《中國區塊鏈發展報告（2019）》 | 分布式數字身份發展與研究_DENT

本文作者：張一鋒平慶瑞

本文首發于《中國區塊鏈發展報告》技術創新篇。

摘要

傳統互聯網發展以中心化服務為特征，各應用之間互為孤島，個人身份有賴于不同的中心化服務供應商提供。隨著web2.0的高度發展，資金、數據、流量資源被大型科技巨頭高度壟斷，網絡犯罪和隱私泄露問題日益嚴重，應用之間安全、合法、便捷協同的首要前提是解決可信數字身份問題。

為了使身份真正具有自主權，數字身份基礎設施需打破單一組織或聯盟組織控制的中心化封閉環境，而置于開放的分布式環境中。本文從分布式數字身份的研究背景、分布式數字身份核心理念與基本內容、關鍵技術、技術架構，以及國內外發展現狀幾個方面對分布式數字身份進行了闡釋，以期為讀者提供關于分布式數字身份較為全面和系統的認識。

分布式數字身份是構建可信網絡的基礎，也是國家網絡安全戰略的基石，及早研究相關技術、推動分布式數字身份基礎設施的建設，布局相關生態和應用的發展具有重要意義。

關鍵詞

分布式自主權數字身份可驗證聲明分布式賬本隱私

今年是互聯網誕生五十周年。隨著網絡技術的成熟和發展，越來越多的應用服務通過互聯網形式服務于大眾，不夸張地說，伴隨人類所創造的互聯網數字世界的快速延展，人們正經歷從物理世界到數字世界的遷徙。然而，隨著人們每天使用網絡服務數量的增長，以及不同應用服務間出現可信協同的需求，互聯網因缺失身份協議層而導致的用戶身份問題日益突顯。

互聯網設計之初沒有建立標準的、明確的用戶身份識別或組織方式，互聯網應用服務商往往通過創建基于用戶名口令的本地帳戶解決用戶身份管理問題，成為網絡身份一直以來的主要解決方案。這種基于賬戶的身份管理方式逐漸顯露出以下弊端：

1、身份多重建立，維護成本大，使用效率低下

在以應用為中心的賬戶管理方式下，用戶沒有自己完整的數字身份，他們只有幾十或幾百個分散在不同組織中的碎片，控制、更新和維護這些信息只能基于應用逐個展開，常常重復而繁瑣。比如，人們需要在各種業務系統里提交相同的身份信息，重復相似的身份認證流程。

伴隨規模化應用，對于個人而言，基于應用賬戶的身份管理方法難以維護，安全性弊端也日益明顯；身份的認證方和依賴方需要為同一實體的身份認證服務付出重復的時間成本和經濟代價；超越網站和網絡應用來看，數百萬組織獲取、存儲、管理和保護大量用戶數據的全球成本與持有此類數據相關的責任一起增加，全球數據重復和數據間不一致性導致身份認證流程存在巨大的浪費。據估算，僅英國身份認證流程的成本每年超過33億英鎊，美國身份認證流程的成本每年約合220億美元。

2、用戶名口令方式帶來的安全性隱患

使用用戶名口令方式的假設前提是只有用戶本人知道賬戶信息，這是在當前信息技術環境中最基本、最容易實施的用戶管理解決方案。然而用戶名口令方式存在很多問題，首先，簡單的用戶名口令基本不具備系統要求的安全性，而記憶大量不同的復雜用戶名口令對用戶而言非常困難；此外，用戶名口令存在安全風險隱患，這些安全風險不僅僅出現在口令的輸入過程中，也存在于口令的傳輸、存儲、驗證過程中。

口令被廣泛使用的原因是其經濟性，以及對多數用戶沒有實施障礙，雖然安全性不高，但比什么安全措施都沒有要好。和口令相關聯的問題包括：安全性、窮舉嘗試、通用口令、生命周期、泄密等，在一些場合，用戶使用默認口令或把通用口令內建到應用程序或設備中，這些已知缺陷很容易被破解；隨著技術的發展，對高強度口令進行強行破解所需要的時間也越來越短。用戶名口令的安全性弊端隨著規模化應用日益明顯，給網絡帶來了巨大的安全隱患，網絡上10%的用戶假冒他人身份進行網絡犯罪。

