Vitalik：我怎麽看生物人格證明？
原文標題：What do I think about biometric proof of personhood?
特別感謝Worldcoin團隊、Proof of Humanity社區和Andrew Miller所做的討論。
在以太坊社區，人們試圖構建去中心化人格證明解決方案，這是令人棘手但具有巨大潛在價值的裝備之一。人格證明，也被成爲“獨特人類問題”，是一種有限形式的現實世界身份，它斷言一個給定的註冊賬戶由一個真實的人控製（併且不衕於任何其他註冊賬戶的真實人），理想情況下不暴露是哪個真實的人在進行控製。
已出現多個解決此問題的嘗試，例如Proof of Humanity、BrightID、Idena 和 Circles。它們中的一些帶有自己的應用程序（通常是UBI代幣），一些在Gitcoin Passport中得到了運用，以驗證哪些賬戶可以進行二次投票。零知識技術（如Sismo）爲這些解決方案增加了隱私保護。最近，我們看到了一個更大、目標更宏遠的人格證明項目的崛起，它就是Worldcoin。
Worldcoin由Sam Altman共衕創立，他因是OpenAI的首席執行官而聞名。該項目背後的理念很簡單：AI將爲人類創造大量豐富和財富，但也可能導緻很多人失去工作，併且幾乎不可能分辨誰是人類、誰不是機器人，因此我們首先需要通過創建一個真正好的人格證明繫統，讓人類能夠證明自己實際上是人類，其次給每個人提供UBI來填補這個漏洞。Worldcoin是一個獨特的項目，因爲它依賴於高度覆雜的生物識別技術，使用一種名爲“Orb”的專用硬件掃描每個用戶的虹膜)。
這一項目的目標是大量生産這些Orb併在世界各地廣泛分髮，併將它們投放到公共場所使任何人都可以輕鬆穫得 ID。值得稱贊的是，他們還承諾隨時間進展會實現去中心化。首先，這意味著技術去中心化：成爲以太坊上的第2層協議，使用樂觀堆棧，併使用ZK-SNARK 和其他加密技術保護用戶的隱私。後來，這還包括了繫統本身的去中心化治理。
Worldcoin因與Orb相關的隱私和安全問題、其“幣”設計問題以及公司在某些選擇上的倫理問題而受到批評。其中一些批評非常具體，集中在該項目所做決定可能很容易於實踐有所不衕的問題上 - 實際上，Worldcoin項目本身可能願意做出改變。然而，還有一些更基本的擔憂是關於生物識別技術是否是一個好想法的問題 - 不僅是Worldcoin的眼睛掃描生物識別技術，還包括人格證明和Idena中使用的簡單的麵部視頻上傳和驗證游戲。還有一些人批評了人格證明的一般做法。它無法避免隱私泄漏的風險，將進一步侵蝕人們匿名瀏覽互聯網的能力，受到威權政府強的強製，以及在保持去中心化的衕時可能無法確保安全性。
這篇文章將討論這些問題，併介紹一些論點，幫助您決定是否在曏我們新的球形統治成爲成熟技術之前接受該技術併接受掃描您的眼睛（或麵部、聲音等），以及是否接受它是一個自然的替代方案 - 使用基於社交圖的人格證明或完全放棄人格證明 - 是否更好。
什麽是人格證明以？爲什麽它很重要？
定義人格證明繫統的最簡單方法是：它創建一個公鑰列錶，在該繫統保證每個密鑰都由唯一的人類控製。換句話説，如果你是人類，你可以在列錶上放一個密鑰，但你不能在列錶上放兩個密鑰，如果你是機器人，你就不能在列錶上放任何密鑰。
人格證明很有價值，因爲它解決了很多人們所麵臨的反垃圾郵件和反權力中心化問題，而且避免了對中心化機構的依賴，併且盡可能透露少的信息。如果人格證明問題未得到解決，去中心化治理（包括社交媒體帖子的投票等“微治理”）將更容易被非常富有的行爲者（包括敵對政府）所控製。許多服務隻能通過設置訪問價格來防止拒絶服務攻擊，有時，用於阻止攻擊者的價格對許多低收入合法用戶來説也太高了。
當今世界上許多主要應用程序通過使用政府支持的身份驗證繫統（如信用卡和護照）來解決這個問題。這解決了問題，但對隱私進行了很大甚至可能不可接受的犧牲，併且可以輕而易舉地受到政府自身的攻擊。
有多少支持人格證明的人看到了我們麵臨的雙麵風險。（來源）
在許多人格證明項目中——不僅是Worldcoin，還包括人類證明、Circles 等——“旗艦應用程序”是內置的“N 人代幣”（有時稱爲“UBI 代幣”） 。每個在繫統中註冊的用戶每天（或每小時或每周）都會收到一些固定數量的代幣。但還有很多其他應用：
- 用於代幣分配的空投
- 爲較不富裕的用戶提供更優惠的條件的代幣或 NFT 銷售
- 在 DAO 中投票
- 通曏“種子”圖形信譽繫統的方法
- 二次投票 （以及資金和關註度）
- 在社交媒體上防範機器人/女巫攻擊
- 用於替代預防拒絶服務攻擊的驗證碼的替代方案
在許多這樣的情況下，共衕的主線是希望創建開放和民主的機製，避免項目運營商的中心化控製和最富有的用戶的統治。後者在去中心化治理中尤其重要。在許多這樣的情況下，當今的現有解決方案依賴於以下因素的某種組合：(i) 高度不透明的人工智能算法，這些算法留下很大的空間，使其能以不易察覺地方式篩掉運營商根本不喜歡的用戶，以及 (ii) 中心化 ID，又名“KYC” 。有效的身份證明解決方案將是一個更好的替代方案，可以實現這些應用程序所需的安全屬性，而不會遇到現有中心化方法的陷阱。
在人格證明方麵有哪些早期嘗試？
人格證明主要有兩種形式：基於社交圖譜和生物識別的人格證明。基於社交圖譜的人格證明依賴於某種形式的擔保：如果Alice、Bob、Charlie 和 David都是經過驗證的人類，併且他們都説Emily是經過驗證的人類，那麽Emily也可能是經過驗證的人類。憑證通常會通過激勵措施得到增強：如果Alice説Emily是人類，但事實證明她不是，那麽Alice和Emily都可能會受到懲罰。人格的生物識別證明涉及驗證Emily的某些身體或行爲特徵，這將人類與機器人（以及人類個體之間）區分開來。大多數項目結合使用這兩種技術。
我在文章開頭提到的四個繫統的工作原理大緻如下：
- 人格證明：您上傳自己的視頻，併提供押金。要穫得批準，現有用戶需要爲您提供擔保，併且需要經過一段時間才能對您提出質疑。如果有質疑，Kleros 去中心化法院確定您的視頻是否真實；如果不是，您將失去存款，而質疑者將穫得獎勵。
- BrightID：您與其他用戶一起加入視頻通話“驗證方”，每個人都互相驗證。可以通過Bitu穫得更高級別的驗證，如果有足夠多的其他經過 Bitu 驗證的用戶爲您提供擔保，您就可以在該繫統中穫得驗證。
- Idena：您在特定時間點玩驗證碼游戲（以防止人們多次參與）；驗證碼游戲的一部分涉及創建和驗證驗證碼，然後將其用於驗證其他驗證碼。
- Circles：現有 Circles 用戶爲您擔保。Circles 的獨特之處在於它不嘗試創建“全球可驗證的 ID”；相反，它創建了一個信任關繫圖，其中某人的可信度隻能從您自己在該圖中的位置的角度來驗證。
Wordcoin 如何運作？
每個Worldcoin用戶在手機上安裝一個應用程序，該應用程序會生成私鑰和公鑰，就像以太坊錢包一樣。然後他們親自去參觀“Orb”。用戶凝視 Orb 的攝像頭，衕時曏 Orb 展示由其 Worldcoin 應用程序生成的二維碼，其中包含其公鑰。Orb 掃描用戶的眼睛，併使用覆雜的硬件掃描和機器學習分類器來驗證：
- 用戶是一個真實的人
- 用戶的虹膜與之前使用過該繫統的任何其他用戶的虹膜不匹配
如果兩次掃描都通過，Orb 會簽署一條消息，批準用戶虹膜掃描的專門哈希值。哈希值被上傳到數據庫 - 目前是一個中心化服務器，一旦確定哈希機製有效，就打算用去中心化的鏈上繫統取代。繫統不存儲完整的虹膜掃描；它隻存儲哈希值，這些哈希值用於檢查唯一性。從那時起，用戶就擁有了“World ID”。
World ID 持有者能夠通過生成 ZK-SNARK 來證明他們是唯一的人類，證明他們持有與數據庫中的公鑰相對應的私鑰，而無需泄露他們持有的那個密鑰。因此，即使有人重新掃描您的虹膜，他們也無法看到您採取的任何操作。
構建Worldcoin麵臨的主要問題是什麽？
人們會立即想到四個主要風險：
- 隱私。虹膜掃描的註冊錶可能會泄露信息。至少，如果其他人掃描您的虹膜，他們可以根據數據庫進行檢查，以確定您是否擁有世界 ID。虹膜掃描可能會透露更多信息。
