نقش بلاکچین در مدیریت هویت دیجیتال
برای ثبت سفارش به حساب نیاز دارید. ثبت نام رایگان است.
سه بار در ماه همین صحنه تکرار می شود: کاربر می خواهد در یک سرویس خارجی حساب باز کند، از او مدرک هویتی می خواهند، او مدرک را می فرستد و بعد می پرسد این تصویر کارت ملی حالا کجا ذخیره می شود و تا کی می ماند.
جواب صادقانه اش این است: نمی دانید. و همین ندانستن، مسئله ای است که هویت دیجیتال مبتنی بر بلاکچین ادعا می کند حلش می کند.
عبارت هویت دیجیتال در فارسی دو معنای کاملا متفاوت دارد و قاطی شدنشان بحث را خراب می کند.
معنای اول سامانه های احراز هویت دولتی است: نهادی مرکزی هویت شما را تایید می کند و سرویس های دیگر به آن تایید تکیه می کنند. معنای دوم، که موضوع این متن است، هویت خودمالکی است: مدارک شما در گوشی خودتان می ماند و شما تصمیم می گیرید هر بار کدام تکه را نشان دهید.
این دو رقیب هم نیستند و اصلا یک مسئله را حل نمی کنند. اولی مسئله دولت است، دومی مسئله شما.
فرض کنید یک سرویس فقط می خواهد مطمئن شود سن شما بالای هجده سال است.
امروز چه می کنید؟ تصویر کارت شناسایی را می فرستید. یعنی برای اثبات یک بیت اطلاعات، نام، نام پدر، شماره ملی، تاریخ تولد دقیق و محل صدور را هم تحویل داده اید. آن سرویس حالا همه اش را دارد، و اگر روزی نشت کند همه اش نشت می کند.
ایده هویت خودمالکی این است که مرجع صادرکننده یک گواهی امضاشده به کیف پول شما بدهد، و شما بتوانید از آن گواهی فقط یک ادعا را ثابت کنید: «بالای هجده سال هستم»، بدون افشای تاریخ تولد. طرف مقابل امضای مرجع را راستی آزمایی می کند و همین.
نکته ای که معمولا اشتباه گفته می شود: در این معماری هیچ داده هویتی روی زنجیره نوشته نمی شود. آنچه روی زنجیره می رود شناسه و کلید عمومی مرجع و در بعضی طراحی ها فهرست ابطال است. اگر سیستمی مدارک را روی زنجیره بنویسد، اشتباه طراحی شده و چون زنجیره پاک شدنی نیست، آن اشتباه برگشت ناپذیر است.
استاندارد فنی اش سال هاست وجود دارد و در همین حال تقریبا هیچ کس از آن استفاده نمی کند. دلیلش فنی نیست.
- مسئله مرغ و تخم مرغ. تا مراجع معتبر گواهی صادر نکنند، هیچ سرویسی آن را قبول نمی کند؛ و تا سرویسی قبول نکند، مرجعی هزینه صدور نمی دهد.
- گم شدن کلید. اگر هویت شما در کیف پول خودتان است، گم شدن آن کیف پول یعنی گم شدن هویتتان. سیستم های متمرکز دکمه بازیابی رمز دارند و این دقیقا همان چیزی است که یک سیستم واقعا خودمالکی نمی تواند داشته باشد.
- انگیزه معکوس. بسیاری از سرویس ها اصلا نمی خواهند داده کمتری بگیرند. داده هویتی برایشان دارایی است، نه هزینه.
مورد دوم را جدی بگیرید. در بازار رمزارز، تعداد کسانی که کیف پولشان را از دست داده اند کم نیست و آنجا فقط پول در میان بود. هویت را نمی شود دوباره خرید.
سه نقش در این معماری وجود دارد و تفکیکشان همه چیز را روشن می کند.
- صادرکننده: نهادی که چیزی درباره شما می داند و آن را امضا می کند. مثلا دانشگاه که مدرک تحصیلی صادر می کند.
- دارنده: خود شما. گواهی امضاشده در کیف پول شما ذخیره می شود، نه در سرور صادرکننده.
- راستی آزما: سرویسی که می خواهد چیزی را بداند و امضای صادرکننده را بررسی می کند.
نکته مهم این است که راستی آزما برای بررسی امضا لازم نیست از صادرکننده سوال کند. یعنی دانشگاه نمی فهمد شما مدرکتان را به کدام کارفرما نشان داده اید. در سیستم متمرکز فعلی، مرجع مرکزی دقیقا این را می داند و همین یکی از دلایل اصلی طراحی این مدل بود.
و اینجاست که زنجیره وارد می شود، با نقشی بسیار کوچک تر از آنچه تصور می شود: فقط برای اینکه راستی آزما بتواند کلید عمومی صادرکننده و وضعیت ابطال گواهی را از منبعی بخواند که هیچ کس به تنهایی نمی تواند دستکاری اش کند.
