区块链+数字身份，如何重建人们对数字世界的信任？

本文是万象区块链蜂巢学院网络公开课第20期。在这次公开课上，MyKey研究部部长姚翔分享了他对区块链数字身份的看法。

你好，我是MyKey的姚翔。感谢万象区块链蜂巢学院的邀请，今天我有机会与大家交流我对数字身份的看法。

最近，发生了一件非常令人震惊的事情。一些特殊账户，包括亿万富翁比尔·盖茨、马斯克和奥巴马，遭到黑客攻击，他们欺骗用户比特币。这个漏洞很快就被修复了，但是这个地址收到了超过12个比特币。虽然可能有黑客指使和代理，当当网的行为，可以相信一些用户已经被骗并损失了自己的资产。

损失不仅包括用户的经济损失，还包括巨大的信任损失。虽然事情的真相还不清楚，但它严重影响了人们对推特的信任，甚至影响了互联网。

其实，说“震惊”并不奇怪。因为作为从业者，类似的事情可以说层出不穷，但影响是不同的。我们需要反思一下，目前的互联网架构是否存在缺陷，这样的安全事件几乎肯定会发生？

例如，我们看到这些账户被检查过，这意味着这些账户已经过核实，可以与现实世界中的人对应。但他们的演讲是否代表了他们的意图？互联网账户作为一个由人映射的身份，是否足够可靠？让我们来谈谈数字身份和区块链是否能恢复数字世界的信任？

威廉·吉布森有一句话经常被引用，我非常喜欢它，“未来已经在这里了——它甚至还没有分发出去。”今天互联网面临的问题是什么？它离信任互联网还有多远？什么是数字身份、自主身份和分布式身份？它们如何帮助互联网重建信任？挑战是什么？让我们从互联网面临的一些问题开始。

现在你在使用互联网的时候，我想我们或多或少会遇到以下一些问题。

一是账户去中心化，不方便。当你使用互联网时，你需要注册不同的帐户服务。在不同的网站上记录密码确实很困难。许多人选择在不同的网站使用相同的密码，这会带来额外的风险。由于网站的安全性受到威胁，所以网站的安全性会被称为“安全性不高的网站”如果你使用了不同的密码，很容易忘记，所以你经常点击密码再试一次，这浪费了很多宝贵的时间。

二是个人隐私数据披露。2018年3月17日，《纽约时报》、《卫报》和《观察家报》报道称，剑桥分析公司及其附属公司SCL窃取并私自保留了5000万Facebook用户数据。丑闻曝光一周后，扎克伯格于3月26日在《华盛顿邮报》、《纽约时报》、《华尔街日报》和6家英国报纸上刊登整版广告，为数据泄露丑闻道歉。道歉以简单的白纸黑字开头：“我们有责任保护你的信息。如果我们做不到，我们就不值得为您服务。”最终，事情平息下来，Facebook同意成立一个独立的隐私委员会。Facebook首席执行官马克·扎克伯格（Mark Zuckerberg）将被要求证明公司的行为，而Facebook必须在其平台上实施更多隐私措施。此外，Facebook被罚款50亿美元。然而，隐私数据泄露的根本原因仍然存在。

第三，身份欺诈导致信任危机。去年有一段时间，我的微博账号总是莫名其妙地喜欢上一些营销账号，主要是娱乐新闻、微商、减肥、代购等信息。喜欢的人有几千人，但大多数只是零星的评论。我更改了密码并清理了登录设备，但无法解决。最后，我发现这些行为总是发生在我连接到某个宽带网络之后，我通过配置固定DNS来解决这个问题。在做这个活动之前，我检查了随访情况。据“隐私卫士”自媒体报道，2018年，浙江绍兴警方破获一起利用运营商管理漏洞劫持交通的非法行业案件。包括微博在内的96家互联网公司的用户数据被盗。微博就是其中之一。

据了解，该犯罪团伙会在运营商的内部服务器上自行编写恶意程序。当用户流量通过运营商服务器时，程序自动运行，清理并收集用户cookie（用户登录网站论坛的账户密码等数据记录）等关键数据。下游企业将利用泄露的数据操纵用户账户，在微博等社交平台上喜欢和跟踪。