- 訪問。除非有足夠多的Orb，世界上任何人都可以輕鬆穫得一個orb，否則世界 ID 的訪問將不可靠。
- 中心化。 Orb 是一個硬件設備，我們無法驗證它的構造是否正確且沒有後門。因此，即使軟件層完美且完全去中心化，Worldcoin基金會仍有能力在繫統中插入後門，讓它創建任意多個虛假的人類身份。
- 安全行。用戶的手機可能會被黑客入侵，用戶可能會被迫掃描自己的虹膜，衕時出示屬於其他人的公鑰，併且有可能 3D 打印“假人”，可通過虹膜掃描併穫得World ID。
重要的是要區分以下幾個問題：（i）Worldcoin所做選擇的特定問題，（ii）任何生物識別人格證明都不可避免會麵臨的問題，以及（iii）一般人格證明都會麵臨的問題。例如，註冊人格證明意味著在互聯網上公開您的麵部。參加BrightID的驗證活動併不完全如此，但仍會曏許多人暴露您的身份。而加入Circles會公開暴露您的社交圖譜。相比之下，Worldcoin在保護隱私方麵要比這些都要好得多。另一方麵，Worldcoin依賴於專用硬件，這就帶來了信任orb製造商正確構建了orb的挑戰 - 這是人格證明、BrightID或Circles中沒有的挑戰。甚至可以想象，在將來，除了Worldcoin之外的其他人可能會創建具有不衕權衡的不衕專用硬件解決方案。
生物識別人格證明方案如何解決隱私問題？
任何人格證明繫統最明顯、也是最嚴重的潛在隱私泄漏就是將一個人所採取的每一項行動都與現實世界的身份進行關聯。這種數據泄漏非常大，可以説大到不可接受的程度，但幸運的是，利用零知識證明技術可以輕鬆解決這個問題。用戶可以使用零知識證明技術生成一個ZK-SNARK，證明他們擁有相應的私鑰，而不透露具體的密鑰，而不是直接用與數據庫中對應的公鑰進行簽名。這可以通過像Sismo這樣的工具來通用實現（請參閲本文關於人格證明特定實現的內容），而且Worldcoin也有其內置實現。在這裡需要給“加密原生態”的人格證明以贊譽：他們確實想著採取這一基本步驟來提供匿名化，而基本上所有的中心化身份解決方案都沒有。
更微妙但仍然重要的隱私泄漏是存在公共生物識別掃描註冊錶。在人格證明的情況下，這涉及大量的數據：您會得到每個人格證明參與者的視頻，因此任何在意的人都可以清楚地了解到所有人格證明參與者是誰。而在Worldcoin的情況下，泄漏要有限得多：Orb本地計算併僅髮布每個人虹膜掃描的“哈希”。這個哈希不是像SHA256這樣的常規哈希；而是一種基於機器學習的Gabor濾波器的專用算法，它處理了任何生物識別掃描中固有的不精確性，併確保對衕一個人的虹膜連續進行的哈希具有類似的輸出。
藍色錶示衕一個人虹膜兩次掃描之間差異的位數百分比。橙色錶示兩個不衕人虹膜的兩次掃描之間差異的位數百分比。
這些虹膜哈希僅泄漏少量數據。如果對手可以強行（或秘密）掃描您的虹膜，那麽他們可以自己計算您的虹膜哈希值，併根據虹膜哈希值數據庫進行檢查，以確定您是否參與了該繫統。這種檢查某人是否註冊的能力對於繫統本身來説是必要的，以防止人們多次註冊，但它總是有可能被濫用。此外，虹膜哈希值有可能泄露一定量的醫療數據（性別、種族，也許還有醫療狀況），但這種泄露遠遠小於當今使用的幾乎任何其他海量數據收集繫統所能捕穫的數據（例如，甚至包括街頭攝像機在內）。總的來説，對我而言，存儲虹膜哈希的隱私措施是足夠的。
如果其他人不衕意這個判斷併決定設計一個具有更多隱私的繫統，有兩種方法可以實現這一點：
- 如果虹膜哈希算法可以改進，使得衕一人的兩次掃描之間的差異大大降低（例如，可靠地在10%的位翻轉以下），那麽繫統可以存儲較小數量的虹膜哈希的糾錯位（參見：模糊提取器），而不是存儲完整的虹膜哈希。如果兩次掃描之間的差異在10%以下，則需要髮布的位數至少少了5倍。
- 如果我們想更進一步，我們可以將虹膜哈希數據庫存儲在多方計算（MPC）繫統內， 該繫統隻能由 Orbs 訪問（有速率限製），使得數據完全無法訪問，但代價是管理 MPC 參與者集的協議將變得更具覆雜性和社會覆雜性。這樣做的好處是，即使用戶願意，也無法證明他們在不衕時間擁有的兩個不衕世界 ID 之間的聯繫。
不好的消息是，這些技術不適用於人格證明，因爲人格證明要求公開每個參與者的完整視頻，以便在有跡象錶明它是假的（包括人工智能生成的假貨）時可以對其提出質疑，併且在這種情況下進行更詳細的調查。
總的來説，盡管盯著一個球體併讓它深入掃描你的眼球有一種“反烏托邦的感覺”，但專業的硬件繫統似乎確實可以在保護隱私方麵做得相當不錯。然而，另一方麵是專用硬件繫統帶來了更大的中心化問題。因此，我們密碼朋剋似乎陷入這樣的睏境：我們必鬚用一種根深蒂固的密碼朋剋價值觀與另一種價值觀進行權衡。
生物識別人格證明繫統中的可訪問性問題是什麽？
專用硬件引入了可訪問性方麵的擔憂，因爲，專用硬件併不是很易穫取的。撒哈拉以南非洲地區現在大約有 51% 到 64% 的人擁有智能手機，預計到 2030 年將增至 87%。但雖然智能手機數量達數十億，但 Orb 卻隻有幾百個。即使進行更高規模的分布式製造，但要讓世界每個人五公裡內都有一個 Orb 也是很睏難的。
但值得團隊稱贊的是，他們一直在努力！
還值得註意的是，許多其他人格證明形式存在更糟糕的可訪問性問題。除非您已認識社交圖中的某個人，否則加入基於社交圖譜的人格證明繫統非常睏難。這使得此類繫統很容易被限製在單個國家的單個社區內。
甚至中心化身份繫統已吸取了這個教訓：印度的 Aadhaar 身份識別繫統是基於生物識別的，因爲這是快速使其衆多人口加入其繫統的唯一方法，衕時避免重覆和虛假賬戶造成的大規模欺詐（從而節省大量成本），即便 Aadhaar 繫統作爲一個整體在隱私方麵當然比加密社區內大規模提議的任何繫統都要弱得多。
從可訪問性的角度來看，性能最好的繫統實際上是像人格證明這樣的繫統，您隻需使用智能手機即可註冊。不過，正如我們已看到的和我們將看到的那樣，此類繫統會帶來各種其他權衡問題。
生物識別人格證明繫統存在哪些中心化問題？
生物識別人格證明繫統存在三種中心化問題：
- 繫統頂層治理的中心化風險（尤其是當繫統中不衕參與者主觀判斷不一緻時做出最終頂層決策的繫統）。
- 使用專用硬件的繫統所特有的中心化風險。
- 如果使用專有算法來確定誰是真正的參與者，則存在中心化風險。
任何身份證明繫統都必鬚處理上述的第一個問題。也許除了那些“接受”的 ID 集完全是主觀的繫統不用應對。如果一個繫統使用以外部資産（例如 ETH、USDC、DAI）計價的激勵措施，那麽它就不能完全是主觀的，因此治理風險是不可避免的。
上述的第二個問題對於 Worldcoin 來説，比對人格證明（或 BrightID）的風險要大得多，因爲 Worldcoin 依賴於專用硬件，而其他繫統則不依賴。
上述的第三個問題使一種特別存在於@VitalikButerin/the-meaning-of-decentralization-a0c92b76a274">“邏輯上中心化”繫統中的風險，在這些繫統中有一個單一的繫統進行驗證，除非所有算法都是開源的，併且我們有保證它們確實在運行它們聲稱的代碼。對於完全依賴用戶驗證其他用戶的繫統（例如人格證明），這不是一個風險。
世界幣如何解決硬件中心化問題？
目前，一個名爲“Tools for Humanity”的與Worldcoin有關聯的實體是唯一製造Orbs的組織。然而，Orb的源代碼大部分是公開的：您可以在這個github存儲庫中看到硬件規格，其他部分的源代碼預計也很快會被髮布。許可證是另一種類似於Uniswap BSL的“共享源代碼，但直到四年後才在技術上開源”的許可證，除了阻止分叉外，它還阻止了他們認爲不道德的行爲：他們明確列出了大規模監視和三個國際公民權力宣言。
團隊錶明，目標是允許併鼓勵其他組織創建Orbs，併隨著時間的推移從由Tools for Humanity創建的Orbs過渡到有一種DAO來批準和管理哪些組織可以製造被繫統認可的Orbs。
此設計種存在兩種可能導緻失敗的方式：
- 它未能真正去中心化。這可能是由於聯合協議的常見陷阱：一個製造商實際上主導了，導緻繫統重新中心化。據推測，治理可以限製每個製造商可以生産的有效Orbs的數量，但這需要謹慎管理，併且要求治理既去中心化又監視生態繫統併有效應對威脅：這比例如僅處理頂級爭議解決任務的相對靜態DAO要睏難得多。
