Včera byl oficiálně spuštěn Worldcoin, šifrovací projekt, který spoluzaložil zakladatel OpenAI Sam Altman. Jedná se o projekt systému šifrované identity, který generuje a ověřuje World ID (identitu) pro uživatele skenováním duhovky uživatele pomocí očního skeneru Orb.

Ve stejný den Ethereum LianVin publikoval článek „Co si myslím o biometrickém důkazu osobnosti?“, ve kterém vysvětluje své názory na Worldcoin a prokazování lidské identity. Baize Research Institute sestavil následující:

Lidé v komunitě Ethereum se pokoušeli vybudovat decentralizovaná řešení The Proof of Humanity, což byl vždy jeden z nejtěžších, ale hodnotných problémů. Human ID je omezená forma identity v reálném světě, která umožňuje ovládat registrovaný účet skutečnou osobou, ideálně bez odhalení skutečné osoby, která za tím stojí.

Kryptokomunita vynaložila mnoho úsilí, aby se pokusila tento problém vyřešit již dříve: BrightID, Idena a Circles jsou reprezentativní příklady. Některé z nich přicházejí s vlastními aplikacemi (obvykle tokeny UBI) a některé našly řešení v Gitcoin Passport k ověření, které účty jsou platné pro sekundární hlasování. Technologie s nulovými znalostmi, jako je Sismo, dodávají mnoha podobným řešením soukromí.

Teprve nedávno jsme byli svědky vzestupu většího a ambicióznějšího projektu lidské identity: Worldcoin.

Worldcoin založil Sam Altman, který byl dříve známý jako CEO OpenAI. Myšlenka projektu je jednoduchá: Umělá inteligence (AI) vytvoří pro lidstvo velké bohatství, ale může také zabít spoustu lidí o práci, protože AI se nakonec vyvine do bodu, kdy bude téměř nemožné zjistit, kdo je člověk a ne robot. Tuto díru tedy musíme vyplnit:

(1) Vytvořte velmi dobrý systém identifikace lidí, aby lidé mohli prokázat, že jsou skutečně skutečnými lidmi;

(2) Poskytněte UBI všem. Worldcoin je jedinečný v tom, že se spoléhá na vysoce sofistikovanou biometrickou technologii využívající tzv

Specializovaný hardware "Orb" skenuje duhovku každého uživatele.

Cílem Worldcoinu je vyrábět velké množství těchto „koulí“ a distribuovat je široce po celém světě, umisťovat je na veřejná místa, aby každý mohl snadno získat své vlastní ID – World ID.

Worldcoin se také zavázal k rozvoji decentralizace. To znamená decentralizaci technologie: pomocí OP Stack se stane L2 Etherea a pomocí ZK-SNARK a dalších šifrovacích technologií k ochraně soukromí uživatelů, ale také včetně decentralizovaného řízení samotného systému. Worldcoin byl kritizován za Orbovy obavy o soukromí a bezpečnost, problémy s designem jeho tokenu a etiku některých rozhodnutí, které společnost učinila. Ve skutečnosti je samotný projekt Worldcoin stále v revizi a vývoji. Někteří však vznesli zásadnější obavy, zda biometrie – nejen biometrie pro skenování očí Worldcoin, ale také jednodušší nahrávání a ověřování obličejových videí používaných v Proof of Humanity a Idena – získá pozornost veřejnosti?

O kritiky těchto projektů rozhodně není nouze, protože mezi rizika patří nevyhnutelné narušení soukromí, další narušení schopnosti lidí anonymně procházet internet, nátlak od autoritářských vlád a jak zachovat bezpečnost při decentralizaci.

Tento článek bude diskutovat o těchto problémech a poskytne několik argumentů, které vám pomohou rozhodnout, zda je skenování vašich duhovek před „kulovitým“ nástrojem Worldcoin dobrý nápad? A jaké jsou alternativy k rezignaci na vývoj důkazů lidské identity?

Co je to lidský identifikační systém a proč je důležitý?

Nejjednodušší způsob, jak definovat systém ověření identity, je vytvořit seznam veřejných klíčů a systém zaručuje, že každý klíč je ovládán jedinečnou osobou. Jinými slovy, pokud jste člověk, můžete dát jeden klíč na seznam, ale nemůžete dát dva klíče, a pokud jste robot, nemůžete na seznam dát žádné klíče.

Lidská identifikace je cenná, protože řeší anti-spam a anti-centralizaci mocenských problémů, kterým mnozí čelí, způsobem, který se vyhýbá spoléhání se na centralizovanou autoritu a odhaluje co nejméně informací. Pokud nebude řešeno ověřování lidské identity, decentralizované řízení (včetně „mikrovládnutí“, jako je hlasování o příspěvcích na sociálních sítích) bude snáze kontrolovat velmi bohatí aktéři, včetně nepřátelských vlád. Mnoho služeb může chránit před útoky denial-of-service pouze nastavením ceny za přístup a někdy je cena, která je dostatečně vysoká na to, aby vyloučila útočníky, příliš vysoká i pro mnoho legitimních uživatelů s nízkými příjmy.

Mnoho hlavních aplikací ve světě dnes řeší tento problém pomocí vládou podporovaných systémů identity, jako jsou ID karty a pasy. Tím se problém vyřeší, ale přináší to obrovskou a nepřijatelnou oběť v soukromí a může být vystaven menším útokům ze strany samotné vlády.