從技術發展的趨勢而言，單一的用戶名口令終將因其維護問題和安全風險隱患退出主流身份管理方案的歷史舞臺。

動態 | 《中國海事仲裁委員會網上仲裁規則》正式發布，區塊鏈的應用是亮點之一:2019年12月27日，《中國海事仲裁委員會網上仲裁規則》（以下簡稱“《網上仲裁規則》”）正式發布，該規則于2020年1月1日起正式施行。《網上仲裁規則》的亮點之一是明確電子證據認定，連通區塊鏈等核心技術。網上仲裁平臺則通過電子簽名、可信時間戳、哈希值校驗、區塊鏈等證據收集、固定和防篡改的技術手段或者通過電子取證存證平臺認證適配規則的要求，當事人端可“一鍵傳輸”，仲裁庭端可“一鍵認定”，實現可靠而便捷的電子數據認定功能。（中國對外貿易雜志）[2020/2/14]

3、身份數據非自主管理，存在隱私泄露風險

賬戶方式下，個人身份由其所依賴的應用方提供——各個應用通過建立各自的用戶數據庫來管理用戶身份數據。有些組織比其他組織擁有更好的數據庫，更全面的用戶數據信息，因此無論身份所有者是否同意，業已發展出一套錯綜復雜且昂貴的機制，將用戶數據信息從一個孤島傳遞到另一個孤島，這個過程中常常會伴有無意的或不希望出現的用戶數據泄漏。

僅2018年，Facebook就數次爆出了嚴重的隱私泄露問題，其中包括Facebook主觀提供訪問接口，允許微軟、亞馬遜、Spotify、Netflix和Apple等各大公司讀取、發送和刪除用戶的私人信息，也包括其程序漏洞造成用戶上傳的私密照片被第三方應用程序訪問；Google也曾出現過因訪問接口出現問題而導致用戶資料泄露的事件，Google被曝光隱瞞因軟件故障導致Google+的用戶私人資料庫可被外部開發人員訪問，并最終以關閉Google+這一軟件來平息泄露事件帶來的麻煩。2017年10月，據安全研究機構KromtechSecurityResearchers披露，一家醫療服務機構存儲在亞馬遜S3上的大約47GB醫療數據意外對公眾開放，其中包含315363份PDF文件，這些文件至少涉及15萬病人。

2018年5月25日，歐盟的《通用數據保護條例》(GDPR)正式生效，可謂史上最嚴厲的隱私數據保護條例。GDPR大大增加了數據保護的強制性和責任性，要求數據供應鏈自上而下的各方責任共擔。GDPR規定了：

隱私數據遺忘權；

軟件設計數據保護原則；

數據控制和處理須確保數據具有安全性、完整性保護。

GDPR或將成為未來全球網絡空間規則的基石，以數據為抓手，與網絡安全底層技術治理相得益彰。這將對基于搜集個人信息和隱私驅動的互聯網2.0產業主體收入模式將產生重大影響，甚至是顛覆性影響。

綜上而言，是時候為互聯網建立一個統一的身份層，允許人們、組織和事物擁有他們自己的主權身份，管理屬于他們自己的身份信息。基于自主權的可信數字身份是打開可信網絡的鑰匙，也是未來可信數據與可信資產流轉得以展開的基礎。

一、網絡數字身份的演進

互聯網身份的演變是以滿足數字身份三項基本要求而產生的結果：

安全—必須防止身份信息被無意泄漏；

控制—身份所有者必須控制誰可以查看、訪問他們的數據以及用于什么目的；

可移植性—用戶必須能夠在任何他們想要的地方使用他們的身份數據，而不是綁定到單一身份提供商。

回顧網絡數字身份的發展歷史，其進化過程經過以下4個發展階段。

圖1.數字身份發展的各個階段

中心化身份

絕大多數互聯網身份都是中心化的。這意味著它們由單獨的實體組織擁有和控制，例如電子商務網站或社交網絡。在特定應用領域內，本地身份識別能夠正常工作，但難以滿足當今用戶快速增長的與各種在線網站和服務之間交互的需求。