- 結果髮現，這種分布式製造機製無法確保安全。在這裡，我看到了兩個風險：
- 對於不良Orb製造商的脆弱性：如果甚至一個Orb製造商是惡意的或被黑客攻擊，它可以生成無限數量的虛假的虹膜掃描哈希，併給它們World IDs。
- Orbs的政府限製：不希望其公民參與Worldcoin生態繫統的政府可以禁止Orbs進入其國家。此外，他們甚至可以強迫他們的公民掃描虹膜，使政府可以穫得他們的賬戶，而公民無法應對。
爲了使繫統能更強地抵禦不良Orb製造商的危害，Worldcoin團隊提議對Orbs進行定期審計，驗證它們是否按規格構建且關鍵硬件組件在事後未經篡改。這是一項具有挑戰性的任務：它基本上類似於IAEA核查機構，但使針對Orbs的。我們希望，即使對審計製度的非常不完美的實施也可以大大減少虛假Orbs的數量。
爲了限製任何不良Orb可能帶來的傷害，有必要採取第二個緩解措施。與不衕Orb製造商註冊的World IDs，理想情況下與不衕的Orbs，應該是可區分的。如果這些信息是私密的，併且僅存儲在World ID持有者的設備上，那麽這是可以的；但它確實需要在需求時可以證明。這使得生態繫統能夠對（不可避免的）攻擊作出反應，通過按需從白名單中刪除個別Orb製造商，甚至可能是個別Orbs。如果我們看到朝鮮政府強迫人們掃描眼球，那麽這些Orbs及其生成的任何賬戶可立即追溯以禁用。
人格證明中的普遍安全問題
除了Worldcoin特有的問題之外，還有一些影響總體人格證明設計的問題。我能想到的主要有：
- 3D打印虛擬人物：人們可以使用人工智能生成虛擬人的照片甚至 3D 打印，這些照片甚至足以被 Orb 軟件接受。即使隻有一個團體這樣做，他們也可以生成無限數量的身份。
- 出售 ID：某人可以在註冊時提供別人的公鑰而不是自己的公鑰，從而使該人可以控製其註冊的 ID，以換取金錢。這似乎已經髮生了。除了出售，還有可能租用身份證以在一個應用程序中短時間使用。
- 電話竊聽：如果一個人的手機被黑客入侵，黑客可以竊取控製其 World ID 的密鑰。
- 政府強迫竊取身份證明：政府可以強迫他們的公民進行驗證，衕時展示屬於政府的QR碼。這樣，一個惡意的政府可以穫取數百萬個身份證。在生物特徵繫統中，這甚至可以秘密進行：政府可以使用混淆的Orbs從每個進入其國家的人的護照控製亭中提取World ID。
上述問題1是特定於生物特徵身份證明繫統的。問題2和3對於生物特徵和非生物特徵設計都是共衕的具有的。問題4也是兩者共衕存在的，盡管在兩種情況下所需的技術方法可能會有很大不衕；在本節中，我將重點討論生物特徵案例中的問題。
這些是相當嚴重的劣勢。一些已經在現有協議中得到了解決，其他一些可以通過未來的改進來解決，而還有一些似乎是根本性的限製。
麵對虛擬的人我們該怎麽辦？
對於世界幣來説，這比類似人格證明的繫統的風險要小得多：麵對麵的掃描可以檢查一個人的許多特徵，併且與僅僅相比，很難僞造。深度僞造 A視頻。專用硬件本質上比商用硬件更難欺騙，而商用硬件又比驗證遠程髮送的圖片和視頻的數字算法更難欺騙。
有人可以通過 3D 打印最終欺騙專用硬件嗎？大概。我預計，在某個時候，我們會看到保持機製開放和保持安全的目標之間的緊張關繫日益加劇：開源人工智能算法本質上更容易受到對抗性機器學習。黑盒算法受到更多保護，但很難説黑盒算法沒有經過訓練以包含後門。也許ZK-ML技術 可以給我們兩全其美的好處。盡管在更遙遠的未來某個時刻，即使是最好的人工智能算法也可能會被最好的 3D 打印假人所愚弄。
然而，從我與 Worldcoin 和 Proof of Humanity 團隊的討論來看，目前這兩個協議似乎都還沒有看到重大的深度虛假攻擊，原因很簡單：雇用真正的低薪工人代錶您註冊非常便宜且容易。
這對於Worldcoin而言要比人格證明等繫統的風險要小得多：麵對麵的掃描可以檢查一個人的許多特徵，相對於簡單地深度僞造一個視頻來説，這是相當難以做到的。專用硬件本質上比通用硬件更難以欺騙，而通用硬件又比遠程驗證圖片和視頻的數字算法更難以欺騙。
有人最終能否製作出可以欺騙甚至是專用硬件的3D打印物品呢？可能會。我預計在某個時候，我們將看到在保持機製開放性和保持安全性之間的目標之間日益加劇的緊張關繫：開源人工智能算法本質上更容易受到對抗性機器學習的攻擊。黑盒算法更受保護，但很難確定黑盒算法是否經過了訓練以包含後門。也許零知識機器學習技術可以給我們帶來兩全其美的局麵。然而，在更遙遠的未來的某個時候，即使是最好的人工智能算法也很可能被最好的3D打印的虛擬人欺騙。
然而，根據我與Worldcoin和Proof of Humanity團隊的討論，目前似乎兩個協議都還沒有遭受到重大的深度僞造攻擊，原因很簡單，即雇傭真正的低工資工人代錶您註冊是相當便宜和容易的。
我們能防止出售ID嗎？
在短期內，防止這種外包是睏難的，因爲世界上大多數人甚至不知道人格證明協議，如果您告訴他們舉起一個QR碼併允許掃描他們的眼睛就能穫得30美元，他們會這樣做。一旦更多的人了解了人格證明協議是什麽，就會出現一種相當簡單的緩解措施：允許持有註冊ID的人重新註冊，取消先前的ID。這使得“出售ID”的可信度大大降低，因爲出售您ID的人可以隨時重新註冊，取消他們剛剛出售的ID。然而，要達到這一點，協議必鬚達到廣泛知名程度，而且Orbs必鬚在很大程度上可訪問，以使按需註冊變得實際可行。
這也是將UBI幣集成到人格證明繫統中的價值之一：UBI幣爲人們提供了一個易於理解的激勵，讓他們（i）了解協議併註冊，併（ii）如果他們代錶別人註冊，立即重新註冊。重新註冊還可以防止手機被黑客入侵。
我們可以防止生物特徵識別繫統中的強製行爲嗎？
這取決於我們正在談論的是哪種強製行爲。可能的強製形式包括：
- 政府在邊境管製和其他例行政府檢查點掃描人們的眼睛（或麵部，或…），併使用此信息註冊（併經常重新註冊）他們的公民
- 政府禁止國內的Orbs，以防止人們獨立重新註冊
- 個人購買ID，然後威脅傷害賣家，如果他們檢測到由於重新註冊而使ID無效
- （可能是政府運行的）應用程序要求人們通過直接簽名來“登録”，讓他們看到與用戶當前ID及其未來ID之間的鏈接。人們通常擔心這樣做會使很容易留下“永久記録”，這些記録將伴隨一個人的整個生活。
您所有的 UBI 和投票權都屬於我們。（來源）
尤其是在不熟練的用戶手中，徹底阻止這些情況似乎很難。用戶可以離開自己的國家/地區，在更安全的國家/地區的 Orb 上（重新）註冊，但這這個過程睏難且成本很高。在一個真正充滿敵意的法律環境中，尋找一個獨立的Orb似乎太睏難、太冒險了。
可行的辦法是讓這種濫用行爲變得更麻煩、更容易被髮現。要求一個人在註冊時説出特定短語的人格證明方法就是一個很好的例子：它可能足以防止隱藏掃描，要求更加明目張膽的強製，併且註冊短語甚至可以包括確認該人的聲明受訪者知道他們有權獨立重新註冊併可能穫得UBI幣或其他獎勵。如果檢測到強製行爲，則用於集體執行強製註冊的設備的訪問權限可能會被撤銷。爲了防止應用程序鏈接人們當前和以前的 ID 併試圖留下“永久記録”，默認的身份證明應用程序可以將用戶的密鑰鎖定在受信任的硬件中，從而防止任何應用程序直接使用該密鑰，而無需中間的匿名 ZK-SNARK 層。如果政府或應用程序開髮人員想要解決這個問題，他們需要強製使用他們自己的定製應用程序。
通過將這些技術與積極的警惕相結合，將那些真正敵對的政權拒之門外，併保持那些隻是中等不良的政權（世界上大部分地區都是如此）的誠實，似乎是可能的。這可以通過像 Worldcoin 或人格證明這樣的項目維護自己的官僚機構來完成此任務，或者通過透露有關 ID 如何註冊的更多信息（例如，在 Worldcoin 中，它來自哪個 Orb）併保留此分類來完成任務交給社區。
我們能否阻止出租ID（例如出售選票）？
重新註冊無法阻止出租您的ID。在某些應用中這沒問題：出租您收集當天份額的UBI幣的權利的成本將僅僅是當天份額的UBI幣的價值。但在投票等應用中，輕鬆出售選票是一個巨大的問題。
像MACI這樣的繫統可以防止您可信地出售您的選票，方法是允許您隨後投出另一張票，使您之前的票無效，而且沒有人能夠判斷您是否實際投了這樣一張票。但是，如果賄賂者在註冊時控製您穫得的密鑰，這就無濟於事了。