V mnoha projektech lidské identity – nejen Worldcoin, ale také „vlajkové aplikace“, jako jsou Circles, mají v sobě zabudovaný kód „tokenu přístupného pro každého“ (také známého jako „tokeny UBI“). Každý uživatel registrovaný v systému dostává každý den (nebo každou hodinu nebo týden) určité pevné množství tokenů. Existuje mnoho dalších aplikací, včetně:

- Airdrop mechanismus pro distribuci žetonů

- Prodej tokenů nebo NFT za výhodnějších podmínek pro méně bohaté uživatele

- Hlasujte v DAO

- Jak inicializovat grafický systém reputace

- Sekundární hlasování (platba finančních prostředků a pozornost)

- Chraňte se před útoky bot/sybil v sociálních médiích

- Alternativa CAPTCHA pro prevenci DoS útoků

V mnoha z těchto případů je společným tématem vytvoření otevřených a demokratických mechanismů, které se vyhýbají centralizované kontrole provozovatelů projektů a dominanci jejich nejbohatších uživatelů. To je zvláště důležité v decentralizovaném řízení.

V situacích, jako je tato, dnešní existující řešení spoléhají na:

(1) Vysoce neprůhledné algoritmy umělé inteligence, které provádějí nezjistitelnou diskriminaci uživatelů, které operátor nemá rád

(2) Centralizovaná identita, konkrétně „KYC“.

Účinné řešení ověřování identity by proto bylo lepší možností, jak dosáhnout bezpečnostních vlastností požadovaných těmito aplikacemi, aniž by se dostaly do pastí stávajících centralizovaných přístupů.

Jaké byly některé rané pokusy o identifikaci lidí?

Existují dvě hlavní formy lidské identifikace: sociální grafy a biometrie.

Důkaz lidské identity založený na sociálních grafech se opírá o nějakou formu důkazu: pokud jsou Alice, Bob, Charlie a David všichni ověřenými lidmi a všichni říkají, že Emily je ověřená lidská bytost, pak je Emily pravděpodobně také ověřenou lidskou lidskostí.

Toto ospravedlnění je často posíleno pobídkami: pokud Alice řekne, že Emily je skutečná osoba, ale ukáže se, že není, pak Alice i Emily mohou být potrestány.

Biometrická identifikace člověka zahrnuje ověření některých fyzických nebo behaviorálních charakteristik Emily, které odlišují lidi od robotů (a jednotlivé lidi od sebe navzájem).

Většina projektů využívá kombinaci těchto dvou technologií.

Čtyři systémy, které jsem zmínil na začátku tohoto článku, jsou zhruba následující:

(1) Proof of Humanity: Nahrajete své vlastní video a poskytnete zálohu. Aby byl schválen, musí se za vás stávající uživatelé zaručit a ostatní vyzyvatelé vás po určitou dobu vyzvou. Pokud existuje vyzyvatel, decentralizovaný soud Kleros ověří, zda je vaše video autentické, pokud ne, záloha propadne a vyzyvatel obdrží odměnu.

(2) BrightID: Připojíte se k „ověřovací skupině“ videohovoru s ostatními uživateli a všichni se navzájem ověří. S Bitu můžete získat vyšší úroveň ověření, pokud za vás ručí dostatek dalších ověřených uživatelů Bitu.

(3) Nápad: Musíte hrát hru CAPTCHA v konkrétním okamžiku (aby se zabránilo lidem v účasti více než jednou část hry CAPTCHA zahrnuje vytváření a ověřování CAPTCHA, které budou použity k ověření ostatních).

(4) Kruh: Stávající uživatelé Kruhu jsou povinni za vás ručit. Kruhy jsou jedinečné v tom, že se nepokouší vytvořit „globální ověřitelné ID“, místo toho vytvoří graf důvěry, kde lze důvěryhodnost někoho ověřit pouze z vaší vlastní pozice v tomto grafu.

Jak funguje Worldcoin?

Každý uživatel Worldcoinu si musí do telefonu nainstalovat aplikaci, která generuje soukromé a veřejné klíče, stejně jako peněženka Ethereum. Poté musí přejít do režimu offline a najít ověřitelný „Orb“ osobně. Uživatelé zírají do Orbovy kamery a prezentují Orbovi QR kód vygenerovaný jejich aplikací Worldcoin, který obsahuje jejich veřejný klíč. Orb skenuje oči uživatele a používá sofistikované hardwarové skenování a klasifikátory strojového učení k ověření:

(1) Zda je uživatel skutečnou osobou (2) Duhovka uživatele se neshoduje s duhovkou žádného jiného uživatele, který systém dříve používal.

Pokud oba skeny projdou, Orb podepíše zprávu schvalující soukromý hash skenování duhovky uživatele. Hashe jsou nahrány do databáze – v současnosti centralizovaného serveru, který má být nahrazen decentralizovaným on-chain systémem, jakmile zjistí, že hashovací mechanismus funguje. Systém neukládá celý sken duhovky, ukládá pouze hashe, který slouží ke kontrole jedinečnosti. Od tohoto okamžiku má uživatel „World ID“.

Držitelé World ID jsou schopni prokázat, že jsou jedinečnou lidskou bytostí, vygenerováním ZK-SNARK, aby prokázali, že vlastní soukromý klíč, který odpovídá veřejnému klíči v databázi, aniž by prozradili, který klíč vlastní. Takže i když někdo znovu naskenuje vaše duhovky, nebude moci vidět žádné akce, které jste provedli.

