前情提要
2021年1月15日，北京金融科技产业联盟成功举行“依据区块链的金融分布式数字身份技能使用研讨会”。本次研讨会邀请金融安排和科技公司专家，一起评论分布式数字身份技能理论、模型原理和体系架构，分享技能完成、使用案例及落地实践经验，加强产用端的沟通与协作。
中钞区块链技能研究院首席产品专家平庆瑞从分布式数字身份概念、作业机制、技能架构和技能特点等几方面做了详尽阐述。
本篇文章依据嘉宾讲演内容整理。
分布式数字身份的来历
咱们知道人类的文明史也是一部人类的迁徙史，为了生计和繁殖，数万年前咱们的远古祖先从亚非大陆出发，长途迁徙，阅历农耕社会、工业革命，人类总算踏上了地球的每一块土地。今日，生活在国际各地的人们，经过信息技能完成远程通讯，进行跨地域的社会交往。
互联网的呈现大大改变了人们的生活方法，越来越多现实生活中的活动正在迁移到网络国际中。网络空间现已被公认为继陆、海、空、天之后的第五边境。
可是，互联网在开展之初没有构建身份协议层，只是用来为传输信息而规划，因而无法处理网络上的身份互信问题。1993年，《New York》上的这幅漫画阐释了互联网的信赖缺失问题。
为了在互联网上供给服务，完成可信交互，发生了中心化身份账户身份处理计划。
该计划是指由网络使用服务供给商对其用户进行身份办理，包含供给身份注册服务以分配用户身份标识、保存用户身份信息数据，进行用户身份的辨认、验证和服务授权等。后来为了处理中小服务商难以供给用户身份办理的问题，发生了联盟身份，即由大的网络服务供给商来代为供给用户办理。中心化的身份账户存在以下首要问题。
首要，用户身份依靠身份供给者；其次，用户身份容易被盗用，无法完成行为的防狡赖；再次，不支撑身份跨使用互认，因而难以完成服务协同。联盟身份的开展导致了数据高度集中，构成了垄断趋势，一旦用户数据泄露，对用户造成的丢失影响重大。
分布式身份正是在这样一种时代背景下的产物，它将替代中心化身份认证的计划，以协议层方法重构互联网底层信赖基础设施。
分布式身份将处理身份所有权、身份安全性以及身份互联互信的问题，是敞开下一个互联网时代的进口。简略来讲，依据分布式数字身份基础设施能够完成：一是协议层的身份处理计划，促进使用孤岛的融合。二是服务供给商不需求进行用户身份办理，只需求经过API完成用户数据的恳求和验证。三是用户持有身份数据，控制其身份数据的授权拜访。四是每个安排都能够简略地介入互联网的身份层，并从现已存在的生态安排中获益。五是能够创造具有网络规模效应的价值。
分布式数字身份的作业机制
咱们说身份有三个维度，这三个维度分别是身份标识、身份的特点以及身份的交互。在物理国际，身份实体所有者本身便是身份的标识，在数字国际，咱们需求用一个字符串来指代身份的所有者。在分布式数字身份中，分布式数字身份标识符由字符串组成，不需求中心注册安排就能够完成全球仅有性，它能够用来指代身份主体在不同场景下的身份人物。
一个实体所具有的特点是指，比如他是某国家的公民，某公司的员工，他具有某种车型的驾照。在数字国际里，需求经过与标识符所相关的身份特点断语来表明，这种断语因为有权威数据方的背书而具有公信力。在分布式数字身份中，身份的特点经过可验证凭据数据来表达。
与其他数字身份相同，分布式数字身份交互也要处理身份的辨认、验证和授权问题。所不同的是，因为去中心化特征，分布式身份将开展出标准化的点对点通讯协议。在评论分布式身份作业机制之前，咱们需求进一步了解分布式身份的三个维度。
