado (DID) + certificado verificável (VC)" tornou-se gradualmente claro, fornecendo uma solução para a construção de sistemas de identidade na sociedade Web3.
Resumidamente, o desenvolvimento do sistema de identidade evoluiu de uma identidade centralizada gerenciada e controlada por uma única autoridade; para uma identidade federada que permite que os dados de identidade do usuário sejam portáteis até certo ponto e possam ser registrados em várias plataformas, como cross- login da plataforma de contas WeChat e Google; para a identidade descentralizada inicial que requer autorização e permissão para compartilhar dados de identidade, como OpenID; e então progredir para uma identidade auto-soberana (SSI: Self-Sovernge Identity) que pode realmente realizar dados totalmente possuído e controlado por indivíduos— —Na Web3, geralmente se refere a um sistema de identidade descentralizado com privacidade e segurança construído com base em DID+VC. A centralização está sendo parcialmente substituída pela descentralização, que não envolve mais armazenamento e coleta central de dados.
Status atual dos dados de privacidade de identidade
A identidade e informações relacionadas são usadas principalmente para provar "quem eu sou" e "se reúno os requisitos específicos para usufruir de um determinado serviço". As informações de identidade são exigidas em muitos cenários, como os requisitos educacionais na procura de emprego, a comprovação de bens na compra de uma casa e na solicitação de um empréstimo bancário e se reunimos as condições para se tornar um cliente VIP de uma entidade ou um provedor de serviços virtuais.
Na vida real, as informações de identidade das pessoas são arquivadas no sistema oficial e verificadas e verificadas por meio da apresentação de documentos e certificados correspondentes em vários cenários da vida; no mundo da Internet, nossa identidade é representada pela senha da conta e os dados comportamentais baseados nisso. registro do sistema de armazenamento de dados do provedor de serviço correspondente.
O que eles têm em comum são:
Os dados do usuário são mantidos por organizações terceirizadas (eles não têm controle sobre as informações relacionadas à identidade);
Os usuários não podem usar livremente seus próprios dados (e, portanto, não podem determinar quem tem acesso às suas informações de identidade e não podem controlar o escopo do acesso à sua autorização).
Porque quando os usuários precisam se conectar a atividades sociais, de jogos, financeiras, compras e outras em todo o mundo através da rede, essas informações de identidade precisam ser carregadas em uma determinada plataforma sem reservas, e os dados de identidade do jogo online e identidade social gerados pelo usuário dados de atividades etc. também estão lacrados nos servidores da gigante - ou seja, os usuários só têm o direito de visualizar, mas não de deletar, adicionar ou trocar seus próprios dados como bem entenderem. A exposição irrestrita desses dados para a organização traz riscos consideráveis de privacidade e segurança, afinal, parece que o fenômeno de organizações usarem seus privilégios para roubar dados de usuários sem autorização parece ser comum e corriqueiro na Web2.
Ao mesmo tempo, os sistemas de dados relativamente independentes entre as organizações forçam os dados do usuário a serem fragmentados e armazenados em sistemas inacessíveis, tornando difícil para os usuários visualizar, chamar e analisar completamente seus próprios dados. Uma das pré-condições para a realização do SSI é que os usuários possam controlar seus próprios dados privados, ou seja, eles têm soberania de dados – direitos de custódia de dados e direitos de uso de dados. E FEZ isso acontecer.
DID - retorna a soberania de dados do usuário S
O que é DID
Em termos simples, um identificador descentralizado (DID) é um URI na forma de uma string globalmente exclusiva, altamente disponível, resolvível e criptograficamente verificável. - Aplicações como identidade pessoal, identidade organizacional, histórico de atividades on-chain, IoT cenários, etc. são todos benéficos, e também podem ser usados para identificar outras formas de assuntos - como produtos ou algo que não existe, como ideias ou conceitos, etc.
Por exemplo, muitas plataformas blockchain, como Ethereum e Polygon, estão prestando atenção ao DID, mas estão atualmente em estágio experimental e ninguém deu uma solução sistemática. Os padrões DID mais comumente usados vêm do W 3 C (World Wide Web Consortium, a maior organização de desenvolvimento de especificações da Web do mundo) e DIF (Decentrailized Identity Foundation), entre os quais os padrões W 3 C são mais amplamente usados.
DID e VC são inseparáveis. A implantação comercial do W 3 C VC usa DID para identificar pessoas, organizações e coisas em grandes quantidades e atinge um certo grau de segurança e garantia de proteção de privacidade. Nenhuma outra parte pode acessar, usar ou divulgar sem permissão Dados de identidade para o assunto DID.
O DID do usuário é totalmente controlado pelo usuário, gerado de acordo com um determinado algoritmo e não totalmente autorizado por uma única organização. O DID pode ser analisado como um documento DID armazenado no blockchain - incluindo chave de autorização (chave de autenticação), chave de criptografia (chave de contrato), chave de delegação (chave de delegação), chave de verificação (chave de declaração) e informações como o serviço link de endpoint que interage com o assunto DID. Essas chaves podem ser comumente entendidas como as assinaturas que usamos para diferentes finalidades em nossas vidas. Os documentos assinados (finalidade) podem ser de confidencialidade, procuração ou autorização para que determinada parte use suas informações pessoais, etc.
É justamente por causa dessa infraestrutura de chave pública que o sistema de identidade DID+VC permite aos usuários proteger melhor seus dados e escolher se deseja compartilhar e como compartilhar dados, pois somente o proprietário da chave privada tem autorização total de DID. Isso é o mesmo que os ativos no blockchain são controlados por chaves privadas.
Como um aparte, isso também leva aos seguintes problemas:
É muito difícil recuperar uma chave privada perdida;
Depois que sua chave privada é roubada, ações maliciosas, como a representação, podem fazer com que "você" se comporte mal.
Portanto, é responsabilidade de todos os usuários fazer um backup seguro de sua chave privada e mnemônico.
VC - informações de identidade confiáveis on-line
O VC é um elemento de sistema de identidade mais profundo do que o SBT.
Em maio de 2022, Vitalik Buterin, cofundador da Ethereum, Glen Weyl, pesquisador do Office of the Chief Technology Officer da Microsoft, e Puja Ahluwalia Ohlhaver, estrategista da Flashbots, lançaram em conjunto - "Sociedade descentralizada: encontrando a alma da Web3 - descentralizada Sociedade: Encontrando a Alma do Web3 A Alma do Web3 gerou discussões acaloradas no SBT (SoulBound Token: Soul Bound Token). O conceito de identidade descentralizada, portanto, ganhou mais atenção.
Até certo ponto, o SBT pode substituir o VC para construir o relacionamento social da Web 3. Protocolos como EIP-4973, EIP-5114, ERC 721 S e EIP-3525 representam basicamente a imaginação do formulário de inscrição do SBT. No entanto, as limitações naturais do SBT o impedem de formar um sistema de identidade descentralizado completo:
Em primeiro lugar, a essência do SBT ainda é o Token.
O token aponta para um endereço de carteira, não para uma identidade que possa representar uma identidade. Mais importante, não queremos que os sujeitos dos contratos sociais sejam carteiras em vez de identidades, porque as transações são apenas parte das atividades sociais.
Em segundo lugar, o SBT depende da rede para existir.
Embora seja possível provar a identidade em um ambiente compatível com várias cadeias, como o EVM, é impotente para cenários multiecológicos, multiplataforma ou mesmo off-chain.
Finalmente, o SBT também possui limitações consideráveis em termos de cenários de produção e aplicação.
Semelhante ao NFT, o SBT existente possui apenas duas formas de apresentação: exibição completa e ocultação completa, e não possui uma função completa de proteger a privacidade dos dados.
Embora a indústria também esteja fazendo agregação de SBT no momento, a forma de transporte de informações de SBT liberada por cada projeto não é uniforme, portanto, só pode ser organizada e exibida no quadro branco, que tem uma legibilidade extremamente ruim e não é conveniente para os usuários usarem e interpretar.
Mesmo que o SBT possa ser divulgado seletivamente agora - ou seja, algumas informações no SBT podem ser mostradas conforme necessário, mas o quadro-negro aqui é que esta parte da informação é divulgada em texto simples sem embelezamento e ocultação, e há um problema —usuários Ao provar a identidade de alguém, os dados privados no SBT devem ser parcialmente expostos.Após várias exposições, esses dados privados ainda podem ser coletados, classificados e analisados para formar um retrato completo do usuário, ameaçando assim a segurança da privacidade. Isso é o mesmo que chamamos de retratos da Web2. Se você pensar bem, os anúncios push que você vê ao abrir o Taobao são na verdade semelhantes às informações da categoria de loja de móveis que você acabou de visitar, ou o Taobao sempre exibe informações com base no seu consumo Hábitos.Empurrar para você produtos correspondentes ao estilo, preço e estilo é muito semelhante a um casulo de informações. Nem todo mundo gosta do casulo de informação o tempo todo, isso limitará seu desenvolvimento de informações e, ainda mais seriamente, limitará sua cognição.