Jaké jsou hlavní problémy s budováním Worldcoinu?

Lidé se obávají především čtyř rizik:

(1) Soukromí

Registr skenů duhovky může odhalit informace. Alespoň pokud někdo jiný skenuje vaše duhovky, může to porovnat s databází a určit, zda máte World ID. Sken duhovky může odhalit více.

(2) Přístupnost

Dokud nebude dostatek Orbů, které by kdokoli na světě mohl snadno najít, World ID nebude spolehlivě dostupné.

(3) Centralizace

Orb je hardwarové zařízení a nemůžeme ověřit, že je zkonstruováno správně a nemá zadní vrátka. Proto, i kdyby byla softwarová vrstva dokonalá a plně decentralizovaná, Worldcoin Foundation by stále měla možnost vložit do systému zadní vrátka, což by jí umožnilo vytvořit tolik falešných lidských identit, kolik chce.

(4) Bezpečnost

Telefony uživatelů by mohly být hacknuty, uživatelé by mohli být nuceni skenovat své vlastní duhovky při předložení veřejného klíče patřícího někomu jinému a je možné 3D vytisknout „figurínu“ a naskenovat jejich duhovku pro získání World ID.

Je důležité rozlišovat:

(1) specifické otázky výběru Worldcoinů;

(2) Problémy, které jsou nevyhnutelné v jakémkoli biometrickém systému lidské identifikace;

(3) Problémy, které budou existovat v jakémkoliv systému lidské identifikace. Například přihlásit se k Proof of Humanity znamená dát svou tvář na internet.

Ani připojení k „verifikace“ videohovoru BrightID to zcela nezmění, protože vaše identita bude stále vystavena mnoha dalším lidem. Když se připojíte ke kruhům, zveřejníte svůj sociální graf.

Worldcoin je mnohem lepší v ochraně soukromí než oba.

Worldcoin na druhou stranu spoléhá na specializovaný hardware, což přináší otázku, zda lze tvůrcům Orbu plně důvěřovat. To se nenachází v Proof of Humanity, BrightID ani Circles. Je dokonce představitelné, že v budoucnu, v budoucnu, někdo může vytvořit specializované hardwarové řešení, které se bude lišit od Worldcoin, které bude mít jiné kompromisy.

Jak biometrický systém identifikace člověka řeší otázky ochrany soukromí?

Nejzjevnějším a největším potenciálním porušením soukromí jakéhokoli lidského identifikačního systému je spojení jednání každého člověka s jeho identitou v reálném světě. Tento druh úniku dat je velmi velký a dá se říci, že je nepřijatelně velký. Ale naštěstí je to snadné vyřešit pomocí technik důkazů s nulovými znalostmi.

Namísto přímého podepisování pomocí soukromého klíče, jehož odpovídající veřejný klíč je v databázi, mohou uživatelé vygenerovat ZK-SNARK, který prokáže, že vlastní soukromý klíč odpovídající určitému veřejnému klíči v databázi, aniž by prozradili, který konkrétní klíč místo toho mají přímého podepisování soukromým klíčem odpovídajícím veřejnému klíči v databázi. To lze provést pomocí nástrojů jako Sismo, zatímco Worldcoin má svou vlastní vestavěnou implementaci. Zde stojí za to dát Worldcoin palec nahoru za to, že jde o „krypto-nativní“ systém ověřování lidské identity: ve skutečnosti jim záleží na tom, aby podnikli základní krok ZK-SNARK k zajištění anonymizace, kterou téměř všechna centralizovaná řešení identity nedělají.

Existence veřejného registru biometrických údajů je jemnějším porušením soukromí. V případě Proof of Humanity to centralizuje obrovské množství dat: získáte video každého účastníka Proof of Humanity, díky kterému je každému na světě, kdo je ochoten prozkoumat, kdo jsou účastníci Proof of Humanity, velmi jasné.

V případě Worldcoinu je únik mnohem omezenější: Orb lokálně vypočítává a zveřejňuje pouze „hash“ skenu duhovky každého člověka. Tento hash není běžný hash jako SHA256, ale je to specializovaný algoritmus založený na Gaborově filtru strojového učení, který zpracovává nepřesnosti vlastní každému biometrickému skenování a zajišťuje, že duhovka stejné osoby je kontinuální hash má podobné výstupy.

Tyto haše duhovky mohou uniknout pouze malé množství dat. Pokud může protivník násilně (nebo tajně) skenovat vaši duhovku, pak může sám vypočítat váš hash duhovky a porovnat jej s databází hashů duhovky, aby zjistil, zda se účastníte systému. Tato možnost zkontrolovat, zda se již někdo zaregistroval, je nezbytná k tomu, aby systém sám zabránil vícenásobné registraci, ale také má potenciál být zneužit.

Kromě toho má hašování duhovky potenciál k úniku určitého množství lékařských dat (pohlaví, rasa a možná i zdravotní stav), ale tento únik je mnohem menší než u jakéhokoli jiného rozsáhlého systému sběru dat, který se dnes používá (např. kamery) data, která lze zachytit. Celkově si myslím, že soukromí při ukládání hashů duhovky se zdá přiměřené.

