分布式數字身份原理、模型與關鍵技術_LQTY

2021年1月15日，北京金融科技產業聯盟成功舉辦“基于區塊鏈的金融分布式數字身份技術應用研討會”。本次研討會邀請金融機構和科技公司專家，共同探討分布式數字身份技術理論、模型原理和體系架構，分享技術實現、應用案例及落地實踐經驗，加強產用端的交流與合作。

中鈔區塊鏈技術研究院首席產品專家平慶瑞從分布式數字身份概念、工作機制、技術架構和技術特點等幾方面做了詳盡闡述。

本篇文章基于嘉賓演講內容整理。

我們知道人類的文明史也是一部人類的遷徙史，為了生存和繁衍，數萬年前我們的遠古祖先從亞非大陸出發，長途遷徙，經歷農耕社會、工業革命，人類終于踏上了地球的每一塊土地。今天，生活在世界各地的人們，通過信息技術實現遠程通信，進行跨地域的社會交往。

互聯網的出現大大改變了人們的生活方式，越來越多現實生活中的活動正在遷移到網絡世界中。網絡空間已經被公認為繼陸、海、空、天之后的第五疆域。

然而，互聯網在發展之初沒有構建身份協議層，只是用來為傳輸信息而設計，因此無法解決網絡上的身份互信問題。1993年，《New York》上的這幅漫畫闡釋了互聯網的信任缺失問題。

為了在互聯網上提供服務，實現可信交互，產生了中心化身份賬戶身份解決方案。

分布式資本合伙人沈波：今日賣出LQTY系黑客行為，對LQTY持有長期信心從未出售:4月16日消息，分布式資本創始合伙人沈波在社交媒體上發文表示，今日遭賣出的LQTY被盜資產與去年11月為同一筆，目前各方正積極追查。被盜錢包交易非本人操作，LQTY賣出系黑客行為。個人對LQTY持有長期信心，一直未曾出售并長期支持Liquidity Pool。沈波呼吁社區共同協助尋找黑客線索，愿提供酬勞。此前報道，分布式資本創始合伙人沈波于去年11月23日宣布個人常用的894結尾錢包地址被盜，共包含價值4200萬美元資產。[2023/4/16 14:06:33]

該方案是指由網絡應用服務提供商對其用戶進行身份管理，包括提供身份注冊服務以分配用戶身份標識、保存用戶身份信息數據，進行用戶身份的識別、驗證和服務授權等。后來為了解決中小服務商難以提供用戶身份管理的問題，產生了聯盟身份，即由大的網絡服務提供商來代為提供用戶管理。中心化的身份賬戶存在以下主要問題。

首先，用戶身份依賴身份提供者；其次，用戶身份容易被盜用，無法實現行為的防抵賴；再次，不支持身份跨應用互認，因而難以實現服務協同。聯盟身份的發展導致了數據高度集中，形成了壟斷趨勢，一旦用戶數據泄露，對用戶造成的損失影響重大。

分布式身份正是在這樣一種時代背景下的產物，它將替代中心化身份認證的方案，以協議層方式重構互聯網底層信任基礎設施。

工信部就《區塊鏈和分布式記賬技術標準體系建設指南（2023版）》公開征求意見:金色財經報道，工信部就《區塊鏈和分布式記賬技術標準體系建設指南（2023版）》（征求意見稿）公開征求意見。其中提出，到2023年，明確區塊鏈和分布式記賬技術標準體系頂層設計，研究標準體系建設和標準研制的總體規則，明確標準間的關系，重點開展基礎共性標準研制，基本滿足我國區塊鏈和分布式記賬技術標準化需求。到2025年，進一步完善國家區塊鏈和分布式記賬技術標準體系，持續推動區塊鏈和分布式記賬技術基礎共性、關鍵應用示范和安全保障等標準，有效指導我國區塊鏈產業建設，提升技術與應用服務水平。[2023/3/28 13:30:57]

