Vitalik 長文：我對 Worldcoin 和人身證明的看法

原文鏈接：

https://vitalik.eth.limo/general/2023/07/24/biometric.html

以太坊社區的人們一直在嘗試構建一種去中心化的人身證明解決方案，這可能是較為棘手的，但也可能是最有價值的工具之一。人身證明，也稱為“唯一人類問題”，是一種有限的現實世界身份驗證，用於確認特定的注冊账戶是由真實個人控制的（並且這個真實人類與其他所有注冊账戶中的人類不同），理想情況下，它不會揭示這是哪個真實的人。

已有一些努力嘗試解決這個問題：人類證明（Proof of Humanity），BrightID，Idena 和 Circles 就是例子。其中一些自帶他們自己的應用（通常是一個 UBI Token），並且有些已經在 Gitcoin Passport 中得到應用，以驗證哪些账戶對於二次投票有效。像 Sismo 這樣的零知識技術為許多這些解決方案提供了隱私保護。最近，我們見證了一個更大，更有野心的人身證明項目的興起：Worldcoin。

Worldcoin 由 Sam Altman 共同創立，他最為人知的身份是 OpenAI 的 CEO。這個項目背後的理念很簡單：AI 將為人類創造大量的豐富性和財富，但它也可能消滅很多人的工作，甚至讓我們幾乎無法分辨出誰是人，是否是機器人，所以我們需要通過（i）創建一個非常好的人身證明系統，以便人類可以證明他們確實是人類，以及（ii）給每個人提供 UBI。Worldcoin 的獨特之處在於它依賴高度復雜的生物識別技術，使用一種名為“Orb”的專業硬件掃描每個用戶的虹膜。

他們的目標是生產大量這樣的 Orb，並將它們廣泛分布到世界各地的公共場所，使任何人都能輕松獲得 ID。值得贊揚的是，Worldcoin 也承諾隨着時間的推移逐步實現去中心化。最初，這意味着技術上的去中心化：成為使用 Optimism 技術棧的以太坊 L2，並使用 ZK-SNARKs 和其他加密技術保護用戶隱私。隨後，包括去中心化系統本身的治理。

Worldcoin 因其 Orb 的隱私和安全問題、其"通證"的設計問題，以及公司做出的一些選擇的道德問題受到了批評。一些批評非常具體，專注於該項目做出的決定，這些決定本可以以另一種方式做出——實際上， Worldcoin 項目本身可能愿意改變。然而，其他人則提出了更為根本的問題，即生物特徵——不僅是 Worldcoin 的眼部掃描生物特徵，還包括人類證明和 Idena 中使用的更簡單的面部視頻上傳和驗證遊戲——是否真的是個好選擇。還有一些人批評人身證明本身。風險包括不可避免的隱私泄露，進一步侵蝕人們在互聯網上匿名瀏覽的能力，被專制政府強迫，以及在保證安全的同時實現去中心化可能無法實現。

這篇文章將討論這些問題，並通過一些論點幫助你決定是否在我們的新的球形主宰者面前低頭並掃描你的眼睛（或面部，或聲音，等等）是個好選擇，以及是否自然的替代品——使用基於社交圖的人身證明或完全放棄人身證明——會更好。

什么是人身證明，為什么它重要？

定義人身證明系統的最簡單方法是：它創建了一個公鑰列表，系統保證每個公鑰都由一個獨特的人類控制。換句話說，如果你是人類，你可以在列表上放一個密鑰，但你不能放兩個密鑰，如果你是機器人，你不能在列表上放任何密鑰。

人身證明之所以有價值，是因為它以避免依賴於中心化權威並盡可能少地揭示信息的方式解決了許多人面臨的反垃圾郵件和反權力集中問題。如果人身證明沒有得到解決，去中心化治理（包括像社交媒體帖子投票這樣的“微治理”）將更容易被非常富有的行動者，包括敵對政府所控制。許多服務只能通過設定訪問價格來防止拒絕服務攻擊，而有時候，足以排除攻擊者的價格也對許多低收入的合法用戶來說過高。

今天世界上許多主要應用都通過使用政府支持的身份系統，如信用卡和護照，來處理這個問題。這解決了問題，但它對隱私做出了巨大甚至可能是無法接受的犧牲，並且可以輕易地被政府自身攻擊。