由于大多數人在網上的唯一身份是集中式的，因此刪除一個帳戶也就清除了一個人的在線身份，這些身份可能是用戶花費數年的時間積累，并對他們有重大價值、無法替代的數據。

動態 | 《中國未來技能趨勢報告》發布 區塊鏈入選增長最快十大新興技能:據中國青年報消息，在今日舉辦的領英人才智能體驗峰會（Talent Intelligence Experience）上，領英發布了《中國未來技能趨勢報告》（以下簡稱《報告》）。《報告》數據顯示，2019年中國人才掌握的技能中，增長最快的十大新興技能分別為：合規、云計算、數據科學、小語種、風險管理、交互設計、人工智能、區塊鏈、數字營銷、全棧開發。[2019/10/31]

聯盟身份

聯盟身份被用來解決中心化身份問題，可以提供一定程度的可移植性。例如，用戶能夠使用他的某個服務憑證登錄另一個服務。在更復雜的層面上，可以允許不同的服務共享有關用戶的詳細信息。

聯盟在大型企業中很常見，單點登錄機制允許用戶使用一個用戶名和密碼訪問多個獨立的內部服務，包括一些國家的政務機關也在使用聯盟身份的方式來服務其公民。盡管聯盟看似可移植，但仍然依賴聯盟身份提供者的權力，刪除聯盟帳戶對用戶所產生的損害也更深遠。事實上，聯盟身份加劇了數據的中心化壟斷，為黑客準備了大量的蜜罐數據，造成了更大的數據安全隱患。

以用戶為中心

用戶控制的核心要求是——從聲明提供者到依賴方的信息流只在用戶請求時發生。個人在他自己的數據存儲中填充了他可以允許其提供給其他組織的信息，并在這樣做時保留記錄。然而，這個過程仍然依賴用戶選擇身份提供者并同意他們的單方面附加合同，由于利益驅動，當數據從一個庫移動到另一個庫時容易發生有意或無意的數據泄露，用戶信息成為買賣產品。

獨立的個人數據存儲也存在，但問題依然存在，在成熟的個人數據存儲生態系統中，依賴方需要連接許多此類身份供應商才能覆蓋廣泛的客戶群，由于集成復雜耗時，難以產生規模效應。

自主權身份

自主權身份是指身份所屬的個人完全擁有、控制和管理他們的身份，它去除了上述三個階段中的集中外部控制，所以個人的數字化存在與任何單一組織無關，沒有人可以剝奪某人的自主權身份。自主權身份可以看作是身份所有者控制的數字容器，通過授權他人共享數據，實現身份的可移植應用。身份聲明數據可以是自我聲明，也可以由第三方聲明，其真實性可以由依賴方獨立驗證。

“自主權身份”的典型特征可以歸納為以下三大點。

表1.分布式數字身份相關技術標準

二、分布式數字身份

為了使身份真正具有自主權，數字身份基礎設施需置于分布式環境中，而不是屬于單一組織或聯盟組織控制的中心化環境。

分布式賬本技術是使此成為可能的技術突破，它使多個機構、組織和政府能夠通過像互聯網一樣交互的分布式網絡一起工作，身份數據在多個位置復制，以抵御故障和篡改。分布式賬本技術已經存在并發展了一段時間，其在分布式和安全性方面的能力已經得到實證，當它與公鑰基礎設施、匿名憑證技術相結合時，分布式自主權數字身份的技術實現成為可能。

01

數字身份與可驗證聲明模型

1.1數字身份表示

國際電子技術委員會將“身份”定義為“一組與實體關聯的屬性”。數字身份通常由身份標識符及與之關聯的屬性聲明來表示，分布式數字身份包括：分布式數字身份標識符和數字身份憑證兩部分。

分布式數字身份標識符

分布式數字身份標識符是由字符串組成的標識符，用來代表一個數字身份，不需要中央注冊機構就可以實現全球唯一性。通常，一個實體可以擁有多個身份，每個身份被分配唯一的DID值，以及與之關聯的非對稱密鑰。不同的身份之間沒有關聯信息，從而有效地避免了所有者身份信息的歸集。

可驗證聲明

“聲明”是指與身份關聯的屬性信息，這個術語起源于基于聲明的數字身份，一種斷言數字身份的方式，獨立于任何需要依賴它的特定系統。聲明信息通常包括：諸如姓名，電子郵件地址、年齡、職業等。

