身份的演进：Self Sovereign Identity
本文会涉及以下内容：
数字身份
互联网身份的问题
身份的演进路径
Self Sovereign Identity是什么？
谈论它时，为什么要提区块链？
数字身份
维基百科中关于数字身份的描述：
A digital identity is information on an entity used by computer systems to represent an external agent. That agent may be a person, organization, application, or device. ISO/IEC 24760-1 defines identity as "set of attributes related to an entity".[1]
数字身份是计算机系统用来表示外部代理实体的信息。该代理可以是个人，组织，应用程序或设备。ISO / IEC 24760-1将身份定义为“与实体相关的属性集”。
数字身份是在互联网上完成大部分工作所必需的基础设施。它为互联网上的应用提供基本的用户评估和认证（assessment and authentication），以及供用户访问其服务（access to the services）。
数字身份的广泛使用，许多讨论已将“数字身份”称为由个人在线活动产生的整个信息集合。这包括用户名和密码，在线搜索活动，出生日期，社会保障和购买历史。
互联网身份的问题
我们都知道ISO的七层网络模型，在互联网的构建之初，并没有明确的标准或协议层来识别人员或组织。因此，网站开始提供自己的本地帐户，其中包含用户名和密码，从那以后，这一直是主流解决方案。
但是随着互联网的发展，人们每天使用越来越多的服务。这种基于孤岛的方法，用户必须为他们与之交互的每个站点保持身份，这种方法已经变得力不从心了。它不仅是个人可用性的灾难，还为黑客创建了大量的数据蜜罐 - 这些漏洞会破坏所有互联网服务的信任。
为了解决这个问题，互联网业界尝试在各种联合模型中将不同的标识孤岛连接在一起。然而，这些产生了无意的副作用，例如集中控制在少数提供商周围，一些非有意的共享，却带来较多的数据泄漏；提高隐私问题，实际上并没有给予个人真正的控制。
同时，世界各地的组织必须在自己的孤岛中收集，存储和保护相同类型的个人数据，这样导致效率低下。
The cost of identity assurance processes exceeds £3.3 billion per annum in the UK alone.[2]
根据CTRL-Shift 2014年的一项研究，仅英国的身份保证流程每年就超过33亿英镑。
一方面，政府和公司正在努力保护公民和客户信息不受网络攻击的影响。 另一方面，世界各地的互联网用户越来越意识到没有免费的午餐。当您不为某互联网服务支付费用时，您就是产品，即您使用数据为其服务付费。
身份的演进路径
Christopher Allen在其文章“The Path to Self-Sovereign Identity”[3]中提到，自互联网出现以来，身份模型发展经历了四个阶段：集中身份，联盟身份，以用户为中心身份和自我主权身份。
The models for online identity have advanced through four broad stages since the advent of the Internet: centralized identity, federated identity, user-centric identity, and self-sovereign identity.
从身份控制的角度来看：
集中身份：单个权威或等级制度的管理控制。在互联网发展初期，中心化的权威机构成为数字身份的发行者和认证者。 IANA（1988）等组织确定了IP地址，ICANN（1998）仲裁域名的有效性，1995年开始，证书颁发机构（CA）帮助互联网商业网站证明他们的身份。
联盟身份：多个联盟权威的管理控制。在世纪之交，数字身份迎来了一个重大进步，当时各种商业组织（微软等）以新的方式对网络身份进行定义和认证。这时，中心化的权威机构被分散到几个强大的商业组织之间，用户可以从一个站点到另一个站点漫游网络。但每个站点仍是权威机构。
以用户为中心身份：无需联盟，跨多个权威的个人或管理控制。ASN（2000）小组认为微软等自由联盟那种“基于业务”将用户当作消费者的建模，过分强调信息的私有化。Internet Identity Workshop（2005年至今）工作组提出了去中心化身份的想法，并支持了许多创建数字身份的新方法，包括OpenID（2005），OpenID 2.0（2006），OpenID Connect（2014），OAuth（2010）和FIDO（2013）。通过这些方法，用户可以决定从一个服务到另一个服务共享身份。
以OpenID为例子，理论上用户可以注册他自己的OpenID，然后自主使用。但这需要一些技术知识，因此互联网用户更有可能使用一个公共网站的OpenID去登录另一个公共网站。如果用户选择一个长寿和值得信赖的网站，他可以获得自我主权身份的许多优势 - 但它可以随时由注册实体带走！比如：Facebook有一个任意关闭帐户，他们的实名争议问题，导致使用“以用户为中心”的Facebook Connect身份访问其他网站的人比其它用户更容易丢失该身份。
自我主权身份：跨任意个权威的个人控制。自我主权身份不仅仅是提倡用户处于身份过程的中心，而是要求用户成为他们自己身份的统治者。以用户为中心的设计将集中身份转变为具有集中控制功能的可互操作联合身份，同时还尊重用户对如何共享身份，以及与谁共享一定程度上争取用户的同意。 这是真正的用户控制身份的重要一步，但只是一步。 要采取下一步所需的用户自治权，这是自我主权身份的核心。
针对自我主权身份，当前已有一些工作组。比如：万维网联盟（World Wide Web Consortium，W3C）这个Web领域的国际标准化组织，提出了去中心化标识符（Decentralized Identifiers，DID）的草案。
Decentralized Identifiers (DIDs) are a new type of identifier for verifiable, "self-sovereign" digital identity. [4]
现在是走向自我主权身份的时候了，Christopher Allen在文章中还提到了自我主权身份的十条原则：
存在：用户必须具有独立的存在。
控制：用户必须控制他们的身份。
访问：用户必须能够访问自己的数据。
透明度：系统和算法必须透明。
持久性：身份必须是长寿的。
可移植性：有关身份的信息和服务必须是可移动的。
互操作性：身份应尽可能广泛使用。
同意：用户必须同意使用其身份。