Como podemos ver, o SBT tem vida curta e os cenários que podem ser amplamente e profundamente usados são muito limitados. Colocamos um ponto de interrogação na ideia de que "o SBT pode atender às complexas necessidades de interação de dados de identidade do futuro Web3 sociedade".
O esquema DID+VC efetivamente resolve as três limitações acima do SBT e garante que o direito final de emitir, manter e controlar DID e VC esteja nas mãos dos usuários por meios técnicos, como criptografia. E por meio de uma série de tecnologias e acordos para garantir
O sistema de identidade pode ser usado em cadeias, plataformas cruzadas e até fora da cadeia;
O esquema de exibição de informações de identidade é unificado e não há necessidade de usar diferentes esquemas de exibição de acordo com diferentes cenários;
É ainda possível desenvolver produtos customizados em cima do protocolo DID.
(Suplemento: Quanto ao NFT, acho que não pode ser comparado ao VC, porque o NFT representa um tipo de propriedade, e essa propriedade pode ser alterada, transferida e rastreada. VC carrega informações relacionadas à identidade, que são suas, únicas , e intransferível.)
O que é vc
VC é uma declaração descritiva emitida por um DID (como uma organização confiável, uma organização DAO, um sistema governamental, uma organização comercial) para endossar certos atributos de outro DID (como um usuário, um parceiro) e é baseado em criptograficamente gerado E verificável, para provar que seu proprietário possui certos atributos e esses atributos são reais (como identidade, habilidade, qualificação, etc.) [1]. Esses resultados de certificação podem ser registrados em outros VCs como Arweave e IPFS. Todas as informações relevantes são públicas, verificáveis, rastreáveis e permanentemente rastreáveis. Qualquer pessoa pode verificá-las independentemente para garantir o conteúdo do certificado. Autêntico e credível [2]. Esses VCs também podem ficar online nas principais cadeias públicas e interoperar com outros aplicativos ecológicos. Existem e apenas assuntos DID com propriedade de VC que podem controlar quem pode acessar seus VCs e como.
Observe que mencionamos dois tipos de VC no parágrafo acima, um é usado para armazenar dados privados do usuário [1], chamamos de VC pessoal aqui; o outro é usado para armazenar credenciais de verificação de VC pessoal [2], chamamos de aqui Resultados VC. Há um problema aqui. No momento, a maioria das credenciais verificáveis são armazenadas em bancos de dados centralizados ou blockchains que não podem fornecer proteção de privacidade. Isso não é um grande problema para o resultado VC [2], mas para VC individual [1] é intolerável.
Então, como podemos garantir a segurança e a privacidade do armazenamento de VC contendo dados pessoais privados? Isso envolve o método de armazenamento de VC:
Método de armazenamento de VC
Atualmente, existem três tipos principais:
Armazene e faça backup localmente no usuário.
É o mesmo que gravamos a chave privada em um notebook ou em um programa que não envolva a Internet. Mas, da mesma forma, uma vez perdido, é quase impossível recuperá-lo. Os usuários precisam assumir mais responsabilidade ao desfrutar de mais soberania.
Criptografado e armazenado em armazenamento em nuvem controlado pelo usuário.
Este método não é o mesmo que armazenar dados diretamente nos servidores centralizados dos gigantes da Internet na Web2. As permissões de acesso, uso e exclusão do VC criptografado só podem ser operadas pelo proprietário que possui a chave privada DID correspondente. Obviamente, os usuários também precisam salvar a chave privada ou o mnemônico do DID.
Armazene o armazenamento de informações do VC que precisa ser divulgado na plataforma de armazenamento descentralizado.
Desta forma, a informação é rastreável e verificável. E a propriedade dessas informações ainda pertence ao proprietário do VC.
É enfatizado aqui que não importa qual método seja usado, o usuário deve fazer um backup do VC e da chave privada.
Como mostrar VC
Vamos um pouco mais fundo, e os leitores mais atentos podem perceber que mesmo que consigamos privacidade e segurança no armazenamento, se não conseguirmos "deixar a outra parte saber que estou satisfeito sem revelar nenhuma informação privada" ao apresentar a VC suas condições", então as informações que divulgamos ainda não estão totalmente expostas na Internet? Não é de volta ao artigo anterior que informações semelhantes do SBT/NFT são rastreadas e coletadas, e então um retrato completo do usuário é formado, invadindo nossa vida cotidiana e atividades econômicas?
Este tipo de apresentação de dados sem proteção de privacidade não é o que a SSI busca!
Este também é o ponto de entrada da atualmente discutida tecnologia ZKP (Zero-Knowledge Proof).
Existem muitas tecnologias para obter privacidade, como Secure Multi-Party Computation, criptografia homomórfica, prova de conhecimento zero, etc. mas
A computação multipartidária segura requer participantes > n, que possui grandes restrições de cenário de uso no nível de usuário independente, mas é a base criptográfica para a implementação de muitos aplicativos, como votação eletrônica, assinaturas de limite e leilões online.
A criptografia homomórfica geralmente requer alto tempo de computação ou custos de armazenamento, o que está muito atrás do desempenho e da força dos algoritmos de criptografia tradicionais.
A prova de conhecimento zero não tem as limitações das duas anteriores e pode tornar a rede muito escalável por meio de várias recursões, mas a única desvantagem é que o limite de desenvolvimento é alto.
ZKP é atualmente a tecnologia mais preocupada em termos de segurança de privacidade e escalabilidade de rede na Web 3. Ele pode ajudar os usuários a provar seus atributos e qualificações sem revelar nenhuma informação, ou apenas retornar uma resposta "sim" ou "não". A emergente rede zCloak deu um bom exemplo a esse respeito, alcançando controle refinado sobre a exibição de informações de identidade - há quatro maneiras de apresentar seu VC: ZKP Disclosure, Digest Disclosure, Selective Disclosure (Selective Disclosure), Full Information Disclosure (Divulgação completa 0).
Ou seja, com base na tecnologia ZKP, os usuários podem optar por não divulgar suas próprias informações no todo, em parte ou de todo, ou obter um rótulo de "mestre DeFi" por meio de análise de dados secretos para mostrar suas certas habilidades e qualificações, e, ao mesmo tempo, permitir que o provedor de serviço identifique se o usuário atende plenamente aos padrões do usuário-alvo de um determinado negócio seu. Isso não apenas protege muito a privacidade e a segurança dos dados do usuário, mas também respeita totalmente os diversos desejos de divulgação de informações do usuário.
Análise do ZKP
O ZKP está atualmente dividido em dois sistemas: SNARK (Scalable Transparent Argument of Knowledge) e STARK (Succint Non-interactive Argument of Knowledge), ambos podem ser usados para criar provas de validade. As principais diferenças são explicadas na tabela a seguir:
SNARK:
O tamanho da prova é muito pequeno, então o tempo de verificação é curto, então a taxa de gás a ser paga ao processar provas SNARK em uma blockchain como Ethereum também é baixa, o que é uma grande vantagem disso.
Mas depende de suposições de segurança não padronizadas e requer uma fase de geração de confiança que, se algo der errado nesta fase, pode levar a uma violação da segurança do sistema.
Em contraste, STARK
baseia-se em suposições de segurança mais fracas, é totalmente transparente, não requer uma fase de geração de confiança e é resistente a quantum (ou seja, muito seguro).
E mais geral, melhor adaptabilidade à paralelização, sem necessidade de personalizar circuitos para diferentes cenários, o que pode economizar muito nos custos de desenvolvimento e simplificar o trabalho de desenvolvimento. E SNARK é necessário.
(Assim, vemos que os SNARKs são usados principalmente em cadeia cruzada e expansão L2, enquanto os STARKs são usados principalmente na proteção de dados privados. Porque o primeiro tem certificados menores, tempo de verificação mais curto e taxas de gás mais baixas, enquanto o último tem segurança extremamente alta e mais propícia ao desenvolvimento. Em 20 de junho, Vitalik Buterin, co-fundador da Ethereum, apontou em seu último artigo "Uma discussão mais profunda sobre leitura cruzada de carteiras L2 e outros casos de uso": na realização de prova de cadeia cruzada, prova de conhecimento zero (ZK-SNARK), etc. são escolhas de tecnologia muito viáveis, e zk-SNARK será tão importante quanto o blockchain nos próximos 10 anos.)
Vamos usar um cenário para ilustrar a aplicação de ambos. Suponha que queremos implementar um sistema de votação de privacidade no blockchain. Este sistema requer a verificação de que o usuário tem o direito de votar sem revelar a identidade do usuário:
Se priorizarmos a eficiência e o custo do gás do sistema, o SNARK pode ser uma escolha melhor, pois pode gerar provas menores e verificá-las mais rapidamente. No entanto,
Se nos preocupamos mais com a transparência e segurança do sistema, então o STARK pode ser uma escolha melhor, embora seu tamanho de prova seja maior e o tempo de verificação seja maior, mas não requer a fase de geração de confiança e é baseado em pressupostos de segurança.