動態 | 2019年《中國區塊鏈應用藍皮書》編著儀式啟動:據人民網消息，今天，在海南舉辦的2018人民網區塊鏈技術冬季論壇上，2019年《中國區塊鏈應用藍皮書》編著儀式啟動。《區塊鏈應用藍皮書》由人民創投區塊鏈研究院牽頭編纂，全書共分為總報告技術篇、行業篇、產業與市場篇、專題篇、案例篇等七個部分。[2018/12/22]

聲明可以是一個身份所有者自己發出的，也可以是由其他聲明發行人發出的，當聲明由發行人簽出時被稱為可驗證聲明。用戶將聲明提交給相關的應用，應用程序對其進行檢查，應用服務商可以像信任發行人般信任其簽署的可驗證聲明。多項聲明的集合稱為憑證。

1.2可驗證聲明模型

數字身份管理的主要目的是使身份所有者能夠方便地獲得聲明并使用聲明，以證明其身份屬性，聲明管理是數字身份體系的主要內容。

基于上節中分布式數字身份的設計，可以很好地實現聲明管理和基于可驗證聲明模型的工作流程：可驗證聲明由身份背書方根據身份所有人請求進行簽署發布，身份所有者將可驗證聲明以加密方式保存，并在需要的時候自主提交給身份依賴方進行驗證；身份依賴方在無需對接身份背書方的情況下，通過檢索身份注冊表，即可確認聲明與提交者之間的所屬關系，并驗證身份持有人屬性聲明的真實來源。

圖2.可驗證聲明模型

對比傳統的身份認證方式——身份依賴方采集用戶信息，通過安全信道將其傳輸給身份認證方進行認證的做法，可驗證聲明模型下，身份認證方不需要關注、信任和對接身份依賴方系統，只需要為身份請求者核準和簽發真實性聲明文件，身份依賴方則在無需對接不同認證方的情況下也能夠實現對多樣化用戶身份信息的訪問及信息真實性的驗證。

在數字身份的應用中，將身份標識符的生成、維護，與身份屬性聲明的生成/存儲/使用分離開來，有助于構建一個模塊化的、靈活的、具有競爭力的身份服務生態系統。

02

為什么是分布式

如開篇所講，今天任何實體在互聯網上的數字身份的控制權其實是在第三方手中，不論是電子郵件地址、用戶名、數字證書都是我們通過向服務提供商、CA中心以及社交網絡“租借”的，這導致整個互聯網范圍內出現了嚴重的可用性和安全性問題。為了將數字身份的控制權返還給所有者實體，需要一套支持身份所有者進行無需許可、創建自舉加密數字身份的機制，這需要將數字身份基礎設施置于分布式環境中。

分布式數字身份基礎設施的需要解決以下問題：

?數字身份標識符的自主控制與管理

?基于非對稱密鑰的點對點認證及安全信息交互

?提供密碼學應用的用戶友好性

建立分布式數字身份的答案是DPKI，即：分布式公鑰基礎設施。DPKI基于分布式賬本技術實現身份所有者的身份ID-vk信息的不可篡改和全局共享，使地域和組織上不同的實體可以就共享身份數據的內容和狀態達成共識，形成分布式信任。

DPKI支持將身份ID的控制權返回給所有者本人，并消除了困擾傳統公共密鑰基礎設施的MITM的影響，同時確保任何單一的第三方都不可能危及整個系統的完整性和安全性。

03

分布式數字身份關鍵技術

分布式數字身份技術中，除了針對分布式數字身份表達的分布式數字身份標識符與可驗證聲明外，還包括以下關鍵技術：

基于DPKI的分布式密鑰管理與使用

目前，基于DNS和X.509PKIX的互聯網身份管理系統中存在一些安全和可用性問題，這些問題的根源在于系統的中心化。中心化設計阻礙了身份所有者本人控制代表他們身份的身份標識符，從而使第三方有危害其身份安全的可能性。為了解決這一問題，我們需要構建分布式公鑰基礎設施，明確分布式密鑰管理辦法。

動態 | 《中國區塊鏈技術和應用研究報告（2018）》今日發布:據共享財經消息，今天，由中國區塊鏈技術和產業發展論壇編寫的《中國區塊鏈技術和應用研究報告（2018）》正式發布。報告主要內容涉及區塊鏈技術發展情況、應用發展情況、標準化發展情況以及面臨的機遇和挑戰等。[2018/12/18]