极小化：必须尽量减少索赔的披露。
保护：必须保护用户的权利。
Self Sovereign Identity
究竟什么是自我主权身份？事实是，没有达成共识。
维基百科中关于自我主权身份的描述：
Self-sovereign identity (SSI) is the concept that people can store information about their digital identity in a location of their choice. This information can then provide to third parties on request. With the development of blockchain technologies decentralized identities can be based on SSI that are not owned by a single provider.[1]
自我主权身份是人们在存储其数字身份的有关信息时，可以自主选择存储的位置。 同时根据请求，可以自主决定将该信息提供给第三方。 伴随区块链技术的去中心化的身份可以是不属于单一提供商的自我主权身份。
Christopher Allen关于自我主权身份的定义：
自我主权身份是超越以用户为中心身份的下一步，用户必须是身份管理的核心。这不仅需要用户授权的多个位置，其用户身份的互操作性，还需要用户对该数字身份的真正控制，从而创建用户自主权。要做到这一点，自我主权身份必须是可以传输的，它不会被锁定在一个站点。
自我主权身份还必须允许普通用户提出权益（claims），其中可能包括个人识别信息或有关个人能力或团体成员身份的事实。它甚至可以包含有关其他人或组声称的用户的信息。
SSI结合区块链技术
区块链技术是目前推动数字身份进入自我主权身份时代的关键性突破。围绕区块链和身份的最常见的神话是区块链技术为中心化的数据库提供了理想的去中心话替代方案。用区块链来存储个人身份信息（ Personally Identifiable Information，PII）这种方式有：（a）使用区块链来存储数据; （b）使用区块链作为离线存储PII数据的分布式哈希表（DHT）。确实，区块链在技术上可以支持在链上放置PII，或者用于在指向链外PII存储的链上创建证明。
在区块链技术应用的早期阶段，对PII存储的这种实现是如此普遍。但在Twitter上有人专门讨论"为什么将哈希后的PII放在任何区块链（不可变的分类账本）上是一个坏主意"[5]。从欧盟的通用数据保护条例（General Data Protection Regulation，GDPR）[6]合规性到相关性，到块读/写交易的成本，争论仍在继续。
如果个人身份信息PII没有存储在区块链上，那么区块链是如何来解决身份问题呢？ 简短的回答是去中心化公钥基础设施（Public Key Infrastructure，PKI），区块链提供一种透明，不可变，可靠和可审计的方式来解决加密密钥的无缝和安全交换。
企业目前在互联网上的身份认证方案通常是基于非对称加密和集中信任模型。PKI通过插入依赖于证书颁发机构的层次结构来实现此集中式信任模型。这些证书颁发机构通过颁发数字证书来确定公钥与其所有者之间绑定的真实性。
目前的PKI与去中心化PKI，如下图所示：
图片来源[7]
通过使用区块链技术，无需受信任的中央权威机构，其提供的安全解决方案可以为身份管理带来显著的优点。
对于消费者
获得便利简化的体验，轻松访问各种服务
改进隐私保护
对个人数据拥有更大的控制力
对于企业
降低数据泄漏的风险和成本
实现有效的合规管理与监控
快速加入，改善客户体验
对于监管者
实现标准化的流程
提高审计速度
提高合规控制、监控和质量方面的效率
Hyperledger Indy项目[8]就是这样一个利用区块链技术的去中心化身份管理平台。您可以将身份存储在可以编辑或删除它们的位置。在给出您的身份位置后，Indy平台会使用全局可识别的名称列出您的位置。当有人想要阅读您的身份数据时，Indy平台会指出您身份的位置。
Indy shares three important virtues with the Internet:
No one owns it. Everyone can use it. Anyone can improve it.
Phillip Windley, Sovrin Foundation
"Indy与互联网一样，有三个重要的优点：没有人拥有它。每个人都可以使用它。任何人都可以改进它。" 菲利普·温德利，Sovrin基金会
它通过以下功能来确保去中心化身份成为现实：
信任交易的可访问来源 - Indy提供了一个交换可信权益的通用平台，从而产生可靠的来源。
用户控制的可验证权益交换 - Indy公共许可网络向所有人开放。 此外，身份所有者授权对其身份进行验证。
坚如磐石的撤销模式 - Indy拥有坚如磐石的撤销模式，适用于那些可验证的声明不再适用的情况。
公共分类账的隐私 - “设计隐私”已包含在Indy的架构中。
结语
互联网的下一个发展将是创建一个共同的身份层，允许人们，组织和事物拥有自己的自我主权身份 - 他们拥有和控制的数字身份，并且不能从他们身上夺走。自我主权身份是生态系统的自然演变，不仅能够引发新的创新浪潮，而且还为世界上的每个人提供了一种建立便携，安全和可控制的身份的方式。
参考文献
[1] 数字身份Wikipedia：https://en.wikipedia.org/wiki/Digital_identity
[2] Ctrl-Shift研究：https://www.ctrl-shift.co.uk/insights/2014/06/09/economics-of-identity
[3] Christopher Allen文章： http://www.lifewithalacrity.com/2016/04/the-path-to-self-soverereign-identity.html
[4] W3C关于DID的草案：https://w3c-ccg.github.io/did-spec/
[5] Twitter 上关于PII的讨论：https://identitywoman.net/putting-hashed-pii-immutable-ledgerblockchain-bad-idea/
[6] GDPR：https://eugdpr.org/
[7] 去中心化PKI：https://www.ibm.com/blogs/blockchain/2018/06/self-sovereign-identity-why-blockchain/
[8] Indy项目：https://cn.hyperledger.org/projects/hyperledger-indy
本文封面图来源于Shutterstock。