許多人身證明支持者看到我們面臨的雙面風險

在許多人身證明項目中——不僅僅是 Worldcoin，還包括人類證明、Circles 等——"旗艦應用"是內置的"每人 N 個通證"（有時被稱為"UBI 通證"）。在系統中注冊的每個用戶每天（或每小時，每周）都會收到一定數量的通證。但還有許多其他應用：

● 空投 token 分配

● 向不太富裕的用戶提供更優惠條款的 token 或 NFT 銷售

● 在 DAOs 中進行投票

● 初始化圖形化聲譽系統的方式

● 二次投票（以及資金和注意力支付）

● 在社交媒體中防止機器人/女巫攻擊

● 防止 DoS 攻擊的驗證碼的替代品

在許多這樣的情況下，共同的主題是創造开放和民主的機制，避免項目運營者的中心化控制和其最富有用戶的主導地位。後者在去中心化治理中尤為重要。在許多這樣的情況下，現有的解決方案今天依賴於某種組合：(i) 高度不透明的 AI 算法，留下大量的空間，對運營者不喜歡的用戶進行不可檢測的歧視，和(ii) 中心化的身份，也就是"KYC"。有效的人身證明解決方案將是一個更好的選擇，實現那些應用需要的安全屬性，而不會陷入現有中心化方法的陷阱。

人身證明的一些早期嘗試是什么？

人身證明有兩種主要形式： 基於社交圖譜的和生物特徵的。 基於社交圖譜的人身證明依賴於某種形式的證明：如果 Alice、Bob、Charlie 和 David 都是經過驗證的人類，他們都說 Emily 是經過驗證的人類，那么 Emily 可能也是經過驗證的人類。證明通常通過激勵機制來增強：如果 Alice 說Emily是人類，但結果發現她不是，那么 Alice 和 Emily 可能都會受到懲罰。生物特徵的人身證明涉及到驗證 Emily 的某種物理或行為特性，這種特性區分了人類與機器人（以及各個人類之間的區別）。大多數項目使用這兩種技術的結合。

我在文章开頭提到的四種系統大致如下：

● 人類證明 （Proof of Humanity）：你上傳自己的視頻，並提供押金。要獲得批准，一個現有的用戶需要為你擔保，並且需要經過一段時間，你可以在這段時間內被挑战。如果有挑战，Kleros 的去中心化法庭會決定你的視頻是否真實；如果不是，你將失去你的押金，挑战者會得到獎勵。

● BrightID ：你與其他用戶一起參加一個視頻通話"驗證派對"，在那裏每個人都驗證對方。通過 Bitu，你可以獲得更高級別的驗證，只要有足夠多的其他 Bitu 驗證過的用戶為你擔保。

● Idena ：你在特定的時間點玩一個驗證碼遊戲（以防止人們多次參與）；驗證碼遊戲的一部分包括創建和驗證將用於驗證他人的驗證碼。

● Circles ：一個現有的 Circles 用戶為你擔保。Circles 獨特之處在於它不試圖創建一個"全球可驗證的 ID"；相反，它創建了一個信任關系圖，其中某人的可信度只能從你在該圖中的位置來驗證。

Worldcoin 的運作方式是什么？

每個 Worldcoin 用戶都在他們的手機上安裝一個應用程序，該應用程序生成一個私鑰和公鑰，就像一個以太坊錢包一樣。然後，他們親自去訪問一個"Orb"。用戶盯着 Orb 的攝像頭，同時向 Orb 展示由他們的 Worldcoin 應用程序生成的二維碼，該二維碼包含他們的公鑰。Orb 掃描用戶的眼睛，並使用復雜的硬件掃描和機器學習分類器來驗證：

1. 用戶是一個真實的人

2. 用戶的虹膜與之前使用過系統的任何其他用戶的虹膜不匹配

如果兩個掃描都通過，Orb 將籤署一個批准用戶虹膜掃描的特殊哈希的消息。這個哈希被上傳到一個數據庫——目前是一個中心化的服務器，一旦他們確信哈希機制有效，就會被替換為一個去中心化的鏈上系統。系統不存儲完整的虹膜掃描；它只存儲哈希，並使用這些哈希來檢查唯一性。從那時起，用戶就擁有了一個"World ID"。

一個 World ID 持有者能夠證明他們是一個獨特的人，通過生成一個 ZK-SNARK 證明他們持有對應數據庫中一個公鑰的私鑰，而不需要揭示他們持有哪個密鑰。因此，即使有人重新掃描你的虹膜，他們也無法看到你已經採取的任何行動。