Em geral, SNARK e STARK têm suas próprias vantagens e desvantagens, e qual tecnologia usar depende das necessidades e cenários específicos da aplicação.
Participantes do sistema de identidade DID
Inclui principalmente Titular de VC Titular, Emissor Emissor e Verificador Verificador.
Titular é o dono de um determinado DID, o titular do VC. Eles são a única pessoa ou organização com o direito de compartilhar suas credenciais e a única pessoa ou organização com o direito de escolher se desejam compartilhar sua própria identidade.
O emissor é o emissor de VC, geralmente desempenhado por organizações confiáveis, como DAO, governo e associações industriais. Deve-se notar que, embora o Emissor crie e emita um VC, ele não tem o direito de usar o VC, porque a chave privada do DID correspondente é necessária para assinatura autorizada antes de poder ser usada, e o Emissor não possuir a chave privada do Titular. No entanto, para certos tipos de VCs, o Emissor tem o direito de revogá-los. Por exemplo, se for constatado que um membro da comunidade está praticando maldades, a comunidade DAO pode retirar o certificado de honra que lhe foi emitido, ou o Departamento de Gestão de Trânsito tem o direito de revogar a carteira digital de motorista emitida para um motorista em caso de infrações.
O verificador é a verificação e o receptor do VC. Eles podem verificar o DID e o VC correspondentes somente se o Titular autorizar e concordar e saber se o Titular possui certos atributos ou atende a certas condições (como conformidade do usuário), para que o Titular possa passar Seu DID desfruta de algum tipo de serviço que presta com algumas qualificações.
Vamos dar um exemplo para entender a relação entre os três acima:
(Web 2) Por exemplo, ao anunciar um emprego, a empresa precisa verificar as informações de candidatura de novos funcionários em potencial para determinar se eles têm a formação acadêmica correspondente, a experiência de trabalho anterior é verdadeira e se são cidadãos legais; em desta vez, a empresa é o Verificador, as instituições de ensino que emitem certificados académicos e os antigos empregadores que emitem certificados profissionais são o Emitente, e os novos funcionários que detêm esses certificados são os Titulares.
(Web 3) Por exemplo, uma proposta de comunidade de mockDAO exige que apenas membros da comunidade com Nível>2 possam participar da votação. Durante esse processo, o mockDAO precisa verificar os certificados de membro (VC) emitidos com antecedência para confirmar se eles atendem a essas condições ; neste momento, mockDAO é um Emissor e um Verificador, e um membro da comunidade com um certificado de associação é um Titular.
Por que precisamos do sistema de identidade descentralizado DID+VC
O sistema de identidade DID+VC possui uma gama muito ampla de cenários de aplicação. Aqui, o autor lista seis cenários de aplicação comumente usados na Web3:
1. Login universal e seguro
Os usuários podem entrar diretamente em todas as plataformas através de um DID, e o VC autorizado pela plataforma ou contrato pode controlar os direitos de acesso do usuário, para que as barreiras entre as plataformas sejam quebradas, deixando de ser a forma tradicional de login para diferentes plataformas que exigem "conta + senha" diferentes; ao mesmo tempo, os usuários também são livres para mostrar diferentes VCs à plataforma para provar algumas de suas condições, melhorando a experiência de login do usuário e a disposição de divulgar informações.
Além disso, o login da carteira habitual na Web3 faz com que a interação entre a carteira e a plataforma seja publicada na cadeia, estimulando algumas plataformas a fornecer aos usuários serviços discriminatórios por meio de dados na cadeia (como status de propriedade). Usar um login DID evita que isso aconteça.
2. Verificação KYC
De uma perspectiva ampla e de longo prazo, o DID pode ser usado em todos os cenários do mundo real ou on-line envolvendo aplicativos de informações de identidade - por exemplo, muitos serviços on-line, incluindo trocas e carteiras em alguns setores de criptografia, exigem que digitalizemos e carreguemos documentos de identificação para completar a certificação KYC - eles geralmente precisam verificar a identidade com documentos complicados e registros eletrônicos, o que é caro e demorado, e pode levar ao vazamento da privacidade do usuário, e também há casos em que os provedores de serviços não podem verificar a autenticidade da prova .
No entanto, no sistema de identidade DID, o provedor de serviços verifica a qualificação do usuário por meio de VC com a permissão do usuário, e as informações confidenciais do usuário podem ser seletivamente ou completamente ocultas, ou parcial ou totalmente compartilhadas, portanto, em comparação com o tradicional KYC Authentication é mais confiável , e ao mesmo tempo, o custo de comunicação entre usuários e organizações é bastante reduzido.
Mesmo na vida real, o sistema de identidade da DID+VC pode ajudar as empresas de empréstimo a verificar facilmente as credenciais financeiras dos solicitantes e, ao mesmo tempo, respeitar a disposição dos usuários de manter determinados dados privados; na devida diligência dos funcionários, é conveniente que os funcionários liguem para a qualificação os materiais sejam devidamente guardados, o que também garante que os materiais não serão adulterados no processo de circulação, podendo também evitar a situação em que seja difícil verificar a autenticidade das informações devido a possíveis inconvenientes no processo de verificação. etc.
3. Governança da comunidade
(1) Completar o gerenciamento de dados de contribuição e identidade da comunidade de forma a proteger a privacidade:
Muitas plataformas e comunidades na Web3 adotam um modelo centralizado para gerenciar identidades de membros e dados de contribuição. Mesmo que algumas organizações tentem colocar na rede, a taxa do Gas já se tornará um custo considerável para a operação da organização, e a rede Mesmo com o permissão do proprietário, o conteúdo final não pode ser modificado e a privacidade do proprietário é difícil de proteger. Ao associar a chave de autorização e o protocolo ao sistema de identidade DID+VC, o gerenciamento dos dados de identidade e contribuição pode ser feito de forma conveniente e sigilosa, protegendo totalmente a soberania e privacidade dos dados do titular.
(2) Governança eficiente de DAO
O exemplo de certificação de qualificação de voto mockDAO mencionado acima também ilustra bem que o sistema de identidade DID+VC pode obter gerenciamento eficiente de DAO e outras organizações, economizar o custo geral da parte do projeto e a experiência de operação do usuário é mais simples e suave. Como os direitos de custódia e uso do VC estão totalmente nas mãos dos usuários, os membros da comunidade também podem usar o VC para provar sua contribuição a um projeto ou DAO, reduzindo muito seus custos de comunicação com a organização.
4. Ataque Anti-Sybil
O ataque Sybil refere-se a um pequeno grupo de pessoas que controlam um grande número de robôs para simular o comportamento humano, de modo a atingir o objetivo de interferir na operação da organização com fins lucrativos. Tais ataques são fáceis de ver em muitos airdrops e governança de votação. O sistema DID pode garantir que o VC seja emitido apenas para usuários reais e válidos. Os usuários só podem obter as qualificações para participar dessas atividades apresentando e verificando credenciais, e sua privacidade não será vazada.
5. Ataque anti-phishing
Quando os mnemônicos e as chaves privadas são mantidos em segredo, os ativos digitais do usuário geralmente estão seguros, mas os hackers usam erros humanos ou plataformas centralizadas para lançar ataques, como usar Discord, e-mail, Twitter, plataformas de negociação para liberar informações falsas ou falsificar o The site orienta os usuários a realizar operações erradas. Além da necessidade de os usuários serem mais vigilantes, verificar cuidadosamente as informações das transações e proteger as informações confidenciais da conta, o mais importante, fundamental e eficaz é poder verificar em tempo hábil se informações desconhecidas vêm de uma organização real em si. Este processo de verificação envolve
(1) Determinar a autenticidade e validade da identidade da organização que divulgou as informações e que não é falsificada ou cancelada;
(2) Confirme que todo o conteúdo da informação provém da organização autêntica e eficaz;
No que diz respeito ao primeiro ponto, a partir do nível de caso de uso, os usuários podem conhecer a base legal e as informações oficiais de identidade da organização por meio de páginas amarelas confiáveis semelhantes a "Tianyancha" ou confiar na organização por meio do logotipo "Blue V" das principais plataformas sociais. A autenticidade da conta pública e do conteúdo publicado. Mas esses dois métodos são processos de certificação manuais, centralizados e ineficientes. A plataforma não pode atualizar o status do desenvolvimento do projeto, cancelamento e mudança de propriedade em tempo hábil, e não pode verificar se os discursos dos executivos de alto nível futuros ou renunciados representam as intenções da organização.
