基于区块链的免疫护照无法解决核心隐私问题：报告

现有的分散式数字身份标准很容易受到损害，并且根本没有隐私：这是由研究大学KU鲁汶大学的客座教授Harry Halpin在Mozilla主持的安全性标准化研究中提出的一篇新论文的核心论点。会议（SSR20）。

疫苗或免疫护照的提案将一个人的动作与他们的COVID-19免疫状况联系在一起，有关疫苗的新消息又浮出水面。 国际航空运输协会（IATA）宣布其数字护照应用程序处于“最终开发阶段”，该应用程序将接收并验证是否有人接种了COVID-19疫苗。 据称该应用程序将使用区块链技术来认证数据，而无需以集中方式进行存储。 同时，世界卫生组织（WHO）正在寻找可能的旅行证明书。

“愿景：对免疫护照和W3C去中心化标识符的批评”一书的作者Halpin说：“基于全球唯一标识符的身份系统本质上是在侵犯隐私，不会将其置于区块链上。”隐私初创公司NYM的首席执行官，该公司开发了mixnet。

“实际上，将这些数据放在区块链上往往会使隐私问题变得更糟，而且尚不清楚挥霍零知识证明真的会改变这种情况。”

疫苗或免疫护照

豁免护照的想法已经存在了几个月。 这个想法是，如果有人拥有COVID-19，他们将在一段时间内保持免疫力，并且可以通过数字方式验证其身份。 此类提议涉及的问题很多，包括敏感信息的存储方式，如何进行验证以及如何减少或影响人们的权利。

订阅我们关于市场的每日新闻第一移动公司（First Mover）。通过注册，您将收到有关CoinDesk产品的电子邮件，并且您同意我们的条款和条件以及隐私政策。

实际上，智利和萨尔瓦多等国家已经采取了此类措施。 例如，据《华盛顿邮报》报道，智利的通行证可免除那些从COVID-19中恢复过来或经检测呈阳性的抗体，从而使他们恢复工作。 智利居民如果未表现出疾病症状并且愿意接受检查，可以申请这些护照。

ID2020联盟是与Microsoft，埃森哲和Hyperledger等合作伙伴建立的公私合营关系，已经开始证明某些ID提案是提供给政府的“良好ID”。 认证意味着该技术符合ID2020提出的41项技术要求。

阅读更多：豁免通行证解释：我们应该担心隐私吗？

COVID-19凭据计划（CCI）是另一个由来自100个组织的300多人组成的小组，旨在“部署和/或帮助部署可保护隐私的可验证凭据项目，以减轻COVID-19的传播并增强我们的实力。社会和经济。” 该项目寻找可验证证书（VC）（相当于驾照的数字形式）可用于解决公共卫生危机的实例。 从本质上讲，VC显示的是实体可能需要的最少信息量，例如，在大流行中访问工作空间，同时限制了其他信息的共享方式。

当涉及任何形式的通行证时，疫苗既带来了新的机遇，也带来了有关数据隐私和敏感性的新问题。 但是正如Halpin在论文中指出的那样，“最杰出的豁免护照计划涉及一堆鲜为人知的标准，例如来自万维网联合会（W3C）的分散式标识符（DID）和可验证的凭证（VC）。”

哈尔平认为，豁免资格证书“可能是危险的，因为豁免资格证书持有者可能从没有证书者的社会分层中变成具有更多社会阶层的’豁免精英’，这违反了许多国家关于歧视的现行法律。”

例如，不难想象富人是第一个获得新批准的疫苗，获得免疫护照或证书的人，从而获得了旅行，工作和其他可能带来的好处。

分散的标识符，可验证的凭证和W3C

成员资格驱动的标准机构万维网联盟（W3C）制定了DID和VC的标准，其中许多保护隐私的建议都基于该标准。 该主体还以诸如HTML的早期版本之类的标准而闻名。 Halpin辩称，这些标准在声称它们保护隐私方面存在缺陷。

通常，数字身份被视为连接到一组变量的唯一标识符，例如一个人的姓名，国籍或在这种情况下的豁免状态。 区块链领域中许多公司的目标是创建“自我主权身份”，使人们能够控制他人可以访问其标识符的方式，而不必放弃其个人身份或信息，这与依靠中央政府或公司。

阅读更多：从澳大利亚到挪威，联系跟踪一直在努力满足期望

可以将其视为一个比特币钱包地址，例如，它使用户无需知道您的姓名就可以向您付款。 将交易与将钱汇到某人的银行帐户进行比较：银行需要既知道您是谁，也要知道您要向其汇款的个人。

解决此问题的核心部分是，似乎需要一个中央数据库来解析或验证这些唯一标识符。 区块链技术似乎通过让信息以分散的方式存储来解决了这一需求，并引起了人们的兴趣，W3C提出了针对这一想法的标准。

VC和DID：主要涉及数据集成

Halpin对VC的批判的核心在于，它们是为数据集成而不是隐私而设计的。 这些标准可以基于语义网（基于W3C设置的标准对Internet的扩展），其目标是使数据可被机器读取。