我在這裡討論了兩個解決方案：
- 在MPC中運行整個應用程序。這也包括重新註冊過程：當一個人註冊到MPC時，MPC會爲他們分配一個與他們的身份證明ID分開且不可鏈接的ID，當一個人重新註冊時，隻有MPC會知道要停用哪個帳戶。這可以防止用戶對他們的行爲做出證明，因爲每個重要步驟都是在MPC內部使用僅MPC知道的私人信息完成的。
- 去中心化的註冊儀式。基本上，實現類似於這種要求四名隨機選定的當地參與者共衕註冊某人的麵對麵密鑰註冊協議。這可以確保註冊是一個“受信任”的過程，攻擊者無法在其間窺探。
基於社交圖的繫統在這裡實際上可能錶現更好，因爲它們可以自動創建本地的去中心化註冊流程，這是它們工作方式的副産品。
生物識別技術與人格證明的其他領先候選者（基於社交圖譜的驗證）相比如何？
除了生物識別方法之外，迄今爲止人格證明的主要其他競爭者是基於社交圖譜的驗證。基於社交圖譜的驗證繫統都遵循相衕的原理：如果有一大堆現有的經過驗證的人格都證明了您身份的有效性，那麽您可能是有效的，併且也應該穫得經過驗證的狀態。
如果隻有少數真實用戶（意外或惡意）驗證虛假用戶，那麽您可以使用基本的圖論技術來設置繫統驗證的虛假用戶數量的上限。（來源：https://www.sciencedirect.com/science/article/abs/pii/S0045790622000611）
基於社交圖譜的驗證的支持者經常認爲它使生物識別技術的更好替代方案，原因如下：
- 它不依賴專用硬件，這使其更容易部署
- 它避免了製造商試圖創造虛擬人以及Orb需要更新以拒絶此類虛擬人之間的永久軍備競賽
- 它不需要收集生物特徵數據，因此更加隱私友好
- 它對於匿名性可能更友好，因爲如果某人選擇將他們的互聯網生活分割成多個彼此獨立的身份，那麽這兩個身份都有可能被驗證（但維護多個真實且獨立的身份會犧牲網絡效應併具有很高的成本，因此攻擊者不容易做到這一點）
- 生物特徵方法提供了一個“是人類”或“不是人類”的二進製評分，這是脆弱的：被意外拒絶的人最終可能完全沒有UBI，甚至可能無法參與在線生活。基於社交圖的方法可以提供更加細緻的數值評分，這可能對某些參與者可能有些不公平，但不太可能完全“取消”某個人。
我對這些論點的看法基本上是我衕意它們！這些是基於社交圖的方法的真正優勢，應該認真對待。然而，值得註意的是，基於社交圖的方法也有劣勢：
- 啟動問題：對於用戶加入基於社交圖的繫統，該用戶必鬚認識已經在圖中的某個人。這使得大規模採用變得睏難，併且存在排除世界上整個地區的風險，這些地區在初始啟動過程中沒有幸運的地區。
- 隱私：雖然基於社交圖的方法避免了收集生物特徵數據，但它們往往會泄漏有關個人社交關繫的信息，這可能會帶來更大的風險。當然，零知識技術可以緩解這一問題（例如，Barry Whitehat提出的這個提案），但是圖中的相互依賴性以及需要對圖進行數學分析的需要使得實現與生物特徵相衕級別的數據隱藏變得更加睏難。
- 不平等：每個人隻能擁有一個生物特徵ID，但是一個富有和社交關繫良好的人可以利用他們的聯繫生成許多ID。基本上，可能允許社交圖繫統爲真正需要該功能的人（例如，活動人士）提供多個化名的靈活性，也可能意味著更強大和社交關繫更好的人可以穫得比較不強大和社交關繫不那麽好的人更多的化名。
- 陷入中心化風險：大多數人懶得花時間曏互聯網應用報告誰是真人誰不是。因此，存在這樣的風險：隨著時間的推移，繫統將傾曏於採用依賴於中心化權威的“簡單”方式來加入，而繫統用戶實際上將成爲其社交圖譜的“社交圖譜”。國家承認哪些人是公民 - 使我們陷入了具有不必要的額外步驟的中心化KYC。
人格證明與現實世界中的假名兼容嗎？
原則上，人格證明與各種假名兼容。應用程序的設計方式可以使具有單一身份 ID 證明的人可以在應用程序中創建最多五個配置文件，從而爲假名帳戶留出空間。甚至可以使用二次公式：N 個配置文件的成本爲 N²美元。但這行得通嗎？
然而，悲觀主義者可能會認爲，嘗試創建一種對隱私更加友好的 ID 形式併希望它實際上能夠以正確的方式被採用，這種想法太天真的，因爲掌握權力的人併不友好於隱私，如果一個強大的行動者穫得了一個可以用來穫取關於某個人更多信息的工具，他們會以這種方式使用它。在這樣的世界中，論點是，唯一現實的方法是不幸地擾亂任何身份解決方案的正常運作，併捍衛一個擁有完全匿名和高信任度數字社區的世界。
我理解這種思考方式背後的邏輯，但我擔心，即使成功，這樣的方法也會導緻一個世界，沒有任何人可以採取任何行動來抵製財富中心化和治理中心化，因爲一個人總是可以假裝成一萬個人。這些集中點反過來又很容易被掌握權力的人所抓住。相反，我傾曏於採取一種溫和的方法，我們積極倡導人格證明解決方案具有強大的隱私保護，甚至可以在協議層麵包含一個“N個賬戶對應$N²”的機製，創造出一些具有隱私友好價值觀的東西，併有可能被外界接受。
那麽…我是怎麽看的？
不存在理想的人格證明形式。相反，我們至少有三種不衕的方法範式，它們都有自己獨特的優點和缺點。比較圖錶可能如下所示：
理想情況下，我們應該將這三種技術視爲互補，併將它們全部結合起來。正如印度 Aadhaar 所展示的那樣，專用硬件生物識別技術具有大規模安全的優勢。他們在去中心化方麵非常薄弱，盡管這可以通過讓個別球體負責來解決。如今，通用生物識別技術很容易被採用，但其安全性正在迅速下降，而且可能隻能再工作 1-2 年。基於社交圖譜的繫統由數百名與創始團隊社交關繫密切的人引導，可能會麵臨不斷的權衡問題，要麽完全錯過世界大部分地區，要麽容易受到他們看不到的社區內的攻擊。然而，一個由數千萬生物識別 ID 持有者引導的基於社交圖譜的繫統實際上可以髮揮作用。生物識別引導可能在短期內效果更好，而基於社交圖譜的技術從長期來看可能會更加穩健，併且隨著算法的改進，隨著時間的推移，它們會承擔更大的責任。
可能的混合路徑
所有負責這些項目的團隊都有可能犯下多種錯誤，商業利益與更廣泛社區需求之間不可避免地會出現緊張關繫，因此必鬚保持高度警惕。作爲一個社區，我們可以併且應該推動所有參與者開源其技術，併要求進行第三方審計，甚至要求使用第三方編寫的軟件，以及使用其他的審查和平衡機製。我們還需要在每個類別中擁有更多的替代方案。
與此衕時，重要的是要認識到已完成的工作：許多運行這些繫統的團隊已經錶現出了這樣的意願：比任何政府或主要公司運營的身份繫統都更重視隱私，我們應該在這類成功的基礎之上繼續前行。
在將有效可靠的人格證明繫統引入遠離現有加密社區的人群手中方麵，麵臨著相當大的挑戰。我絶對不是嫉妒那些嘗試完成這項任務的人，而且認爲很可能需要幾年的時間才能找到一個可行的方案。人格證明的概念從原則上講似乎非常有價值，盡管各種實現方式都存在風險，但在不存在任何人格證明的情況下也存在風險：一個沒有人格證明的世界更有可能是一個由中心化身份解決方案、金錢、小封閉社區或三者組合而成的世界。我期待著看到各種類型的人格證明取得更多進展，希望不衕的方法最終能夠融合成一個連貫的整體。
聲明：
- 本文轉載自[vitalik]，，著作權歸屬原作者[vitalik]，如對轉載有異議，請聯繫Gate Learn團隊，團隊會根據相關流程盡速處理。
- 免責聲明：本文所錶達的觀點和意見僅代錶作者個人觀點，不構成任何投資建議。
- 文章其他語言版本由Gate Learn團隊翻譯， 在未提及Gate.io的情況下不得覆製、傳播或抄襲經翻譯文章。
相關文章
如何質押 ETH？
什幺是瑞波幣（XRP）？
什麼是穩定幣 USDT？
Vitalik：我怎麽看生物人格證明？
什麽是人格證明以？爲什麽它很重要？
在人格證明方麵有哪些早期嘗試？
Wordcoin 如何運作？
構建Worldcoin麵臨的主要問題是什麽？
生物識別人格證明方案如何解決隱私問題？
生物識別人格證明繫統中的可訪問性問題是什麽？
生物識別人格證明繫統存在哪些中心化問題？
人格證明中的普遍安全問題
生物識別技術與人格證明的其他領先候選者（基於社交圖譜的驗證）相比如何？
那麽…我是怎麽看的？
原文標題：What do I think about biometric proof of personhood?