Do nível técnico, a autenticidade e a validade da identidade podem ser verificadas por meio do sistema de infraestrutura de chave pública (PKI) da autoridade emissora de certificado (CA) ou por meio do sistema de chave pessoal PGP e Web of Trust desenvolvido por Phil Zimmerman. O primeiro é totalmente centralizado e seu escopo de aplicação é limitado à comunicação criptografada SSL/TLS do site da Web. Vários sites HTTPS usam esse tipo de certificado para verificação de identidade do site. O último exige que a chave pública PGP do objeto de interação seja conhecida com antecedência, o que terá certas preocupações de segurança e escalabilidade, e não há uma maneira clara de verificar a autenticidade e a identidade de cada um conhecendo a chave pública PGP. não há mecanismo de penalidade para lidar com autenticação incorreta e, devido aos princípios básicos de criptografia e operações de linha de comando envolvidas, a facilidade de uso dos usuários comuns é extremamente ruim e é difícil fortalecer a reputação de organizações ou indivíduos em geral e formam um efeito de rede.
No que diz respeito ao segundo ponto - "determinar que todo o conteúdo da informação provém de uma organização real e eficaz" - face à massificação de informação, especialmente informação envolvendo carteiras e interações de ativos, é necessária uma verificação eficaz, quer seja em Web2 ou Web3 A maneira de ajudar organizações e celebridades precisa de um comissário político oficial que possa refutar rumores em tempo hábil e ajudar os usuários a verificar informações em tempo hábil, de modo a manter a reputação e proteger informações e segurança patrimonial.
Web3 sempre careceu de um método de autenticação antifraude e um caminho de expressão de informação verificável para antifraude para resolver os dois problemas acima. Até o surgimento do sistema de identidade DID+VC, uma solução era proposta para eles.
Como o DID de um sujeito pode ser certificado por KYB e KYC, seu histórico é registrado e verificado por VC, mas no processo de certificação, registro e verificação, exceto para o próprio usuário e o órgão público de confiança legalmente responsável que emitiu VC, ninguém Uma pessoa conhece a privacidade do usuário e os dados pessoais de privacidade
Ou, para aquelas organizações sensíveis ao KYB, autorizar os atributos oficiais de um DID, associando seus canais oficiais voltados ao público à sua certificação DID, desde que haja e apenas informações divulgadas pelo DID sejam com Credibilidade (embora não possam ser totalmente garantidas por lei, a reputação também é um elemento muito importante no reconhecimento social), tornando os usuários mais dispostos a escolher acreditar nas informações que divulgam, ajudando a identificar verdadeiros e falsos DIDs.
Promova o desenvolvimento do DeFi
Todos os comportamentos on-chain do usuário podem ser gravados em VC, acumulando gradualmente seu próprio crédito on-chain como um importante atributo de identidade e também pode fornecer conveniência para os usuários obterem serviços de terceiros. O sistema de identidade DID+VC pode refletir o comportamento econômico on-chain do usuário de forma a proteger a privacidade do usuário e registrá-lo, verificar e apresentá-lo na forma de VC, o que pode não apenas ajudar o DeFi a julgar o crédito financeiro on-chain de organizações ou usuários individuais, mas também Para ajudar os usuários a obter serviços de empréstimo de crédito semelhantes às finanças tradicionais, o modelo de promessa de token pode ser enfraquecido ou substituído, trazendo melhor liquidez e eficiência de capital ao atual ecossistema DeFi.
Nesta fase, a expansão do negócio de crédito DeFi é limitada principalmente pela identificação de identidades na cadeia correspondentes a identidades reais. Se o DeFi deve interagir de forma precisa e eficaz com os dados financeiros off-chain dos usuários para ajudar a avaliar o crédito on-chain dos usuários e até mesmo recuperar o comportamento desonesto na cadeia, a certificação KYC é inevitável, mas isso pode fazer com que os nativos da Web 3 se sintam desconfortáveis Porque envolve perigos ocultos de exposição de informações de privacidade e riscos morais de agências de certificação.
Por outro lado, o nível de crédito dos usuários do Web3 é difícil de julgar e medir, e também se tornou um dos principais motivos que impedem o DeFi de realizar negócios de crédito com taxas hipotecárias baixas. Portanto, a própria segurança financeira do projeto só pode ser garantido pelo aumento da taxa de hipoteca ou sobre-hipoteca do usuário. Mas, ao mesmo tempo, reduz a eficiência de utilização de capital da ecologia DeFi, enfraquece a liquidez geral da ecologia de criptografia e, ao mesmo tempo, exclui a maioria dos usuários de criptografia que desejam usar alavancagem de crédito. No entanto, para este grupo de pessoas, seus empréstimos são devido à falta de fundos ou ativos que podem ser hipotecados, e devido à maturidade do sistema de crédito off-chain e à limitação do escopo de aplicação, pode ser difícil para eles obter o valor ideal devido a registros de crédito insuficientes no mundo real.
Com base no sistema de identidade DID+VC, ele pode fornecer uma solução potencial para os problemas de negócios de crédito DeFi acima - por meio de VC com múltiplas funções de apresentação e totalmente controlado pelos usuários, pode (1) reduzir as instituições de crédito para concluir a coleta de dados de crédito anteriores E o custo da verificação, ao mesmo tempo, mesmo que a certificação KYC seja aplicada para DeFi futuro e interação de dados fora da cadeia; também pode (2) garantir as demandas de privacidade no processo de verificação e apresentação de dados do usuário, exceto para confiança pública agências que autenticam KYC e aquelas que autenticam os dados financeiros correspondentes Nem a organização nem o próprio usuário conhecem nenhum dado privado relevante do usuário, e há um caminho claro para que as informações correspondentes sejam responsabilizadas em caso de vazamento. Dessa forma, os aplicativos DeFi podem facilmente fornecer serviços direcionados para diferentes usuários, como verificar o status de crédito on-chain e off-chain anterior do usuário por meio do DID do usuário e certificados digitais verificáveis e obter juros baixos se o registro de pagamento for um bom crédito empréstimos ou empréstimos com baixas taxas de garantia.
Conclusão
O sistema de identidade DID+VC é a pedra angular da Web3 indo ao público.
Como mencionado no início, nossas expectativas para blockchain ou Web3 vêm de sua capacidade de resistir a privilégios e censura involuntária, mas isso não significa que a confiança seja completamente desnecessária. Queremos apenas enfraquecer ou eliminar a confiança naquelas instituições centrais que vão vender e adulterar a nossa informação, e queremos atingir este objetivo através da autonomia dos dados; mas, ao mesmo tempo, também precisamos de credibilidade e obrigações legais e responsáveis instituições, como segurança pública e governo, para verificar a autenticidade e credibilidade de várias organizações e identidades individuais na rede, e até mesmo a autenticidade e credibilidade de informações e objetos. Eles são obrigados a supervisionar várias entidades na rede (organizações, Indivíduos e informações) para evitar e supervisionar incidentes de fraude causados por informações de identidade forjadas e, posteriormente, implementar procedimentos legais de responsabilidade, cortar a cadeia de vazamento de informações e recuperar algumas ou todas as perdas econômicas. Tudo isso requer o apoio da supervisão e a implementação de KYC e KYB. Mesmo que uma pessoa possa ter vários DIDs ao mesmo tempo, temos apenas uma identidade real. Quando os vários DIDs de uma pessoa são associados e autenticados com sua identidade única e real, é possível impedir substancialmente o roubo de informações na Web2 e na Web3. incidentes fraudulentos ; também é possível fazer com que os dados Web2 sejam usados de uma determinada maneira no mundo Web3 para enriquecer os cenários de aplicação do DID na cadeia. Durante o período de transição do ser humano entrando no mundo cibernético, o DID fará o mapeamento da identidade Web2 e do relacionamento social no mundo Web3.
Claro, seja computação multipartidária segura, criptografia homomórfica ou prova de conhecimento zero, se a certificação KYC baseada nessas tecnologias de criptografia e concluída por uma instituição pública de confiança legalmente responsável puder ser realizada em grande escala, pode-se dizer que Web3 é mais seguro do que Web2. Porque, atualmente, parte de nossa certificação KYC e dados de privacidade de identidade muito importantes são controlados por muitas organizações comerciais. E quando o DID de uma organização ou indivíduo tem um certo grau de reconhecimento na internet, um DID mais legível pode falar por eles. Claro que esse caminho é muito longo, e outros DIDs podem surgir no processo. solução, então eu não vou discutir muito por agora.
Por meio da criptografia e da lógica de interação técnica do sistema, o sistema de identidade DID permite que os usuários dominem a propriedade de seus próprios dados de identidade, superem os pontos problemáticos do abuso de informações na Internet tradicional e aumentem o custo de "fazer o mal" para organizações e hackers. A soberania de dados também dá aos usuários uma sensação de segurança. Deixe as pessoas verem o alvorecer da sociedade digital DeSoc composta por "substituir o governo do homem pelo código" no Web3 ideal; pode combinar os problemas de identificação do usuário de DeFi, DAO, GameFi e outras faixas, resolver o problema de proteção de privacidade KYC em a cadeia e reformar o método de governança da comunidade , prevenindo ataques de bruxas e phishing, etc., tornando a Web3 uma sociedade mais segura que a Web2, mais tolerante com os usuários e mais respeitosa com os direitos e desejos dos usuários.