分布式身份將解決身份所有權、身份安全性以及身份互聯互信的問題，是開啟下一個互聯網時代的入口。簡單來講，基于分布式數字身份基礎設施可以實現：一是協議層的身份解決方案，促進應用孤島的融合。二是服務提供商不需要進行用戶身份管理，只需要通過API實現用戶數據的請求和驗證。三是用戶持有身份數據，控制其身份數據的授權訪問。四是每個組織都可以簡單地介入互聯網的身份層，并從已經存在的生態組織中獲益。五是能夠創造具有網絡規模效應的價值。

我們說身份有三個維度，這三個維度分別是身份標識、身份的屬性以及身份的交互。在物理世界，身份實體所有者本身就是身份的標識，在數字世界，我們需要用一個字符串來指代身份的所有者。在分布式數字身份中，分布式數字身份標識符由字符串組成，不需要中央注冊機構就可以實現全球唯一性，它可以用來指代身份主體在不同場景下的身份角色。

Beosin：分布式資本創始人沈波目前被盜資金已經大部分兌換為DAI:金色財經報道，根據區塊鏈安全審計公司Beosin旗下Beosin EagleEye 安全風險監控、預警與阻斷平臺監測顯示，2022年11月23日，分布式資本創始人沈波發布消息表示個人錢包被盜，被盜資金約4200萬美元。通過分析USDC的轉賬交易，定位到該筆攻擊交易(0xf6ff8f672e41b8cfafb20881f792022f6573bd9fbf4f00acaeea97bbc2f6e4f7)。由于該筆交易是由0x6be85603322df6DC66163eF5f82A9c6ffBC5e894地址發起，因此認定為私鑰泄露。目前被盜資金已經大部分兌換為DAI，并且轉移到0x4ac9ca41efe0ea19b8f3493a91d8a5f706e1e8f

9和0x66F62574ab04989737228D18C3624f7FC1edAe14地址中，還有1606個Ether在0x24B93EED37e6FfE948A9bdF365d750B52AdCBC2e。再次提醒用戶注意錢包安全。Beosin Trace將持續對黑地址異動進行監控。[2022/11/23 8:00:14]

一個實體所具有的屬性是指，比如他是某國家的公民，某公司的員工，他具有某種車型的駕照。在數字世界里，需要通過與標識符所關聯的身份屬性斷言來表示，這種斷言因為有權威數據方的背書而具有公信力。在分布式數字身份中，身份的屬性通過可驗證憑證數據來表達。

與其他數字身份一樣，分布式數字身份交互也要解決身份的識別、驗證和授權問題。所不同的是，由于去中心化特征，分布式身份將發展出標準化的點對點通信協議。在討論分布式身份工作機制之前，我們需要進一步了解分布式身份的三個維度。

動態 | Fomo3D在Dappradar的分布式應用排名中名列第一:據Dappradar相關數據顯示，分布式應用排名中Fomo3D已從之前的第三位上升為第一位，排名第二、第三的應用分別為PoWH 3D、IDEX。[2018/7/22]

首先是去中心化標識符，大家看到的是。W3C關于分布式標識標準中的一個數據結構示例，一個標準的分布式數字身份標識符，通過結構化的DID Dock表示。除了分布式數字身份標識符以外，DID Dock中還包括與此身份相關聯的公鑰信息、授權支持信息、服務入口點地址、以及用于審計的時間戳和用于數據完整性校驗的簽名數據。可以看出，分布式數字身份其實是一種公鑰設施，身份DID的持有證明，也是DID私鑰的持有證明，通過公鑰驗簽方式來實現。此外，通過授權支持可以實現身份主體與身份控制者的分離，支持身份委托需求。

分布式身份中的第二個維度是可驗證憑證。簡單來說，可驗證憑證就是關于某身份主體具有某種身份屬性的背書斷言數據，包括身份斷言和身份斷言簽名兩部分。如圖，是W3C可驗證憑證數據結構規范中的一個簡例，這是一個關于姓名的可驗證憑證，斷言部分只包括姓名屬性，簽名Proof的內容包括Proof驗證方法與憑證發行者ID所關聯的關于斷言的私鑰簽名。