分布式密鑰管理可以通過為實體提供分布式數字身份錢包應用來實現，身份錢包支持使用者自行創建身份，進行身份密鑰的維護和控制密鑰使用；同時通過不可篡改的分布式賬本來登記和發布所有者身份標識符及關聯的驗證公鑰信息。基于此設計的DPKI即使在資源受限的移動設備上也能正常工作，并且能夠通過提供私鑰保護實現對用戶身份標識符的完整性保全。

基于DPKI的點對點認證及安全通訊

實現基于DPKI的點對點認證及安全通訊的目的是為用戶和數據提供安全、保密的點對點信任關系。一個安全的點對點通信系統需要滿足以下三項基本要求。

機密性-確保點對點網絡中的數據不被未授權者訪問。

完整性-確保發送的數據是由授權的對等節點發出，數據不能被未授權者偽造或修改。

可用性–確保授權的對等節點能正常使用網絡資源，而未授權者無法使用。

就兩點間通訊而言，其安全通訊的工作原理依然是基于傳統PKI挑戰響應機制和協商數據加密方式；就全網所有節點而言，通過部署在去中心化服務器及個人客戶端的身份密鑰錢包，以及全網共享的DID分布式賬本，代表任意不同實體身份的節點之間都可以實現基于非對稱密鑰方式的認證交互，并最終通過這種實體間的信任傳遞實現全網信任。

基于零知識證明的匿名憑證的研究與實現

傳統的訪問控制方式是基于用戶向服務提供者出示自己的身份信息，然后由服務提供者判斷用戶是否可以使用該服務。這種基于身份的訪問控制不是匿名方式的，用戶需要披露的信息往往遠超過必要范圍才能獲得對服務的訪問權限。

一種名為匿名憑證的解決方案可以幫助用戶擺脫這種情況。匿名憑證是由憑證發行方提供的包含用戶信息的特殊憑證，它用來傳輸聲明信息，但不實際包含聲明數據的明文或密文版本，而是提供有關聲明結果的密碼學驗證方法。匿名憑證的典型例子是在不揭示實際出生日期信息的情況下，出示有關年齡情況的證明。AC的一大優勢是服務提供商無法獲得包含數據的完整憑證，也無法復用它來模擬另一個用戶。AC提供匿名性，這意味著其他人可以看到具有授權屬性的用戶進行操作但無法識別該用戶是誰。

基于零知識證明的匿名憑證是一項重要的隱私增強技術，十多年來一直是Microsoft和IBM進行廣泛研究和開發的主題。它們具有保護隱私的巨大潛力，同時可以共享高度敏感或相關的信息。

匿名憑證適用于基于屬性的訪問控制辦法——根據對象的屬性、環境條件，以及根據這些屬性和條件制定的一組策略，對對象執行操作的請求進行授予或拒絕，ABAC控制模式可以很好地支持開放環境下動態、靈活的訪問策略。

圖3.基于屬性的訪問控制

在全球范圍內，分布式數字身份的研究只是近幾年間的事情，但發展迅速，也已從最初的單一項目、單一技術研究進入到超大型技術公司為主導的標準化研究進程。分布式數字身份中的關鍵數據的組織形式，如分布式標識符及可驗證憑證規范已由國際化標準組織W3C牽頭制定中；分布式密鑰管理標準由國際結構化信息標準促進組織OASIS推動編制和提交。

表2.分布式數字身份相關技術標準

三、分布式數字身份體系架構

如前所述，分布式數字身份技術的核心是分布式賬本和密碼學技術，這二者的結合用以創建不可抵賴、且不可變更的身份記錄。數字身份在分布式數字身份賬本中的起點是一個個彼此不可關聯的安全身份，它僅與具有明確用戶身份的行為、數字資產或數據相關聯；個人通過創建數字身份“容器”管理并使用數字身份憑證，他們可以接受分布式數字身份網絡中任何組織為其開具的身份憑證，并在需要的時候出示憑證提供驗證以獲得授權服務；每個組織都可以根據對憑證方的信賴以及對憑證的驗證結果來決定是否信任容器中的憑證。

