[論文レビュー] A Survey on Decentralized Identifiers and Verifiable Credentials

Carlo Mazzocca, Abbas Acar+4 more|arXiv (Cornell University)|Feb 4, 2024

Access Control and Trust被引用数 4

ひとこと要約

本論文は、分散型識別子（DID）と検証可能証明書（VC）に関する包括的なサーベイを提示し、技術的基盤、実装、IoT、医療、金融を含む多様な分野におけるユースケース、規制枠組みを分析している。改訂、プライバシー、責任に関する主要な課題を特定し、自己主権型アイデンティティシステムを発展させるための今後の研究方向性を提示している。

ABSTRACT

Digital identity has always been considered the keystone for implementing secure and trustworthy communications among parties. The ever-evolving digital landscape has gone through many technological transformations that have also affected the way entities are digitally identified. During this digital evolution, identity management has shifted from centralized to decentralized approaches. The last era of this journey is represented by the emerging Self-Sovereign Identity (SSI), which gives users full control over their data. SSI leverages decentralized identifiers (DIDs) and verifiable credentials (VCs), which have been recently standardized by the World Wide Web Community (W3C). These technologies have the potential to build more secure and decentralized digital identity systems, remarkably contributing to strengthening the security of communications that typically involve many distributed participants. It is worth noting that the scope of DIDs and VCs extends beyond individuals, encompassing a broad range of entities including cloud, edge, and Internet of Things (IoT) resources. However, due to their novelty, existing literature lacks a comprehensive survey on how DIDs and VCs have been employed in different application domains, which go beyond SSI systems. This paper provides readers with a comprehensive overview of such technologies from different perspectives. Specifically, we first provide the background on DIDs and VCs. Then, we analyze available implementations and offer an in-depth review of how these technologies have been employed across different use-case scenarios. Furthermore, we examine recent regulations and initiatives that have been emerging worldwide. Finally, we present some challenges that hinder their adoption in real-world scenarios and future research directions.

研究の動機と目的

• 自己主権型アイデンティティ（SSI）の基盤技術としての分散型識別子（DID）と検証可能証明書（VC）の包括的概要を提供すること。
• DIDとVCの既存実装を分析し、開発者にとっての特徴とトレードオフを強調すること。
• SSIを越えた実世界の応用、特にIoT、エッジコンピューティング、クラウドシステムにおける応用を探索すること。
• EUのeIDAS 2.0や国別デジタルアイデンティティ計画を含む、グローバルな規制イニシャチブや基準、特にGDPRおよびKYC/AML準拠の文脈における分散型アイデンティティの文脈を検討すること。
• セキュリティ、プライバシー、スケーラビリティの向上に向けた、未解決の課題を特定し、今後の研究方向性を提案すること。

提案手法

• DIDとVCに関する学術的および産業的文献の体系的レビューを実施し、技術的仕様、基準、展開パターンに焦点を当てる。
• DIDおよびVCスタックの15以上ものオープンソース実装を分析し、W3C DIDおよびVC規格などの基準への対応を評価する。
• 信頼モデル、データの機密性、分散化の度合いに基づき、分野（例：医療、金融、IoT）ごとのユースケースを分類・評価する。
• EUのeIDAS 2.0や各国のデジタルアイデンティティ計画を含む、グローバルな規制および政府主導のイニシャチブを調査する。
• 暗号的メカニズムによるVCの改訂を評価し、ビットストリング圧縮に基づくRevocation List 2020規格を含む。
• DIDベースのシステム内でのKYCおよびAML要件への準拠を目的とした、プライバシー保護技術およびコンプライアンスメカニズムを評価する。

Figure 1: Illustrative organization of the survey.

実験結果

リサーチクエスチョン

• RQ1 DIDとVCは、異なるソフトウェアスタックでどのように技術的に実装されており、機能的・性能的側面でどのような主な差異があるか？
• RQ2 SSIを越えたDIDとVCの主な応用分野は何か？ また、それらは独自の信頼性とスケーラビリティの課題をどのように解決しているか？
• RQ3 GDPRやAMLなどの既存基準や規制は、DIDとVCのプライバシー・オブ・デザイン原則とどのように相互作用しているか？
• RQ4 VCの改訂メカニズムにおける現在の制限と未解決の課題は何か？ また、Revocation List 2020のような提案された解決策の有効性はいかがなものか？
• RQ5 規制環境下でプライバシー保護を実現しつつも準拠を満たすことができるアイデンティティシステムを実現するためには、どのような暗号的およびプロトコルレベルのイノベーションが必要か？

主な発見

• Revocation List 2020メカニズムは、ビットストリングを用いて、改訂済みVCの効率的かつ圧縮された保存を可能にし、大幅なサイズ削減が見込まれる—例として、16KBのビットストリングに少数の改訂がある場合、数百バイトに圧縮可能である。
• 現在のVC改訂ソリューションは限定的であり、非標準化された規格（Revocation List 2020）が唯一広く採用されているにとどまり、エコシステムにおける深刻なギャップを示している。
• DIDおよびVCシステムは、個人を越えて、IoTデバイス、エッジノード、クラウドサービスなど多様なエンティティをサポートでき、分散型システムにおける分散型信頼性を実現可能である。
• KYCおよびAMLのようなコンプライアンス要件は、プライバシー保護設計と必須のユーザースクリーニングの間の対立により、依然として主要な課題であり、新たな暗号的ソリューションの必要性を示している。
• 既存の実装は、基準準拠性、パフォーマンス、キーローテーションやOTPを用いた多要素認証といった高度な機能のサポートにおいて顕著に異なる。
• 本サーベイは、アカウンタビリティおよび改訂のための標準的かつプライバシー保護型メカニズムの欠如を特定し、ゼロ知識証明および分散型監査システム分野におけるさらなる研究の必要性を示唆している。

Figure 2: Timeline of digital identity evolution.