Pokud někdo nesouhlasí s tímto úsudkem a rozhodne se navrhnout systém s větším soukromím, existují dva způsoby, jak to udělat:

1. Pokud lze algoritmus hašování duhovky vylepšit tak, aby rozdíl mezi dvěma skeny stejné osoby byl menší (např. spolehlivě méně než 10% převrácení bitů), pak systém může uložit menší počet bitů hash iris s opravenou chybou. (viz: Fuzzy Extractor) namísto ukládání plného hash iris. Pokud je rozdíl mezi dvěma skeny menší než 10 %, pak je třeba publikovat alespoň 5krát méně bitů.

2. Chceme-li jít dále, můžeme databázi hašů iris uložit v systému pro výpočet více stran (MPC), ke kterému má přístup pouze Orb (s rychlostními limity), čímž se data zcela znepřístupní, ale na úkor Značná protokolární a sociální složitost správy kolekce účastníků MPC. To by mělo tu výhodu, že uživatelé by nebyli schopni prokázat spojení mezi dvěma různými světovými ID, které měli v různých časech, i kdyby chtěli.

Tyto techniky bohužel nelze použít pro Proof of Humanity, který vyžaduje, aby celé video každého účastníka bylo veřejně dostupné, aby bylo možné vznést výzvy, pokud se objeví známky padělání (včetně padělků generovaných umělou inteligencí), a v takových případech je vyšetřování je provedeno níže.

Celkově vzato, navzdory dystopickému nádechu zírání na kouli a její hluboké skenování oční bulvy se zdá, že specializované hardwarové systémy odvádějí při ochraně soukromí docela dobrou práci. Odvrácenou stranou toho však je, že specializované hardwarové systémy přinášejí větší problémy s centralizací. Zdá se tedy, že my cypherpunkové jsme v úzkých: musíme udělat kompromis mezi dvěma hluboce zakořeněnými cypherpunkovými hodnotami.

Jaké jsou problémy s přístupností v biometrických systémech identifikace lidí?

Specializovaný hardware přináší problémy s přístupností, protože specializovaný hardware není snadno dostupný. Mezi 51 % a 64 % Subsaharských Afričanů nyní vlastní chytrý telefon a očekává se, že do roku 2030 to vzroste na 87 %.

Ale zatímco na světě existují miliardy chytrých telefonů, Orbů je jen pár set. Dokonce i s distribuovanou výrobou ve větším měřítku bude obtížné dosáhnout Orb do pěti kilometrů od všech.

Za zmínku také stojí, že mnoho jiných forem lidské identifikace má ještě horší problémy s přístupností. Pokud již někoho v sociálním grafu neznáte, je velmi obtížné připojit se k systému lidské identity založenému na sociálním grafu. To usnadňuje, aby byly takové systémy omezeny na jedinou komunitu v jedné zemi.

Dokonce i centralizované systémy identity se naučily tuto lekci: indický systém Aadhaar ID je založen na biometrických údajích, protože to byl jediný způsob, jak rychle absorbovat obrovskou populaci země a zároveň se vyhnout masivním podvodům z duplicitních a falešných účtů (a tím ušetřit spoustu nákladů). Systém Aadhaar samozřejmě mnohem méně zachovává soukromí než cokoli, co ve velkém navrhuje krypto komunita.

Nejvýkonnější systémy z hlediska přístupnosti jsou ve skutečnosti systémy jako Proof of Humanity, kde se můžete zaregistrovat pouze pomocí smartphonu. Jak jsme však viděli, takové systémy přicházejí s různými dalšími kompromisy.

Jaké jsou problémy centralizace v systémech identifikace lidí založených na biometrických údajích?

Existují tři typy otázek:

(1) Existuje riziko centralizace na nejvyšší úrovni správy systému (zejména když se různí účastníci systému neshodnou na subjektivních úsudcích a systém činí konečné rozhodnutí na nejvyšší úrovni).

(2) rizika centralizace jedinečná pro systémy využívající vyhrazený hardware;

(3) Riziko centralizace používání proprietárních algoritmů k určení skutečných účastníků.

Jakýkoli systém lidské identifikace se musí potýkat s problémem (1), pokud „přijatá“ ID v systému nejsou zcela subjektivní. Pokud systém využívá externí aktiva (např. ETH, USDC, DAI) k cenovým pobídkám, pak to nemůže být zcela subjektivní, takže riziko řízení je nevyhnutelné.

Vydání (2) je pro Worldcoin mnohem riskantnější než Proof of Humanity (nebo BrightID), protože Worldcoin spoléhá na specializovaný hardware, který jiné systémy ne.

Problém (3) představuje zvláštní riziko pro centralizované systémy, které mají jediný systém pro ověřování, pokud všechny algoritmy nejsou open source a nemáme jistotu, že skutečně spouštějí kód, za který se prohlašují. U systémů, které se zcela spoléhají na to, že uživatelé ověřují jiné uživatele (jako Proof of Humanity), to není riziko.

Jak Worldcoin řeší problém centralizace hardwaru?

V současné době je Tools for Humanity jedinou organizací, která vyrábí Orby. Zdrojový kód Orbu je však většinou veřejný: hardwarové specifikace můžete vidět v úložišti github a očekává se, že zbytek zdrojového kódu bude brzy zveřejněn. Orbova licence je další licencí „sdílet zdrojový kód, ale ne technicky open source do čtyř let“, podobně jako Uniswap BSL, a kromě toho, že brání forks, také zabraňuje tomu, co považují za neetické chování – masové sledování a tři mezinárodní lidská práva prohlášení jsou konkrétně uvedena.

