区块链是保护在线个人信息的解决之道吗？

沈建苗

当下重大数据泄密事件频发，互联网用户和在线消费者该如何保护个人身份信息（PII）？他表示，一种解决方案是完全停止共享身份信息（ID）。这对于最易受攻击的身份标识尤为重要：比如信用卡号码、银行账户、社会保障号码及其他政府ID以及手机号码。如果现在网络使用数字账本技术，即名为区块链的经过加密、相互验证的软件系统，就没有身份被盗之虞。它们用未关联的身份标识代替传统ID，通过分布式账本加以验证，并在系统中所有参与者之间以数字方式共享，从而保持单一的交易记录，无需政府监督。

想明白这种信任网络的工作方式，不妨以酒保核对年龄为例。在美国，为了表明你已到21岁，要出示驾照，并确信酒保没在偷记你的姓名和驾照号码。而在数字世界，你不想为了仅仅证明年龄而共享驾照之类的信息。这种广泛接受的便携式凭证是窃贼最觊觎的身份信息。如果改而使用Sovrin网络采用的方法，你可以共享更具体、防篡改的声明。Sovrin网络是Windley与别人一同设计和监管的基于区块链的系统。这将是政府或另一家可信组织针对你年龄作出的数字化声明。

Sovrin的工作方法名为“自我主权身份”（self-sovereign identity），这是一种个人合法身份，每个人可以选择愿意透露的信息。如果你是Sovrin网络的一员，可以构建和维护自己的身份声明组合。你可以挑选和选择在任何特定情况下共享哪些数据。借助身份声明组合，你可以逐渐拥有、构建和控制自己的在线身份。避免了让某人未經授权就能访问你的银行和信用账户这一风险，因为除非通过你发布的身份声明，否则那些账户永远无法识别。因此，与你有业务往来的组织无需负责拥有和保护你最敏感的身份数据。

像Sovrin这种系统还能在不损害自主权的情况下解决识别人身份这个问题――这是人道主义项目、反人口贩运活动和帮助难民的组织机构共同面临的问题。这些基于区块链的新型身份无法被篡改或被盗用，可以用来确保相应的人得到援助；它们也不受某个政府的摆布。

并非只有Sovrin这家组织让个人可以控制和管理自己的数据访问。比如说，微软已开始倡导去中心化身份标识。微软和Sovrin都是去中心化身份基金会的成员。

Windley是Sovrin基金会主席，该基金会协调管理Sovrin网络。非营利性的Sovrin基金会并不拥有Sovrin网络，相反，阵营日益庞大的成员（比如认证机构InfoCert）充当管理员。 从2005年起Windley就热衷于以用户为中心的身份，并与作家Doc Searls和身份顾问Kaliya Hamlin共同创建了互联网身份工作室（IIW）。

Q： 为什么企业对去中心化身份这种方法感兴趣？

A： 企业身份界在寻找比自行开发的技术更好的解决方案。无疑，没人会以银行或医疗身份系统作为建立身份识别系统的好案例。但另一方面，它们又不托付别人这么做。这些机构处于左右为难的境地。

许多公司允许客户使用Facebook、Google或Twitter身份标识来登录。不过这存在弊端，因为这让其他公司依赖它们。举例说，如果Facebook觉得有充分的商业理由来淘汰这项登录功能，它可能会立即这么做。现实就是这样。

Q： Sovrin身份系统的工作原理怎样？

A： 人们听到“身份系统”，多半想到用户名和密码。一旦系统以这种方式验证了某人的身份，系统可能拥有与该身价标识相关联的授权、访问控制列表和策略。这些决定了此人被允许执行什么操作或可以访问该系统中的哪些部分。

这是对身份的一种很狭隘的看法。如果你看看身份在现实生活中如何使用，而不是它在网上如何使用，会发现要灵活得多。我们都携带派不同用场的多个身份证件。比如说，我的钱包里有犹他州颁发的驾照，有不同银行及其他金融机构的信用卡，有健康保险卡，可能还有当地杂货店的会员卡。从某个角度来说，每个都是身份证件，有各自的信任级别与之关联。比如说，银行卡让我可以放心地跑到ATM机前，输入密码，提取现金。

在网上，我们对身份的认识其实没那么广泛。所以如果看一看像Sovrin这种新兴的自我主权身份系统，许多人都试图将身份定义为一个整体系统。你显然要有身份标识，因为那样你才知道自己在与某个实体联系，无论对方是个人还是组织。但除了那些身份标识外，你还得有办法来创建适合广泛使用场景的可验证的可信凭证，从商家会员卡到主权政府的护照，不一而足。

Q： Sovrin方法如何管理那些身份标识？

A： 作为默认选择，除非用户另有指定，否则我们为每个关系发布新的身份标识，这减少了关联风险。比方说，我与雇主有关系，也与银行有关系。如果我有不同的身份标识来对应每个关系，它们无法偷偷联系起来，交换关于我的信息。

当然，如果我根据法律要求向雇主和银行都提供社会保障号码，他们就能够使用这个号码来进行关联。但是它们根本无法利用Sovrin提供的功能来这么做。

另一个例子是手机号码。其实没有理由我们每个人非得只有一个手机号码。不妨设想这种系统：我可以为与我通话的每个人创建不同的号码。再也不必记住或直接拨打电话号码，我们都只需点击联系人。所以电话号码可能是很长的一串无法关联的字符串，而系统照样可以正常运作。

由于出现了这种系统，创建无法关联的身份标识，但仍能完成所有要做的事情，你会发现可关联的身份标识用得越来越少。至少我们希望是这样。

管理生物特征标记

Q： 生物特征（标识人体的身份标记，比如视网膜图像或指纹）是可关联信息的另一个例子。生物特征在Sovrin网络上是如何处理的？

A： 我们的架构从不将个人身份信息（PII）存储在账本本身上。当然，PII包括生物特征。所以，生物特征只是我们不会存储在账本上的一大群信息的子类。

生物特征在设备端非常有用。iPhone的Face ID和Android或iOS中的Touch ID是使用生物特征来访问设备的典例。但是这种情况下的生物特征存储在设备上，设备不会将它们推送给苹果或其他提供商。苹果或其他提供商将生物特征径直保留在设备上，这些信息无法被盗或危害用户。

iRespond是我们的合作伙伴之一，这家非政府组织（NGO）使用生物特征识别技术，帮助人道主义服务机构跟踪获得其服务的人的身份。iRespond的执行董事Peter Simpson是Sovrin董事会成员。比如说，iRespond帮助跟踪非洲和亚洲地区的免疫接种情况。记录基于生物特征（具体来说是眼睛虹膜的图案），因为流离失所的人不一定有任何其他形式的身份信息。他们没有手机或身份证，生物特征是他们的完美解决方案。我们并不将生物特征数据存储在Sovrin中，Sovrin实际上用于存储其他必要的信息。比如我们为每个关系创建了新的身份标识，以避免关联。

（作者Alan Morrison是普华永道美国高级研究员，常驻在加利福尼亚州圣何塞。他在2016年、2017年和2018年连续三年被评为Quora知名撰稿人，同时为知名网站ExtremeTech和Recode撰稿。本文原刊载于《战略与经营》杂志，由普华永道思略特咨询公司授权刊登。）