人类已经弄清楚了如何创造去中心化的数字货币——而且它奏效了。但最近，越来越多的注意力转向另一个深度中心化的领域：身份。
似乎带着你的照片的纸质文件四处奔波的日子即将结束。下一波浪潮来了：世界身份 ID、人道协议、人性证明、BrightID——所有这些都承诺了一场数字革命。获取你的基于区块链的身份 ID，并告别护照和政府文书工作。
- 《福布斯》正在发表关于去中心化身份 ID 可以解决的问题的社论。
- Cryptonomist 正在聚光灯下展示 Blockchain ID Layer —— 一款旨在颠覆我们所知的身份的新应用程序。
- 刚果民主共和国正在推出一个基于区块链的国家身份识别系统。
但是，我越深入地研究这些系统实际是如何运作的，我就越会遇到同样的问题：
数字身份 ID 真的能证明比某人（任何人）当前可以访问私钥或设备更多的事情吗？
它在现实世界中是如何运作的
有了纸质护照，事情就非常简单了。你出示你的文件，检查的人会将照片进行比较——“是的，看起来像你”。如果其他人拿着同一本护照出现，欺骗会很快瓦解。即使你让朋友借用你的护照，他们也不会在尝试使用时通过面部检查。这就是真实身份 ID 的意义：“我就是我声称的那个人。”
纸质护照背后的“协议”只是阻止其他人使用它。这就是为什么我认为人们常常过于担心分享他们的护照详细信息。即使是护照的完美副本，如果你不是签发给的那个人，也是毫无用处的——照片会出卖你！
也就是说，这个“协议”经常在实践中被忽略。有时人们根本懒得检查照片。其他时候，他们在所有者不在场的情况下接受护照——或者只是它的数据。所以我确实尊重那些不喜欢分享他们的身份 ID 详细信息的人。特别是自从我们在rabbit.io的许多客户都这样认为以来。他们来找我们交换加密货币，因为传统的交易所需要经过护照验证的注册，而在rabbit.io上，你无需它即可进行交换。
加密货币行业提供哪些护照替代方案？
最近，我一直在看到诸如“一人一证！”和“你的数据，你的控制权！”之类的新闻头条。
看起来很酷。你扫描一次你的眼睛——然后砰的一声，你在数字世界中注册为经过验证的人类。你获得了一个灵魂绑定令牌或某种凭证，现在你可以在去中心化的社区中投票、接收空投或在任何在线应用程序中证明你的独特性。
- 以 World（前身为 Worldcoin）为例。他们构建了一种扫描你的虹膜并将其唯一哈希值存储在区块链上的设备——不是图像本身，而只是一个数学指纹。
- 还有 Humanity Protocol，它做同样的事情，但使用掌纹。
- 还有 Humanity 证明，它依赖于视频录制和社会认可。
- BrightID 映射你与其他人的联系，并验证你不仅仅是另一个机器人帐户。
- Idena 让人们实时解决 CAPTCHA，以证明他们是人类——并且是独特的。
这些系统中的每一个都在尝试回答同一个问题：我们如何确保每个人只有一个数字身份，并且该身份不与任何政府或电子邮件登录相关联？
这就是事情变得有趣的地方
所有这些系统都侧重于确保一个人只获得一个身份 ID。但是，他们很少解决下一个、更加棘手的问题：我们如何确保只有同一个人在之后继续使用该身份 ID？
因为想想看——有了传统的护照，有人可能会偷走它，但他们不会走远。他们会出现，检查它的人会看看照片并意识到：“等等，这不是你。”
但是在加密身份 ID 的世界中，第二层验证——在你使用身份 ID 时发生的那一层——通常根本不存在。在许多系统中，一旦颁发了你的身份 ID，所有重要的是你是否仍然是唯一控制私钥或其存储设备的人。
这意味着该系统不再识别你。它只是识别当前持有密钥的任何人。
设备绑定不是真正的解决方案
我经常听到这样的话，“但是密钥只存储在你的设备上——其他人无法使用它！” 这是一种误解。
设备会丢失、被黑客入侵、交给维修或借给其他人。任何获得对你的手机的完全访问权限的人也会自动获得对你所有凭据的完全访问权限。没有任何真正的障碍阻碍他们。
如果所有者故意让其他人使用他们的身份 ID——例如，故意欺骗系统——那么将身份 ID 绑定到设备而不是生物识别信息只会使欺骗更容易。
生物识别技术会拯救局面吗？