中國保險學會關于征集《中國保險行業區塊鏈應用發展報告》案例的通知:\t為深入貫徹國務院《國家創新驅動發展戰略綱要》《“十三五”國家信息化規劃》關于加強信息技術促進經濟發展水平的主旨精神，積極落實保監會《國務院關于加快發展現代保險服務業的若干意見》《中國保險業發展“十三五”規劃綱要》關于加快新技術在保險行業應用的相關要求，促進區塊鏈技術在保險行業深入應用，中國保險學會與中國保險創新研究院擬組織力量聯合編寫發布《中國保險行業區塊鏈應用發展報告》，該報告為“保險創新發展系列報告”之一，現公開征集保險行業區塊鏈應用案例。[2018/2/10]

從分布式數字身份系統架構而言，身份錢包客戶端、云代理、分布式數字身份賬本組成分布式數字身份系統的三層架構。

圖4.分布式數字身份系統三層架構

01

分布式數字身份賬本

DPKI的基礎是具有分布式key-value數據存儲能力的分布式賬本，用作分布式數字身份標識符注冊表。只要這種注冊處于有效狀態，并且確保身份所有者保持對其私鑰的控制權，則任何第三方都無法擁有該標識符的使用權，也就無法冒充和危害到身份持有者意愿。

分布式賬本的主要特征是多節點共同維護，以保證該公開賬本記錄的不可篡改。在分布式數字身份架構中，分布式賬本主要用于支持分布式數字身份數據的發布和維護，使得所有實體可以通過檢索交互對象的ID和密鑰，進行相互間身份認證和安全網絡通訊，分布式數字身份賬本這種支持密鑰發現的能力實質上是免費的。此外，分布式數字身份賬本也用來記錄和公布憑證模板信息，以及憑證流轉的存證信息。

由于不同的身份實體會對身份的隱私有不同要求，因此，身份數據的共享范圍會有所不同，比如：對于政府、行業機關、高校，通常支持身份數據全生態公開；對于企業、商戶，應當支持上下游合作公司及其客戶可見；對于個人則需要最大程度進行匿名保護。為了滿足不同的身份可見需求，可能需要構建不同的分布式數字身份賬本協同工作，賬本的設計以相互關聯性、數據一致性、整體運行效率作為考量的關鍵。

從隱私保護角度考慮，分布式賬本用來保存交易的永久記錄，不建議在分布式賬本上存儲個人身份信息，倘若個人身份密鑰丟失或損壞，或是憑證方或依賴方遭到入侵，攻擊者可能會獲得身份持有者無法否認的身份數據記錄，這影響到用戶的權益，也違背了像歐盟《通用數據保護條例》等法律的要求。

02

分布式數字身份錢包

分布式數字身份錢包即個人身份數據容器，它是用于管理實體自主權身份的基礎設施，也是對身份管理軟件模塊的通俗化說法。就個人身份持有者而言，通常表現為使用者終端設備上的客戶端應用，就機構身份持有者而言，則可能是部署在特定的、具有密鑰管理功能的服務器上的一項服務。

分布式數字身份錢包是身份控制權位于身份所者手中的保證，通常來說，它具有如下幾個功能：

關系鏈管理

標識符可以用來認證從用戶到他們的所有物，標識符的強大可靠可以使這些標識符非常有價值，與這些標識符相匹配的密鑰是其所有者掌握的“數字王國鑰匙”，它可以解鎖實體所對應的數字身份及與身份相關的數據或數字資產。

分布式數字身份錢包最關鍵的功能是管理和保護身份所有者的關系鏈，關系鏈各項包括：DID關系對，DID關系密鑰，DID通訊入口點。這種設計的關鍵在于：每個身份及其相應的通訊入口點和密鑰都是不同的，這些信息不會在身份所有者的不同角色之間提供任何關聯線索，身份關聯只能由身份所有者發起和實現。

圖5.關系鏈結構

本地數據存儲

分布式數字身份錢包除了實現所有者關系鏈管理，還支持所有者本地數字憑證存儲，管理如何將這些數據安全地存儲在加載某特定操作系統的特定個人終端設備上。

由于不同設備的存儲容量和帶寬差異很大，可能沒有一個身份所有者的錢包客戶端能擁有完整的個人數據容器數據副本。因此，錢包客戶端的另一個功能是管理如何分享存儲在該設備數據容器中的內容，在必要時同步到其它所有者錢包客戶端中。

