[논문 리뷰] A Critique of Immunity Passports and W3C Decentralized Identifiers

Harry Halpin|arXiv (Cornell University)|2020. 11. 30.

Data-Driven Disease Surveillance참고 문헌 31인용 수 5

한 줄 요약

이 논문은 W3C 분산 식별자(DID)와 검증 가능 증명서(VC)를 기반으로 한 면역 여권의 기술적 기초를 비판하며, 표준이 충분히 명시되지 않았고 블록체인 기술에 의존함으로써 심각한 보안 및 프라이버시 결함을 드러낸다. 이 시스템들은 신원 전체주의를 초래할 위험이 있으며, 자율적 신원의 가능성에도 불구하고 배포해서는 안 된다고 주장한다.

ABSTRACT

Due to the widespread COVID-19 pandemic, there has been a push for `immunity passports' and even technical proposals. Although the debate about the medical and ethical problems of immunity passports has been widespread, there has been less inspection of the technical foundations of immunity passport schemes. These schemes are envisaged to be used for sharing COVID-19 test and vaccination results in general. The most prominent immunity passport schemes have involved a stack of little-known standards, such as Decentralized Identifiers (DIDs) and Verifiable Credentials (VCs) from the World Wide Web Consortium (W3C). Our analysis shows that this group of technical identity standards are based on under-specified and often non-standardized documents that have substantial security and privacy issues, due in part to the questionable use of blockchain technology. One concrete proposal for immunity passports is even susceptible to dictionary attacks. The use of `cryptography theater' in efforts like immunity passports, where cryptography is used to allay the privacy concerns of users, should be discouraged in standardization. Deployment of these W3C standards for `self-sovereign identity' in use-cases like immunity passports could just as well lead to a dangerous form identity totalitarianism.

연구 동기 및 목표

• W3C 표준인 DID와 VC를 기반으로 한 면역 여권 시스템의 기술적 보안성과 프라이버시 성질을 분석하기 위해.
• 특히 블록체인을 사용하는 데서 비롯된 핵심 W3C 신원 표준의 표준화 및 사양 부족을 드러내기 위해.
• 이러한 시스템에서 암호화가 프라이버시를 보장한다고 가정하는 것을 도전하며, '암호화 극장'과 악용 가능성에 주목하기 위해.
• 위기 상황에서의 조기 표준화를 경고하며, 이는 뒤바꿈 불가능하고 프라이버시를 침해하는 글로벌 신원 시스템을 초래할 수 있음을 밝히기 위해.
• 기본적인 시민의 자유에 대한 심각한 위협과 장기적 감시 가능성으로 인해 면역 여권은 완전히 구축되어서는 안 된다고 주장하기 위해.

제안 방법

• W3C 검증 가능 증명서 데이터 모델이 비트-직렬화 사양이 없어 상호운용성 및 보안 문제를 야기할 수 있음을 분석한다.
• W3C 분산 식별자(DID)가 암호학적으로 엄밀하지 않은 방식으로 블록체인에 의존하며, 특히 식별자에서 키로의 해석 과정에서 중심화된 해결 방식으로 끝나는지 평가한다.
• 실제 구현 사례로 코로나19 증명서 이니셔티브(CCI)를 분석하여, 사전 공격에 취약한 약한 식별자 설계와 부적절한 암호학적 바인딩 등의 취약점을 규명한다.
• 보통은 중앙집중화된 서버로 이어지는 블록체인의 '분산성'을 주장하지만, 실제로는 프라이버시와 보안을 약화시키는 경우가 많다는 점을 비판한다.
• W3C 표준에서 강력한 프라이버시 보존 암호 primitive가 결여되어 있으며, 이는 핵심 기능이 아니라 선택적 추가 기능으로 간주된다는 점을 강조한다.
• 과거 W3C 표준화 실패 사례인 DRM 표준화와 유사성을 제기하며, 위기 상황에서의 표준화 과정이 기업의 지배나 전문가 감시의 부재로 인해 악용될 수 있음을 경고한다.

실험 결과

연구 질문

• RQ1 DID와 VC를 위한 W3C 표준이 면역 여권과 같은 고위험 응용 분야를 지원하기에 충분히 사양화되고 보안성이 확보되어 있는가?
• RQ2 이러한 시스템에서 블록체인을 사용함으로써 프라이버시와 보안이 실제로 향상되는가, 아니면 단지 허상적인 안정감을 제공하는가?
• RQ3 이러한 표준에 기반한 면역 여권 시스템이 장기적 감시나 신원 전체주의를 초래할 수 있는가?
• RQ4 왜 W3C 신원 표준의 핵심 설계에서 강력한 프라이버시 보존 암호 기법이 결여되어 있는가?
• RQ5 현재 W3C 표준화 과정은 위기 상황에서 기업이나 정부의 이해관계에 의해 지배당할 수 있는가?

주요 결과

• W3C 검증 가능 증명서 표준이 비트-직렬화를 포함하지 않아 데이터 형식의 모호성으로 인해 상호운용성 및 보안 문제에 노출되어 있다.
• W3C DID는 블록체인에 의존하는 방식이 암호학적으로 타당하지 않으며, 종종 중심화된 해석 방식으로 끝나 분산성 주장이 허구가 된다.
• 구체적인 면역 여권 제안안은 약한 식별자 설계와 부적절한 암호학적 바인딩으로 인해 사전 공격에 취약하다.
• 면역 여권에서 블록체인을 사용하는 것은 보안이나 가용성 목표를 달성하기 위해 정당화되지 않으며, 종종 '블록체인을 위한 블록체인'에 가까워 공격 표면을 증가시킨다.
• W3C 표준화 과정은 지배당하기 쉬우며 충분한 전문가 감시가 이루어지지 않아, 보안성과 프라이버시 침해가 우려되는 표준이 채택될 위험이 있다.
• 이러한 표준을 통한 자율적 신원의 추진은 개인의 프라이버시를 위협하고 자동화된 차별을 가능하게 하는 영구적인 글로벌 디지털 신원 체계를 초래할 수 있다.