首要是去中心化标识符，大家看到的是。W3C关于分布式标识标准中的一个数据结构示例，一个标准的分布式数字身份标识符，经过结构化的DID Dock表明。除了分布式数字身份标识符以外，DID Dock中还包含与此身份相相关的公钥信息、授权支撑信息、服务进口点地址、以及用于审计的时刻戳和用于数据完整性校验的签名数据。能够看出，分布式数字身份其实是一种公钥设施，身份DID的持有证明，也是DID私钥的持有证明，经过公钥验签方法来完成。此外，经过授权支撑能够完成身份主体与身份控制者的分离，支撑身份委托需求。
分布式身份中的第二个维度是可验证凭据。简略来说，可验证凭据便是关于某身份主体具有某种身份特点的背书断语数据，包含身份断语和身份断语签名两部分。如图，是W3C可验证凭据数据结构标准中的一个简例，这是一个关于名字的可验证凭据，断语部分只包含名字特点，签名Proof的内容包含Proof验证方法与凭据发行者ID所相关的关于断语的私钥签名。
分布式身份第三个维度是分布式通讯协议，这个通讯协议的2.0版本标准正在由DIF安排起草。DID Communication协议与传统的Web API的首要不同在于，不是经过服务器来控制所有各方的交互状态。相反，DID各方都是对等的，他们经过互相对规则和目标的一起了解以及共识来进行互动。
协议首要包含两个特征：一是DID通讯协议是依据音讯、异步和单工机制的。二是音讯的安全性是依据对等身份验证来树立的。依据DID通讯协议进行自定义音讯传递和处理，能够完成不同场景下的业务需求和扩展。咱们能够看到DID Communication不依靠任何第三方安排能够最大程度满意点对点实体的自由交互，激起数字化使用立异。
在了解了分布式身份的三个维度之后，咱们来看一下分布式身份的作业模型。分布式身份的生态能够简化为发行者、持有者和验证者三方，其作业原理即可验证凭据流通模型。
首要，身份各方将自己的身份在分布式账本上进行公示，以供给后续身份交互过程中的数据验证支撑。第二，发行人向身份持有者签发身份凭据，身份持有人接纳验证并保存凭据。第三，身份验证方向持有人恳求身份凭据信息，持有者签名并出示可验证凭据，身份验证方验证凭据的归属和凭据签发来历。可验证凭据流通模型的首要特点或者说是首要优势在于：一是支撑实体ID经过不同场景下人物来进行表达，然后避免了人物信息被归集。二是DID与可验证凭据解耦，支撑了用户名下的凭据信息能够被重新组合复用。三是依据分布式身份构建的可信Web不需求遵从任何预先树立的层次结构。
咱们看这一点就与传统的CA体系有很大的不同。中心化的CA体系之间假如要进行互认，那么需求依靠顶层的CA，这就需求在CA体系构建之初就进行规划规划，清晰下来。
分布式数字身份技能架构
去中心化公钥基础设施是分布式身份的基石，它为分布式数字身份供给了衔接安全。与传统PKI不同，去中心化公钥基础设施不需求中心化的CA安排来完成密钥的分发与保管，而是身份所有者自己进行身份密钥的创立与注册。分布式账本供给了一致的密钥公式、维护和发现机制。与传统PKI比较，去中心化公钥基础设施具有以下特征：它不依靠单一的中心化安排，没有后门和办理员特权，无体系单点故障，具有弹性的信赖基础结构，支撑互操作性。
依据去中心化公钥基础设施，能够有用的去除从前PKI体系下的中间人攻击问题。那么咱们需求怎么树立DPKI的基础设施呢？在分布式身份中，每个实体具有不止一个DID，每个ID对应一个关系，一个私有的音讯安全通道。怎样来办理这些DID和私钥？假如这些信息丢失了又应该怎么办？答案是分布式密钥办理体系。
分布式密钥办理体系依据分布式账本组件和身份署理软件构建。分布式账本用于发布衔接验证公钥和数据所有者验证公钥信息，供给公开的身份验证和凭据验证。署理代表独立的身份所有者和身份控制者，具有仅有表现其授权的加密密钥，署理依据DID通讯协议进行交互。
