在隱私和安全失敗的情況下 數(shù)字身份認證取得了進步

近年來，人們對越來越多的隱私和安全問題感到失望，這推動了數(shù)字身份的創(chuàng)建，而這些數(shù)字身份僅由信息所有者控制。

這些被稱為“自主身份”的數(shù)字身份將在未來幾年被消費者、企業(yè)、員工和政府用來驗證一切，從信用價值和大學文憑到執(zhí)照和企業(yè)對企業(yè)的憑證。

“我們正慢慢地從爬行走向行走。我們需要一到兩年的時間，才能擁有可靠的能力，激發(fā)有意義的去中心化身份采用，”高德納(Gartner)高級研究總監(jiān)赫曼法拉曼德(Homan Farahmand)說?！耙粋€主要的非技術障礙是組織要學習這個概念，并采取必要的步驟來適當?shù)卣{整他們的業(yè)務流程以適應分散的身份生態(tài)系統(tǒng)。”

越來越多的組織正在尋求更好地理解基于區(qū)塊鏈電子賬本的去中心化身份識別技術。目前，涉及少數(shù)組織的概念驗證項目要多于生產(chǎn)系統(tǒng)。根據(jù)Farahmand的說法，這些試點項目正在政府、金融服務、保險、醫(yī)療、能源和制造業(yè)等領域進行試驗，尚不構成一個完整的生態(tài)系統(tǒng)。

Farahmand說:“雖然這些項目有助于發(fā)現(xiàn)治理、用戶體驗、標準化和互操作性等方面的差距，但目前還沒有一個(上升到)實際的去中心化生態(tài)系統(tǒng)來引導普遍采用。”

自我主權設想消費者和企業(yè)最終控制他們在電子設備和在線上的信息，使他們能夠提供驗證憑證，而不需要像現(xiàn)在這樣依賴中央存儲庫。自我主權的身份識別技術也從社交網(wǎng)絡、銀行機構和政府機構的集中式身份數(shù)據(jù)庫手中奪走了控制權。

一個人的憑證將被保存在一個加密的數(shù)字錢包中，用來記錄與政府、銀行、雇主、學校和其他機構的可信關系。但是需要注意的是，自我主權的身份識別系統(tǒng)并不是自我認證的。信任誰的責任取決于另一方。無論您將數(shù)字ID提供給誰，都必須確定其中的憑據(jù)是否可以接受。

阿里說:“例如，如果我申請一份工作，他們要求我證明我畢業(yè)于某一所特定的學校，需要看我的文憑，我可以用數(shù)字形式展示。”而且，證書很可能必須由頒發(fā)證書的學校以密碼簽名。因此，作為我的工作地點的依托方，將不得不決定我何時提交憑據(jù)，以確定簽名密鑰是否是他們信任的東西。”

例如，一個工作地點可以發(fā)出電子確認或“憑證”，可以存儲在該員工的數(shù)字錢包中，表明您為XYZ公司工作。甚至像健康俱樂部會員認證這樣簡單的事情都可以添加到用戶的錢包中，并通過移動應用程序呈現(xiàn)。

對消費者很注意他們的網(wǎng)上信息,信用卡號碼、出生日期、年收入等?！猙lockchain-based網(wǎng)絡意味著用戶控制誰可以看到他們的數(shù)據(jù)或獲得采購批準沒有公布細節(jié),如他們的年收入或年齡和地址。

對于銀行等企業(yè)而言，諸如了解客戶(KYC)之類的規(guī)則使基于區(qū)塊鏈的數(shù)字身份更具吸引力。

自我主權身份可以這樣工作:用戶有銀行確認信用額度或雇主確認年收入;這些確認信息是加密的，但是在一個公共的區(qū)塊鏈分類賬上是可用的，消費者持有這個分類賬的私鑰和公鑰。

例如，想從汽車經(jīng)銷商那里獲得汽車貸款的消費者，可以通過公鑰向經(jīng)銷商授予許可，以確認他或她有足夠的信用或年收入來購買汽車——而無需透露確切的金額。因此，舉例來說，如果經(jīng)銷商想要確保一個消費者一年的收入超過5萬美元，區(qū)塊鏈分類賬就只能確認這個數(shù)字(而不是說這個人實際上賺了72,587美元或其他確切的數(shù)字)。

