去中心化身份：无需依赖单一平台即可证明您是谁

今天我们的大部分数字身份都是借来的。您就是 LinkedIn 所说的您，银行验证了您的身份，运营商通过号码验证的您。这些身份中的每一个都存在于一个平台内，离开平台就会失去价值。离开 LinkedIn，你的职业历史就会变成不安全的文本。更换银行后，您良好付款人的声誉将随之消失。

这种模式之所以有效，是因为集中身份解决了一个真正的问题：需要有人成为信任的保证人。其代价是依赖，这一代价需要一段时间才能显现出来。谁保留您的身份，谁就控制您的访问，查看您的数据，并可以单方面更改规则。

去中心化身份提议扭转这种所有权。从本质上讲，这个想法很简单：您上传凭据，选择在每次交互中显示的内容，接收者可以验证真实性，而无需询问原始平台。这里的重点是概念以及它为决策者带来的变化，而不是通常伴随主题的革命承诺。

当前模型中存在哪些问题

核心问题不是技术，而是激励。当中间人保护您的身份时，他们拥有您无法控制的三种权力：他们可以拒绝访问，他们可以泄露您的数据，并且他们可以以您未明确授权的方式使用这些数据。

添加到此碎片。您的身份分布在数十个彼此互不通信的孤岛中。每项服务都会重做相同的检查，保留文件的另一份副本并创建另一个泄漏表面。数据的副本越多，其中一份数据被泄露的可能性就越大。

并且存在证据的不对称性。当你说一些关于你自己的事情时，“我在这里工作”，“我有这个证明”，“我已经达到法定年龄”，无论谁收到声明都无法在不信任你或中间人的情况下确认它。他通常会信任你，这给欺诈留下了空间，或者要求提供过多的证据，这会泄露太多数据。

合成内容使这一切变得更糟。看似合理的虚假文件、捏造的个人资料以及语音或视频模仿攻击了弱点：基于外观的身份验证。目前的模型并不是为外观容易被伪造的世界而设计的。

可验证的凭证将信任分为三个角色，理解这种划分就等于理解了主题的一半。

发送者是具有权威的断言某事的人。大学颁发文凭，公共机构颁发身份，雇主颁发债券，认证机构颁发证书。发行者以加密方式签署凭证，以便其作者身份是可验证的。

承载者是你。您收到凭证并保存它，最好是在您的控制之下，而不是在发行者的平台内。您决定何时向谁展示它。

验证者是需要信任的人。雇主检查你的文凭，服务机构检查你的年龄，机构检查授权。中心点：验证者可以直接通过发行者的签名来检查凭证的真实性，而无需联系发行者，也不会让发行者知道验证的发生。

最后一个属性改变了游戏规则。如今，检查通常意味着打电话给大学、咨询平台、依靠中介。有了可验证的凭证，证据就会随身携带并自我验证。发射机不会成为瓶颈或监视点。

选择性披露是一个不直观但非常有价值的特性。您可以证明从凭证派生的事实，而无需透露整个凭证。

经典示例：证明您已达到法定年龄，但无需显示您的出生日期、全名或证件号码。验证者仅收到经过加密验证的声明，即是的，您已超过年龄阈值，而没有收到不需要的数据。

这攻击了当前系统中的一个深层缺陷：过度收集。如今，为了证明一件小事，您通常会交出整个文档，该服务会保留该文档，这成为另一个泄漏点。选择性披露颠覆了“收集一切，以防万一”的标准逻辑，“只证明必要的”。

对于领导者来说，这具有直接的战略意义。您的组织不需要保留的每一条数据都是它不需要承担的风险。在不保留敏感数据的情况下进行验证的系统可以减少攻击面，简化合规性并减少最终事件的损害。最大限度地减少数据不再是一种让步，而是一种运营优势。

对限制的诚实是必要的，因为这个话题吸引了不成比例的热情。

第一个限制是网络采用。凭证只有在有验证者接受的情况下才有效，并且验证者只有在有相关凭证在流通时才会出现。这是经典的先有鸡还是先有蛋的问题。没有采用的现成技术只是等待问题的解决方案。

二是康复。如果您控制了自己的凭据，那么当您无法访问保存这些凭据的设备时会发生什么？集中式系统有一个密码恢复按钮。自我主权身份需要在不重新引入控制中介的情况下解决这个问题，这是一个真正困难的问题，不能通过法令来解决。

三是对发行人的信任。去中心化验证并不意味着去中心化权力。证书的价值与颁发证书的人的价值相同。如果发行者是弱者、欺诈者或非法者，那么无论 [密码学0 多么优雅]，凭证都会继承该弱点。可验证并不是真实的同义词：它只是意味着您确认是谁说的，而不是说所说的是正确的。

四是排斥风险。任何身份识别系统都存在将人们排除在外的危险，包括那些没有设备的人、那些无法从损失中恢复的人、那些没有任何记录的人。不将排除视为一阶要求的设计会以新的形式再现旧的不平等。

建议明天不要采用去中心化身份。这是关于了解组织的方向和定位，以免措手不及。

首先看看您目前在哪里以昂贵、脆弱或侵入性的方式验证身份或凭证。手动授予学位的招聘流程、收集过多文件的入职流程、依赖调用第三方的验证。这些是从可验证凭证中受益最多的点。

同时，观察您的组织发出的内容。每个认证、验证链接或证明事实的机构都可能是可验证证书的颁发者。尽早考虑这一点可以避免以后做出阻碍互操作性的决定。

并保持你的怀疑态度。这个话题充满了宏伟的承诺，其中许多与技术时尚有关，但承诺的内容比实际交付的要多。真正的价值是具体而适度的：减少对中介机构的依赖，减少数据收集，并使验证更便宜、更可靠。这就足够了，不需要一场革命来证明关注的合理性。

一个跨越声誉和出处的基本问题仍然有效：如何证明你是谁以及你做了什么，而不依赖于存储你数据的人的善意。去中心化身份是这个问题的严肃答案之一。

如果您的组织经常检查身份或凭证，则值得找出当前成本高昂且具有侵入性的地方。这是最好的起点。