Claro, a realização desta bela visão também requer um conjunto de protocolos padrão cross-chain, cross-platform e até mesmo off-chain para apoiá-la, bem como o reconhecimento de inúmeros usuários, plataformas e até organizações offline, bem como a necessidade de formar um efeito de rede para uso.
Ver original
O conteúdo serve apenas de referência e não constitui uma solicitação ou oferta. Não é prestado qualquer aconselhamento em matéria de investimento, fiscal ou jurídica. Consulte a Declaração de exoneração de responsabilidade para obter mais informações sobre os riscos.
Interpretação Abrangente do Sistema de Identidade DID: Status, Conceito e Importância
Prefácio
O Web3 baseado na tecnologia blockchain emergiu no palco da história, e uma parte considerável do impulso vem das expectativas das pessoas de que ele pode resistir aos privilégios de organizações comerciais e censura involuntária - substituindo o governo do homem por um código para proteger os direitos e interesses de cada participante. No que diz respeito à situação atual, as várias soluções dadas pela indústria - os usuários registram carteiras intencionalmente para interagir - não apenas levam a frequentes ataques Sybil e ataques de phishing, mas também não podem ser responsabilizados, corroem a confiança da comunidade Web3, e prejudicar a segurança da privacidade e a segurança dos ativos dos usuários do Web3; também impede que os usuários do Web3 que têm reputação na cadeia, mas carecem de ativos, desfrutem de serviços financeiros de alta qualidade (como serviços financeiros no modelo de empréstimo de crédito off-line).
O mau comportamento de "o forte explorando o fraco" criticado na Web2 e "o dinheiro ruim expulsa o bom dinheiro" na sociedade tradicional é reproduzido na Web3. Mesmo a autonomia de dados (SSI) defendida e acreditada pela Web3 (que é uma das características que atraem os usuários) tem sido repetidamente prejudicada no caminho para sua realização, porque os dados privados do usuário são armazenados na centralização de projetos descentralizados. servidor, ou é apresentado de forma pública e completa no blockchain, e sua segurança e privacidade não foram realmente protegidas; até certo ponto, em comparação com a Web2, trouxe um maior grau de perda econômica e, uma vez sofrido É quase irreversível e devido à falta de suporte regulatório adequado, a identidade de invasores mal-intencionados é difícil de localizar e responsabilizar.
Nesse contexto, a Web3 percebe que visualizar a reputação dos sujeitos da identidade, propor contratos com base na identidade e introduzir regulamentações apropriadas são indispensáveis para seu desenvolvimento a longo prazo. Com base nessa consciência básica, o conceito de identidade descentralizada que consiste em "identificador descentralizado (DID) + certificado verificável (VC)" tornou-se gradualmente claro, fornecendo uma solução para a construção de sistemas de identidade na sociedade Web3.
Resumidamente, o desenvolvimento do sistema de identidade evoluiu de uma identidade centralizada gerenciada e controlada por uma única autoridade; para uma identidade federada que permite que os dados de identidade do usuário sejam portáteis até certo ponto e possam ser registrados em várias plataformas, como cross- login da plataforma de contas WeChat e Google; para a identidade descentralizada inicial que requer autorização e permissão para compartilhar dados de identidade, como OpenID; e então progredir para uma identidade auto-soberana (SSI: Self-Sovernge Identity) que pode realmente realizar dados totalmente possuído e controlado por indivíduos— —Na Web3, geralmente se refere a um sistema de identidade descentralizado com privacidade e segurança construído com base em DID+VC. A centralização está sendo parcialmente substituída pela descentralização, que não envolve mais armazenamento e coleta central de dados.
Status atual dos dados de privacidade de identidade
A identidade e informações relacionadas são usadas principalmente para provar "quem eu sou" e "se reúno os requisitos específicos para usufruir de um determinado serviço". As informações de identidade são exigidas em muitos cenários, como os requisitos educacionais na procura de emprego, a comprovação de bens na compra de uma casa e na solicitação de um empréstimo bancário e se reunimos as condições para se tornar um cliente VIP de uma entidade ou um provedor de serviços virtuais.
Na vida real, as informações de identidade das pessoas são arquivadas no sistema oficial e verificadas e verificadas por meio da apresentação de documentos e certificados correspondentes em vários cenários da vida; no mundo da Internet, nossa identidade é representada pela senha da conta e os dados comportamentais baseados nisso. registro do sistema de armazenamento de dados do provedor de serviço correspondente.
O que eles têm em comum são:
Porque quando os usuários precisam se conectar a atividades sociais, de jogos, financeiras, compras e outras em todo o mundo através da rede, essas informações de identidade precisam ser carregadas em uma determinada plataforma sem reservas, e os dados de identidade do jogo online e identidade social gerados pelo usuário dados de atividades etc. também estão lacrados nos servidores da gigante - ou seja, os usuários só têm o direito de visualizar, mas não de deletar, adicionar ou trocar seus próprios dados como bem entenderem. A exposição irrestrita desses dados para a organização traz riscos consideráveis de privacidade e segurança, afinal, parece que o fenômeno de organizações usarem seus privilégios para roubar dados de usuários sem autorização parece ser comum e corriqueiro na Web2.
Ao mesmo tempo, os sistemas de dados relativamente independentes entre as organizações forçam os dados do usuário a serem fragmentados e armazenados em sistemas inacessíveis, tornando difícil para os usuários visualizar, chamar e analisar completamente seus próprios dados. Uma das pré-condições para a realização do SSI é que os usuários possam controlar seus próprios dados privados, ou seja, eles têm soberania de dados – direitos de custódia de dados e direitos de uso de dados. E FEZ isso acontecer.
DID - retorna a soberania de dados do usuário S
O que é DID
Em termos simples, um identificador descentralizado (DID) é um URI na forma de uma string globalmente exclusiva, altamente disponível, resolvível e criptograficamente verificável. - Aplicações como identidade pessoal, identidade organizacional, histórico de atividades on-chain, IoT cenários, etc. são todos benéficos, e também podem ser usados para identificar outras formas de assuntos - como produtos ou algo que não existe, como ideias ou conceitos, etc.
Por exemplo, muitas plataformas blockchain, como Ethereum e Polygon, estão prestando atenção ao DID, mas estão atualmente em estágio experimental e ninguém deu uma solução sistemática. Os padrões DID mais comumente usados vêm do W 3 C (World Wide Web Consortium, a maior organização de desenvolvimento de especificações da Web do mundo) e DIF (Decentrailized Identity Foundation), entre os quais os padrões W 3 C são mais amplamente usados.
DID e VC são inseparáveis. A implantação comercial do W 3 C VC usa DID para identificar pessoas, organizações e coisas em grandes quantidades e atinge um certo grau de segurança e garantia de proteção de privacidade. Nenhuma outra parte pode acessar, usar ou divulgar sem permissão Dados de identidade para o assunto DID.
O DID do usuário é totalmente controlado pelo usuário, gerado de acordo com um determinado algoritmo e não totalmente autorizado por uma única organização. O DID pode ser analisado como um documento DID armazenado no blockchain - incluindo chave de autorização (chave de autenticação), chave de criptografia (chave de contrato), chave de delegação (chave de delegação), chave de verificação (chave de declaração) e informações como o serviço link de endpoint que interage com o assunto DID. Essas chaves podem ser comumente entendidas como as assinaturas que usamos para diferentes finalidades em nossas vidas. Os documentos assinados (finalidade) podem ser de confidencialidade, procuração ou autorização para que determinada parte use suas informações pessoais, etc.
É justamente por causa dessa infraestrutura de chave pública que o sistema de identidade DID+VC permite aos usuários proteger melhor seus dados e escolher se deseja compartilhar e como compartilhar dados, pois somente o proprietário da chave privada tem autorização total de DID. Isso é o mesmo que os ativos no blockchain são controlados por chaves privadas.
Como um aparte, isso também leva aos seguintes problemas:
Portanto, é responsabilidade de todos os usuários fazer um backup seguro de sua chave privada e mnemônico.
VC - informações de identidade confiáveis on-line
O VC é um elemento de sistema de identidade mais profundo do que o SBT.
Em maio de 2022, Vitalik Buterin, cofundador da Ethereum, Glen Weyl, pesquisador do Office of the Chief Technology Officer da Microsoft, e Puja Ahluwalia Ohlhaver, estrategista da Flashbots, lançaram em conjunto - "Sociedade descentralizada: encontrando a alma da Web3 - descentralizada Sociedade: Encontrando a Alma do Web3 A Alma do Web3 gerou discussões acaloradas no SBT (SoulBound Token: Soul Bound Token). O conceito de identidade descentralizada, portanto, ganhou mais atenção.