所以你看到的行为可能不是真的，所以如果你的伴侣问你为什么喜欢某样东西，你也可以找个好借口。

这些问题该如何解决？总有办法的。有一些直观的想法，技术手段可以帮助解决。

首先，不方便。帐户可以统一，一个帐户访问多个帐户或一个帐户管理多个密码。

第二个问题是隐私。数据可以加密。一方面，要提高企业的能力。例如，Facebook需要加密和保存数据。它可以控制数据被第三方使用时的内容和边界，并有相应的法律加以保护。最后，最终的解决方案是在本地加密数据，密钥由个人管理。

第三个问题是你是否做到了。比如，如果你发微博或者喜欢一个人，怎么能验证这是否是用户的真实意图？数字签名可以用来识别用户的意图。没有人能伪造用户的意图。同时，还可以通过可验证的凭证来验证用户是否满足某些条件，而不是披露原始数据。

举个例子。比如，去酒吧时，酒吧需要核对身份证，确认用户是否达到法定年龄，但这样会泄露用户的信息。通过电子证书的方式，网吧只能验证用户的身份证是否由合法机构颁发，年龄是否符合标准。

传统的解决方案也很成熟，我们应该熟悉它们，例如：

技术手段一：使用开放的ID方法，用一个社交媒体账号登录多个网站，我们都应该熟悉。微信登录或微博登录在中国也是一种流行的方式。

技术手段二：数据加密和Pgp一样，是一种加密方式。PGP意味着很好的隐私。在本地加密方式中，加密数据在中间传输。当然，没有办法泄露隐私。

技术手段三：数字证书，也是常用的技术手段。

这些方法虽然还没有完全普及，但已经逐渐普及，但似乎总是很零散，不能解决根本问题。例如，openid仍然依赖于这些应用程序提供者的可信度。PGP如何实现密钥与人的通信，如何实现数字证书与人的连接，以及如何以一种通用、易用的方式解决这个问题？

让我们回到今天的主题“数字身份”我们先来看看什么是“身份”？在现实社会中，身份的主体可以是人、组织和物质装备。以人为例，身份不仅是生物信息的总和，而且是身份证、驾照、结婚证等证件所赋予的社会身份，以及社会关系。什么是数字身份？

让我们看看这张照片。首先，实体可以对应许多身份。比如我今天在这里用了我的真名姚翔，微信上大家都叫我沙漏。根据ISO/IEC 24760-1，身份是与实体相关的一组属性，而数字身份是实体的数字表示，包括个人身份信息和辅助信息。

自治的身份与身份的终极控制稍有不同。完全由用户控制的身份数据和标识符不会被任何权威机构撤销。身份持有人无需向中介机构或中央机构申请许可，就可以完全控制自己的凭证，并可以控制个人数据的共享和使用方式。

自主身份可以是分布式身份，也可以是来自社交媒体帐户的数据、电子商务网站上的交易记录或朋友或同事的证明。（欧洲区块链观察论坛）

分布式身份是指身份注册。当我们看到did时，我们可以指两件事：分布式标识/分布式标识符。全局唯一的持久标识符，不需要中央注册机构的批准，因为它是通过加密生成和注册的。（W3C工作）

数字身份、自主身份和分布式身份之间的关系如图所示。这张图是我自己编的。如果你有任何问题，请指出。

分布式身份是什么样子的？右边的图是一个W3C规范文档。让我们看看图片中间的did（数据标识）包含什么。这里我们只列出一些主要的。首先，它有一个自描述标识符，即全局唯一标识符”id”:”did：示例：21tDAKCERh95uGgKbJNHYp”

里面有一些钥匙。例如，您需要指定标识包含的公钥或公钥组，以及身份验证方法和如何对标识进行身份验证。例如，密钥用于签名，密钥用于加密，密钥用于访问特殊帐户，这称为身份验证方法的集合。同时，密钥本身包含签名算法。