Worldcoin 的構造存在哪些主要問題？

有四個主要的風險立即浮現在心頭：

● 隱私。 虹膜掃描的注冊表可能會泄露信息。至少，如果有人掃描了你的虹膜，他們可以將其與數據庫進行對比，以確定你是否擁有一個 World ID。虹膜掃描可能會揭示更多信息。

● 可訪問性。 除非有這么多的 Orbs，任何人在世界任何地方都可以輕松到達一個，否則 World IDs不會可靠地可訪問。

● 中心化。 Orb 是一種硬件設備，我們無法驗證它是否正確構造，是否沒有後門。因此，即使軟件層完美且完全去中心化，Worldcoin 基金會仍然有能力在系統中插入一個後門，讓它可以創建任意多的假人類身份。

● 安全性。 用戶的手機可能會被黑客攻擊，用戶可能會被強迫掃描他們的虹膜，同時顯示屬於別人的公鑰，還有可能 3D 打印"假人"，通過虹膜掃描，獲取 World IDs。

重要的是要區分(i) Worldcoin 特定選擇的問題，(ii)任何生物識別的人身證明都不可避免存在的問題，和(iii)任何人身證明都會存在的問題。 例如，注冊 Proof of Humanity 意味着在互聯網上公布你的臉。參加一個BrightID驗證派對並不完全是那樣，但仍然會向很多人暴露你是誰。加入Circles會公开暴露你的社交圖譜。在這些方面，Worldcoin 在保護隱私方面比其他任何一個都要好得多。另一方面，Worldcoin 依賴於專用硬件，這帶來了信任 orb 制造商正確構造 orb 的挑战——這個挑战在 Proof of Humanity、BrightID 或 Circles 中沒有類似的。甚至可以想象，在未來，可能有人會創建一個與 Worldcoin 不同的專用硬件解決方案，這將有不同的權衡。

生物識別人證系統如何解決隱私問題？

任何人證系統最明顯，也是最大的，可能的隱私泄露就是將每個人的行為與現實世界的身份聯系起來。這種數據泄露非常大，可以說是無法接受的大，但幸運的是，它可以用零知識證明技術很容易解決。用戶可以生成一個 ZK-SNARK，證明他們擁有數據庫中某個公鑰對應的私鑰，而不用揭示他們具有哪個特定的密鑰，而不是直接用數據庫中對應公鑰的私鑰籤名。這可以使用像 Sismo 這樣的工具通用地完成（請參閱這裏的 Proof of Humanity 特定實現），而 Worldcoin 有其自己的內置實現。 在這裏，值得給“加密原生”的人身證明系統點個贊：他們實際上關心採取這一基本步驟來提供匿名化，而幾乎所有的中心化身份解決方案都沒有。

一個更加微妙但仍然重要的隱私泄露是僅僅存在一個生物特徵掃描的公共注冊表。在 Proof of Humanity 的情況下，這是很多數據：你得到每個 Proof of Humanity 參與者的視頻，這讓世界上任何愿意調查的人都很清楚 Proof of Humanity 參與者都是誰。在 Worldcoin 的情況下，泄漏更有限：Orb 只在本地計算並發布每個人虹膜掃描的"哈希"。這個哈希並不是像 SHA256 那樣的常規哈希；相反，它是一個基於機器學習的 Gabor 濾波器的專用算法，處理了任何生物識別掃描中固有的不准確性，並確保對同一人的虹膜連續取得的哈希有類似的輸出。

藍色：同一人虹膜兩次掃描之間的差異位的百分比。橙色：兩個不同人虹膜兩次掃描之間的差異位的百分比。

這些虹膜哈希只泄漏了少量的數據。如果一個對手可以強行（或祕密地）掃描你的虹膜，那么他們可以自己計算你的虹膜哈希，並將其與虹膜哈希數據庫進行對比，以查看你是否參與了該系統。這種檢查某人是否注冊的能力是系統本身防止人們多次注冊所必需的，但總有可能被某種方式濫用。此外，還有可能虹膜哈希泄露一些醫療數據（性別，種族，可能的醫療狀況），但這種泄露遠小於今天使用的幾乎任何其他大規模數據收集系統所能捕獲的（例如，甚至是街頭攝像頭）。總的來說，我認為存儲虹膜哈希的隱私性似乎足夠。