分布式數字身份錢包客戶端支持通過藍牙、NFC或其他mesh網絡協議進行點對點通信，或者通過云代理與其他使用分布式安全傳輸協議的實體建立安全連接。

03

分布式數字身份云代理

云代理構成了分布式數字身份系統架構的“中間層”，它既是DID分布式數字身份賬本的客戶端，又是分布式數字身份錢包的服務端，具有可尋址的網絡入口。分布式數字身份云代理在分布式數字身份架構中提供的主要功能是持久的P2P消息路由，這是因為在終端設備上運行的身份客戶端通常沒有自己的消息端，云代理服務可以為他們提供可尋址的網絡通訊功能以及持久消息在線服務。

此外，云代理服務還可以通過提供加密密鑰備份功能簡化密鑰恢復；支持在身份所有者授權下的加密數據存儲和共享，簡化和自動化存儲和共享數據的過程。

理論上講，云代理不是必須存在的，在沒有云代理的情況下，系統需要支持客戶端應用直接訪問DID分布式數字身份賬本。不管怎樣，云代理服務應該是商業化的、可開放競爭的市場，任何身份所有者不必也不應該綁定到某個特定的云代理服務商，任何時候的云代理服務遷移或取消都是由身份所有者自行決定的。

04

分布式數字身份應用

分布式數字身份服務適用于分布式應用系統、傳統互聯網服務、甚至中心化應用服務系統。

作為與應用無關的統一數字身份，分布式數字身份應用的典型方式如下：

身份持有者在訪問特定服務的過程中與服務提供方建立匿名DID關系，并在此安全通道內發起相關的交易請求；

服務方發出的身份請求信息經由身份持有者消息入口點到達身份持有人終端設備，喚醒作為身份錢包的客戶端應用；

身份持有人通過客戶端應用響應服務方的身份請求信息，在“確認”情況下，錢包應用構造可驗證身份憑證返回給請求者；

請求者接收身份持有者的可驗證憑證后進行驗證，業務系統根據身份驗證結果決定是否授權其訪問相關服務；

圖6.基于憑證的授權訪問方式

可以看出，基于身份屬性的授權訪問過程中，身份所有者不需要記憶和提供用戶名口令這樣的安全要素，基于密碼學的身份憑證的構造也完全由程序來處理，身份持有者所需要做的就是對身份請求信息進行響應確權操作，而這種響應確權可以通過生物識別等方式安全、簡單、友好地達成。

四、分布式數字身份研究與發展現狀

互聯網作為“第五疆域”，網絡安全深受各國重視，為加強網絡安全的研究與發展，各國紛紛推出自己的《網絡安全國家戰略》，我國也在2016年12月發布《國家網絡空間安全戰略》，強調“完善網絡治理體系、夯實網絡安全基礎、提升網絡空間防護能力”。可信身份管理作為保障網絡安全的基本手段,一直是網絡安全領域的重要研究內容。

美國于2011年發布了《網絡空間可信身份國家戰略》，準備幾年到十幾年時間內建設一套網絡實體身份生態體系；2011年，英國啟動身份保障計劃，旨在通過建設一站式通用身份服務，為公眾訪問政府網站提供安全、快捷的身份認證方式；俄羅斯近幾年已經向公民開始發行包含網絡身份識別功能的身份證；韓國政府也通過建立“I-PIN”網絡身份平臺，用于給網絡實體注冊相關業務。

分布式數字身份是破解可信數字身份難題的答案，是打破數據壟斷的鑰匙。分布式數字身份研究伴隨分布式賬本技術的驗證與應用而興起，發展迅速，迄今已經取得了相當豐富的技術和標準化研究成果，并在國際范圍內形成幾大主流方案架構。

2018年，微軟與ID2020聯合開發分布式數字身份認證網絡，幫助個人和難民獲得基本服務，包括在新居住地上獲得醫療保健和教育服務，同時也將數字化傳統的紙質出生證明和教育證書；同年，微軟與萬事達合作推動數字身份的合作計劃，解決難民身份歸屬的問題，確保這些用戶可以獲取正常的金融、社會服務，或者用于防洗錢。