还有一个服务端点，它实际上是定义标识本身的一种方式。它将包含一些服务，例如指定一个URL，说明这个身份的所有证书都可以在这个网站上找到，然后通过访问这个网站可以找到这个ID。它还包括时间戳和签名。

did和其他组件之间的关系是什么？让我们先看一下主题，也就是上面提到的实体。Did用于标记和识别主题。

还要注意did和以上可验证的数据注册。这是什么关系？Did是基于上述内容。什么是可验证的数据注册表？我待会儿再谈。

同时，研究了did与一些文献的关系。首先，应该指出，根据目前的数据指南，did本身不能包含标识符、密钥和个人信息。例如，标识号或名称不能出现在这里。这些信息应通过附加文件进行处理，并通过口译员指向文件。其他内容，详细的你可以去看这个文件，我不会展开。

我刚刚兜售了一个关于什么是可验证的登记册。你还会想到今天的话题，数字身份和区块链之间的关系是什么？事实上，区块链是一个无许可证、可验证和持久的分布式身份寄存器，这意味着我们在区块链上注册这些did。

无权限意味着任何人都可以注册身份，身份可能是公钥或智能合约；可验证的是，用户身份的任何更改都需要相应的授权，无法伪造。注册身份后，其他人不能伪造或修改身份中的信息。持久性是指身份在长时间注册后就可以注册，因为区块链上的信息是持久的。

数字身份将为区块链引入更多与现实世界的联系。目前，区块链本身无法保存个人信息，但需要与外界进行连接。区块链只有与外界、现实社会、现实社会生活和生产有了联系，才能进一步丰富区块链的价值。数字身份是一个很好的起点。可通过上述区块链上的资产或身份信息，将其添加到上述资产或资产的真实身份上。

现有的区块链和相应的基础设施有利于数字身份的推广和落地。如果我们想从头开始推广数字身份，那么一些相关的应用程序，比如浏览器支持，比如与其他应用程序的兼容性，就需要从头开始。

如前所述，自治身份中的一些信息是由其他人提供的，这是自治身份的一部分，或者是did相关文档。这些信息和数字身份之间有什么关系？

这里可以看出，为了保证文档本身的可信度，必须提供相应的签名，因此称之为可验证凭证，简称VC。标准的定义是，现实生活中的证书可以用数字的方式表达等价的信息。

例如，如果你有驾照，你的名字可能会出现在驾照上，证书是什么时候颁发的，有效期，什么样的车。数字证书包含相应的信息，以及受信任的组织。它是国家交通管理局的一个相应的证书，可以在我国交通管理局进行验证。

签发人：签发这些证书的人称为签发人。它可以是任何身份，包括政府、公司和个人。然而，发行人签发的证书是否有意义，取决于其与现实生活的联系。

验证者：是使用这些证书的人。回到刚才的例子。例如，如果你想去酒吧，你应该检查一下。如果你有驾照，你自然是18岁以上，至少在我们国家是这样。您可以使用凭证上的信息进行业务处理。

持有人：这是身份的主体。与真实身份主体相对应的证件是发给谁的。

这些信息的流通由发行人发送给持有人，然后验证者验证证书是否符合某些信息。所有这些信息的登记都在可核实的登记表上。与区块链结合时，在区块链上完成。这是关于可验证凭证数据模的W3C文档。

我们来看看数字身份在现实中的应用吧？我给你举几个例子。

应用1：健康信息管理

现在这种流行病很流行，旅行可能不方便。我们都知道，为了控制病毒的传播，我们在乘车或入住酒店时都要出示相关的健康证明。然而，这种模式有几个问题：1。它很容易锻造；2。可能会导致隐私泄露。现在我们做了很多的手段和保护，但是还是有这种可能的；3对于认定标准的问题，你要在不同的城市申请相应的证书。有一个数据相互识别的问题。

Coidcreds有大约100个全球组织试图基于数字身份来解决这个问题。我们利用刚才的数据模来实现个人健康信息的管理和认证。

应用2：网络应用登录

这很容易理解。例如，如果您有一个区块链帐户，您可以让它登录到传统应用程序。如果我是应用程序开发人员，我也可以选择允许区块链帐户登录。此帐户不需要重新注册。具体项目不会在这里启动。