如果有人不同意這個判斷，決定設計一個具有更多隱私的系統，那么有兩種方法可以做到：

1. 如果虹膜哈希算法可以改進，使同一人兩次掃描之間的差異更小（例如，可靠地低於 10% 的位翻轉），那么系統可以存儲較少數量的虹膜哈希的糾錯位（參見：模糊提取器）而不是存儲完整的虹膜哈希。如果兩次掃描之間的差異低於 10%，那么需要發布的位數至少會少 5 倍。

2. 如果我們想走得更遠，我們可以將虹膜哈希數據庫存儲在一個多方計算（MPC）系統中，該系統只能由 Orb（有速率限制）訪問，使數據完全無法訪問，但是需要承擔顯著的協議復雜性和管理 MPC 參與者集合的社會復雜性。這將有一個好處，即用戶即使想要也無法證明他們在不同時間擁有的兩個不同的 World ID 之間的關聯。

不幸的是，這些技術不適用於 Proof of Humanity，因為 Proof of Humanity 要求每個參與者的完整視頻公开可用，以便在出現僞造跡象（包括 AI 生成的僞造）時可以提出挑战，並在此類情況下進行更詳細的調查。

總的來說，盡管盯着一個 Orb 並讓它深入掃描你的眼球的行為有着“反烏托邦的氣息”，但專門的硬件系統似乎確實可以做得很好地保護隱私。然而，這的另一面是，專門的硬件系統引入了更大的中心化問題。因此，我們這些密碼朋克似乎陷入了困境：我們必須在兩個深深扎根的密碼朋克價值觀之間進行權衡。

生物識別人證系統中的可訪問性問題是什么？

專門的硬件引入了可訪問性問題，因為專門的硬件並不是很容易獲得。現在，撒哈拉以南非洲人口中有 51% 到 64% 的人擁有智能手機，預計到 2030 年這個數字將增加到 87%。但是，雖然有數十億的智能手機，但只有幾百個 Orbs。即使有更高規模的分布式制造，也很難實現讓每個人的五公裏範圍內都有一個 Orb 的世界。

但是值得贊揚的是，他們的團隊一直在努力！

也值得注意的是，許多其他形式的人證系統的可訪問性問題甚至更糟。除非你已經認識某個已經在社交圖譜中的人，否則很難加入一個基於社交圖譜的人證系統。這使得這樣的系統很容易僅限於一個國家的一個社區。

即使是中心化的身份系統也得出了這個教訓：印度的 Aadhaar ID 系統是基於生物識別的，因為這是快速吸納其龐大的人口而避免重復和虛假账戶造成的大規模欺詐（從而節省了巨額成本）的唯一方式，盡管如此，從整體上看，Aadhaar 系統在隱私保護方面遠不如加密社區大規模提議的任何事物。

從可訪問性的角度看，表現最好的系統實際上是像 Proof of Humanity 這樣的系統 ，你只需要使用智能手機就可以注冊 ，不過正如我們將看到的，這樣的系統帶來了各種其他的權衡。

生物識別人證系統中的中心化問題是什么？

有三種：

(1)系統的最高級別治理存在集中化風險（尤其是在系統中不同參與者對主觀判斷存在分歧時，該系統做出最終的最高級別決議）。

(2)使用專用硬件的系統獨有的中心化風險。

(3)使用專有算法來確定誰是真實參與者的中心化風險。

任何人證系統都必須應對（1），除非系統中的"接受"的 ID 完全是主觀的。如果一個系統使用外部資產（例如 ETH、USDC、DAI）來定價的激勵，那么它就不能完全是主觀的，所以治理風險就不可避免。

對於 Worldcoin 來說，（2）比 Proof of Humanity（或 BrightID）的風險要大得多，因為Worldcoin依賴於專門的硬件，而其他系統則不是。

（3）是"邏輯中心化"系統中的一個特別的風險，這種系統有一個單一的系統進行驗證，除非所有的算法都是开源的，並且我們有保證他們實際運行的是他們聲稱的代碼。對於完全依賴用戶驗證其他用戶的系統（如 Proof of Humanity），這並不是一個風險。

Worldcoin 如何解決硬件中心化問題？

目前，一個名為 Tools for Humanity 的與 Worldcoin 關聯的實體是唯一制造 Orbs 的組織。然而，Orb 的源代碼大部分是公开的：你可以在這個 github 儲存庫中看到硬件規格，其他部分的源代碼預計很快也會公布。它的許可證是另一種“共享源碼但在四年後才算技術上的开源”許可證，類似於 Uniswap BSL，除了防止分叉外，它還防止了他們認為的不道德行為 - 它們特別列出了大規模監視和三項國際人權宣言。