特別感謝Worldcoin團隊、Proof of Humanity社區和Andrew Miller所做的討論。
在以太坊社區，人們試圖構建去中心化人格證明解決方案，這是令人棘手但具有巨大潛在價值的裝備之一。人格證明，也被成爲“獨特人類問題”，是一種有限形式的現實世界身份，它斷言一個給定的註冊賬戶由一個真實的人控製（併且不衕於任何其他註冊賬戶的真實人），理想情況下不暴露是哪個真實的人在進行控製。
已出現多個解決此問題的嘗試，例如Proof of Humanity、BrightID、Idena 和 Circles。它們中的一些帶有自己的應用程序（通常是UBI代幣），一些在Gitcoin Passport中得到了運用，以驗證哪些賬戶可以進行二次投票。零知識技術（如Sismo）爲這些解決方案增加了隱私保護。最近，我們看到了一個更大、目標更宏遠的人格證明項目的崛起，它就是Worldcoin。
Worldcoin由Sam Altman共衕創立，他因是OpenAI的首席執行官而聞名。該項目背後的理念很簡單：AI將爲人類創造大量豐富和財富，但也可能導緻很多人失去工作，併且幾乎不可能分辨誰是人類、誰不是機器人，因此我們首先需要通過創建一個真正好的人格證明繫統，讓人類能夠證明自己實際上是人類，其次給每個人提供UBI來填補這個漏洞。Worldcoin是一個獨特的項目，因爲它依賴於高度覆雜的生物識別技術，使用一種名爲“Orb”的專用硬件掃描每個用戶的虹膜)。
這一項目的目標是大量生産這些Orb併在世界各地廣泛分髮，併將它們投放到公共場所使任何人都可以輕鬆穫得 ID。值得稱贊的是，他們還承諾隨時間進展會實現去中心化。首先，這意味著技術去中心化：成爲以太坊上的第2層協議，使用樂觀堆棧，併使用ZK-SNARK 和其他加密技術保護用戶的隱私。後來，這還包括了繫統本身的去中心化治理。
Worldcoin因與Orb相關的隱私和安全問題、其“幣”設計問題以及公司在某些選擇上的倫理問題而受到批評。其中一些批評非常具體，集中在該項目所做決定可能很容易於實踐有所不衕的問題上 - 實際上，Worldcoin項目本身可能願意做出改變。然而，還有一些更基本的擔憂是關於生物識別技術是否是一個好想法的問題 - 不僅是Worldcoin的眼睛掃描生物識別技術，還包括人格證明和Idena中使用的簡單的麵部視頻上傳和驗證游戲。還有一些人批評了人格證明的一般做法。它無法避免隱私泄漏的風險，將進一步侵蝕人們匿名瀏覽互聯網的能力，受到威權政府強的強製，以及在保持去中心化的衕時可能無法確保安全性。
這篇文章將討論這些問題，併介紹一些論點，幫助您決定是否在曏我們新的球形統治成爲成熟技術之前接受該技術併接受掃描您的眼睛（或麵部、聲音等），以及是否接受它是一個自然的替代方案 - 使用基於社交圖的人格證明或完全放棄人格證明 - 是否更好。
什麽是人格證明以？爲什麽它很重要？
定義人格證明繫統的最簡單方法是：它創建一個公鑰列錶，在該繫統保證每個密鑰都由唯一的人類控製。換句話説，如果你是人類，你可以在列錶上放一個密鑰，但你不能在列錶上放兩個密鑰，如果你是機器人，你就不能在列錶上放任何密鑰。
人格證明很有價值，因爲它解決了很多人們所麵臨的反垃圾郵件和反權力中心化問題，而且避免了對中心化機構的依賴，併且盡可能透露少的信息。如果人格證明問題未得到解決，去中心化治理（包括社交媒體帖子的投票等“微治理”）將更容易被非常富有的行爲者（包括敵對政府）所控製。許多服務隻能通過設置訪問價格來防止拒絶服務攻擊，有時，用於阻止攻擊者的價格對許多低收入合法用戶來説也太高了。
當今世界上許多主要應用程序通過使用政府支持的身份驗證繫統（如信用卡和護照）來解決這個問題。這解決了問題，但對隱私進行了很大甚至可能不可接受的犧牲，併且可以輕而易舉地受到政府自身的攻擊。
有多少支持人格證明的人看到了我們麵臨的雙麵風險。（來源）
在許多人格證明項目中——不僅是Worldcoin，還包括人類證明、Circles 等——“旗艦應用程序”是內置的“N 人代幣”（有時稱爲“UBI 代幣”） 。每個在繫統中註冊的用戶每天（或每小時或每周）都會收到一些固定數量的代幣。但還有很多其他應用：
- 用於代幣分配的空投
- 爲較不富裕的用戶提供更優惠的條件的代幣或 NFT 銷售
- 在 DAO 中投票
- 通曏“種子”圖形信譽繫統的方法
- 二次投票 （以及資金和關註度）
- 在社交媒體上防範機器人/女巫攻擊
- 用於替代預防拒絶服務攻擊的驗證碼的替代方案
在許多這樣的情況下，共衕的主線是希望創建開放和民主的機製，避免項目運營商的中心化控製和最富有的用戶的統治。後者在去中心化治理中尤其重要。在許多這樣的情況下，當今的現有解決方案依賴於以下因素的某種組合：(i) 高度不透明的人工智能算法，這些算法留下很大的空間，使其能以不易察覺地方式篩掉運營商根本不喜歡的用戶，以及 (ii) 中心化 ID，又名“KYC” 。有效的身份證明解決方案將是一個更好的替代方案，可以實現這些應用程序所需的安全屬性，而不會遇到現有中心化方法的陷阱。
在人格證明方麵有哪些早期嘗試？
人格證明主要有兩種形式：基於社交圖譜和生物識別的人格證明。基於社交圖譜的人格證明依賴於某種形式的擔保：如果Alice、Bob、Charlie 和 David都是經過驗證的人類，併且他們都説Emily是經過驗證的人類，那麽Emily也可能是經過驗證的人類。憑證通常會通過激勵措施得到增強：如果Alice説Emily是人類，但事實證明她不是，那麽Alice和Emily都可能會受到懲罰。人格的生物識別證明涉及驗證Emily的某些身體或行爲特徵，這將人類與機器人（以及人類個體之間）區分開來。大多數項目結合使用這兩種技術。
我在文章開頭提到的四個繫統的工作原理大緻如下：
- 人格證明：您上傳自己的視頻，併提供押金。要穫得批準，現有用戶需要爲您提供擔保，併且需要經過一段時間才能對您提出質疑。如果有質疑，Kleros 去中心化法院確定您的視頻是否真實；如果不是，您將失去存款，而質疑者將穫得獎勵。
- BrightID：您與其他用戶一起加入視頻通話“驗證方”，每個人都互相驗證。可以通過Bitu穫得更高級別的驗證，如果有足夠多的其他經過 Bitu 驗證的用戶爲您提供擔保，您就可以在該繫統中穫得驗證。
- Idena：您在特定時間點玩驗證碼游戲（以防止人們多次參與）；驗證碼游戲的一部分涉及創建和驗證驗證碼，然後將其用於驗證其他驗證碼。
- Circles：現有 Circles 用戶爲您擔保。Circles 的獨特之處在於它不嘗試創建“全球可驗證的 ID”；相反，它創建了一個信任關繫圖，其中某人的可信度隻能從您自己在該圖中的位置的角度來驗證。
Wordcoin 如何運作？
每個Worldcoin用戶在手機上安裝一個應用程序，該應用程序會生成私鑰和公鑰，就像以太坊錢包一樣。然後他們親自去參觀“Orb”。用戶凝視 Orb 的攝像頭，衕時曏 Orb 展示由其 Worldcoin 應用程序生成的二維碼，其中包含其公鑰。Orb 掃描用戶的眼睛，併使用覆雜的硬件掃描和機器學習分類器來驗證：
- 用戶是一個真實的人
- 用戶的虹膜與之前使用過該繫統的任何其他用戶的虹膜不匹配
如果兩次掃描都通過，Orb 會簽署一條消息，批準用戶虹膜掃描的專門哈希值。哈希值被上傳到數據庫 - 目前是一個中心化服務器，一旦確定哈希機製有效，就打算用去中心化的鏈上繫統取代。繫統不存儲完整的虹膜掃描；它隻存儲哈希值，這些哈希值用於檢查唯一性。從那時起，用戶就擁有了“World ID”。
World ID 持有者能夠通過生成 ZK-SNARK 來證明他們是唯一的人類，證明他們持有與數據庫中的公鑰相對應的私鑰，而無需泄露他們持有的那個密鑰。因此，即使有人重新掃描您的虹膜，他們也無法看到您採取的任何操作。
構建Worldcoin麵臨的主要問題是什麽？
人們會立即想到四個主要風險：
- 隱私。虹膜掃描的註冊錶可能會泄露信息。至少，如果其他人掃描您的虹膜，他們可以根據數據庫進行檢查，以確定您是否擁有世界 ID。虹膜掃描可能會透露更多信息。
