[论文解读] A Survey on Decentralized Identifiers and Verifiable Credentials

Carlo Mazzocca, Abbas Acar+4 more|arXiv (Cornell University)|Feb 4, 2024

Access Control and Trust被引用 4

一句话总结

本文全面综述了去中心化标识符（DIDs）和可验证凭证（VCs），分析了其技术基础、实现方式、在物联网、医疗保健和金融等多样化领域中的应用场景，以及监管框架。文章识别出撤销、隐私和问责制方面的关键挑战，并提出了推动自主身份系统发展的未来研究方向。

ABSTRACT

Digital identity has always been considered the keystone for implementing secure and trustworthy communications among parties. The ever-evolving digital landscape has gone through many technological transformations that have also affected the way entities are digitally identified. During this digital evolution, identity management has shifted from centralized to decentralized approaches. The last era of this journey is represented by the emerging Self-Sovereign Identity (SSI), which gives users full control over their data. SSI leverages decentralized identifiers (DIDs) and verifiable credentials (VCs), which have been recently standardized by the World Wide Web Community (W3C). These technologies have the potential to build more secure and decentralized digital identity systems, remarkably contributing to strengthening the security of communications that typically involve many distributed participants. It is worth noting that the scope of DIDs and VCs extends beyond individuals, encompassing a broad range of entities including cloud, edge, and Internet of Things (IoT) resources. However, due to their novelty, existing literature lacks a comprehensive survey on how DIDs and VCs have been employed in different application domains, which go beyond SSI systems. This paper provides readers with a comprehensive overview of such technologies from different perspectives. Specifically, we first provide the background on DIDs and VCs. Then, we analyze available implementations and offer an in-depth review of how these technologies have been employed across different use-case scenarios. Furthermore, we examine recent regulations and initiatives that have been emerging worldwide. Finally, we present some challenges that hinder their adoption in real-world scenarios and future research directions.

研究动机与目标

• 为去中心化标识符（DIDs）和可验证凭证（VCs）作为自主身份（SSI）基础技术提供全面概览。
• 分析DIDs和VCs现有实现方式，突出其功能和性能差异，为开发人员提供参考。
• 探索超越SSI的现实世界应用场景，包括物联网、边缘计算和云系统。
• 在去中心化身份背景下，审视全球监管举措和标准，如GDPR和KYC/AML合规要求。
• 识别开放挑战，并提出未来研究方向，以提升DID和VC系统在安全性、隐私性和可扩展性方面的表现。

提出的方法

• 对DIDs和VCs的学术与产业文献进行系统性综述，重点关注技术规范、标准和部署模式。
• 分析15个以上的DID和VC协议栈开源实现，评估其对W3C DID和VC规范等标准的支持程度。
• 根据信任模型、数据敏感性和去中心化程度，对各领域（如医疗保健、金融、物联网）的应用场景进行分类与评估。
• 调研全球监管与政府倡议，包括欧盟的eIDAS 2.0及各国数字身份计划。
• 评估VC撤销的密码学机制，包括基于位图压缩的Revocation List 2020规范。
• 评估隐私保护技术与合规机制，以满足KYC和AML等监管要求在基于DID的系统中的实现。

Figure 1: Illustrative organization of the survey.

实验结果

研究问题

• RQ1 DIDs和VCs在不同软件栈中如何实现技术架构？其在功能和性能方面的主要差异是什么？
• RQ2 DIDs和VCs在自主身份之外的主要应用领域有哪些？它们如何应对独特的信任与可扩展性挑战？
• RQ3 现有标准与法规（如GDPR和AML）如何与DIDs和VCs的隐私优先设计原则相互作用？
• RQ4 当前VC撤销机制存在哪些局限性与开放挑战？像Revocation List 2020这样的解决方案有效性如何？
• RQ5 在受监管环境中，需要哪些密码学与协议级创新，以实现既保护隐私又符合合规要求的身份系统？

主要发现

• Revocation List 2020机制通过位图压缩技术，实现了高效且紧凑的已撤销VC存储，可显著减小数据规模——例如，一个仅含少量撤销项的16KB位图可压缩至几百字节。
• 当前VC撤销解决方案仍显局限，仅有1个非标准化规范（即Revocation List 2020）被广泛采用，凸显生态系统中存在关键缺口。
• DID和VC系统可支持除个人之外的多种实体，包括物联网设备、边缘节点和云服务，从而在分布式系统中实现去中心化信任。
• 监管合规（如KYC和AML）仍是主要挑战，源于隐私保护设计与强制用户筛查之间的张力，亟需新型密码学解决方案。
• 现有实现方式在标准合规性、性能以及对高级功能（如密钥轮换和通过OTP实现多因素认证）的支持方面存在显著差异。
• 本综述发现，缺乏标准化且保护隐私的问责与撤销机制，表明需在零知识证明和去中心化审计系统方面开展进一步研究。

Figure 2: Timeline of digital identity evolution.