[论文解读] Decentralized Identifiers and Self-sovereign Identity in 6G

Sandro Rodriguez Garzon, Hakan Yildiz+1 more|arXiv (Cornell University)|Dec 17, 2021

Advanced Wireless Communication Technologies参考文献 11被引用 4

一句话总结

本文提出将去中心化标识符（DIDs）和自主权身份（SSI）集成到6G网络中，以在多利益相关方、零信任环境中实现安全、保护隐私且去中心化的身份与访问管理。通过用基于分布式账本的DID和可验证凭证替代集中式公钥基础设施（PKI），该方法消除了单点故障，增强了跨域互操作性，并支持符合GDPR等隐私法规的要求。

ABSTRACT

A key challenge for mobile network operators in 6G is to bring together and orchestrate a variety of new emerging players of today's mobile ecosystems in order to provide economically viable and seamless mobile connectivity in form of a multi-stakeholder service. With each new player, be it a cloud, edge or hardware provider, the need for interfaces with secure authentication and authorization mechanisms increases, as does the complexity and operational costs of the public key infrastructures required for the identity and key management. While today's centralized public key infrastructures have proven to be technically feasible in confined and trusted spaces, they do not provide the required security for access control once centralized identity providers must be avoided because of limited cross-domain interoperability, national data protection legislation, or geopolitical-strategic reasons. Recent decentralized identity management concepts, such as the W3C recommendation of Decentralized Identifiers, provide a secure, tamper-proof, and cross-domain identity management alternative for future multi-stakeholder 6G networks without relying on centralized identity provider or certification authorities. This article introduces the concept of Decentralized Identifiers together with the principles of Self-sovereign Identity and discusses opportunities and potential benefits of their application and usage for cross-domain and privacy-preserving identity and key management in 6G networks.

研究动机与目标

• 解决6G多利益相关方、多域环境中集中式公钥基础设施（PKI）日益复杂且安全受限的问题。
• 在不依赖集中式身份提供者或全球信任认证机构（CA）的情况下，实现跨域、互操作的身份认证与授权。
• 通过允许个人和系统自主控制其身份数据，支持符合GDPR等隐私法规的隐私保护身份管理。
• 探索DID和可验证凭证（VCs）在6G网络接入平面、管理平面和应用平面中的集成。
• 识别在大规模6G身份系统中部署分布式账本技术（DLT）时面临的技术、治理与可扩展性挑战。

提出的方法

• 提出使用去中心化标识符（DIDs）作为密码学安全、可解析且自包含的标识符，无需依赖集中式注册表。
• 引入自主权身份（SSI）原则，使身份拥有者（IS）能够自主控制其身份数据并颁发可验证凭证（VCs），而无需依赖集中式权威机构。
• 以由可信实体（如移动网络运营商MNO或政府机构）颁发的可验证凭证为基础，替代传统的基于PKI的身份认证，实现基于DID的相互认证。
• 使用分布式账本技术（DLT）存储和验证DID文档及凭证吊销列表，确保防篡改性和去中心化。
• 应用JSON Web Token（JWTs）和基于SBA的服务发现（通过NRF）机制，增强可验证凭证（VCs）支持，实现网络功能间安全、无状态的服务访问。
• 设想一种信任模型，其中MNO作为上下文型可验证凭证（如位置信息）的颁发者和第三方凭证（如社会保障号码）的验证者，降低对外部验证服务的依赖。

实验结果

研究问题

• RQ1 如何通过DID和SSI实现去中心化身份管理，以替代6G网络中的集中式PKI，从而提升安全性并降低运营成本？
• RQ2 DID和可验证凭证在何种方式下可实现6G中多个信任域之间的跨域、互操作身份认证与授权？
• RQ3 SSI和DID如何支持6G中的隐私优先设计原则，特别是在符合GDPR及类似数据保护法规方面？
• RQ4 将基于DLT的身份系统集成到现有及未来6G网络功能和网络切片中面临哪些技术和架构挑战？
• RQ5 MNO及其他利益相关方可如何利用DID和VCs构建新型基于信任、保护隐私的服务与盈利模式？

主要发现

• 基于DID的身份管理消除了对集中式身份提供者和全球信任CA的依赖，减少了攻击面和运营复杂性。
• 可验证凭证（VCs）支持实体（如MNO与OTT服务）之间安全、保护隐私的身份属性交换，而无需暴露原始个人数据。
• DID与SSI的使用使MNO能够作为可信的上下文型VC（如位置信息）颁发者和第三方凭证的验证者，简化了用户接入流程，降低对外部验证的依赖。
• 在基于SBA的服务发现过程中以VC替代JWT，增强了信任与可验证性，因为VC具有密码学绑定性，且可由依赖方独立验证。
• DID与SSI的集成支持零信任架构（ZTA）原则，通过在异构、分布式的网络组件之间实现去中心化、密码学生可验证的身份认证。
• 尽管具有诸多优势，但在将基于DLT的系统扩展至支持数十亿身份、确保低延迟同步以及在PLMN生态系统中为竞争利益相关方定义治理模型方面，仍存在重大未解挑战。