[论文解读] A Critique of Immunity Passports and W3C Decentralized Identifiers

Harry Halpin|arXiv (Cornell University)|Nov 30, 2020

Data-Driven Disease Surveillance参考文献 31被引用 5

一句话总结

本文批判了基于W3C去中心化标识符（DIDs）和可验证凭证（VCs）的免疫通行证的技术基础，揭示了由于标准定义不明确以及依赖区块链技术而导致的关键安全与隐私缺陷。文章认为，这些系统可能引发身份极权主义，因此即便其承诺实现自我主权身份，也不应被部署。

ABSTRACT

Due to the widespread COVID-19 pandemic, there has been a push for `immunity passports' and even technical proposals. Although the debate about the medical and ethical problems of immunity passports has been widespread, there has been less inspection of the technical foundations of immunity passport schemes. These schemes are envisaged to be used for sharing COVID-19 test and vaccination results in general. The most prominent immunity passport schemes have involved a stack of little-known standards, such as Decentralized Identifiers (DIDs) and Verifiable Credentials (VCs) from the World Wide Web Consortium (W3C). Our analysis shows that this group of technical identity standards are based on under-specified and often non-standardized documents that have substantial security and privacy issues, due in part to the questionable use of blockchain technology. One concrete proposal for immunity passports is even susceptible to dictionary attacks. The use of `cryptography theater' in efforts like immunity passports, where cryptography is used to allay the privacy concerns of users, should be discouraged in standardization. Deployment of these W3C standards for `self-sovereign identity' in use-cases like immunity passports could just as well lead to a dangerous form identity totalitarianism.

研究动机与目标

• 分析基于W3C标准（如DIDs和VCs）的免疫通行证系统在技术安全性与隐私保护方面的特性。
• 揭示核心W3C身份标准中缺乏标准化与规范性，尤其是在其使用区块链方面的不足。
• 挑战这些系统中密码学技术可确保隐私的假设，指出其存在‘密码学表演’现象，并可能被滥用。
• 警告在危机期间过早进行标准化可能催生不可逆的、侵犯隐私的全球身份系统。
• 主张免疫 passports 不应被构建，因其对公民自由构成根本性风险，并可能引发长期监控。

提出的方法

• 分析W3C可验证凭证数据模型在缺乏位序列化标准方面的问题，导致互操作性与安全风险。
• 评估W3C去中心化标识符（DIDs）在未采用密码学严谨性的情况下依赖区块链，特别是在将标识符解析为密钥方面的问题。
• 考察COVID凭证倡议（CCI）作为实际应用实例，识别出如易受字典攻击等漏洞。
• 批判将区块链用于‘去中心化’的用法，指出其常导致向集中式服务器的转移，从而削弱隐私与安全。
• 强调W3C标准中缺乏强隐私保护密码原语，这些原语被视作可选附加功能而非核心组件。
• 类比过去W3C在DRM标准化方面的失败，警告在紧急驱动下标准制定可能遭遇企业控制与专家监督不足的问题。

实验结果

研究问题

• RQ1 W3C的DID与VC标准是否在规范性和安全性方面足够充分，足以支持免疫通行证等高风险应用场景？
• RQ2 在这些系统中使用区块链在多大程度上真正提升了隐私与安全，还是仅仅制造了虚假的安全感？
• RQ3 基于这些标准构建的免疫通行证系统是否可能导致长期监控或身份极权主义？
• RQ4 为何强隐私保护密码技术在W3C身份标准的核心设计中缺失？
• RQ5 当前W3C标准制定过程在紧急情况下是否具备抵御企业或政府利益捕获的能力？

主要发现

• W3C可验证凭证标准缺乏位序列化，导致因数据格式模糊而易受互操作性与安全问题影响。
• W3C DIDs在依赖区块链的方式上缺乏密码学严谨性，常退化为集中式解析，从而削弱去中心化主张。
• 一个具体的免疫通行证提案因标识符设计薄弱且缺乏适当的密码绑定，易受字典攻击。
• 在免疫通行证中使用区块链并未被安全或可用性目标所证明合理，常沦为‘为区块链而区块链’，反而扩大了攻击面。
• W3C标准制定过程易受捕获，缺乏充分的专家审查，尤其在紧急情况下，可能导致采用不安全且侵犯隐私的标准。
• 通过这些标准推广自我主权身份可能促成一个永久性的、全球性的数字身份系统，威胁隐私并助长自动化歧视。