Stanoveným cílem Tools for Humanity je umožnit a povzbudit ostatní organizace, aby vytvářely Orby, a postupem času přejít od Orbů vytvořených Tools for Humanity k nějakému druhu DAO, který schvaluje a řídí, které organizace mohou vytvářet Orby, které systém schvaluje.

Tento design však může selhat dvěma způsoby:

1. Ve skutečnosti se nedaří decentralizovat. To může být způsobeno běžným úskalím DAO: jeden výrobce se stává dominantním ve výrobě, což vede k opětovné centralizaci systému. Zhruba řečeno, správa může omezit, kolik platných Orbů může každý výrobce vyrobit, ale to je třeba pečlivě řídit a existuje velký tlak na řízení, aby bylo decentralizované a schopné efektivně monitorovat ekosystém a účinně reagovat na hrozby: toto Mnohem obtížnější než dosti statické DAO, které řeší pouze úkoly řešení sporů na nejvyšší úrovni.

2. Pro zajištění bezpečnosti nemusí být možné vytvořit takový decentralizovaný výrobní mechanismus. Zde vidím dvě rizika:

(1) Vznik tvůrců koulí: I když existuje tvůrce koulí, který je škodlivý nebo hacknutý, může také generovat neomezený počet falešných hašů skenování duhovky a dát jim světová ID.

(2) Vládní omezení pro Orby: Vlády, které nechtějí, aby se jejich občané podíleli na ekosystému Worldcoin, mohou svým zemím zakázat používání Orbů. Pokud by to šlo ještě o krok dále, mohli by dokonce donutit občany, aby se podrobili skenování duhovky, což by vládě umožnilo přístup k jejich účtům, aniž by to občané mohli zvládnout.

Aby byl systém odolnější vůči špatným výrobcům Orb, navrhuje tým Worldcoin provádět pravidelné audity Orbů, aby se ověřilo, že jsou sestaveny správně, že kritické hardwarové komponenty jsou sestaveny podle specifikací a že s nimi nebylo po provedení manipulace manipulováno. skutečnost. Je to náročná mise: je to v podstatě jako agentura pro jadernou inspekci MAAE, ale pro Orbs. Doufáme, že i velmi nedokonalý systém auditu může výrazně snížit počet falešných Orbů.

Aby se omezily škody způsobené jakýmkoli špatným Orbem, je nutné druhé zmírňující opatření. Dokonce i použití World ID registrovaných různými výrobci Orb, v ideálním případě s použitím různých Orbů, by mělo být od sebe odlišitelné. To je přijatelné, pokud jsou informace soukromé a uložené pouze v zařízení držitele světového ID, ale v případě potřeby je to nutné prokázat. To umožňuje ekosystému reagovat na (nevyhnutelné) útoky tím, že v případě potřeby kdykoli odstraní jednotlivé výrobce Orbů nebo dokonce jednotlivé Orby z whitelistu. Pokud uvidíme, jak severokorejská vláda chodí a nutí lidi, aby skenovali své oční bulvy, tyto Orby a jakékoli účty jimi vytvořené by mohly být okamžitě zpětně deaktivovány.

Jaké jsou bezpečnostní problémy v obecné identifikaci lidí?

Kromě problémů specifických pro Worldcoin existují problémy, které ovlivňují návrh systémů lidské identifikace. Hlavní, které mě napadají, jsou:

(1) 3D tištěné figuríny: Pomocí umělé inteligence lze vytvářet fotografie nebo dokonce 3D tisky figurín, které jsou dostatečně realistické, aby je software Orb přijal. Pokud to skupina udělá, může generovat neomezený počet identit.

(2) World ID může být prodáno: Při registraci mohou lidé poskytnout veřejný klíč někoho jiného namísto svého, a tak poskytnout kontrolu nad svým registrovaným ID jiným výměnou za peníze. Zdá se, že se to již děje. Kromě prodeje je možné ID také krátkodobě zapůjčit aplikaci.

(3) Hackování mobilního telefonu: Pokud je něčí telefon hacknut, hacker může ukrást klíč, který ovládá jeho World ID.

(4) Vládou vynucená krádež identity: Vláda může donutit své občany k ověření a přitom zobrazit QR kód patřící vládě. Tímto způsobem by zlomyslná vláda mohla získat přístup k milionům ID. V biometrických systémech to lze dokonce provést skrytě: vlády mohou pomocí zatemněných Orbů získat světová ID od každého, kdo vstoupí do jejich země na kioscích pasové kontroly.

První bod je specifický pro biometrické identifikační systémy. Druhý a třetí bod jsou společné v biometrickém i nebiometrickém designu. Čtvrtý bod je v obou případech také společný, ačkoli technologie vyžadovaná v těchto dvou případech bude v této části velmi odlišná, zaměřím se na problém v biometrickém případě.

To jsou velmi vážné slabiny. Některé jsou již řešeny ve stávajících protokolech, jiné lze řešit budoucími vylepšeními a další se zdají být zásadními omezeními.

Jak zacházíme s figurínami?