團隊的明確目標是允許並鼓勵其他組織制造 Orbs，隨着時間的推移，從由 Tools for Humanity 制造 Orbs 過渡到擁有某種 DAO，該 DAO 批准並管理哪些組織可以制造系統認可的 Orbs。

這種設計可能會以兩種方式失敗：

1. 它未能真正去中心化。 這可能是因為聯合協議的常見陷阱：一個制造商在實踐中佔據主導地位，導致系統重新中心化。大概來說，治理可以限制每個制造商可以生產多少有效的 Orbs，但這需要謹慎管理，而且對治理的壓力很大，要求其既去中心化又能有效監控生態系統並有效應對威脅：這比例如一個只處理頂級爭議解決任務的相當靜態的 DAO 要困難得多。

2. 可能無法制造這樣一個分散的制造機制來保證安全。 在這裏，我看到兩個風險：

● 對壞 Orb 制造商的脆弱性 ：如果有一個 Orb 制造商是惡意的或者被黑客攻擊，它可以生成無限數量的虛假虹膜掃描哈希，並給它們賦予 World ID。

● 政府對 Orbs 的限制 ：不希望其公民參與 Worldcoin 生態系統的政府可以禁止他們的國家使用 Orbs。更進一步，他們甚至可以強迫公民接受虹膜掃描，讓政府獲取他們的账戶，而公民無法應對。

為了使系統更能抵抗壞 Orb 制造商，Worldcoin 團隊提出對 Orbs 進行定期審計，驗證它們是否正確構建，關鍵的硬件組件是否按照規格構建，是否在事後被篡改。這是一個具有挑战性的任務：這基本上就像是 IAEA 核檢查機構，但是針對 Orbs。我們希望即使是一個非常不完美的審計制度，也可以大大減少假 Orbs 的數量。

為了限制任何滑過防线的壞 Orb 造成的傷害，有必要有第二種緩解措施。 使用不同 Orb 制造商注冊的 World ID，理想情況下，使用不同的 Orbs，應該是可以互相區分的。 如果這些信息是私密的，只儲存在 World ID 持有者的設備上，這是可以接受的；但這確實需要在需要的時候可以證明。這使得生態系統能夠對（不可避免的）攻擊進行反應，可以根據需要隨時將單個 Orb 制造商，甚至單個 Orbs，從白名單中移除。如果我們看到朝鮮政府四處逼迫人們掃描眼球，那些Orbs和由它們產生的任何账戶都可以立即被追溯性地禁用。

一般人身證明中的安全問題

除了特定於 Worldcoin 的問題，還有一些影響整個證明身份設計的問題。我能想到的主要問題有：

● 3D 打印的假人：人們可以使用 AI 生成足夠真實以被 Orb 軟件接受的假人的照片或甚至 3D 打印品。如果有一個團體這么做，他們可以生成無限數量的身份。

● 可能會出售 ID：在注冊時，人們可以提供別人的公鑰而不是自己的公鑰，這樣就將他們注冊的 ID 的控制權交給了別人，換取金錢。這種情況似乎已經在發生。除了出售，還有可能短時間內將ID租用給一個應用程序。

● 手機黑客攻擊：如果一個人的手機被黑客攻擊，黑客可以竊取控制其 World ID 的密鑰。

● 政府強制竊取 ID：一個政府可以強制其公民在顯示屬於政府的二維碼的同時進行驗證。這樣，惡意的政府可以獲得數以百萬計的 ID。在生物識別系統中，甚至可以祕密地進行這種操作：政府可以使用模糊的 Orbs 從護照控制亭進入他們國家的每個人那裏提取 World ID。

第一點特定於生物識別證明身份系統。第二和第三點在生物識別和非生物識別設計中都很常見。第四點也在兩者中都很常見，盡管在兩種情況下所需的技術會有很大的不同；在這一節中，我將重點討論生物識別情況下的問題。

這些都是非常嚴重的弱點。一些已經在現有的協議中得到解決，其他一些可以通過未來的改進來解決，還有一些看起來是基本的限制。

如何應對假人？

對於 Worldcoin 來說，這比對於 Proof of Humanity 類似的系統來說風險要小得多：一個人的現場掃描可以檢查一個人的許多特徵，而且相比於僅僅深度僞造一個視頻，這是相當難以僞造的。專業化的硬件本質上比普通硬件更難以欺騙，而普通硬件又比遠程發送的圖片和視頻的數字算法驗證更難以欺騙。

