[논문 리뷰] A Survey on Decentralized Identifiers and Verifiable Credentials

Carlo Mazzocca, Abbas Acar외 4명|arXiv (Cornell University)|2024. 02. 04.

Access Control and Trust인용 수 4

한 줄 요약

이 논문은 탈중앙화된 식별자(DID)와 검증 가능한 증명(VC)에 대한 종합적인 서베이를 제시하며, 기술적 기초, 구현 사례, 다양한 분야—IoT, 헬스케어, 금융—에서의 활용 사례, 그리고 규제 프레임워크를 분석한다. 이는 취소, 프라이버시, 책임성 분야의 주요 과제를 밝히고, 자율적 소유의 신원 시스템을 발전시키기 위한 향후 연구 방향을 제시한다.

ABSTRACT

Digital identity has always been considered the keystone for implementing secure and trustworthy communications among parties. The ever-evolving digital landscape has gone through many technological transformations that have also affected the way entities are digitally identified. During this digital evolution, identity management has shifted from centralized to decentralized approaches. The last era of this journey is represented by the emerging Self-Sovereign Identity (SSI), which gives users full control over their data. SSI leverages decentralized identifiers (DIDs) and verifiable credentials (VCs), which have been recently standardized by the World Wide Web Community (W3C). These technologies have the potential to build more secure and decentralized digital identity systems, remarkably contributing to strengthening the security of communications that typically involve many distributed participants. It is worth noting that the scope of DIDs and VCs extends beyond individuals, encompassing a broad range of entities including cloud, edge, and Internet of Things (IoT) resources. However, due to their novelty, existing literature lacks a comprehensive survey on how DIDs and VCs have been employed in different application domains, which go beyond SSI systems. This paper provides readers with a comprehensive overview of such technologies from different perspectives. Specifically, we first provide the background on DIDs and VCs. Then, we analyze available implementations and offer an in-depth review of how these technologies have been employed across different use-case scenarios. Furthermore, we examine recent regulations and initiatives that have been emerging worldwide. Finally, we present some challenges that hinder their adoption in real-world scenarios and future research directions.

연구 동기 및 목표

• 자율적 소유의 신원(SSI)을 위한 기초 기술로서 탈중앙화된 식별자(DID)와 검증 가능한 증명(VC)에 대한 종합적인 개요를 제공하기 위해.
• DID 및 VC의 기존 구현 사례를 분석하여 개발자들이 고려할 수 있는 기능과 성능 차이점, 그리고 상호 교환 가능성을 강조하기 위해.
• SSI를 넘어서 실제 적용 사례를 탐색하기 위해, IoT, 엣지 컴퓨팅, 클라우드 시스템 등을 포함한 분야에서의 활용 가능성을 탐색하기 위해.
• 탈중앙화된 신원 환경에서의 GDPR 및 KYC/AML 준수와 같은 글로벌 규제 이니셔티브 및 표준을 검토하기 위해.
• 보안, 프라이버시, 확장성 향상을 위한 DID 및 VC 시스템에서의 열린 과제를 밝히고 향후 연구 방향을 제안하기 위해.

제안 방법

• DID 및 VC에 관한 학술 및 산업 문헌을 체계적으로 검토하여, 기술 사양, 표준, 구현 패턴에 중점을 두기 위해.
• 15개 이상의 오픈소스 DID 및 VC 스택을 분석하여, W3C DID 및 VC 사양과 같은 표준 지원 여부를 평가하기 위해.
• 신뢰 모델, 데이터 민감도, 탈중앙화 수준을 기준으로 산업 분야(예: 헬스케어, 금융, IoT)별로 활용 사례를 분류하고 평가하기 위해.
• 유럽연합의 eIDAS 2.0 및 국가 디지털 신원 프로그램을 포함한 글로벌 규제 및 정부 이니셔티브를 조사하기 위해.
• 암호화 기법을 활용한 VC 취소 메커니즘 평가를 위해, 비트스트링 압축 기반의 Revocation List 2020 사양을 포함하여 평가하기 위해.
• DID 기반 시스템 내에서 KYC 및 AML 요구사항을 준수하기 위한 프라이버시 보존 기법과 준수 메커니즘을 평가하기 위해.

Figure 1: Illustrative organization of the survey.

실험 결과

연구 질문

• RQ1 다양한 소프트웨어 스택에서 DID 및 VC는 어떻게 기술적으로 구현되며, 그 기능성과 성능에서의 주요 차이는 무엇인가?
• RQ2 SSI를 초월하여 DID 및 VC의 주요 응용 분야는 무엇이며, 고유한 신뢰성 및 확장성 과제를 어떻게 해결하는가?
• RQ3 GDPR 및 AML과 같은 기존 표준 및 규제가 DID 및 VC의 설계 시 프라이버시 중심 원칙과 어떻게 상호작용하는가?
• RQ4 VC 취소 메커니즘의 현재 한계점과 열린 과제는 무엇이며, Revocation List 2020과 같은 제안된 솔루션의 효과성은 어떠한가?
• RQ5 규제 환경에서 프라이버시를 보존하면서도 준수 가능한 신원 시스템을 실현하기 위해 필요한 암호화 및 프로토콜 수준의 혁신은 무엇인가?

주요 결과

• Revocation List 2020 메커니즘은 비트스트링 압축을 통해 취소된 VC를 효율적으로 압축 저장할 수 있으며, 크기 감소 효과가 뚜렷하다—예를 들어, 소수의 취소 항목을 포함한 16KB 비트스트링은 수백 바이트로 압축될 수 있다.
• 현재 VC 취소 솔루션은 여전히 제한되어 있으며, 표준화되지 않은 하나의 사양인 Revocation List 2020만 널리 채택되어 있어 생태계 내에서 심각한 격차가 존재함을 시사한다.
• DID 및 VC 시스템은 개인을 초월해 IoT 기기, 엣지 노드, 클라우드 서비스 등 다양한 실체를 지원할 수 있어 분산 시스템에서의 탈중앙화된 신뢰를 가능하게 한다.
• KYC 및 AML 준수와 같은 규제 준수는 프라이버시 중심 설계와의 갈등으로 인해 여전히 주요 과제이며, 새로운 암호화 솔루션이 필요하다.
• 기존 구현 사례들은 표준 준수, 성능, 키 리다이렉션 및 OTP 기반 다중 인증과 같은 고급 기능 지원 여부에서 상당한 차이를 보이고 있다.
• 이 서베이에서는 책임성 및 취소를 위한 표준화되고 프라이버시를 보존하는 메커니즘이 부족함을 밝혀내며, 제로지식 증명 및 탈중앙화된 감사 시스템 분야에서의 추가 연구가 필요함을 시사한다.

Figure 2: Timeline of digital identity evolution.