Pro Worldcoin je to mnohem méně riskantní než systém, jako je Proof of Humanity: živé skenování osoby může prověřit mnoho vlastností osoby a je docela obtížné ji zfalšovat ve srovnání s pouhým deepfakeem videa. Specializovaný hardware je ze své podstaty obtížnější podvrhnout než běžný hardware, který je zase obtížnější podvrhnout než digitální algoritmické ověření vzdáleně odeslaných obrázků a videí.

Může někdo 3D vytisknout něco, co dokáže oklamat Orb? Šance jsou vysoké. Předpovídám, že v určitém okamžiku uvidíme rostoucí napětí mezi cíli udržet mechanismy otevřené a jejich zabezpečení: algoritmy umělé inteligence s otevřeným zdrojovým kódem jsou ze své podstaty náchylnější k nepřátelskému strojovému učení. Někdy dále v budoucnu mohou být i ty nejlepší algoritmy umělé inteligence oklamány nejlepšími 3D tištěnými figurínami.

Z mých diskuzí s vývojovými týmy Worldcoin a Proof of Humanity se však zdá, že ani jeden z protokolů v tuto chvíli nezaznamenává významné hluboké falešné útoky, a to z prostého důvodu, že najímání skutečných pracovníků s nízkou mzdou, aby se za vás přihlásili, je neuvěřitelně levné a Snadný.

Můžeme zabránit prodeji ID?

Z krátkodobého hlediska je zabránění tomuto prodeji obtížné, protože většina lidí na světě o protokolu lidského ID ani neví, a když jim řeknete, že mohou vydělat 30 dolarů zvednutím QR kódu a skenováním očí, budou.

Jakmile více lidí vědělo, co je Human Identification Protocol, bylo možné docela jednoduché zmírnění: umožnit lidem s registrovanými ID se znovu zaregistrovat a zrušit jejich předchozí ID. Díky tomu je „prodej ID“ mnohem méně důvěryhodný, protože osoba, která vám ID prodává, se může znovu zaregistrovat a zrušit registraci ID, které právě prodala. Abychom se však dostali do tohoto bodu, musí být protokol velmi dobře znám a Orby musí být široce dostupné, aby byla možná okamžitá registrace.

To je jeden z důvodů, proč je integrace tokenů UBI do systémů identifikace lidí cenná: tokeny UBI poskytují lidem snadno srozumitelnou pobídku, aby porozuměli protokolu a registrovali se, a pokud se zaregistrovali jménem někoho jiného, ​​budou znovu - ihned se zaregistrujte.

Můžeme zabránit hrozbám prosazování v systémech identifikace lidí založených na biometrických údajích?

Záleží na tom, o jakém nátlaku se bavíme. Mezi možné formy nátlaku patří:

- Vlády skenují oči (nebo tváře, nebo...) lidí na hraničních kontrolách a dalších pravidelných vládních kontrolních stanovištích a používají to k registraci (a často k opětovné registraci) svých občanů

- Vláda zakazuje Orby v zemi, aby lidem zabránila v samostatné registraci

- Někteří lidé si kupují ID a poté vyhrožují majiteli újmou, pokud zjistí, že se vlastník přeregistroval a ID bylo zneplatněno.

- Aplikace (pravděpodobně provozovaná vládou) vyžaduje, aby se lidé "přihlásili" "podepsáním" přímo svým veřejným klíčem, což jim umožňuje vidět odpovídající biometrický sken, a tedy aktuální ID uživatele a ID, které získali přeregistrováním propojení mezi budoucími ID. Existuje společná obava, že to bude příliš snadné vytvořit „trvalý záznam“, který vydrží po celý život člověka.

Méně zdatným uživatelům se může zdát obtížné této situaci zcela zabránit. Uživatelé mohou opustit svou zemi, aby se (znovu) zaregistrovali u Orb v bezpečnější zemi, ale je to obtížný proces a vysoké náklady. Ve skutečně nepřátelském právním prostředí se hledání nezávislého Orba zdá příliš obtížné a riskantní.

Funguje to tak, že toto zneužívání je těžkopádnější a snáze odhalitelné. Dobrým příkladem je přístup společnosti Proof of Humanity, který vyžaduje, aby osoba při registraci vyslovila konkrétní frázi: může stačit zablokovat skryté skeny, které vyžadují nátlak, aby byly jasnější, a registrační fráze by mohla dokonce obsahovat prohlášení potvrzující, že Respondenti jsou vědomi si toho, že mají právo se nezávisle znovu zaregistrovat a mohou obdržet tokeny UBI nebo jiné odměny. Orbům používaným k vynucení registrace ve velkém může být v případě zjištění nátlaku odebrán přístup.

Obecný systém lidské autentizace může uzamknout klíč uživatele v důvěryhodném hardwaru, čímž zabrání procesu jakékoli aplikace v použití klíče přímo, bez potřeby mezivrstvy ZK-SNARK. Pokud chtějí vlády nebo vývojáři aplikací tento problém vyřešit, musí vynutit použití svých vlastních aplikací.

Kombinací těchto technik a proaktivního varování se zdá být možné zaměřit se na ty režimy, které jsou skutečně nepřátelské, a udržet ty, které jsou pouze neutrální (jako většina světa), poctivé. Toho lze dosáhnout pomocí projektů jako Worldcoin nebo Proof of Humanity, které si pro tento úkol udržují vlastní byrokracii, nebo odhalením více informací o tom, jak bylo ID zaregistrováno (např. ve Worldcoinu, ze kterého Orbu pochází), a ponechat tento klasifikační úkol na společenství.