应用3：启用电子政务

比如出国申请签证，可能要提交很多资料，这就非常麻烦。事实上，欧盟已经提供了相应的电子化流程，今后还会进行。

应用4：隐私数据保护

这里有一个名为maskbook的项目，你可能听说过，它允许你在传统社交网络上公开加密信息。例如，当我在我的微博上发送消息时，它是加密的。别人看不见也看不懂。我看到一串乱七八糟的代码。但我选择分享。因为我有解锁信息的钥匙，所以我可以用这种方式解锁信息并保护隐私。

同时，数字身份也面临诸多挑战：

挑战1：技术水平。如何实现信息的有限披露？这是一个相对的技术难点，有很多相关的密码学研究。密钥表示您是此标识的所有者。如何储存？万一有损失，这一系列问题有很多解决办法。

挑战2：基础设施。首先，相关标准尚未建立。其次，目前的区块链设施，无论是公链还是联盟链，都无法承载大规模的应用。同时，例如，有不同的链，需要讨论链之间数据交换的标准。

挑战3：法律政策层面。刚才，我们谈到了欧盟在电子政务领域的尝试。如果没有相应的法律法规，没有相应的数字身份和可验证凭证的定义，以及相应的法律支持，这些应用将难以推广。

最后，我们将介绍一些行业内的领先机构和全球性组织，包括标准化组织和技术及行业联盟。

标准化组织

一是欧洲电子签名与信任体系eidas，是欧盟实施跨境身份识别、开展数字信任服务、推动数字单一市场的关键支柱。现在有六个国家，包括德国、意大利、埃塞俄比亚、西班牙、克罗地亚和卢森堡。可以通过这个国家的Eid访问它。其他欧盟成员国也必须承认相应的EID，并提供一些行政领域的原始纸质文件。

其次，刚才提到的W3C工作组是一个社区工作组，现在是一个正式的工作组。这是刚才下午的一张地图。两天前更新的。我们一直在讨论did中应该包括什么以及数据格式是怎样的。这里有很多区块链公司，他们也在贡献自己的一些想法。

技术产业联盟

首先，它更像一个叫dif（分布式身份基础）的社区组织。这是一个有许多组织的开放社区。现在应该有70到80个组织。MyKey最近几个月加入了。它有几个工作组，包括存储、隐私、身份验证等。在这些工作组中，我们将讨论可供参考的技术规范和实践，并讨论产业间的生态伙伴如何合作。有微软和IBM这样的技术巨头，也有很多像万事达这样的区块链公司和金融公司。因此，会产生许多新的想法。

第二，超级分类帐。作为超级账本的一个子项目，它是一个分布式身份管理技术平台。它将提供相应的工具、模板库和模块化组件，以帮助其他项目建立自主身份系统。

第三，两周前成立的分布式数字身份产业联盟，由百度等国内17家单位共同发起，共同推动数字身份的产业化应用，构建中国数字身份网络。他们有一份白皮书，预计今年第三季度发表，到时候大家可以关注一下。

最后，我想对今天的分享做一个总结

首先，数字身份是重建数字世界信任的重要基础设施，它可以提高使用互联网的便利性，更好地保护用户隐私。

第二，目前世界各国、重要行业组织和公司都十分重视数字身份的发展。

第三，区块链有助于注册和验证数字身份的持久性。

第四，数字钱包作为数字身份的载体，有助于数字身份的推广和应用。

第五，数字身份仍然面临来自技术、基础设施和法律法规的诸多挑战。

我们也欢迎大家参与讨论，与我们共同努力，建设一个更好的互联网，重建互联网的信任。最后，谢谢你。这是我今天的一份。

互动问答

Q： 数字身份真的需要区块链吗？

姚翔：刚才我们说数字身份需要有登记，也就是说身份必须在一个地方登记。目前区块链是一个比较好的注册平台，因为如果没有这样的注册地，我们只能依靠一个中央机构来注册身份，同时需要查询身份对应的信息。

有这样一个组织是好的，但目前可能存在一些问题。比如，twitter黑客事件虽然有身份，但没有在某个地方注册。别人不知道你身份的存在，所以没有办法和你沟通。这就是区块链存在的意义所在。