分布式身份第三個維度是分布式通信協議，這個通信協議的2.0版本規范正在由DIF組織起草。DID Communication協議與傳統的Web API的主要不同在于，不是通過服務器來控制所有各方的交互狀態。相反，DID各方都是對等的，他們通過彼此對規則和目標的共同理解以及共識來進行互動。

聲音 | 分布式資本姚鏡儀：智能合約和token是區塊鏈的靈魂:據經濟參考報，分布式資本合伙人姚鏡儀表示，智能合約和token是區塊鏈的靈魂。她堅信智能合約的未來，但現在也看到智能合約出現了很多問題和事件。分布式資本的投資策略就是“容錯”。如果沒有足夠的容錯性，區塊鏈生態中就無法生長出足夠的多樣性。[2018/7/3]

協議主要包括兩個特征：一是DID通信協議是基于消息、異步和單工機制的。二是消息的安全性是基于對等身份驗證來建立的。基于DID通信協議進行自定義消息傳遞和處理，可以實現不同場景下的業務需求和擴展。我們可以看到DID Communication不依賴任何第三方組織可以最大程度滿足點對點實體的自由交互，激發數字化應用創新。

在了解了分布式身份的三個維度之后，我們來看一下分布式身份的工作模型。分布式身份的生態可以簡化為發行者、持有者和驗證者三方，其工作原理即可驗證憑證流轉模型。

首先，身份各方將自己的身份在分布式賬本上進行公示，以提供后續身份交互過程中的數據驗證支持。第二，發行人向身份持有者簽發身份憑證，身份持有人接收驗證并保存憑證。第三，身份驗證方向持有人請求身份憑證信息，持有者簽名并出示可驗證憑證，身份驗證方驗證憑證的歸屬和憑證簽發來源。可驗證憑證流轉模型的主要特點或者說是主要優勢在于：一是支持實體ID通過不同場景下角色來進行表達，從而避免了角色信息被歸集。二是DID與可驗證憑證解耦，支持了用戶名下的憑證信息可以被重新組合復用。三是基于分布式身份構建的可信Web不需要遵循任何預先建立的層次結構。

我們看這一點就與傳統的CA體系有很大的不同。中心化的CA系統之間如果要進行互認，那么需要依賴頂層的CA，這就需要在CA系統構建之初就進行規劃設計，明確下來。

去中心化公鑰基礎設施是分布式身份的基石，它為分布式數字身份提供了連接安全。與傳統PKI不同，去中心化公鑰基礎設施不需要中心化的CA組織來實現密鑰的分發與托管，而是身份所有者自己進行身份密鑰的創建與注冊。分布式賬本提供了統一的密鑰公式、維護和發現機制。與傳統PKI相比，去中心化公鑰基礎設施具有以下特征：它不依賴單一的中心化機構，沒有后門和管理員特權，無系統單點故障，具有彈性的信任基礎結構，支持互操作性。

基于去中心化公鑰基礎設施，可以有效的去除從前PKI體系下的中間人攻擊問題。那么我們需要如何建立DPKI的基礎設施呢？在分布式身份中，每個實體擁有不止一個DID，每個ID對應一個關系，一個私有的消息安全通道。怎樣來管理這些DID和私鑰？如果這些信息丟失了又應該怎么辦？答案是分布式密鑰管理系統。

分布式密鑰管理系統基于分布式賬本組件和身份代理軟件構建。分布式賬本用于發布連接驗證公鑰和數據所有者驗證公鑰信息，提供公開的身份驗證和憑證驗證。代理代表獨立的身份所有者和身份控制者，擁有唯一體現其授權的加密密鑰，代理基于DID通信協議進行交互。

代理軟件通常包括消息通信組件、身份錢包組件、本地數據容器組件。消息代理組件負責與外界的交互，以實現消息的收發。其次消息代理組件負責調用本地的身份錢包和數據容器，進行消息的加解密與存儲。身份錢包組件主要是進行密鑰和秘密數據的管理，具體而言，它會負責進行代理管理、DID連接管理以及憑證管理。