Můžeme zabránit půjčování průkazů totožnosti (např. půjčování hlasovacích lístků)?

Opětovná registrace některým lidem nezabrání v pronajímání jejich ID. V některých aplikacích je to v pořádku: náklady na pronájem vašeho práva na získání podílu UBI Coinů pro daný den budou jednoduše představovat hodnotu UBI Coinů daného dne. Ale v aplikacích, jako je hlasování, je snadný prodej hlasovacích práv obrovský problém.

Systémy jako MACI vám brání v prodeji vašeho hlasu, umožňují vám odevzdat další hlas později, čímž zneplatní váš předchozí hlas, takže nikdo nemůže vědět, zda jste takový hlas skutečně odevzdali. Ale nepomůže, když úplatkář ovládá klíč, který jste dostali při registraci.

Vidím zde dvě řešení:

(1) Spusťte celý proces aplikace v rámci vícestranného výpočtu (MPC). To také zahrnuje proces opětovné registrace: když se osoba zaregistruje u MPC, MPC jí přidělí ID, které je oddělené od jejího osobního identifikačního ID a nelze s ním spojit, a když se osoba znovu zaregistruje, pouze MPC vědět, který účet je třeba deaktivovat. To zabraňuje uživatelům potvrzovat jejich akce, protože každý důležitý krok je dokončen v rámci MPC pomocí soukromých informací, které zná pouze MPC.

(2) Obřad decentralizované registrace. Implementace je v podstatě něco jako tento protokol živé registrace klíčů, který vyžaduje, aby čtyři náhodně vybraní místní účastníci spolupracovali na registraci někoho. Tím je zajištěno, že registrace je „důvěryhodný“ proces, kde útočníci nemohou odposlouchávat.

Systémy založené na sociálních grafech zde mohou fungovat lépe, protože mohou automaticky vytvořit místní decentralizovaný registrační proces jako vedlejší produkt způsobu jejich práce.

Ověření lidské identity na základě biometrických údajů vs. ověření založené na sociálních grafech

Kromě biometrických metod je současným hlavním kandidátem na osobní identifikaci ověřování založené na sociálních grafech. Ověřovací systémy založené na sociálních grafech se všechny řídí stejným principem: pokud existuje velká skupina již ověřených identit, které dokazují, že je vaše identita platná, pak pravděpodobně budete platní a měli byste mít také ověřenou identitu.

Zastánci systémů identifikace lidí založených na sociálních grafech je často popisují jako lepší alternativu k biometrickým údajům z následujících důvodů:

- Nespoléhá se na specializovaný hardware, což usnadňuje nasazení;

- Vyhýbá se neustálým závodům ve zbrojení mezi výrobci, kteří se snaží vyrábět figuríny, a Orby, které je třeba aktualizovat, aby takové figuríny odmítly;

- Není třeba shromažďovat biometrické údaje, větší ochrana soukromí;

- Může být přátelštější k anonymitě, protože pokud se někdo rozhodne rozšířit svůj online život mezi více identit, které si udržuje odděleně od sebe, pak mohou být všechny tyto identity potenciálně ověřeny (avšak udržování více skutečných a oddělených identit je na úkor síťové efekty a je nákladný, takže to útočník nemůže snadno udělat)

Biometrické metody dávají binární skóre „je člověk“ nebo „není člověk“, což je křehké: lidé, kteří jsou omylem odmítnuti, nebudou moci vydělávat tokeny UBI a možná se nebudou moci zapojit do online života. Metody založené na sociálních grafech mohou poskytnout podrobnější číselné skóre, což může být pro některé účastníky nespravedlivé, ale je nepravděpodobné, že by člověka zcela „eliminovaly“.

Můj názor na tyto argumenty je, že s nimi v podstatě souhlasím! To jsou skutečné výhody přístupů založených na sociálních grafech a je třeba je brát vážně. Je však také třeba zvážit slabiny přístupů založených na sociálních grafech:

- Pokyny: Aby se uživatel mohl připojit k systému založenému na sociálním grafu, musí znát někoho, kdo se již v grafu nachází. To ztěžuje masové přijetí a potenciálně vylučuje regiony světa, které nemají při prvním spuštění štěstí.

- Soukromí: Přestože se přístupy založené na sociografech vyhýbají sběru biometrických údajů, často odhalují informace o sociálních vztazích člověka, což může vést k větším rizikům. Techniky nulových znalostí mohou tento problém samozřejmě zmírnit (viz například tento návrh Barryho Whitehata), ale vzájemné závislosti v grafu a potřeba matematické analýzy grafu ztěžují dosažení stejné úrovně dat. skrývá jako biometrie.

- Nerovnost: Každá osoba může mít pouze jedno biometrické ID, ale bohatý a dobře propojený člověk může využít svá připojení k vytvoření více ID. Stejná flexibilita by v zásadě umožnila systému založenému na sociálních grafech přidělit více pseudonymů někomu (jako je aktivista), kdo tuto funkci skutečně potřebuje, ale s větší pravděpodobností to bude někdo silnější a společensky propojený Více aliasů lze získat od menšího počtu lidí .