Até certo ponto, o SBT pode substituir o VC para construir o relacionamento social da Web 3. Protocolos como EIP-4973, EIP-5114, ERC 721 S e EIP-3525 representam basicamente a imaginação do formulário de inscrição do SBT. No entanto, as limitações naturais do SBT o impedem de formar um sistema de identidade descentralizado completo:
O token aponta para um endereço de carteira, não para uma identidade que possa representar uma identidade. Mais importante, não queremos que os sujeitos dos contratos sociais sejam carteiras em vez de identidades, porque as transações são apenas parte das atividades sociais.
Embora seja possível provar a identidade em um ambiente compatível com várias cadeias, como o EVM, é impotente para cenários multiecológicos, multiplataforma ou mesmo off-chain.
Semelhante ao NFT, o SBT existente possui apenas duas formas de apresentação: exibição completa e ocultação completa, e não possui uma função completa de proteger a privacidade dos dados.
Embora a indústria também esteja fazendo agregação de SBT no momento, a forma de transporte de informações de SBT liberada por cada projeto não é uniforme, portanto, só pode ser organizada e exibida no quadro branco, que tem uma legibilidade extremamente ruim e não é conveniente para os usuários usarem e interpretar.
Mesmo que o SBT possa ser divulgado seletivamente agora - ou seja, algumas informações no SBT podem ser mostradas conforme necessário, mas o quadro-negro aqui é que esta parte da informação é divulgada em texto simples sem embelezamento e ocultação, e há um problema —usuários Ao provar a identidade de alguém, os dados privados no SBT devem ser parcialmente expostos.Após várias exposições, esses dados privados ainda podem ser coletados, classificados e analisados para formar um retrato completo do usuário, ameaçando assim a segurança da privacidade. Isso é o mesmo que chamamos de retratos da Web2. Se você pensar bem, os anúncios push que você vê ao abrir o Taobao são na verdade semelhantes às informações da categoria de loja de móveis que você acabou de visitar, ou o Taobao sempre exibe informações com base no seu consumo Hábitos.Empurrar para você produtos correspondentes ao estilo, preço e estilo é muito semelhante a um casulo de informações. Nem todo mundo gosta do casulo de informação o tempo todo, isso limitará seu desenvolvimento de informações e, ainda mais seriamente, limitará sua cognição.
Como podemos ver, o SBT tem vida curta e os cenários que podem ser amplamente e profundamente usados são muito limitados. Colocamos um ponto de interrogação na ideia de que "o SBT pode atender às complexas necessidades de interação de dados de identidade do futuro Web3 sociedade".
O esquema DID+VC efetivamente resolve as três limitações acima do SBT e garante que o direito final de emitir, manter e controlar DID e VC esteja nas mãos dos usuários por meios técnicos, como criptografia. E por meio de uma série de tecnologias e acordos para garantir
(Suplemento: Quanto ao NFT, acho que não pode ser comparado ao VC, porque o NFT representa um tipo de propriedade, e essa propriedade pode ser alterada, transferida e rastreada. VC carrega informações relacionadas à identidade, que são suas, únicas , e intransferível.)
O que é vc
VC é uma declaração descritiva emitida por um DID (como uma organização confiável, uma organização DAO, um sistema governamental, uma organização comercial) para endossar certos atributos de outro DID (como um usuário, um parceiro) e é baseado em criptograficamente gerado E verificável, para provar que seu proprietário possui certos atributos e esses atributos são reais (como identidade, habilidade, qualificação, etc.) [1]. Esses resultados de certificação podem ser registrados em outros VCs como Arweave e IPFS. Todas as informações relevantes são públicas, verificáveis, rastreáveis e permanentemente rastreáveis. Qualquer pessoa pode verificá-las independentemente para garantir o conteúdo do certificado. Autêntico e credível [2]. Esses VCs também podem ficar online nas principais cadeias públicas e interoperar com outros aplicativos ecológicos. Existem e apenas assuntos DID com propriedade de VC que podem controlar quem pode acessar seus VCs e como.
Observe que mencionamos dois tipos de VC no parágrafo acima, um é usado para armazenar dados privados do usuário [1], chamamos de VC pessoal aqui; o outro é usado para armazenar credenciais de verificação de VC pessoal [2], chamamos de aqui Resultados VC. Há um problema aqui. No momento, a maioria das credenciais verificáveis são armazenadas em bancos de dados centralizados ou blockchains que não podem fornecer proteção de privacidade. Isso não é um grande problema para o resultado VC [2], mas para VC individual [1] é intolerável.
Então, como podemos garantir a segurança e a privacidade do armazenamento de VC contendo dados pessoais privados? Isso envolve o método de armazenamento de VC:
Método de armazenamento de VC
Atualmente, existem três tipos principais:
É o mesmo que gravamos a chave privada em um notebook ou em um programa que não envolva a Internet. Mas, da mesma forma, uma vez perdido, é quase impossível recuperá-lo. Os usuários precisam assumir mais responsabilidade ao desfrutar de mais soberania.
Este método não é o mesmo que armazenar dados diretamente nos servidores centralizados dos gigantes da Internet na Web2. As permissões de acesso, uso e exclusão do VC criptografado só podem ser operadas pelo proprietário que possui a chave privada DID correspondente. Obviamente, os usuários também precisam salvar a chave privada ou o mnemônico do DID.
Desta forma, a informação é rastreável e verificável. E a propriedade dessas informações ainda pertence ao proprietário do VC.
É enfatizado aqui que não importa qual método seja usado, o usuário deve fazer um backup do VC e da chave privada.
Como mostrar VC
Vamos um pouco mais fundo, e os leitores mais atentos podem perceber que mesmo que consigamos privacidade e segurança no armazenamento, se não conseguirmos "deixar a outra parte saber que estou satisfeito sem revelar nenhuma informação privada" ao apresentar a VC suas condições", então as informações que divulgamos ainda não estão totalmente expostas na Internet? Não é de volta ao artigo anterior que informações semelhantes do SBT/NFT são rastreadas e coletadas, e então um retrato completo do usuário é formado, invadindo nossa vida cotidiana e atividades econômicas?
Este tipo de apresentação de dados sem proteção de privacidade não é o que a SSI busca!
Este também é o ponto de entrada da atualmente discutida tecnologia ZKP (Zero-Knowledge Proof).
Existem muitas tecnologias para obter privacidade, como Secure Multi-Party Computation, criptografia homomórfica, prova de conhecimento zero, etc. mas
ZKP é atualmente a tecnologia mais preocupada em termos de segurança de privacidade e escalabilidade de rede na Web 3. Ele pode ajudar os usuários a provar seus atributos e qualificações sem revelar nenhuma informação, ou apenas retornar uma resposta "sim" ou "não". A emergente rede zCloak deu um bom exemplo a esse respeito, alcançando controle refinado sobre a exibição de informações de identidade - há quatro maneiras de apresentar seu VC: ZKP Disclosure, Digest Disclosure, Selective Disclosure (Selective Disclosure), Full Information Disclosure (Divulgação completa 0).
Ou seja, com base na tecnologia ZKP, os usuários podem optar por não divulgar suas próprias informações no todo, em parte ou de todo, ou obter um rótulo de "mestre DeFi" por meio de análise de dados secretos para mostrar suas certas habilidades e qualificações, e, ao mesmo tempo, permitir que o provedor de serviço identifique se o usuário atende plenamente aos padrões do usuário-alvo de um determinado negócio seu. Isso não apenas protege muito a privacidade e a segurança dos dados do usuário, mas também respeita totalmente os diversos desejos de divulgação de informações do usuário.
Análise do ZKP
O ZKP está atualmente dividido em dois sistemas: SNARK (Scalable Transparent Argument of Knowledge) e STARK (Succint Non-interactive Argument of Knowledge), ambos podem ser usados para criar provas de validade. As principais diferenças são explicadas na tabela a seguir:
SNARK:
Em contraste, STARK
(Assim, vemos que os SNARKs são usados principalmente em cadeia cruzada e expansão L2, enquanto os STARKs são usados principalmente na proteção de dados privados. Porque o primeiro tem certificados menores, tempo de verificação mais curto e taxas de gás mais baixas, enquanto o último tem segurança extremamente alta e mais propícia ao desenvolvimento. Em 20 de junho, Vitalik Buterin, co-fundador da Ethereum, apontou em seu último artigo "Uma discussão mais profunda sobre leitura cruzada de carteiras L2 e outros casos de uso": na realização de prova de cadeia cruzada, prova de conhecimento zero (ZK-SNARK), etc. são escolhas de tecnologia muito viáveis, e zk-SNARK será tão importante quanto o blockchain nos próximos 10 anos.)
Vamos usar um cenário para ilustrar a aplicação de ambos. Suponha que queremos implementar um sistema de votação de privacidade no blockchain. Este sistema requer a verificação de que o usuário tem o direito de votar sem revelar a identidade do usuário:
Em geral, SNARK e STARK têm suas próprias vantagens e desvantagens, e qual tecnologia usar depende das necessidades e cenários específicos da aplicação.
Participantes do sistema de identidade DID
Inclui principalmente Titular de VC Titular, Emissor Emissor e Verificador Verificador.