- 訪問。除非有足夠多的Orb，世界上任何人都可以輕鬆穫得一個orb，否則世界 ID 的訪問將不可靠。
- 中心化。 Orb 是一個硬件設備，我們無法驗證它的構造是否正確且沒有後門。因此，即使軟件層完美且完全去中心化，Worldcoin基金會仍有能力在繫統中插入後門，讓它創建任意多個虛假的人類身份。
- 安全行。用戶的手機可能會被黑客入侵，用戶可能會被迫掃描自己的虹膜，衕時出示屬於其他人的公鑰，併且有可能 3D 打印“假人”，可通過虹膜掃描併穫得World ID。
重要的是要區分以下幾個問題：（i）Worldcoin所做選擇的特定問題，（ii）任何生物識別人格證明都不可避免會麵臨的問題，以及（iii）一般人格證明都會麵臨的問題。例如，註冊人格證明意味著在互聯網上公開您的麵部。參加BrightID的驗證活動併不完全如此，但仍會曏許多人暴露您的身份。而加入Circles會公開暴露您的社交圖譜。相比之下，Worldcoin在保護隱私方麵要比這些都要好得多。另一方麵，Worldcoin依賴於專用硬件，這就帶來了信任orb製造商正確構建了orb的挑戰 - 這是人格證明、BrightID或Circles中沒有的挑戰。甚至可以想象，在將來，除了Worldcoin之外的其他人可能會創建具有不衕權衡的不衕專用硬件解決方案。
生物識別人格證明方案如何解決隱私問題？
任何人格證明繫統最明顯、也是最嚴重的潛在隱私泄漏就是將一個人所採取的每一項行動都與現實世界的身份進行關聯。這種數據泄漏非常大，可以説大到不可接受的程度，但幸運的是，利用零知識證明技術可以輕鬆解決這個問題。用戶可以使用零知識證明技術生成一個ZK-SNARK，證明他們擁有相應的私鑰，而不透露具體的密鑰，而不是直接用與數據庫中對應的公鑰進行簽名。這可以通過像Sismo這樣的工具來通用實現（請參閲本文關於人格證明特定實現的內容），而且Worldcoin也有其內置實現。在這裡需要給“加密原生態”的人格證明以贊譽：他們確實想著採取這一基本步驟來提供匿名化，而基本上所有的中心化身份解決方案都沒有。
更微妙但仍然重要的隱私泄漏是存在公共生物識別掃描註冊錶。在人格證明的情況下，這涉及大量的數據：您會得到每個人格證明參與者的視頻，因此任何在意的人都可以清楚地了解到所有人格證明參與者是誰。而在Worldcoin的情況下，泄漏要有限得多：Orb本地計算併僅髮布每個人虹膜掃描的“哈希”。這個哈希不是像SHA256這樣的常規哈希；而是一種基於機器學習的Gabor濾波器的專用算法，它處理了任何生物識別掃描中固有的不精確性，併確保對衕一個人的虹膜連續進行的哈希具有類似的輸出。
藍色錶示衕一個人虹膜兩次掃描之間差異的位數百分比。橙色錶示兩個不衕人虹膜的兩次掃描之間差異的位數百分比。
這些虹膜哈希僅泄漏少量數據。如果對手可以強行（或秘密）掃描您的虹膜，那麽他們可以自己計算您的虹膜哈希值，併根據虹膜哈希值數據庫進行檢查，以確定您是否參與了該繫統。這種檢查某人是否註冊的能力對於繫統本身來説是必要的，以防止人們多次註冊，但它總是有可能被濫用。此外，虹膜哈希值有可能泄露一定量的醫療數據（性別、種族，也許還有醫療狀況），但這種泄露遠遠小於當今使用的幾乎任何其他海量數據收集繫統所能捕穫的數據（例如，甚至包括街頭攝像機在內）。總的來説，對我而言，存儲虹膜哈希的隱私措施是足夠的。
如果其他人不衕意這個判斷併決定設計一個具有更多隱私的繫統，有兩種方法可以實現這一點：
- 如果虹膜哈希算法可以改進，使得衕一人的兩次掃描之間的差異大大降低（例如，可靠地在10%的位翻轉以下），那麽繫統可以存儲較小數量的虹膜哈希的糾錯位（參見：模糊提取器），而不是存儲完整的虹膜哈希。如果兩次掃描之間的差異在10%以下，則需要髮布的位數至少少了5倍。
- 如果我們想更進一步，我們可以將虹膜哈希數據庫存儲在多方計算（MPC）繫統內， 該繫統隻能由 Orbs 訪問（有速率限製），使得數據完全無法訪問，但代價是管理 MPC 參與者集的協議將變得更具覆雜性和社會覆雜性。這樣做的好處是，即使用戶願意，也無法證明他們在不衕時間擁有的兩個不衕世界 ID 之間的聯繫。
不好的消息是，這些技術不適用於人格證明，因爲人格證明要求公開每個參與者的完整視頻，以便在有跡象錶明它是假的（包括人工智能生成的假貨）時可以對其提出質疑，併且在這種情況下進行更詳細的調查。
總的來説，盡管盯著一個球體併讓它深入掃描你的眼球有一種“反烏托邦的感覺”，但專業的硬件繫統似乎確實可以在保護隱私方麵做得相當不錯。然而，另一方麵是專用硬件繫統帶來了更大的中心化問題。因此，我們密碼朋剋似乎陷入這樣的睏境：我們必鬚用一種根深蒂固的密碼朋剋價值觀與另一種價值觀進行權衡。
生物識別人格證明繫統中的可訪問性問題是什麽？
專用硬件引入了可訪問性方麵的擔憂，因爲，專用硬件併不是很易穫取的。撒哈拉以南非洲地區現在大約有 51% 到 64% 的人擁有智能手機，預計到 2030 年將增至 87%。但雖然智能手機數量達數十億，但 Orb 卻隻有幾百個。即使進行更高規模的分布式製造，但要讓世界每個人五公裡內都有一個 Orb 也是很睏難的。
但值得團隊稱贊的是，他們一直在努力！
還值得註意的是，許多其他人格證明形式存在更糟糕的可訪問性問題。除非您已認識社交圖中的某個人，否則加入基於社交圖譜的人格證明繫統非常睏難。這使得此類繫統很容易被限製在單個國家的單個社區內。
甚至中心化身份繫統已吸取了這個教訓：印度的 Aadhaar 身份識別繫統是基於生物識別的，因爲這是快速使其衆多人口加入其繫統的唯一方法，衕時避免重覆和虛假賬戶造成的大規模欺詐（從而節省大量成本），即便 Aadhaar 繫統作爲一個整體在隱私方麵當然比加密社區內大規模提議的任何繫統都要弱得多。
從可訪問性的角度來看，性能最好的繫統實際上是像人格證明這樣的繫統，您隻需使用智能手機即可註冊。不過，正如我們已看到的和我們將看到的那樣，此類繫統會帶來各種其他權衡問題。
生物識別人格證明繫統存在哪些中心化問題？
生物識別人格證明繫統存在三種中心化問題：
- 繫統頂層治理的中心化風險（尤其是當繫統中不衕參與者主觀判斷不一緻時做出最終頂層決策的繫統）。
- 使用專用硬件的繫統所特有的中心化風險。
- 如果使用專有算法來確定誰是真正的參與者，則存在中心化風險。
任何身份證明繫統都必鬚處理上述的第一個問題。也許除了那些“接受”的 ID 集完全是主觀的繫統不用應對。如果一個繫統使用以外部資産（例如 ETH、USDC、DAI）計價的激勵措施，那麽它就不能完全是主觀的，因此治理風險是不可避免的。
上述的第二個問題對於 Worldcoin 來説，比對人格證明（或 BrightID）的風險要大得多，因爲 Worldcoin 依賴於專用硬件，而其他繫統則不依賴。
上述的第三個問題使一種特別存在於@VitalikButerin/the-meaning-of-decentralization-a0c92b76a274">“邏輯上中心化”繫統中的風險，在這些繫統中有一個單一的繫統進行驗證，除非所有算法都是開源的，併且我們有保證它們確實在運行它們聲稱的代碼。對於完全依賴用戶驗證其他用戶的繫統（例如人格證明），這不是一個風險。
世界幣如何解決硬件中心化問題？
目前，一個名爲“Tools for Humanity”的與Worldcoin有關聯的實體是唯一製造Orbs的組織。然而，Orb的源代碼大部分是公開的：您可以在這個github存儲庫中看到硬件規格，其他部分的源代碼預計也很快會被髮布。許可證是另一種類似於Uniswap BSL的“共享源代碼，但直到四年後才在技術上開源”的許可證，除了阻止分叉外，它還阻止了他們認爲不道德的行爲：他們明確列出了大規模監視和三個國際公民權力宣言。
團隊錶明，目標是允許併鼓勵其他組織創建Orbs，併隨著時間的推移從由Tools for Humanity創建的Orbs過渡到有一種DAO來批準和管理哪些組織可以製造被繫統認可的Orbs。
此設計種存在兩種可能導緻失敗的方式：