- Riziko upadnutí do centralizace: většina lidí je příliš líná na to, aby si našli čas na to, aby v internetové aplikaci nahlásili, kdo je skutečný člověk a kdo ne. Proto existuje riziko, že se systém časem přikloní spíše k „snadným“ metodám onboardingu, které se spoléhají na centralizovanou autoritu, a že „sociálním grafem“ uživatelů systému se ve skutečnosti stane to, které země koho uznávají za občany – — Přináší nám centralizované KYC, ale vyžaduje další kroky.

Je lidská identifikace kompatibilní se skutečnými pseudonymy?

Osobní identifikace je v zásadě kompatibilní s různými pseudonymy. Aplikace mohou být navrženy tak, že osoba s jedním fyzickým ID může v aplikaci vytvořit až pět profilů a ponechat tak prostor pro pseudonymní účty. Lze dokonce použít kvadratický vzorec: $ N² náklady pro N účtů. Ale budou?

Pesimista by však mohl namítnout, že je naivní snažit se vytvořit způsob identifikace více zaměřený na soukromí a doufat, že bude přijat správným způsobem, protože mocní se o soukromí nestarají, a pokud má mocný herec Nástroje používané k získání více informací o osobě, budou tak činit. V takovém světě je tento argument bohužel jediným realistickým způsobem podkopat jakékoli identifikační řešení a bránit svět plně anonymních a digitálních ostrovů vysoce důvěryhodných komunit.

Chápu zdůvodnění tohoto způsobu uvažování, ale obávám se, že tento přístup, i když úspěšný, povede ke světu, kde nelze nic dělat proti koncentraci bohatství a centralizaci vládnutí, protože vždy lze předstírat, že Deset tisíc lidí. Takový centralizovaný bod by zase mohli snadno ovládat mocní. Místo toho upřednostňuji skromný přístup, kdy bychom měli důrazně obhajovat osobní ověřená řešení se silným soukromím, v případě potřeby dokonce včetně mechanismu „náklady N² pro N účtů“ na úrovni protokolu a vytvořit něco, co bude v souladu s hodnotami šetrnými k soukromí. a má šanci být přijat vnějším světem.

Takže...co si myslím?

Pokud jde o osobní identifikaci, ideální forma neexistuje. Místo toho máme alespoň tři různé přístupy, z nichž každý má své vlastní jedinečné výhody a nevýhody. Srovnávací tabulka může vypadat takto:

V ideálním případě bychom měli tyto tři technologie vnímat jako doplňkové a kombinovat je. Jak ukazuje indický Aadhaar, specializovaná hardwarová biometrie má výhodu zabezpečení ve velkém měřítku. Jsou velmi slabí v decentralizaci, i když to lze vyřešit tím, že dostanou na starost jednotlivé sféry.

Univerzální biometrii lze dnes snadno přijmout, ale jejich bezpečnost rychle klesá a může fungovat jen další 1-2 roky. Systémy založené na sociálních grafech, vedené stovkami lidí, kteří jsou společensky blízcí zakládajícímu týmu, mohou čelit neustálému kompromisu, buď zcela promeškají velké části světa, nebo budou zranitelné vůči útokům z komunit, které nevidí. Systém založený na sociálním grafu, který by zavedly desítky milionů držitelů biometrických ID, by však ve skutečnosti mohl fungovat. Biometrické navádění může fungovat lépe v krátkodobém horizontu, zatímco technologie založené na sociálních grafech mohou být z dlouhodobého hlediska robustnější a přebírají větší odpovědnost v průběhu času, jak se algoritmy zlepšují.

Všechny tyto týmy mohou udělat spoustu chyb a mezi firemními zájmy a potřebami širší komunity je nevyhnutelné napětí, takže musíme zůstat extrémně ostražití. Jako komunita můžeme a měli bychom všechny účastníky posunout za komfortní zónu otevřeného získávání jejich technologií, což vyžaduje audity třetích stran a dokonce psaný software třetích stran, mimo jiné kontroly a vyvážení. Potřebujeme také větší výběr v každé kategorii.

Zároveň je také důležité uznat práci, která byla odvedena: mnoho týmů provozujících tyto systémy prokázalo ochotu brát soukromí vážněji než téměř jakýkoli vládní nebo hlavní podnikový systém identity, a to je úspěch, který bychom měli učit se od.

Problém vytvoření efektivního a spolehlivého fyzického důkazního systému v rukou lidí vzdálených existující kryptokomunitě se zdá být docela náročný. Rozhodně nezávidím těm, kteří se o tento úkol pokoušejí, najít řešení, které funguje, může trvat několik let. Princip fyzické identifikace vypadá v zásadě velmi hodnotně, a zatímco různé metody implementace mají svá rizika, nemají vůbec žádnou fyzickou identifikaci: svět bez fyzické identifikace bude pravděpodobněji svět ovládaný centralizovanými řešeními identity, svět dominují peníze, malá uzavřená společenství nebo nějaká kombinace všech tří. Těším se na další pokrok ve všech typech osobní certifikace a doufám, že se nakonec nesourodé přístupy začlení do koherentního celku.

varování před rizikem:

Podle „Oznámení o další prevenci a řešení rizik spekulací při transakcích ve virtuální měně“ vydaného centrální bankou a dalšími odděleními je obsah tohoto článku určen pouze pro sdílení informací a nepropaguje ani nepodporuje žádné obchodní nebo investiční chování čtenářů jsou žádáni, aby přísně dodržovali zákony a předpisy svého regionu a nezapojovali se do žádných nezákonných finančních praktik.