相反，数字身份对区块链意味着什么？我认为这也是非常重要的。例如，如果你想在区块链上持有股票，你需要具备相应的资格。不可能说任何以太坊人都能持有股票。如何在区块链上识别这些资格？必须有相应的身份标准和数据检查标准。一种是身份认证，另一种是可验证证书。可能需要有一个受信任的机构来签发以这种身份持有股份的证书。有了证书后，相应的资产就可以在区块链上持有。

Q： 数字身份的发展有哪些阶段？现在也有很多科技巨头已经在布局，你能谈谈你的看法吗？

姚翔：我觉得现在还处在商业形态的非常初级的阶段。我可能无法给出一个非常准确的定义。事实上，我今天引用的许多定义都是权威机构给出的。我想谈谈我自己的一些看法。

回想一下，当你第一次上网时，你可能会使用论坛。很简单。您只需输入用户名和密码即可完成注册。如果你忘了，就没有办法认出你是“你”这是最简单的阶段。

后来发现可以有邮箱、手机号，可以绑定姓名，如果忘记密码可以找回。到目前为止，您可以使用微信账号登录各种论坛和应用程序，但这些都不是自主身份。您的身份由相应的应用程序管理，该应用程序可以随时吊销您对此服务的访问权限。

只有当每个人都有自己的密钥时，身份认证的依据是用户是否拥有公钥对应的私钥。该方法是通过数字签名进行识别，这可能导致第二阶段。

我认为，第二个阶段是自治阶段，这一阶段刚刚开始。如果做得好，每个人都有自己的钥匙。这样，就需要解决更多的数据误操作等问题。例如，不同区块链之间如何互相访问，不一定是一个区块链，比如它自己的密钥，但是在一个中心化的组织注册是没有问题的。然而，如何在不同的区块链和其他系统之间建立互认，以及如何在不同的密码系统中处理它们，是未来长期的一些挑战。

至于did的布局，我们也看到微软、IBM以及一些金融机构已经开始在这一领域做出努力。可以看到，在互联网的前一个阶段，账号系统已经成为一个非常重要的东西，因为账号是用户进入互联网的一个非常重要的入口，可以带来很多想象。比如，这些巨头，不管是微信、谷歌还是脸书，都有一个账号有流量，流量有无限的可能性。

为什么别人会接受微信登录，却不接受小论坛登录，是因为它天生就有很多用户，有很多商家议价的能力。

如果下一代的身份认证仍然是分布式的，甚至是下一代的身份认证。这些产品可能是新商业模式的切入点。因此，我认为很多组织都关注这方面，这可能是因为这个原因。但是会有很多变化，因为原来的一套用户认证模式可能会改变。

Q： 你认为数字身份和传统身份的本质区别是什么？

姚翔：传统身份与数字身份。我认为在数字世界里，首先，它是对传统社会的一个完整的映射。在数字世界里，有这样一个人。例如，我在这里使用这个ID与您通信。我还有我的微信，这实际上是一个映射过程。但它有一个问题。地图如何才能准确？例如，在twitter黑客攻击的情况下，如果他发送了一条消息，你会认为它是他发送的，因为你无法进行身份验证。但是如果他公开了他的公钥，每个人都可以检查消息是否是他发送的，因为签名可以被验证。即使攻击者有攻击中心化帐号的方法，但是消息没有签名，所以没有办法伪造它。

当然，这并不是说数字身份和传统身份有本质区别。我们应该成为自主数字身份的目标。我们应该表达我们的真实意图，避免伪造和隐私泄露。事实上，我们最好还原真实的场景。但同时，也存在一些差异，比如在现实生活中签名。一般来说，伪造和识别相对容易。但是在数字世界里，这个东西变得相对简单，很难伪造，或者不可能伪造。在传统世界里，笔迹是可以复制的，专家也可以检查，但对于普通人来说，却没有办法分辨。在数字世界里，这变得非常简单，你可以直接判断这种行为是否是真人所为，而不是他人所为。

Q： 你认为数字身份最适合哪个领域？

姚翔：其实数字身份和很多事情有关，因为在现实生活中，身份就是你自己。当你想确认你是“你”的时候，身份会很有用。我在互联网上不断的想验证用户的身份。例如，社交网络和金融系统需要检查用户是否是他们的真实行为。