有人能否最終 3D 打印出可以欺騙專業化硬件的東西呢？可能性很大。我預計在某個時點，我們會看到在保持機制的开放性和安全性之間的緊張關系增長：开源 AI 算法本質上更容易受到對抗性機器學習的攻擊。黑箱算法受到的保護更多，但很難確認黑箱算法是否沒有被訓練來包含後門。也許零知識機器學習技術能夠給我們兩全其美。不過，在更遙遠的未來，最好的 AI 算法很可能會被最好的 3D 打印假人欺騙。

然而，從我與 Worldcoin和Proof of Humanity 團隊的討論中，看起來在目前的時刻，由於僱傭真實的低工資工人代表你注冊非常便宜且容易，所以這兩個協議都還沒有遇到顯著的深度僞造攻擊。

我們能阻止出售 ID 嗎？

短期內，防止這種類型的外包是困難的，因為世界上大多數人甚至都不了解證明身份協議，如果你告訴他們拿起一個二維碼，掃描他們的眼睛，他們可以得到 30 美元，他們會這么做。一旦有更多的人了解什么是證明身份協議，一個相當簡單的緩解方法就變得可能： 允 許已經注冊 ID 的人重新注冊，取消之前的 ID。 這使得" ID 銷售"的可信度大大降低，因為賣你他們 ID 的人可以去重新注冊，取消他們剛剛賣的 ID。然而，達到這一點需要該協議被廣泛認知，並且 Orbs 要非常容易獲取以使得即時注冊成為可能。

這就是為什么將 UBI Token 整合到證明身份系統中是有價值的一個原因： UBI Token 為人們提供了一個容易理解的激勵，使他們(i) 學習這個協議並報名參加，並且(ii) 如果他們代表其他人注冊，他們會立即重新注冊。 重新注冊也可以防止手機被黑客攻擊。

我們可以防止生物特徵識別系統中的強制行為嗎？

這取決於我們正在談論的是什么類型的脅迫。可能的脅迫形式包括：

● 政府在邊境控制和其他常規政府檢查點掃描人們的眼睛（或面孔，或...），並使用此來注冊（並頻繁重新注冊）他們的公民

● 政府在國內禁止 Orbs 以阻止人們獨立重新注冊

● 個人購买 ID，然後威脅他們，如果他們發現由於重新注冊導致他們的ID被無效化，他們就會受到傷害

●（可能由政府運行的）應用要求人們通過直接使用他們的公鑰進行"籤名"來"登錄"，讓他們看到相應的生物特徵掃描，從而看到用戶當前 ID 和他們通過重新注冊獲得的任何未來 ID 之間的鏈接。人們普遍擔心，這會讓創建一個伴隨一個人一生的"永久記錄"變得太容易。

所有的 UBI 和投票權都歸我們所有

對於不太熟練的用戶來說，這種情況似乎很難徹底阻止。用戶可以離开他們的國家到一個更安全的國家的 Orb（重新）注冊，但這是一個困難的過程和高成本。在一個真正敵對的法律環境下，尋找一個獨立的 Orb 似乎太困難和風險了。

可行的是使這種濫用更麻煩且更容易被檢測。 Proof of Humanity 的方法，要求一個人在注冊時說出一個特定的短語，就是一個很好的例子：它可能足夠阻止隱藏的掃描，需要脅迫更為明顯，並且注冊短語甚至可以包括一條聲明，確認答復者知道他們有權獨立重新注冊，並可能獲得 UBI 硬幣或其他獎勵。如果檢測到脅迫，用於大規模進行強制注冊的設備可能會被撤銷訪問權。為了防止應用鏈接人們當前和以前的 ID 並試圖留下"永久記錄"，默認的人身證明應用可以將用戶的密鑰鎖在可信硬件中，防止任何應用在沒有匿名化的 ZK-SNARK 層介入的情況下直接使用該密鑰。如果政府或應用开發者想要繞過這一點，他們將需要強制使用他們自己的定制應用。