Titular é o dono de um determinado DID, o titular do VC. Eles são a única pessoa ou organização com o direito de compartilhar suas credenciais e a única pessoa ou organização com o direito de escolher se desejam compartilhar sua própria identidade.
O emissor é o emissor de VC, geralmente desempenhado por organizações confiáveis, como DAO, governo e associações industriais. Deve-se notar que, embora o Emissor crie e emita um VC, ele não tem o direito de usar o VC, porque a chave privada do DID correspondente é necessária para assinatura autorizada antes de poder ser usada, e o Emissor não possuir a chave privada do Titular. No entanto, para certos tipos de VCs, o Emissor tem o direito de revogá-los. Por exemplo, se for constatado que um membro da comunidade está praticando maldades, a comunidade DAO pode retirar o certificado de honra que lhe foi emitido, ou o Departamento de Gestão de Trânsito tem o direito de revogar a carteira digital de motorista emitida para um motorista em caso de infrações.
O verificador é a verificação e o receptor do VC. Eles podem verificar o DID e o VC correspondentes somente se o Titular autorizar e concordar e saber se o Titular possui certos atributos ou atende a certas condições (como conformidade do usuário), para que o Titular possa passar Seu DID desfruta de algum tipo de serviço que presta com algumas qualificações.
Vamos dar um exemplo para entender a relação entre os três acima:
(Web 2) Por exemplo, ao anunciar um emprego, a empresa precisa verificar as informações de candidatura de novos funcionários em potencial para determinar se eles têm a formação acadêmica correspondente, a experiência de trabalho anterior é verdadeira e se são cidadãos legais; em desta vez, a empresa é o Verificador, as instituições de ensino que emitem certificados académicos e os antigos empregadores que emitem certificados profissionais são o Emitente, e os novos funcionários que detêm esses certificados são os Titulares.
(Web 3) Por exemplo, uma proposta de comunidade de mockDAO exige que apenas membros da comunidade com Nível>2 possam participar da votação. Durante esse processo, o mockDAO precisa verificar os certificados de membro (VC) emitidos com antecedência para confirmar se eles atendem a essas condições ; neste momento, mockDAO é um Emissor e um Verificador, e um membro da comunidade com um certificado de associação é um Titular.
Por que precisamos do sistema de identidade descentralizado DID+VC
O sistema de identidade DID+VC possui uma gama muito ampla de cenários de aplicação. Aqui, o autor lista seis cenários de aplicação comumente usados na Web3:
1. Login universal e seguro
Os usuários podem entrar diretamente em todas as plataformas através de um DID, e o VC autorizado pela plataforma ou contrato pode controlar os direitos de acesso do usuário, para que as barreiras entre as plataformas sejam quebradas, deixando de ser a forma tradicional de login para diferentes plataformas que exigem "conta + senha" diferentes; ao mesmo tempo, os usuários também são livres para mostrar diferentes VCs à plataforma para provar algumas de suas condições, melhorando a experiência de login do usuário e a disposição de divulgar informações.
Além disso, o login da carteira habitual na Web3 faz com que a interação entre a carteira e a plataforma seja publicada na cadeia, estimulando algumas plataformas a fornecer aos usuários serviços discriminatórios por meio de dados na cadeia (como status de propriedade). Usar um login DID evita que isso aconteça.
2. Verificação KYC
De uma perspectiva ampla e de longo prazo, o DID pode ser usado em todos os cenários do mundo real ou on-line envolvendo aplicativos de informações de identidade - por exemplo, muitos serviços on-line, incluindo trocas e carteiras em alguns setores de criptografia, exigem que digitalizemos e carreguemos documentos de identificação para completar a certificação KYC - eles geralmente precisam verificar a identidade com documentos complicados e registros eletrônicos, o que é caro e demorado, e pode levar ao vazamento da privacidade do usuário, e também há casos em que os provedores de serviços não podem verificar a autenticidade da prova .
No entanto, no sistema de identidade DID, o provedor de serviços verifica a qualificação do usuário por meio de VC com a permissão do usuário, e as informações confidenciais do usuário podem ser seletivamente ou completamente ocultas, ou parcial ou totalmente compartilhadas, portanto, em comparação com o tradicional KYC Authentication é mais confiável , e ao mesmo tempo, o custo de comunicação entre usuários e organizações é bastante reduzido.
Mesmo na vida real, o sistema de identidade da DID+VC pode ajudar as empresas de empréstimo a verificar facilmente as credenciais financeiras dos solicitantes e, ao mesmo tempo, respeitar a disposição dos usuários de manter determinados dados privados; na devida diligência dos funcionários, é conveniente que os funcionários liguem para a qualificação os materiais sejam devidamente guardados, o que também garante que os materiais não serão adulterados no processo de circulação, podendo também evitar a situação em que seja difícil verificar a autenticidade das informações devido a possíveis inconvenientes no processo de verificação. etc.
3. Governança da comunidade
(1) Completar o gerenciamento de dados de contribuição e identidade da comunidade de forma a proteger a privacidade:
Muitas plataformas e comunidades na Web3 adotam um modelo centralizado para gerenciar identidades de membros e dados de contribuição. Mesmo que algumas organizações tentem colocar na rede, a taxa do Gas já se tornará um custo considerável para a operação da organização, e a rede Mesmo com o permissão do proprietário, o conteúdo final não pode ser modificado e a privacidade do proprietário é difícil de proteger. Ao associar a chave de autorização e o protocolo ao sistema de identidade DID+VC, o gerenciamento dos dados de identidade e contribuição pode ser feito de forma conveniente e sigilosa, protegendo totalmente a soberania e privacidade dos dados do titular.
(2) Governança eficiente de DAO
O exemplo de certificação de qualificação de voto mockDAO mencionado acima também ilustra bem que o sistema de identidade DID+VC pode obter gerenciamento eficiente de DAO e outras organizações, economizar o custo geral da parte do projeto e a experiência de operação do usuário é mais simples e suave. Como os direitos de custódia e uso do VC estão totalmente nas mãos dos usuários, os membros da comunidade também podem usar o VC para provar sua contribuição a um projeto ou DAO, reduzindo muito seus custos de comunicação com a organização.
4. Ataque Anti-Sybil
O ataque Sybil refere-se a um pequeno grupo de pessoas que controlam um grande número de robôs para simular o comportamento humano, de modo a atingir o objetivo de interferir na operação da organização com fins lucrativos. Tais ataques são fáceis de ver em muitos airdrops e governança de votação. O sistema DID pode garantir que o VC seja emitido apenas para usuários reais e válidos. Os usuários só podem obter as qualificações para participar dessas atividades apresentando e verificando credenciais, e sua privacidade não será vazada.
5. Ataque anti-phishing
Quando os mnemônicos e as chaves privadas são mantidos em segredo, os ativos digitais do usuário geralmente estão seguros, mas os hackers usam erros humanos ou plataformas centralizadas para lançar ataques, como usar Discord, e-mail, Twitter, plataformas de negociação para liberar informações falsas ou falsificar o The site orienta os usuários a realizar operações erradas. Além da necessidade de os usuários serem mais vigilantes, verificar cuidadosamente as informações das transações e proteger as informações confidenciais da conta, o mais importante, fundamental e eficaz é poder verificar em tempo hábil se informações desconhecidas vêm de uma organização real em si. Este processo de verificação envolve
(1) Determinar a autenticidade e validade da identidade da organização que divulgou as informações e que não é falsificada ou cancelada;
(2) Confirme que todo o conteúdo da informação provém da organização autêntica e eficaz;
No que diz respeito ao primeiro ponto, a partir do nível de caso de uso, os usuários podem conhecer a base legal e as informações oficiais de identidade da organização por meio de páginas amarelas confiáveis semelhantes a "Tianyancha" ou confiar na organização por meio do logotipo "Blue V" das principais plataformas sociais. A autenticidade da conta pública e do conteúdo publicado. Mas esses dois métodos são processos de certificação manuais, centralizados e ineficientes. A plataforma não pode atualizar o status do desenvolvimento do projeto, cancelamento e mudança de propriedade em tempo hábil, e não pode verificar se os discursos dos executivos de alto nível futuros ou renunciados representam as intenções da organização.
Do nível técnico, a autenticidade e a validade da identidade podem ser verificadas por meio do sistema de infraestrutura de chave pública (PKI) da autoridade emissora de certificado (CA) ou por meio do sistema de chave pessoal PGP e Web of Trust desenvolvido por Phil Zimmerman. O primeiro é totalmente centralizado e seu escopo de aplicação é limitado à comunicação criptografada SSL/TLS do site da Web. Vários sites HTTPS usam esse tipo de certificado para verificação de identidade do site. O último exige que a chave pública PGP do objeto de interação seja conhecida com antecedência, o que terá certas preocupações de segurança e escalabilidade, e não há uma maneira clara de verificar a autenticidade e a identidade de cada um conhecendo a chave pública PGP. não há mecanismo de penalidade para lidar com autenticação incorreta e, devido aos princípios básicos de criptografia e operações de linha de comando envolvidas, a facilidade de uso dos usuários comuns é extremamente ruim e é difícil fortalecer a reputação de organizações ou indivíduos em geral e formam um efeito de rede.