代理軟件根據其部署的位置不同，又分為邊緣代理和云代理。管理身份密鑰的代理軟件，多數情況下會安裝在個人所有的移動智能通訊設備上。為了實現持久消息在線和邊緣設備尋址，需要擴展身份代理到云端，云代理可以有不同的廠商來實現和維護，被注冊的邊緣代理提供消息路由服務。此外，云代理服務可以簡化邊緣代理的密鑰找回機制，并實現邊緣代理的數據備份和多設備同步需求，但是不會形成對邊緣設備的綁架和數據的竊聽。邊緣設備是唯一用戶身份密鑰管理設備，因而唯一可以代表身份持有者的意愿。

身份數據通常在邊緣設備的身份錢包中加密以后上傳云代理托管。在消息傳輸的過程中，邊緣代理發起交互，并進行消息加解密，云代理則主要提供消息路由、路由加解密功能，DKMS規范約束了錢包和代理的行為，其制定的宗旨是使身份代理標準化，消除安全隱私和供應商鎖定的隱患。

可驗證憑證技術提供了分布式數字身份中的數據安全，前面我們已經講到可驗證憑證是DID實體之間進行數據交換的方式，通過發行者簽名確保數據不可篡改。與可驗證憑證相對應的可驗證表述是身份所有者向身份驗證者提供數據的形式，它由分布式數字身份錢包中的加密組件進行構造，它也是一種防篡改的表述，來自一個或多個可驗證憑證，由披露該對象的主體進行簽名，無論是直接或者是間接引用可驗證憑證，身份屬性都以可驗證表述的方式進行提交，這也就是說可驗證表述中不包括可驗證憑證的原文，因此不會產生可驗證憑證接收者進行身份盜用的問題。

概括而言分布式數字身份系統的分布式體現在以下四個部分。

一是DID發現。基于開放的分布式賬本，而不是基于某一個中心化機構的系統。二是DID驗證。它是一種基于屬性的驗證，由代理之間相互認證，而不需要依賴第三方。三是DID交互。它是典型的點對點通信協議，與傳輸協議無關，他們之間的交互也不需要依賴第三方。四是DID數據存儲。基于分布式加密存儲，其推廣和分享都需要由所有者進行授權，數據具有可移植性，是不需要綁定在DID存儲商身上。

基于以上架構，分布式身份有效地建立了網絡主體之間的機器信任和人的信任，實現了身份的自主性、安全性和可移植性。

特別補充說明，在分布式數字身份可驗證憑證技術中，采用基于零知識證明的匿名憑證技術，可以有效解決隱私保護問題，實現憑證屬性的最小披露和基于邏輯范式的結果證明。分布式數字身份技術很好的回答了如何實現未來數字身份的十項基本要求。

從應用層面看，分布式數字身份將對數字化生活帶來哪些重要的影響呢？一是以用戶為中心，分布式身份改變了傳統的數據依賴方直接對接數據發行方的模式，使得數據回歸所有者，服務與數據分離，網絡應用得以以身份所有者為中心展開。二是基于屬性的訪問授權將逐漸取代基于角色的訪問授權，應用服務不再是千人一面，而是真正可以做到千人千面的定制化服務。三是基于分布式身份可以實現所有實體之間的可信身份交互和可信數據流轉，這不僅僅是分布式系統之間的，也包括中心化系統之間以及中心化系統到分布式系統之間，從而建立起真正的全網可信。四是可信數據與數據憑證化流轉將激活數據的資產屬性，也使得線下資產得以以數據化流轉，數字經濟將借由可信網絡而繁榮和發展。五是分布式身份和點對點通信協議將促進去中心化組織的發展，釋放人類在數字世界的創新潛能，加快人類經由數字化發展，提高集體社會智能的腳步。

本文來源：區塊鏈專業委員會

本文作者：中鈔區塊鏈技術研究院 平慶瑞

Tags：DID區塊鏈LQTLQTYDID價格區塊鏈dapp開發語言lqty幣值得長期持有嗎lqty幣總量

狗狗幣