身份體系中一個極端的存在：SSI（自主身份）
自主身份(SSI)是數字身份體系中一個極端的存在。其焦點放在將控制交回用戶手中。但SSI不是解決問題的唯一方式。
身份領域流傳有很多關于自主身份(SSI)的話題。SSI的宗旨就是將用戶置于數字身份管理和控制的中心。以用戶為中心的數字身份不是新鮮概念，2005年 Kim Cameron 的《身份法則》一書中就提出了這一概念。法則1：身份元系統的成功取決于其使用者。
SSI以用戶為中心，但以用戶為中心的不止SSI系統一家。
理論上講，SSI很不錯。畢竟，數字身份就是用來解決你如何處理自身標識信息的——這當然應該在你自己的掌控之下。然而，有幾個問題令人懷疑SSI真的能夠滿足我們對身份的需求嗎?
1. 自主身份是什么?
自主身份采用區塊鏈注冊個人身份屬性。這是什么意思呢?你的身份數據(屬性或聲明)——決定 “數字化的你” 或 “此物是此物” 的東西，被注冊到區塊鏈中的某個區塊上。該區塊鏈是個分布式賬本(沒有中央權威控制)，后續的去中心化聲明是個人識別數據的一部分，可在用戶控制下與請求方(如銀行或政府機構等)共享。
SSI的實質基于可驗證聲明。數字身份領域里，驗證是件頗為棘手的事;沒那么直觀，也不是弄點“用戶友好”就能應付過去的。但Sovrin這樣的組織就是建立在通過適用于數字身份的分布式賬本技術主干網管理可驗證聲明的概念上。(Sovrin提供SSI骨干網。)
2. 什么是可驗證聲明?
關于個人的數據點必須是真實的，或者至少要具備能滿足服務提供商要求的一定真實性，才是有效的。由可信第三方核實(驗證)過的聲明即被視為可驗證的。Web標準監管者W3C就曾研究過可驗證聲明標準的問題。其研究極不看好用戶為中心的和隱私增強的模式。他們的聲明極為強硬：沒有以用戶為中心的、隱私增強的可驗證聲明生態系統。
該研究的結論包括：
- 信任是去中心化的。可驗證聲明的消費者決定哪些發布者可信任。
- 用戶可共享可驗證的聲明而無需向用于存儲聲明的軟件代理透露既定接收方。
但是，這種情況下，你需要一套去中心化的身份系統來實現去中心化的可驗證聲明嗎?二者是否是互斥的呢?
3. 關于SSI的3個關鍵問題
(1) 誰來支付?
我們生活的世界建立在一定商業架構基礎之上。這種架構很大程度上受金錢驅動。基于出示可驗證聲明的身份框架要如何應用到服務上呢?誰來支付驗證費用?如果某家公司付費，這些數據被競爭公司共享來與之建立可信關系了怎么辦?
我們是不是又回到了當初聯合身份的那些老問題上?就像2006年時 Phillip Windley 所說的：
| 毫不意外，困難的部分通常都不是技術，而是管理那些過程和商業關系以確保聯盟可靠、安全，并提供適當的隱私保護。 |
自主系統是否會遇到聯合身份遭遇的類似商業問題?只不過，這次問題大概會出在使用付費上?
信任網絡工作組研究了上述問題的解決辦法，他們正在著述的論文《SSI如何挺過資本主義》對此提出了一些有趣的觀點。他們的分析中有個值得關注的論述：由于缺乏平臺而導致的前期融資缺乏(雞生蛋蛋生雞問題)。
另外，英國某政府官員還提出：政府認證的身份文件，比如護照，真是你持有的數據嗎?
(2) 弱點在哪兒?
SSI是否是難民的神奇萬靈丹也無法確定。Sovrin之類的自主框架采用管家模式維護信任。其中管家就是可信第三方——運營分布式賬本中節點的組織。Sovrin目前有50多個管家機構提供人力及算力。
這種模式延伸了去中心化的概念。但管家自身會不會成為系統中的弱點呢?網絡罪犯會不會對管家機構下手以獲取節點的控制權呢?
(3) 到底有多隱私?
去中心化的隱私方面，SSI正是該系統的魅力所在。以Sovrin為例，采用零知識證明作為最小化數據披露的底層機制。“你滿18歲了嗎?” 這種問題只披露了 “是/否”。當然，提供隱私屬性的系統不止SSI一個。有很多方法可以運用傳統身份服務達成隱私目的。其中之一就是 Sid Sidner 在2006年開發的“可變聲明”。該機制已應用在傳統身份服務中，與SSI類似，僅披露一定數據，比如“是/否”或部分屬性。
問題就出在這兒。最小披露當然非常好，但如果你想要網購一雙鞋呢?不讓賣家知道你的地址，他怎么給你快遞?出于營銷目的，他們可能會索要你的姓名和其他信息。你的數據就此跑出SSI，以更傳統的方式被持有了。當然，也就不在你控制之下了。
4. 身份生態系統
之前的PGP協議基于“信任網”的概念提供了安全電子郵件通信的希望。PGP看起來可能有點過于“極客”，總覺得得有計算機科學博士學位才能用的樣子。是可用性而不是其方法論阻斷了PGP的推廣，甚至PGP的*** Phil Zimmerman 自己都已經不再使用PGP了。SSI風潮里也透著一絲PGP的極客感覺。SSI圈的人努力打造和整合簡潔易用的應用，但仍能嗅到一股類似PGP的味道。或許我們不僅需要技術來實現功能，還得理解使用數字身份的初衷，了解真正的用例，知道此類用例的缺陷。
區塊鏈確實已經有些用例適應良好，可以作為技術棧的附加層，具有巨大的潛力。
加拿大政府財務委員會秘書處身份管理高級政策分析師 Tim Bouma 最近***總結了有關SSI的爭論：
| 最極端的(去中心化)案例就是無服務提供商，但它很可能是集中、聯合和分散選項的組合。這沒什么，因為有選擇才能造就健康的生態系統。 |
自主身份(SSI)是數字身份體系中一個極端的存在。其焦點放在將控制交回用戶手中。但SSI不是解決問題的唯一方式。至少在可預見的未來，多種技術的綜合才能適應身份生態系統的各種不同需求。SSI用例當然有，但它能否成為人類在數字領域解決問題的首要方式尚未可知。估計除非上述3個問題有了令人信服的答案，否則SSI仍然只是眾多解決方案中的一種。
- Sovrin：https://sovrin.org/
- W3C關于可驗證聲明的研究：https://www.w3.org/2017/vc/charter.html
【本文是51CTO專欄作者“李少鵬”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