這種保密技術被稱為零知識證明(zero-knowledge proof, ZKP)，這是一種加密技術，允許用戶證明資金、資產(chǎn)或識別信息的存在，而不需要披露其背后的細節(jié)。

自我主權的身份擴展到企業(yè)或其他組織，它們希望能夠驗證(或被驗證)與其他企業(yè)或政府機構的交易。例如，安永會計師事務所Young創(chuàng)建了一個公共區(qū)塊鏈，允許公司使用ZKPs秘密地完成業(yè)務交易，而不會暴露敏感的業(yè)務數(shù)據(jù)。

在另一個例子中，CULedger，一個由幾十個信用合作社擁有的，旨在提供后臺服務的合作社，與區(qū)塊鏈公司R3合作創(chuàng)建了ecupay，一個建立在R3的Corda區(qū)塊鏈平臺上的安全電子資金轉賬(EFT)支付網(wǎng)絡。CUPay是跨境客戶支付的結算軌道。

區(qū)塊鏈結算系統(tǒng)還可以作為分布式身份認證平臺，用戶可以通過信用社進行認證，然后攜帶自己的數(shù)字身份進行跨境支付，無論他們身處哪個國家，也無論涉及哪些金融機構。

CUPay利用R3的Corda作為組織標識，而CULedger的MyCUID則固定在Sovrin上作為個人標識。該解決方案提供了集成的KYC和AML服務，可以集成到多個網(wǎng)絡中，消除了手動輸入收件人詳細信息的需要，并為信用合作社提供了內置的合規(guī)管理。

R3的身份管理主管阿巴斯?阿里表示:“因此，他們開發(fā)的PoC是為了使用SWIFT支付軌道，但他們可以使用任何他們想要的軌道，甚至可以使用加密貨幣來結算(金融交易)，如果他們需要的話。”

R3是五年前由一家領先的金融服務公司組成的財團創(chuàng)建的，它領導著一個由300多家公司組成的團隊，致力于在他們的區(qū)塊鏈平臺Corda上構建分布式應用程序。第三方可以開發(fā)數(shù)據(jù)應用程序(稱為CorDapps)，用于Corda平臺上的任何行業(yè)，包括金融服務、保險和醫(yī)療。

簡而言之，你可以把區(qū)塊鏈平臺想象成操作系統(tǒng)。它提供網(wǎng)絡上的所有身份部分;它為參與者提供了一個相互通信的協(xié)議，但僅此而已。任何特定的用例或業(yè)務應用程序都將基于CorDapp的形式，”Ali說。

他補充道:“在應用層面，我們有很多合作伙伴利用所謂的分散身份(DiD)來開發(fā)身份訪問管理解決方案?！?/p>

CULedger的CUPay消除了用戶名和密碼的需要，并免除了信用合作社呼叫中心在客戶丟失時重新設置用戶名和密碼的義務。使用公鑰基礎設施(PKI)加密的數(shù)字身份僅由信用社客戶控制。

CUPay與現(xiàn)代支付鐵路系統(tǒng)的不同之處在于，用戶的身份被附加到他們進行的每一筆交易中。目前的系統(tǒng)，如SWIFT的結算軌道，不通過電匯發(fā)送用戶身份;它與電匯指令是分開的，這意味著只有匯款銀行知道誰在匯款。

“優(yōu)勢在于接收方，”阿里說。“對他們來說，這只是他們開發(fā)PoC用例的一個例子，但他們有更大的愿景。他們希望人們能夠靈活地在不同的供應商之間流動。你的手機上有身份證明，或者你的信用合作社簽發(fā)的申請…(如果)你決定轉到一個新的州或國家或改變信用社的提供者，你可以帶著這個身份。這是一個更大的用例。”

如何使用CULedger的MyCUID手機應用:左圖顯示的是一名信用合作社會員被要求驗證自己的身份。第二張圖(右)顯示的是確認身份的成員。如果會員按了“不”，信用合作社就會得到警告，他們可能正在處理的是一個糟糕的參與者或非會員。

阿里說，整個金融服務行業(yè)致力于開發(fā)分散的身份識別系統(tǒng)，這種系統(tǒng)將消除目前通過將用戶信息保存在由一家公司或合作伙伴公司聯(lián)盟控制的豎井中來識別用戶的方法。