通過這些技術的結合和積極警惕，將那些真正敵對的政權鎖定在外，並使那些只是中等糟糕（如世界上大部分）的政權保持誠實，似乎是可能的。這可以通過像 Worldcoin 或 Proof of Humanity 這樣的項目維護其自身的這項任務的官僚機構來完成，或者通過揭示更多關於 ID 是如何注冊的信息（例如在 Worldcoin 中，它來自哪個 Orb），並將這項分類任務交給社區來完成。

我們可以防止租用 ID（例如出售選票）嗎？

通過重新注冊並不能阻止你將你的 ID 出租。在某些應用中，這是可以接受的：你出租你當天的 UBI Token 份額的權利的成本就是當天 UBI Token 的價值。但在諸如投票這樣的應用中，輕易地賣出投票權是一個巨大的問題。

像 MACI 這樣的系統可以防止你可信地出售你的投票權，方法是允許你稍後投出另一張票，使你之前的票無效，這樣做的方式是讓沒有人能知道你是否真的投了這樣一票。然而，如果行賄者控制你在注冊時獲得的密鑰，這並沒有幫助。

我在這裏看到兩種解決方案：

1. 在一個多方計算（MPC）中運行整個應用。 這也包括了重新注冊過程：當一個人注冊到 MPC 時，MPC 會為他們分配一個與他們的人身證明 ID 分離的、不能鏈接到的 ID，當一個人重新注冊時，只有 MPC 會知道哪個账戶需要停用。這防止了用戶對他們的行為進行證明，因為每一個重要的步驟都是在 MPC 中使用只有 MPC 知道的私有信息完成的。

2. 去中心化的注冊儀式。 基本上，實現類似於這種需要四個隨機選定的本地參與者共同工作才能注冊某人的現場密鑰注冊協議。這可以確保注冊是一個"可信任"的過程，攻擊者不能在其中偷聽。

基於社交圖譜的系統在這裏可能會表現得更好，因為它們可以自動地創建本地的去中心化注冊過程，作為它們工作方式的一個副產品。

生物特徵識別與另一種主要的人身證明方式——基於社交圖譜的驗證，相比如何？

除生物識別方法外，目前對於人身證明的主要競爭者還有基於社交圖譜的驗證。基於社交圖譜的驗證系統都遵循同樣的原理：如果有一大群已經被驗證的身份證明你的身份是有效的，那么你很可能是有效的，並且應該也獲得驗證的身份。

如果只有幾個真實用戶（無論是偶然還是惡意）驗證了假用戶，那么你就可以使用基本的圖論技術來確定系統驗證的假用戶的上限。

基於社交圖譜驗證的支持者通常會將其描述為比生物識別更好的替代方案，原因有幾個：

● 它 不依賴於特殊的硬件 ，使得部署更容易

● 它避免了制造商試圖創建假人和 Orb 需要更新以拒絕這種假人之間的 永久性競爭

● 它 不需要收集生物識別數據 ，使其更有利於隱私保護

● 它可能 更友好地支持使用化名 ，因為如果有人選擇將他們的網絡生活分散到他們相互保持獨立的多個身份上，那么這些身份都有可能被驗證（但是，維護多個真實且獨立的身份會犧牲網絡效應，並且成本高昂，所以攻擊者不可能輕易做到這一點）

● 生物識別方法給出一個二元的"是人類"或"不是人類"的評 分 ，這是脆弱的：被誤判拒絕的人可能會完全沒有 UBI，甚至可能沒有參與在线生活的能力。 基於社交圖的方法可以給出一個更細膩的數值評分 ，這可能對一些參與者來說不公平，但不太可能完全"消除"一個人。

關於這些論點，我的觀點是我大部分同意！這些是基於社交圖譜方法的真實優點，應該被重視。然而，也值得考慮基於社交圖譜方法的弱點：

● 引導：對於一個用戶來說，要加入一個基於社交圖譜的系統，那么這個用戶必須認識已經在圖譜中的某個人。這使得大規模的採用變得困難，並且有可能排除那些在最初的啓動過程中不走運的全球的地區。

● 隱私：盡管基於社交圖的方法避免了收集生物識別數據，但它們常常泄露關於一個人的社交關系的信息，這可能導致更大的風險。當然，零知識技術可以緩解這個問題（例如，參見 Barry Whitehat 的這個提議），但是圖中的互依性和需要對圖譜進行數學分析使得實現與生物識別相同的數據隱藏級別變得更困難。