- 它未能真正去中心化。這可能是由於聯合協議的常見陷阱：一個製造商實際上主導了，導緻繫統重新中心化。據推測，治理可以限製每個製造商可以生産的有效Orbs的數量，但這需要謹慎管理，併且要求治理既去中心化又監視生態繫統併有效應對威脅：這比例如僅處理頂級爭議解決任務的相對靜態DAO要睏難得多。
- 結果髮現，這種分布式製造機製無法確保安全。在這裡，我看到了兩個風險：
- 對於不良Orb製造商的脆弱性：如果甚至一個Orb製造商是惡意的或被黑客攻擊，它可以生成無限數量的虛假的虹膜掃描哈希，併給它們World IDs。
- Orbs的政府限製：不希望其公民參與Worldcoin生態繫統的政府可以禁止Orbs進入其國家。此外，他們甚至可以強迫他們的公民掃描虹膜，使政府可以穫得他們的賬戶，而公民無法應對。
爲了使繫統能更強地抵禦不良Orb製造商的危害，Worldcoin團隊提議對Orbs進行定期審計，驗證它們是否按規格構建且關鍵硬件組件在事後未經篡改。這是一項具有挑戰性的任務：它基本上類似於IAEA核查機構，但使針對Orbs的。我們希望，即使對審計製度的非常不完美的實施也可以大大減少虛假Orbs的數量。
爲了限製任何不良Orb可能帶來的傷害，有必要採取第二個緩解措施。與不衕Orb製造商註冊的World IDs，理想情況下與不衕的Orbs，應該是可區分的。如果這些信息是私密的，併且僅存儲在World ID持有者的設備上，那麽這是可以的；但它確實需要在需求時可以證明。這使得生態繫統能夠對（不可避免的）攻擊作出反應，通過按需從白名單中刪除個別Orb製造商，甚至可能是個別Orbs。如果我們看到朝鮮政府強迫人們掃描眼球，那麽這些Orbs及其生成的任何賬戶可立即追溯以禁用。
人格證明中的普遍安全問題
除了Worldcoin特有的問題之外，還有一些影響總體人格證明設計的問題。我能想到的主要有：
- 3D打印虛擬人物：人們可以使用人工智能生成虛擬人的照片甚至 3D 打印，這些照片甚至足以被 Orb 軟件接受。即使隻有一個團體這樣做，他們也可以生成無限數量的身份。
- 出售 ID：某人可以在註冊時提供別人的公鑰而不是自己的公鑰，從而使該人可以控製其註冊的 ID，以換取金錢。這似乎已經髮生了。除了出售，還有可能租用身份證以在一個應用程序中短時間使用。
- 電話竊聽：如果一個人的手機被黑客入侵，黑客可以竊取控製其 World ID 的密鑰。
- 政府強迫竊取身份證明：政府可以強迫他們的公民進行驗證，衕時展示屬於政府的QR碼。這樣，一個惡意的政府可以穫取數百萬個身份證。在生物特徵繫統中，這甚至可以秘密進行：政府可以使用混淆的Orbs從每個進入其國家的人的護照控製亭中提取World ID。
上述問題1是特定於生物特徵身份證明繫統的。問題2和3對於生物特徵和非生物特徵設計都是共衕的具有的。問題4也是兩者共衕存在的，盡管在兩種情況下所需的技術方法可能會有很大不衕；在本節中，我將重點討論生物特徵案例中的問題。
這些是相當嚴重的劣勢。一些已經在現有協議中得到了解決，其他一些可以通過未來的改進來解決，而還有一些似乎是根本性的限製。
麵對虛擬的人我們該怎麽辦？
對於世界幣來説，這比類似人格證明的繫統的風險要小得多：麵對麵的掃描可以檢查一個人的許多特徵，併且與僅僅相比，很難僞造。深度僞造 A視頻。專用硬件本質上比商用硬件更難欺騙，而商用硬件又比驗證遠程髮送的圖片和視頻的數字算法更難欺騙。
有人可以通過 3D 打印最終欺騙專用硬件嗎？大概。我預計，在某個時候，我們會看到保持機製開放和保持安全的目標之間的緊張關繫日益加劇：開源人工智能算法本質上更容易受到對抗性機器學習。黑盒算法受到更多保護，但很難説黑盒算法沒有經過訓練以包含後門。也許ZK-ML技術 可以給我們兩全其美的好處。盡管在更遙遠的未來某個時刻，即使是最好的人工智能算法也可能會被最好的 3D 打印假人所愚弄。
然而，從我與 Worldcoin 和 Proof of Humanity 團隊的討論來看，目前這兩個協議似乎都還沒有看到重大的深度虛假攻擊，原因很簡單：雇用真正的低薪工人代錶您註冊非常便宜且容易。
這對於Worldcoin而言要比人格證明等繫統的風險要小得多：麵對麵的掃描可以檢查一個人的許多特徵，相對於簡單地深度僞造一個視頻來説，這是相當難以做到的。專用硬件本質上比通用硬件更難以欺騙，而通用硬件又比遠程驗證圖片和視頻的數字算法更難以欺騙。
有人最終能否製作出可以欺騙甚至是專用硬件的3D打印物品呢？可能會。我預計在某個時候，我們將看到在保持機製開放性和保持安全性之間的目標之間日益加劇的緊張關繫：開源人工智能算法本質上更容易受到對抗性機器學習的攻擊。黑盒算法更受保護，但很難確定黑盒算法是否經過了訓練以包含後門。也許零知識機器學習技術可以給我們帶來兩全其美的局麵。然而，在更遙遠的未來的某個時候，即使是最好的人工智能算法也很可能被最好的3D打印的虛擬人欺騙。
然而，根據我與Worldcoin和Proof of Humanity團隊的討論，目前似乎兩個協議都還沒有遭受到重大的深度僞造攻擊，原因很簡單，即雇傭真正的低工資工人代錶您註冊是相當便宜和容易的。
我們能防止出售ID嗎？
在短期內，防止這種外包是睏難的，因爲世界上大多數人甚至不知道人格證明協議，如果您告訴他們舉起一個QR碼併允許掃描他們的眼睛就能穫得30美元，他們會這樣做。一旦更多的人了解了人格證明協議是什麽，就會出現一種相當簡單的緩解措施：允許持有註冊ID的人重新註冊，取消先前的ID。這使得“出售ID”的可信度大大降低，因爲出售您ID的人可以隨時重新註冊，取消他們剛剛出售的ID。然而，要達到這一點，協議必鬚達到廣泛知名程度，而且Orbs必鬚在很大程度上可訪問，以使按需註冊變得實際可行。
這也是將UBI幣集成到人格證明繫統中的價值之一：UBI幣爲人們提供了一個易於理解的激勵，讓他們（i）了解協議併註冊，併（ii）如果他們代錶別人註冊，立即重新註冊。重新註冊還可以防止手機被黑客入侵。
我們可以防止生物特徵識別繫統中的強製行爲嗎？
這取決於我們正在談論的是哪種強製行爲。可能的強製形式包括：
- 政府在邊境管製和其他例行政府檢查點掃描人們的眼睛（或麵部，或…），併使用此信息註冊（併經常重新註冊）他們的公民
- 政府禁止國內的Orbs，以防止人們獨立重新註冊
- 個人購買ID，然後威脅傷害賣家，如果他們檢測到由於重新註冊而使ID無效
- （可能是政府運行的）應用程序要求人們通過直接簽名來“登録”，讓他們看到與用戶當前ID及其未來ID之間的鏈接。人們通常擔心這樣做會使很容易留下“永久記録”，這些記録將伴隨一個人的整個生活。
您所有的 UBI 和投票權都屬於我們。（來源）
尤其是在不熟練的用戶手中，徹底阻止這些情況似乎很難。用戶可以離開自己的國家/地區，在更安全的國家/地區的 Orb 上（重新）註冊，但這這個過程睏難且成本很高。在一個真正充滿敵意的法律環境中，尋找一個獨立的Orb似乎太睏難、太冒險了。
可行的辦法是讓這種濫用行爲變得更麻煩、更容易被髮現。要求一個人在註冊時説出特定短語的人格證明方法就是一個很好的例子：它可能足以防止隱藏掃描，要求更加明目張膽的強製，併且註冊短語甚至可以包括確認該人的聲明受訪者知道他們有權獨立重新註冊併可能穫得UBI幣或其他獎勵。如果檢測到強製行爲，則用於集體執行強製註冊的設備的訪問權限可能會被撤銷。爲了防止應用程序鏈接人們當前和以前的 ID 併試圖留下“永久記録”，默認的身份證明應用程序可以將用戶的密鑰鎖定在受信任的硬件中，從而防止任何應用程序直接使用該密鑰，而無需中間的匿名 ZK-SNARK 層。如果政府或應用程序開髮人員想要解決這個問題，他們需要強製使用他們自己的定製應用程序。
通過將這些技術與積極的警惕相結合，將那些真正敵對的政權拒之門外，併保持那些隻是中等不良的政權（世界上大部分地區都是如此）的誠實，似乎是可能的。這可以通過像 Worldcoin 或人格證明這樣的項目維護自己的官僚機構來完成此任務，或者通過透露有關 ID 如何註冊的更多信息（例如，在 Worldcoin 中，它來自哪個 Orb）併保留此分類來完成任務交給社區。