DID的關鍵是沒有任何實體或個人驗證企業(yè)或個人的身份。身份驗證的責任在于依賴方。

“無論你向誰展示你的數(shù)字身份，都必須決定你通過錢包展示的證明是否可以接受，”阿里說?！白钪匾牟皇悄闳绾卧u價自己，而是一個值得信任的組織如何評價你。”

這意味著銀行、政府、醫(yī)療機構或任何其他驗證自我主權身份用戶信息的實體將負責確保信息是可信的。

例如，2017年，麻省理工學院開始試驗區(qū)塊證書，這是一種基于區(qū)塊鏈的網(wǎng)絡，用于存儲和共享學術證書。麻省理工學院與數(shù)字身份識別公司Learning Machine合作開發(fā)了該應用程序。

如今，Blockcerts已經(jīng)開始運行，并被69%的畢業(yè)生使用。麻省理工學院(MIT)注冊主任瑪麗?卡拉漢(Mary Callahan)表示，在最后一個畢業(yè)班的3718名學生中，有2561名學生選擇將畢業(yè)證書數(shù)字化，并通過基于區(qū)塊鏈的應用程序提供。

Blockcerts創(chuàng)造了一個單一的數(shù)字身份錢包，畢業(yè)生可以通過一個鏈接到未來的雇主或其他學校來驗證學術成就。

麻省理工學院的Blockcerts移動應用程序存儲了經(jīng)過驗證的數(shù)字文憑，學生可以與潛在的雇主或其他學校共享。

“你可以想象，擁有一張表明你畢業(yè)的紙是世界上很有價值的商品。所以欺詐是一個問題，”卡拉漢說。“這也是一個真正認可學生終身學習的機會。對我們的學生來說，這是他們學習軌跡上的一站。他們可能會獲得證書、徽章、碩士學位、博士學位，這可以把他們放在一個簡單的證書組合中?！?/p>

麻省理工學院助理教授彼得?海耶斯表示，該學院通過學校的報紙、展板和各個學術部門的管理人員，積極向學生推銷Blockcerts，這一努力使Blockcerts在過去一年的使用率增加了一倍。

“我們現(xiàn)在正在做的一件事就是與就業(yè)服務辦公室合作，提高潛在雇主的形象。他們在校園里舉辦招聘會，有400到500名雇主。

Hayes說，僅去年一年，Blockcert應用程序就被使用了4124次來驗證畢業(yè)生證書?！八?，雖然學生們沒有給我們直接的反饋，但我們可以看到……數(shù)字表明他們正在使用它，”他表示。

據(jù)高德納咨詢公司(Gartner)稱，這種自我獨立的身份認同運動橫跨多個行業(yè)。

建立DID基礎設施的努力包括:

根據(jù)Gartner的Farahmand，越來越多的初創(chuàng)公司和傳統(tǒng)的身份和安全供應商也正直接或間接地進入去中心化的身份市場。

然而，為了使分散的身份和可驗證的索賠交換變得無處不在，需要通過將一些法律協(xié)議和策略推進到分散的協(xié)議(例如智能契約)中來實現(xiàn)行業(yè)標準化、互操作性和自治操作。

Farahmand說:“我們希望在去中心化的身份和區(qū)塊鏈社區(qū)之間看到更多的合作，以利用智能合同和諸如Accord項目等舉措?！?Accord計劃正在努力讓人們更容易在中立的平臺上構建智能合同和文檔。)

分散身份和可驗證索賠交換是實現(xiàn)諸如用戶身份驗證、數(shù)字簽名、同意和可驗證索賠等功能的關鍵，F(xiàn)arahmand說。他說:“盡管我們觀察到消費者、員工和企業(yè)對企業(yè)場景的所有這些用例的實現(xiàn)，可驗證索賠交換是迄今為止最有效的，因為它可以破壞我們交換身份數(shù)據(jù)的方式。”

可核實的索賠交換可能涉及金融、醫(yī)療、教育、零售、專業(yè)服務甚至物聯(lián)網(wǎng)等許多行業(yè)。

R3的Ali對此表示同意，稱將采取更大的標準努力來推進全球去中心化的身份網(wǎng)絡。

“您需要消除一個最大的障礙，即缺乏互操作性，”Ali說。“你需要互操作性，因為我們不相信一個區(qū)塊鏈可以統(tǒng)治所有?！?/p>