تا وقتی این معماری فراگیر شود، کاری که همین امروز می شود کرد این است.
اول: آیا این سرویس واقعا به این مدرک نیاز دارد یا فقط فرمش را پر می کند؟ سرویسی که برای یک اشتراک ساده کارت ملی می خواهد، دارد بیش از نیازش جمع می کند.
دوم: مدرک را کجا آپلود می کنید؟ ارسال تصویر مدرک در پیام رسان، حتی به یک پشتیبان واقعی، یعنی نسخه ای از آن روی گوشی یک نفر دیگر باقی می ماند. درگاه رسمی سرویس دست کم مسئولیت حقوقی دارد.
سوم: چند نسخه از این مدرک تا حالا داده اید؟ بیشتر نشت های داده هویتی از سرویس های کوچک و رهاشده اتفاق می افتد، نه از پلتفرم های بزرگ. حسابی که سه سال است باز نکرده اید، هنوز مدارک شما را دارد.
حالا بخشی که برای کاربر ایرانی ملموس است.
احراز هویت در پلتفرم های داخلی یک الزام قانونی است و حذف شدنی نیست. آنچه می شود درباره اش تصمیم گرفت این است که مدارکتان را به چند جا می دهید. هر حساب اضافه ای که در یک سرویس ناشناخته باز می کنید، یک نسخه دیگر از مدارکتان جایی نگهداری می شود که هیچ کنترلی رویش ندارید.
بر اساس سفارش های ثبت شده در پلتفرم دیجی دلار، بخش قابل توجهی از کسانی که سراغ ووچرهای ارزی می آیند دقیقا همین دغدغه را دارند: می خواهند در یک سرویس خارجی پرداخت کنند بدون اینکه در آن سرویس پرونده هویتی باز کنند. این تفکیک منطقی است، اما توهم ناشناسی نیست و مرزش را در مرز واقعی خرید ووچر بدون احراز هویت دقیق نوشته ایم.
و یک متغیر محلی که در هیچ متن ترجمه شده ای نیست: در روزهای اختلال دسترسی، سرویس های احراز هویت تصویری اولین چیزی هستند که از کار می افتند، چون به آپلود ویدیو و ارتباط پایدار نیاز دارند. اگر کاری دارید که به تایید هویت وابسته است، آن را به روز آخر نیندازید.
برای مقایسه گزینه ها، فهرست ووچرهای ارزی و کاربرد یو ووچر تفاوت کاربردشان را نشان می دهد.
هویت امن دیجیتال چیست؟
مجموعه ای از روش هاست که به شما اجازه می دهد هویتتان را به یک سرویس ثابت کنید بدون اینکه بیش از حد لازم اطلاعات بدهید و بدون اینکه آن اطلاعات جایی خارج از کنترل شما انباشته شود. مهم ترین معیار سنجش امنیت یک سامانه هویتی، حجم داده ای است که بعد از تایید نزد طرف مقابل باقی می ماند.
سامانه هویت دیجیتال ایرانیان چیست؟
یک سرویس احراز هویت دولتی است که نهاد متولی، هویت کاربر را تایید می کند و سرویس های دیگر به آن تایید تکیه می کنند. معماری اش متمرکز است و ربطی به هویت بلاکچینی که موضوع این متن است ندارد؛ در آن مدل، مرجع اعتماد یک نهاد است و داده نزد همان نهاد می ماند.
احراز هویت KYC در ایران چگونه انجام می شود؟
معمولا با تطبیق اطلاعات هویتی، مالکیت شماره موبایل و شماره حساب، و در بیشتر پلتفرم ها یک ویدیو یا تصویر زنده برای تطبیق چهره. جزئیات از سرویسی به سرویس دیگر فرق می کند اما اصل ماجرا یکی است: طرف مقابل باید بتواند شما را به یک هویت حقیقی وصل کند.
آیا هویت بلاکچینی یعنی ناشناس ماندن؟
نه، و این پرتکرارترین سوءبرداشت این حوزه است. هدف این معماری کاهش داده افشاشده است، نه حذف هویت. شما همچنان ثابت می کنید چه کسی هستید یا واجد چه شرطی هستید؛ فقط کمتر از گذشته لو می دهید.
هویت بلاکچینی یک ایده درست است که هنوز مشتری کافی ندارد. مسئله اش رمزنگاری نیست، این است که کسی که داده شما را جمع می کند، انگیزه ای برای جمع کردن کمتر ندارد.
تا آن روز، تنها اهرمی که واقعا در دست شماست همین است: مدارکتان را به کمترین تعداد ممکن سرویس بدهید. همان بحث را از زاویه نهادی در بلاکچین و شفافیت در نهادهای دولتی دنبال کرده ایم.