No que diz respeito ao segundo ponto - "determinar que todo o conteúdo da informação provém de uma organização real e eficaz" - face à massificação de informação, especialmente informação envolvendo carteiras e interações de ativos, é necessária uma verificação eficaz, quer seja em Web2 ou Web3 A maneira de ajudar organizações e celebridades precisa de um comissário político oficial que possa refutar rumores em tempo hábil e ajudar os usuários a verificar informações em tempo hábil, de modo a manter a reputação e proteger informações e segurança patrimonial.
Web3 sempre careceu de um método de autenticação antifraude e um caminho de expressão de informação verificável para antifraude para resolver os dois problemas acima. Até o surgimento do sistema de identidade DID+VC, uma solução era proposta para eles.
Como o DID de um sujeito pode ser certificado por KYB e KYC, seu histórico é registrado e verificado por VC, mas no processo de certificação, registro e verificação, exceto para o próprio usuário e o órgão público de confiança legalmente responsável que emitiu VC, ninguém Uma pessoa conhece a privacidade do usuário e os dados pessoais de privacidade
Ou, para aquelas organizações sensíveis ao KYB, autorizar os atributos oficiais de um DID, associando seus canais oficiais voltados ao público à sua certificação DID, desde que haja e apenas informações divulgadas pelo DID sejam com Credibilidade (embora não possam ser totalmente garantidas por lei, a reputação também é um elemento muito importante no reconhecimento social), tornando os usuários mais dispostos a escolher acreditar nas informações que divulgam, ajudando a identificar verdadeiros e falsos DIDs.
Promova o desenvolvimento do DeFi
Todos os comportamentos on-chain do usuário podem ser gravados em VC, acumulando gradualmente seu próprio crédito on-chain como um importante atributo de identidade e também pode fornecer conveniência para os usuários obterem serviços de terceiros. O sistema de identidade DID+VC pode refletir o comportamento econômico on-chain do usuário de forma a proteger a privacidade do usuário e registrá-lo, verificar e apresentá-lo na forma de VC, o que pode não apenas ajudar o DeFi a julgar o crédito financeiro on-chain de organizações ou usuários individuais, mas também Para ajudar os usuários a obter serviços de empréstimo de crédito semelhantes às finanças tradicionais, o modelo de promessa de token pode ser enfraquecido ou substituído, trazendo melhor liquidez e eficiência de capital ao atual ecossistema DeFi.
Nesta fase, a expansão do negócio de crédito DeFi é limitada principalmente pela identificação de identidades na cadeia correspondentes a identidades reais. Se o DeFi deve interagir de forma precisa e eficaz com os dados financeiros off-chain dos usuários para ajudar a avaliar o crédito on-chain dos usuários e até mesmo recuperar o comportamento desonesto na cadeia, a certificação KYC é inevitável, mas isso pode fazer com que os nativos da Web 3 se sintam desconfortáveis Porque envolve perigos ocultos de exposição de informações de privacidade e riscos morais de agências de certificação.
Por outro lado, o nível de crédito dos usuários do Web3 é difícil de julgar e medir, e também se tornou um dos principais motivos que impedem o DeFi de realizar negócios de crédito com taxas hipotecárias baixas. Portanto, a própria segurança financeira do projeto só pode ser garantido pelo aumento da taxa de hipoteca ou sobre-hipoteca do usuário. Mas, ao mesmo tempo, reduz a eficiência de utilização de capital da ecologia DeFi, enfraquece a liquidez geral da ecologia de criptografia e, ao mesmo tempo, exclui a maioria dos usuários de criptografia que desejam usar alavancagem de crédito. No entanto, para este grupo de pessoas, seus empréstimos são devido à falta de fundos ou ativos que podem ser hipotecados, e devido à maturidade do sistema de crédito off-chain e à limitação do escopo de aplicação, pode ser difícil para eles obter o valor ideal devido a registros de crédito insuficientes no mundo real.
Com base no sistema de identidade DID+VC, ele pode fornecer uma solução potencial para os problemas de negócios de crédito DeFi acima - por meio de VC com múltiplas funções de apresentação e totalmente controlado pelos usuários, pode (1) reduzir as instituições de crédito para concluir a coleta de dados de crédito anteriores E o custo da verificação, ao mesmo tempo, mesmo que a certificação KYC seja aplicada para DeFi futuro e interação de dados fora da cadeia; também pode (2) garantir as demandas de privacidade no processo de verificação e apresentação de dados do usuário, exceto para confiança pública agências que autenticam KYC e aquelas que autenticam os dados financeiros correspondentes Nem a organização nem o próprio usuário conhecem nenhum dado privado relevante do usuário, e há um caminho claro para que as informações correspondentes sejam responsabilizadas em caso de vazamento. Dessa forma, os aplicativos DeFi podem facilmente fornecer serviços direcionados para diferentes usuários, como verificar o status de crédito on-chain e off-chain anterior do usuário por meio do DID do usuário e certificados digitais verificáveis e obter juros baixos se o registro de pagamento for um bom crédito empréstimos ou empréstimos com baixas taxas de garantia.
Conclusão
O sistema de identidade DID+VC é a pedra angular da Web3 indo ao público.
Como mencionado no início, nossas expectativas para blockchain ou Web3 vêm de sua capacidade de resistir a privilégios e censura involuntária, mas isso não significa que a confiança seja completamente desnecessária. Queremos apenas enfraquecer ou eliminar a confiança naquelas instituições centrais que vão vender e adulterar a nossa informação, e queremos atingir este objetivo através da autonomia dos dados; mas, ao mesmo tempo, também precisamos de credibilidade e obrigações legais e responsáveis instituições, como segurança pública e governo, para verificar a autenticidade e credibilidade de várias organizações e identidades individuais na rede, e até mesmo a autenticidade e credibilidade de informações e objetos. Eles são obrigados a supervisionar várias entidades na rede (organizações, Indivíduos e informações) para evitar e supervisionar incidentes de fraude causados por informações de identidade forjadas e, posteriormente, implementar procedimentos legais de responsabilidade, cortar a cadeia de vazamento de informações e recuperar algumas ou todas as perdas econômicas. Tudo isso requer o apoio da supervisão e a implementação de KYC e KYB. Mesmo que uma pessoa possa ter vários DIDs ao mesmo tempo, temos apenas uma identidade real. Quando os vários DIDs de uma pessoa são associados e autenticados com sua identidade única e real, é possível impedir substancialmente o roubo de informações na Web2 e na Web3. incidentes fraudulentos ; também é possível fazer com que os dados Web2 sejam usados de uma determinada maneira no mundo Web3 para enriquecer os cenários de aplicação do DID na cadeia. Durante o período de transição do ser humano entrando no mundo cibernético, o DID fará o mapeamento da identidade Web2 e do relacionamento social no mundo Web3.
Claro, seja computação multipartidária segura, criptografia homomórfica ou prova de conhecimento zero, se a certificação KYC baseada nessas tecnologias de criptografia e concluída por uma instituição pública de confiança legalmente responsável puder ser realizada em grande escala, pode-se dizer que Web3 é mais seguro do que Web2. Porque, atualmente, parte de nossa certificação KYC e dados de privacidade de identidade muito importantes são controlados por muitas organizações comerciais. E quando o DID de uma organização ou indivíduo tem um certo grau de reconhecimento na internet, um DID mais legível pode falar por eles. Claro que esse caminho é muito longo, e outros DIDs podem surgir no processo. solução, então eu não vou discutir muito por agora.
Por meio da criptografia e da lógica de interação técnica do sistema, o sistema de identidade DID permite que os usuários dominem a propriedade de seus próprios dados de identidade, superem os pontos problemáticos do abuso de informações na Internet tradicional e aumentem o custo de "fazer o mal" para organizações e hackers. A soberania de dados também dá aos usuários uma sensação de segurança. Deixe as pessoas verem o alvorecer da sociedade digital DeSoc composta por "substituir o governo do homem pelo código" no Web3 ideal; pode combinar os problemas de identificação do usuário de DeFi, DAO, GameFi e outras faixas, resolver o problema de proteção de privacidade KYC em a cadeia e reformar o método de governança da comunidade , prevenindo ataques de bruxas e phishing, etc., tornando a Web3 uma sociedade mais segura que a Web2, mais tolerante com os usuários e mais respeitosa com os direitos e desejos dos usuários.
Claro, a realização desta bela visão também requer um conjunto de protocolos padrão cross-chain, cross-platform e até mesmo off-chain para apoiá-la, bem como o reconhecimento de inúmeros usuários, plataformas e até organizações offline, bem como a necessidade de formar um efeito de rede para uso.