争论的细节是非常技术性的，但有两个关键点。 一种是W3C VC基本上只是签名的数字文档。 他们使用序列化或将代码和数据转换为可传输形式的过程，其唯一用例是数据融合。 数据融合是集成来自多个来源的数据的过程。

换句话说，在技术层面上，标准数据模型并不是以隐私为核心而构建的。 相反，它是一个可选的附件。

Halpin说：“语义Web对于跨数据库的数据融合非常有用，对于开放的公共数据也非常有用。” “当您将语义网与个人数据和全球唯一标识符（例如DID）结合在一起时，可以想象它可以用于用例中，例如通过网络跟踪移民。 [U.S.] 国土安全部。 老实说，我看不出将电晕测试结果附加到DID上的任何原因，而且唯一可行的答案是政府将危险数据与其他敏感数据融合在一起。”

阅读更多：COVID-19“豁免护照”联合60家公司进行自我主权ID项目

美国国土安全部（DHS）已与Digital Bazaar签订了一份合同，以致力于W3C数字身份标准。

Halpin写道，可以通过签名排除和签名替换攻击来利用基于数据集成的模型。 在这种攻击中，不良行为者会删除已签名消息或数字文档的签名，并用另一个签名替换它，从而诱使验证者接受无效消息为有效消息。

这意味着VC可能会被欺骗，以表明它们尚未通过验证。 对于豁免护照或证明书，这意味着某人可能在这种证明不正确甚至是完全伪造的情况下，可以将其证明为正确的。

持不同政见者

Elizabeth Renieris是马萨诸塞州剑桥市哈佛肯尼迪学校卡尔政策中心的数据隐私律师和技术与人权研究员。她曾与人合着过有关COVID-的道德，社会和技术问题的论文出于对组织方向的担忧，从ID2020技术顾问委员会辞职了19份豁免护照。

根据Renieris的说法，DID规范的最大问题是它们只是一种数据格式，这对于社区和对于推动这种说法的利润公司而言，了解甚少。

她在一封电子邮件中说：“它没有嵌入任何安全协议或访问控制，也没有办法证明证书的持有人甚至是该证书的主题。” “这为大规模欺诈打开了大门。”

Halpin认为，DID本质上也与隐私矛盾。 有关隐私的争论的核心是如何将一个实体链接到一个动作。 如果对手的目标是识别您的身份，那么为您分配一个可重复使用的全局唯一标识符，可以更轻松地发现您的身份。

阅读更多：‘不惜一切代价去中心化ID’：顾问因区块链修复退出ID2020

“在不使用’全球唯一标识符’（GUID）的情况下，您仍然可以在线连接到您的操作，这只是GUID使其更容易实现，” Halpin在一封邮件中说。 “像Google这样的浏览器中的cookie是Google分配给您的唯一标识符，以跨网页链接您的操作。 使用DID，您可以给任何公司都可以使用的Cookie。 对于某些用例来说很好，但是对于敏感的医疗数据可能就不一样了。”

区块链无法解决这个问题

根据Renieris的说法，在考虑涉及的许可分类账和集中式服务器时，关于去中心化和区块链收益的争论也开始脱颖而出。

区块链技术的吸引力在于其分散的性质，不变性和匿名哈希。

但是，Halpin认为，在实际使用案例中，它并不能解决基础DID和VC标准的缺陷。 相反，它引入了其他复杂性和漏洞。

例如，2020年6月发表的一篇论文提出了关于免税护照的具体建议，标题为“ COVID-19抗体测试/疫苗认证：有一个应用程序。” 它描述了一个名为OpenEthereum的分布式分类帐，这是开放大学的以太坊的一个分支，由一个财团运营。

“与以太坊相反，但与其他基于DID的链（如Sovrin）类似，它基于“授权证明”（即，许可的区块链，其中任何验证者或验证者的法定人数都可以写入链中，但其他参与者则不能像用户）”，Halpin写道。

所建议应用程序的用户可以选择将数据存储在哪里，据称可以撤销其数据并选择删除它们，并将个人信息存储在哈希中。

Halpin提出了许多方法来满足这些要求。 让人们选择将数据存储在哪里意味着他们可以将其放置在不安全的设备（例如智能手机）上。 不保证数据不会被其他系统复制。 最后，根据Halpin的说法，系统的数据结构会带来扩展问题。

“最具体的豁免护照提案很危险地将散列的个人数据放在区块链上。 甚至通过在Sovrin这样的系统中通过指定标识符到密钥的链上映射解析度来使用区块链技术，最终也只能重定向到集中式服务器，这破坏了区块链促进去中心化的主张。”

“由于豁免权护照的目标似乎不需要使用区块链技术，而且可能会阻碍而不是帮助而不是保护隐私，因此豁免权护照以及W3C DID和VC更广泛地将区块链用于区块链。”

他说，隐私必须是此类系统的核心，而不是事后的选择。

—-

原文链接：https://www.coindesk.com/blockchain-immunity-passports-core-privacy-issues

原文作者：Benjamin Powers

编译者/作者：wanbizu AI

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。