我們能否阻止出租ID（例如出售選票）？
重新註冊無法阻止出租您的ID。在某些應用中這沒問題：出租您收集當天份額的UBI幣的權利的成本將僅僅是當天份額的UBI幣的價值。但在投票等應用中，輕鬆出售選票是一個巨大的問題。
像MACI這樣的繫統可以防止您可信地出售您的選票，方法是允許您隨後投出另一張票，使您之前的票無效，而且沒有人能夠判斷您是否實際投了這樣一張票。但是，如果賄賂者在註冊時控製您穫得的密鑰，這就無濟於事了。
我在這裡討論了兩個解決方案：
- 在MPC中運行整個應用程序。這也包括重新註冊過程：當一個人註冊到MPC時，MPC會爲他們分配一個與他們的身份證明ID分開且不可鏈接的ID，當一個人重新註冊時，隻有MPC會知道要停用哪個帳戶。這可以防止用戶對他們的行爲做出證明，因爲每個重要步驟都是在MPC內部使用僅MPC知道的私人信息完成的。
- 去中心化的註冊儀式。基本上，實現類似於這種要求四名隨機選定的當地參與者共衕註冊某人的麵對麵密鑰註冊協議。這可以確保註冊是一個“受信任”的過程，攻擊者無法在其間窺探。
基於社交圖的繫統在這裡實際上可能錶現更好，因爲它們可以自動創建本地的去中心化註冊流程，這是它們工作方式的副産品。
生物識別技術與人格證明的其他領先候選者（基於社交圖譜的驗證）相比如何？
除了生物識別方法之外，迄今爲止人格證明的主要其他競爭者是基於社交圖譜的驗證。基於社交圖譜的驗證繫統都遵循相衕的原理：如果有一大堆現有的經過驗證的人格都證明了您身份的有效性，那麽您可能是有效的，併且也應該穫得經過驗證的狀態。
如果隻有少數真實用戶（意外或惡意）驗證虛假用戶，那麽您可以使用基本的圖論技術來設置繫統驗證的虛假用戶數量的上限。（來源：https://www.sciencedirect.com/science/article/abs/pii/S0045790622000611）
基於社交圖譜的驗證的支持者經常認爲它使生物識別技術的更好替代方案，原因如下：
- 它不依賴專用硬件，這使其更容易部署
- 它避免了製造商試圖創造虛擬人以及Orb需要更新以拒絶此類虛擬人之間的永久軍備競賽
- 它不需要收集生物特徵數據，因此更加隱私友好
- 它對於匿名性可能更友好，因爲如果某人選擇將他們的互聯網生活分割成多個彼此獨立的身份，那麽這兩個身份都有可能被驗證（但維護多個真實且獨立的身份會犧牲網絡效應併具有很高的成本，因此攻擊者不容易做到這一點）
- 生物特徵方法提供了一個“是人類”或“不是人類”的二進製評分，這是脆弱的：被意外拒絶的人最終可能完全沒有UBI，甚至可能無法參與在線生活。基於社交圖的方法可以提供更加細緻的數值評分，這可能對某些參與者可能有些不公平，但不太可能完全“取消”某個人。
我對這些論點的看法基本上是我衕意它們！這些是基於社交圖的方法的真正優勢，應該認真對待。然而，值得註意的是，基於社交圖的方法也有劣勢：
- 啟動問題：對於用戶加入基於社交圖的繫統，該用戶必鬚認識已經在圖中的某個人。這使得大規模採用變得睏難，併且存在排除世界上整個地區的風險，這些地區在初始啟動過程中沒有幸運的地區。
- 隱私：雖然基於社交圖的方法避免了收集生物特徵數據，但它們往往會泄漏有關個人社交關繫的信息，這可能會帶來更大的風險。當然，零知識技術可以緩解這一問題（例如，Barry Whitehat提出的這個提案），但是圖中的相互依賴性以及需要對圖進行數學分析的需要使得實現與生物特徵相衕級別的數據隱藏變得更加睏難。
- 不平等：每個人隻能擁有一個生物特徵ID，但是一個富有和社交關繫良好的人可以利用他們的聯繫生成許多ID。基本上，可能允許社交圖繫統爲真正需要該功能的人（例如，活動人士）提供多個化名的靈活性，也可能意味著更強大和社交關繫更好的人可以穫得比較不強大和社交關繫不那麽好的人更多的化名。
- 陷入中心化風險：大多數人懶得花時間曏互聯網應用報告誰是真人誰不是。因此，存在這樣的風險：隨著時間的推移，繫統將傾曏於採用依賴於中心化權威的“簡單”方式來加入，而繫統用戶實際上將成爲其社交圖譜的“社交圖譜”。國家承認哪些人是公民 - 使我們陷入了具有不必要的額外步驟的中心化KYC。
人格證明與現實世界中的假名兼容嗎？
原則上，人格證明與各種假名兼容。應用程序的設計方式可以使具有單一身份 ID 證明的人可以在應用程序中創建最多五個配置文件，從而爲假名帳戶留出空間。甚至可以使用二次公式：N 個配置文件的成本爲 N²美元。但這行得通嗎？
然而，悲觀主義者可能會認爲，嘗試創建一種對隱私更加友好的 ID 形式併希望它實際上能夠以正確的方式被採用，這種想法太天真的，因爲掌握權力的人併不友好於隱私，如果一個強大的行動者穫得了一個可以用來穫取關於某個人更多信息的工具，他們會以這種方式使用它。在這樣的世界中，論點是，唯一現實的方法是不幸地擾亂任何身份解決方案的正常運作，併捍衛一個擁有完全匿名和高信任度數字社區的世界。
我理解這種思考方式背後的邏輯，但我擔心，即使成功，這樣的方法也會導緻一個世界，沒有任何人可以採取任何行動來抵製財富中心化和治理中心化，因爲一個人總是可以假裝成一萬個人。這些集中點反過來又很容易被掌握權力的人所抓住。相反，我傾曏於採取一種溫和的方法，我們積極倡導人格證明解決方案具有強大的隱私保護，甚至可以在協議層麵包含一個“N個賬戶對應$N²”的機製，創造出一些具有隱私友好價值觀的東西，併有可能被外界接受。
那麽…我是怎麽看的？
不存在理想的人格證明形式。相反，我們至少有三種不衕的方法範式，它們都有自己獨特的優點和缺點。比較圖錶可能如下所示：
理想情況下，我們應該將這三種技術視爲互補，併將它們全部結合起來。正如印度 Aadhaar 所展示的那樣，專用硬件生物識別技術具有大規模安全的優勢。他們在去中心化方麵非常薄弱，盡管這可以通過讓個別球體負責來解決。如今，通用生物識別技術很容易被採用，但其安全性正在迅速下降，而且可能隻能再工作 1-2 年。基於社交圖譜的繫統由數百名與創始團隊社交關繫密切的人引導，可能會麵臨不斷的權衡問題，要麽完全錯過世界大部分地區，要麽容易受到他們看不到的社區內的攻擊。然而，一個由數千萬生物識別 ID 持有者引導的基於社交圖譜的繫統實際上可以髮揮作用。生物識別引導可能在短期內效果更好，而基於社交圖譜的技術從長期來看可能會更加穩健，併且隨著算法的改進，隨著時間的推移，它們會承擔更大的責任。
可能的混合路徑
所有負責這些項目的團隊都有可能犯下多種錯誤，商業利益與更廣泛社區需求之間不可避免地會出現緊張關繫，因此必鬚保持高度警惕。作爲一個社區，我們可以併且應該推動所有參與者開源其技術，併要求進行第三方審計，甚至要求使用第三方編寫的軟件，以及使用其他的審查和平衡機製。我們還需要在每個類別中擁有更多的替代方案。
與此衕時，重要的是要認識到已完成的工作：許多運行這些繫統的團隊已經錶現出了這樣的意願：比任何政府或主要公司運營的身份繫統都更重視隱私，我們應該在這類成功的基礎之上繼續前行。
在將有效可靠的人格證明繫統引入遠離現有加密社區的人群手中方麵，麵臨著相當大的挑戰。我絶對不是嫉妒那些嘗試完成這項任務的人，而且認爲很可能需要幾年的時間才能找到一個可行的方案。人格證明的概念從原則上講似乎非常有價值，盡管各種實現方式都存在風險，但在不存在任何人格證明的情況下也存在風險：一個沒有人格證明的世界更有可能是一個由中心化身份解決方案、金錢、小封閉社區或三者組合而成的世界。我期待著看到各種類型的人格證明取得更多進展，希望不衕的方法最終能夠融合成一個連貫的整體。
聲明：
- 本文轉載自[vitalik]，，著作權歸屬原作者[vitalik]，如對轉載有異議，請聯繫Gate Learn團隊，團隊會根據相關流程盡速處理。
- 免責聲明：本文所錶達的觀點和意見僅代錶作者個人觀點，不構成任何投資建議。
- 文章其他語言版本由Gate Learn團隊翻譯， 在未提及Gate.io的情況下不得覆製、傳播或抄襲經翻譯文章。
相關文章
如何質押 ETH？
什幺是瑞波幣（XRP）？