● 不平等：每個人只能有一個生物識別 ID，但一個富有和社交關系廣泛的人可以利用他們的關系生成多個 ID。本質上，同樣的靈活性可能允許一個基於社交圖譜的系統給某個（比如激進分子）真正需要這個功能的人多個化名，但更有可能的是，更有權力和更有社交關系的人可以獲得比較少的人更多的化名。

● 陷入中心化的風險：大多數人都太懶，不愿意花時間在一個互聯網應用中報告誰是真人，誰不是。因此，有風險的是，系統將隨着時間的推移，更傾向於依賴中心化的權威的"簡單"入門方法，而系統用戶的"社交圖"實際上將變成哪些國家承認哪些人為公民——給我們帶來了集中的 KYC，但是需要額外的步驟。

人身證明與現實世界中的假名兼容嗎？

原則上，人身證明與各種化名都是兼容的。應用程序可以設計成這樣的方式：一個擁有單一的人身證明 ID 的人可以在應用程序中創建多達五個個人資料，留下空間用於化名账戶。人們甚至可以使用二次公式：$N² 的成本用於 N 個账戶。但他們會這樣做嗎？

然而，悲觀主義者可能會認為，試圖創建一個更加注重隱私的身份識別方式並希望它能夠以正確的方式被採用是天真的，因為權力者並不關心隱私，如果一個強大的行動者有一個可以用來獲取一個人更多信息的工具，他們會這樣做。在這樣的世界中，這個論點認為，唯一現實的方法，遺憾的是，要破壞任何身份識別解決方案，並捍衛一個完全匿名和數字化的高信任社區島嶼的世界。

我理解這種思維方式背後的原理，但我擔心這種方法即使成功，也會導致一個世界，其中沒有任何方式可以做任何事情來反對財富集中和治理中心化，因為一個人總是可以假裝是一萬個人。反過來，這樣的中心化點將很容易被權力者掌控。相反，我更傾向於一個適度的方法，我們應該大力倡導人身證明解決方案具有強大的隱私性，可能如果需要甚至在協議層面包括一個"$N² 的成本用於 N 個账戶"的機制，並創建一個符合隱私友好價值觀並有機會被外界接受的東西。

那么...我覺得怎么樣？

在人身證明的問題上，並沒有理想的形式。相反，我們有至少三種不同的方法，每種都有其獨特的優點和缺點。對比圖可能如下所示：

理想情況下，我們應該把這三種技術視為互補，並將它們全部結合起來。 正如印度的 Aadhaar 在 大規模上所展示的，專用硬件生物特徵具有在大規模上保護安全的好處。它們在去中心化方面非常弱，盡管可以通過對個體 Orb 進行問責來解決這個問題。一般目的生物特徵可以很容易地在今天被採用，但他們的安全性正在迅速減弱，他們可能只能在未來 1-2 年內工作。以社交圖為基礎的系統從與創始團隊社交關系密切的幾百人开始引導，可能會面臨完全錯過世界大部分地方和在他們無法看到的社區內受到攻擊之間的持續權衡。然而，以數千萬生物特徵 ID 持有者為基礎的社交圖系統可能真的可以工作。生物特徵引導可能短期內工作得更好，基於社交圖的技術可能更健壯，長期而言，隨着他們的算法改進，會承擔更多的責任。

可能的混合路徑

所有這些團隊都可能會犯很多錯誤，企業利益和廣大社區的需求之間存在不可避免的緊張關系，所以我們必須保持高度警惕。作為一個社區，我們可以而且應該推動所有參與者在开源他們的技術上的舒適區，要求第三方審計甚至第三方編寫的軟件，以及其他的檢查和平衡。我們在每個類別中也需要更多的選擇。

同時，也重要的是要認識到已經完成的工作：許多運行這些系統的團隊都表現出愿意比幾乎任何政府或主要的公司運行的身份系統更認真地對待隱私，這是我們應該借鑑的成功。

在遠離現有加密社區的人們手中制作一個有效可靠的人身證明系統，這個問題似乎相當有挑战性。我絕對不羨慕那些嘗試這項任務的人，可能需要花費幾年的時間才能找到一個有效的方案。人身證明的原則在原則上看起來非常有價值，雖然各種實現方法有其風險，但完全沒有任何人身證明也有其風險：一個沒有人身證明的世界更有可能是一個由中心化身份解決方案、金錢、小型封閉社區或所有這三者的某種組合所主導的世界。我期待看到更多關於所有類型人身證明的進展，希望看到不同的方法最終能夠整合為一個連貫的整體。