为了回应关于私钥易于转移的批评，许多项目开始添加生物识别信息——面容 ID、指纹、掌纹扫描。使用 World ID，在 Orb 扫描你的虹膜后，系统会要求你启用面容验证，因此据推测只有“你的”脸才能解锁应用程序。听起来令人放心，对吧？但这里出现了该系统的第一个主要漏洞——人们通常不会谈论的漏洞。
手机上的任何生物识别身份验证——无论是面容 ID 还是指纹——都只是一种解锁设备的方式。它实际上并不能证明是你在使用它。你可以进入你手机的设置并添加你朋友或亲戚的指纹，现在他们将拥有与你完全相同的应用程序访问权限。更糟糕的是，有人对你拥有实际控制权——例如，当你睡着、无意识或受到压力时——可以添加他们自己的生物识别数据并开始使用你的身份 ID。
系统无法分辨它看到的是谁的指纹或脸。它所知道的只是“经过批准的生物识别配置文件之一”验证了该操作。因此，所有关于“只有原始用户才能访问他们的世界身份 ID”的承诺，坦率地说，都是一厢情愿的想法。
有些项目确实使伪造变得更加困难。人道协议扫描你的手掌，并要求相同的掌纹用于未来的访问。人性证明需要你的脸部视频，你不能只是稍后上传别人的脸部。但即使是这些也无法解决更深层的问题：你无法确定你实际在与谁打交道。是扫描了自己的手或脸的人吗？还是其他人将扫描仪指向原始用户的手——或者将相机指向其他人的脸？
社交协议和“独特性”的概念
像 BrightID 和人性证明这样的项目采用了不同的途径：没有生物识别技术，只有通过社交联系或相互认可来证明独特性——有时会附带自拍或短视频。在这种情况下，“独特的人类”仅仅意味着不是机器人，不是重复帐户。这些数字身份 ID 旨在确认的唯一一件事就是这个。它们的目的不是证明使用该身份 ID 的人与最初创建它的人是同一个人。
这种方法非常适合机器人预防，并为在线投票或空投系统增加了一层完整性。但是，如果你将访问你的帐户的权限交给其他人，他们仍将“成为你”，就系统而言——没有检查来验证在任何给定时刻实际是谁在拿着手机。
链接到政府文件（护照、驾驶执照）
一些项目提议包含一个“证明元素”——例如，通过 NFC 从真实的生物识别护照中读取数据，以将经过验证的公民身份或年龄添加到你的去中心化身份 ID 中。
但这里有一个问题。这些解决方案中的大多数实际上不会将你的脸与护照中的照片进行比较。他们只是检查数字签名并确认字段是否匹配。因此，如果你碰巧有别人的护照，你可以很容易地将其链接到你的身份 ID——并且系统不会检测到替换。
只有中心化服务——银行、KYC 提供商等——通常需要实时自拍或视频比较。去中心化的 Web3 风格的解决方案通常会避免此类隐私妥协。
Web3 中的实时自拍
许多人说，“在未来，我们将拥有完美的 ZK 和 SSI 系统——所有内容都将仅存储在用户的设备上，自拍将用于验证，并且隐私将得到完全保护！”但这里有一个问题：如果所有生物识别数据都仅存储在用户端，那么验证方将拿什么来与实时自拍进行比较呢？
没错——用户将不得不将其照片或生物识别模板发送给外部服务（通常是基于云的 AI），然后只是希望该服务在检查后立即删除数据。没有保证。
那么，底线是什么？
目前在加密货币行业中开发的去中心化数字身份 ID 确实代表了进步——尤其是在让用户控制自己的数据方面。
它们为大规模伪造、多账户和机器人农场提供了可靠的保护。它们保留了匿名性——除非你选择透露，否则没有人知道你的名字。它们让你无需上传你的护照或在每个新网站上填写个人数据就可以轻松证明“我是一个真人”。
但这就是他们不提供的东西：强烈保证使用身份 ID 的人与最初收到它的人是同一个人。
这些系统真正保护的是某人控制私钥——或设备这一事实。而不是与特定的人的一对一链接。
生物识别信息、社交图谱、验证令牌——它们在阻止机器人方面非常出色。但它们不能防止一种非常常见的人类情景：当原始用户自愿（或在压力下）将对其设备或密钥的访问权限交给其他人时。
因此，对任何像“只有所有者才能使用他们的数字身份 ID”这样的说法持健康的怀疑态度。你真正得到的是一个令牌——以及访问它的密钥。一个可能被遗忘、丢失、共享或拿走的密钥。
如果你想要更强的保证，请保持警惕，不要相信关于区块链魔法的童话故事。区块链非常适合存储和传输价值——而不是用于身份识别。如果没有好的旧“护照上的照片”，我们仍然缺少一个关键部分。就像我们仍然需要亲自进行检查以将该照片与持有该文档的人的实际面部进行比较一样。