署理软件一般包含音讯通讯组件、身份钱包组件、本地数据容器组件。音讯署理组件担任与外界的交互，以完成音讯的收发。其次音讯署理组件担任调用本地的身份钱包和数据容器，进行音讯的加解密与存储。身份钱包组件首要是进行密钥和隐秘数据的办理，详细而言，它会担任进行署理办理、DID衔接办理以及凭据办理。
署理软件依据其布置的方位不同，又分为边际署理和云署理。办理身份密钥的署理软件，大都情况下会安装在个人所有的移动智能通讯设备上。为了完成耐久音讯在线和边际设备寻址，需求扩展身份署理到云端，云署理能够有不同的厂商来完成和维护，被注册的边际署理供给音讯路由服务。此外，云署理服务能够简化边际署理的密钥找回机制，并完成边际署理的数据备份和多设备同步需求，可是不会构成对边际设备的绑架和数据的偷听。边际设备是仅有用户身份密钥办理设备，因而仅有能够代表身份持有者的志愿。
身份数据一般在边际设备的身份钱包中加密以后上传云署理保管。在音讯传输的过程中，边际署理发起交互，并进行音讯加解密，云署理则首要供给音讯路由、路由加解密功能，DKMS标准约束了钱包和署理的行为，其制定的主旨是使身份署理标准化，消除安全隐私和供应商确定的隐患。
可验证凭据技能供给了分布式数字身份中的数据安全，前面咱们现已讲到可验证凭据是DID实体之间进行数据交换的方法，经过发行者签名确保数据不行篡改。与可验证凭据相对应的可验证表述是身份所有者向身份验证者供给数据的形式，它由分布式数字身份钱包中的加密组件进行结构，它也是一种防篡改的表述，来自一个或多个可验证凭据，由发表该对象的主体进行签名，无论是直接或者是直接引用可验证凭据，身份特点都以可验证表述的方法进行提交，这也便是说可验证表述中不包含可验证凭据的原文，因而不会发生可验证凭据接纳者进行身份盗用的问题。
概括而言分布式数字身份体系的分布式表现在以下四个部分。
一是DID发现。依据开放的分布式账本，而不是依据某一个中心化安排的体系。二是DID验证。它是一种依据特点的验证，由署理之间彼此认证，而不需求依靠第三方。三是DID交互。它是典型的点对点通讯协议，与传输协议无关，他们之间的交互也不需求依靠第三方。四是DID数据存储。依据分布式加密存储，其推广和分享都需求由所有者进行授权，数据具有可移植性，是不需求绑定在DID存储商身上。
依据以上架构，分布式身份有用地树立了网络主体之间的机器信赖和人的信赖，完成了身份的自主性、安全性和可移植性。
特别补充阐明，在分布式数字身份可验证凭据技能中，选用依据零知识证明的匿名凭据技能，能够有用处理隐私维护问题，完成凭据特点的最小发表和依据逻辑范式的结果证明。分布式数字身份技能很好的答复了怎么完成未来数字身份的十项基本要求。
从使用层面看，分布式数字身份将对数字化生活带来哪些重要的影响呢？一是以用户为中心，分布式身份改变了传统的数据依靠方直接对接数据发行方的模式，使得数据回归所有者，服务与数据分离，网络使用得以以身份所有者为中心打开。二是依据特点的拜访授权将逐步取代依据人物的拜访授权，使用服务不再是千人一面，而是真实能够做到千人千面的定制化服务。三是依据分布式身份能够完成所有实体之间的可信身份交互和可信数据流通，这不仅仅是分布式体系之间的，也包含中心化体系之间以及中心化体系到分布式体系之间，然后树立起真实的全网可信。四是可信数据与数据凭据化流通将激活数据的资产特点，也使得线下资产得以以数据化流通，数字经济将借由可信网络而昌盛和开展。五是分布式身份和点对点通讯协议将促进去中心化安排的开展，释放人类在数字国际的立异潜能，加快人类经由数字化开展，提高团体社会智能的脚步。
本文来历：区块链专业委员会
本文作者：中钞区块链技能研究院 平庆瑞
视野开拓
不幸的是，麦卡蒂于1906年死于一场交通事故，他的脑袋撞到了一根电话杆上。-《城市的胜利》