IBM作為數字身份領域的引領者和踐行者，近年布局多個與分布式數字身份相關的創業公司、項目、及聯盟組織。其中包括，IBM與HyperLedger共同發起的Indy開源項目，面向各方提供推廣與合作。IBM與SecureKey以及加拿大數字身份生態系統成員正在搭建的區塊鏈身份驗證網絡。Visa也于2019年第一季度與IBM聯手推出基于區塊鏈的數字身份識別系統用于改善跨境支付安全。此外，全球興起的多個基于區塊鏈的數字身份項目還有：UPort、Civic、AirPlatform、ISelfKey等。

在中國，互聯網數字身份發展基本還停留在聯盟身份階段。隨著WEB2.0的發展，BAT等平臺商發展壯大，微信及支付寶用戶體量規模巨大，阿里和騰訊積累了大量的用戶身份信息。由于互聯網獲客成本越來越高，很多小微企業和商戶在互聯網上提供服務時，傾向通過聯盟身份方式，獲得微信或支付寶提供的用戶身份信息訪問接口。長期以往，根據馬太效應，互聯網巨頭企業的用戶數據規模巨大，伴隨數據壟斷性將帶來很大的蜜罐數據風險。

結束語

今天，全球已經進入數字經濟時代。根據IDC預計，到2021年，至少50%的全球GDP將會是數字化經濟所貢獻的。就中國而言，2016年中國數字經濟總量達到22.6萬億，2018年，我國數字經濟規模達到31.3萬億元，占GDP比重為34.8%，已成為我國經濟發展的重要引擎。預測到2030年，中國數字經濟占GDP比重將超過50%，中國將全面步入數字經濟時代。

網絡安全和信息化是一體之兩翼，驅動之雙輪，沒有網絡安全就沒有國家安全，沒有網絡信息化就沒有現代化。網絡安全與信息化須統一謀劃、統一部署、統一推進、統一實施。為更好地促進數字經濟的發展，適應人們越來越豐富的數字生活，我們需要盡早在網絡安全底層治理和數據隱私保護層面進行思考，發展自主可控的信息安全技術，構建面向全社會的、安全的、便利的分布式數字身份體系，解決現有網絡數字身份的安全、隱私和互用性問題，進一步推進國家可信網絡的建設。

參考文獻

1.ChristopherAllenandArthurBrock,‘DecentralizedPublicKey

Infrastructure’.DPKIv1.0.0,23-Dec-2015

2.PaulDunphyandFabiewA.P.Petitcolas,‘AFirstLookatIdentityManagementSchemesontheBlockchain’.VASCODataSecurity,2018

3.‘EvernymHSHQDC-17-C-00018DKMSMilestone3’.EvernymDKMSProject,15-Dec-2017

4.AndrewTobinandDrummondReed,‘The-Inevitable-Rise-of-Self-Sovereign-Identity’.TheSovrinFoundation,29-Sep-2016

5.‘SovrinProvisionalTrustFramework’.SovrinBoardofTrustees,28-June-2017

6.DanGisol?andMilanPatel,‘DecentralizedIdentityIntroduction’.IBMTrustedSolution,2018

7.DrummondReed,JasonLaw&DanielHardman,‘What-Goes-On-The-Ledger’.TheSovrinFoundation,29-Sep-2016

8.GregoryNeven,‘AQuickIntroductiontoAnonymousCredentials’.IBMZurichResearchLab,Aug-2008

9.MelissaChase,‘AnonymousCredentials:Howtoshowcredentialswithoutcompriomisingprivacy’.MicrosoftReserch,

10.‘DecentralizedIdentity:Ownandcontrolyouridentity’,Microsoft,2018

11.DecentralizedIdentifiers(DIDs)v0.12,DraftCommunityGroupReport?09,??May??2019

12.LesChasen,‘DecentralizedIdentifiers(DIDs)andDecentralizedIdentityManagement(DIDM)’,ApaperfortheID2020DesignShop,RespectNetwork2016-05-16

13.VerifiableCredentialsDataModel1.0,W3CCandidateRecommendation,28March2019

Tags：區塊鏈ENTDIDDENT區塊鏈技術最早應用于Paycentdid幣是不是騙局FidentiaX

中幣