Vitalik：我怎么看生物人格证明？

原文标题：What do I think about biometric proof of personhood?

特别感谢Worldcoin团队、Proof of Humanity社区和Andrew Miller所做的讨论。

在以太坊社区，人们试图构建去中心化人格证明解决方案，这是令人棘手但具有巨大潜在价值的装备之一。人格证明，也被成为“独特人类问题”，是一种有限形式的现实世界身份，它断言一个给定的注册账户由一个真实的人控制（并且不同于任何其他注册账户的真实人），理想情况下不暴露是哪个真实的人在进行控制。

已出现多个解决此问题的尝试，例如Proof of Humanity、BrightID、Idena 和 Circles。它们中的一些带有自己的应用程序（通常是UBI代币），一些在Gitcoin Passport中得到了运用，以验证哪些账户可以进行二次投票。零知识技术（如Sismo）为这些解决方案增加了隐私保护。最近，我们看到了一个更大、目标更宏远的人格证明项目的崛起，它就是Worldcoin。

Worldcoin由Sam Altman共同创立，他因是OpenAI的首席执行官而闻名。该项目背后的理念很简单：AI将为人类创造大量丰富和财富，但也可能导致很多人失去工作，并且几乎不可能分辨谁是人类、谁不是机器人，因此我们首先需要通过创建一个真正好的人格证明系统，让人类能够证明自己实际上是人类，其次给每个人提供UBI来填补这个漏洞。Worldcoin是一个独特的项目，因为它依赖于高度复杂的生物识别技术，使用一种名为“Orb”的专用硬件扫描每个用户的虹膜)。

这一项目的目标是大量生产这些Orb并在世界各地广泛分发，并将它们投放到公共场所使任何人都可以轻松获得 ID。值得称赞的是，他们还承诺随时间进展会实现去中心化。首先，这意味着技术去中心化：成为以太坊上的第2层协议，使用乐观堆栈，并使用ZK-SNARK 和其他加密技术保护用户的隐私。后来，这还包括了系统本身的去中心化治理。

Worldcoin因与Orb相关的隐私和安全问题、其“币”设计问题以及公司在某些选择上的伦理问题而受到批评。其中一些批评非常具体，集中在该项目所做决定可能很容易于实践有所不同的问题上 - 实际上，Worldcoin项目本身可能愿意做出改变。然而，还有一些更基本的担忧是关于生物识别技术是否是一个好想法的问题 - 不仅是Worldcoin的眼睛扫描生物识别技术，还包括人格证明和Idena中使用的简单的面部视频上传和验证游戏。还有一些人批评了人格证明的一般做法。它无法避免隐私泄漏的风险，将进一步侵蚀人们匿名浏览互联网的能力，受到威权政府强的强制，以及在保持去中心化的同时可能无法确保安全性。

这篇文章将讨论这些问题，并介绍一些论点，帮助您决定是否在向我们新的球形统治成为成熟技术之前接受该技术并接受扫描您的眼睛（或面部、声音等），以及是否接受它是一个自然的替代方案 - 使用基于社交图的人格证明或完全放弃人格证明 - 是否更好。

什么是人格证明以？为什么它很重要？

定义人格证明系统的最简单方法是：它创建一个公钥列表，在该系统保证每个密钥都由唯一的人类控制。换句话说，如果你是人类，你可以在列表上放一个密钥，但你不能在列表上放两个密钥，如果你是机器人，你就不能在列表上放任何密钥。

人格证明很有价值，因为它解决了很多人们所面临的反垃圾邮件和反权力中心化问题，而且避免了对中心化机构的依赖，并且尽可能透露少的信息。如果人格证明问题未得到解决，去中心化治理（包括社交媒体帖子的投票等“微治理”）将更容易被非常富有的行为者（包括敌对政府）所控制。许多服务只能通过设置访问价格来防止拒绝服务攻击，有时，用于阻止攻击者的价格对许多低收入合法用户来说也太高了。

当今世界上许多主要应用程序通过使用政府支持的身份验证系统（如信用卡和护照）来解决这个问题。这解决了问题，但对隐私进行了很大甚至可能不可接受的牺牲，并且可以轻而易举地受到政府自身的攻击。

有多少支持人格证明的人看到了我们面临的双面风险。（来源）

在许多人格证明项目中——不仅是Worldcoin，还包括人类证明、Circles 等——“旗舰应用程序”是内置的“N 人代币”（有时称为“UBI 代币”） 。每个在系统中注册的用户每天（或每小时或每周）都会收到一些固定数量的代币。但还有很多其他应用：

• 用于代币分配的空投
• 为较不富裕的用户提供更优惠的条件的代币或 NFT 销售
• 在 DAO 中投票
• 通向“种子”图形信誉系统的方法
• 二次投票 （以及资金和关注度）
• 在社交媒体上防范机器人/女巫攻击
• 用于替代预防拒绝服务攻击的验证码的替代方案

在许多这样的情况下，共同的主线是希望创建开放和民主的机制，避免项目运营商的中心化控制和最富有的用户的统治。后者在去中心化治理中尤其重要。在许多这样的情况下，当今的现有解决方案依赖于以下因素的某种组合：(i) 高度不透明的人工智能算法，这些算法留下很大的空间，使其能以不易察觉地方式筛掉运营商根本不喜欢的用户，以及 (ii) 中心化 ID，又名“KYC” 。有效的身份证明解决方案将是一个更好的替代方案，可以实现这些应用程序所需的安全属性，而不会遇到现有中心化方法的陷阱。

在人格证明方面有哪些早期尝试？

人格证明主要有两种形式：基于社交图谱和生物识别的人格证明。基于社交图谱的人格证明依赖于某种形式的担保：如果Alice、Bob、Charlie 和 David都是经过验证的人类，并且他们都说Emily是经过验证的人类，那么Emily也可能是经过验证的人类。凭证通常会通过激励措施得到增强：如果Alice说Emily是人类，但事实证明她不是，那么Alice和Emily都可能会受到惩罚。人格的生物识别证明涉及验证Emily的某些身体或行为特征，这将人类与机器人（以及人类个体之间）区分开来。大多数项目结合使用这两种技术。

我在文章开头提到的四个系统的工作原理大致如下：

• 人格证明：您上传自己的视频，并提供押金。要获得批准，现有用户需要为您提供担保，并且需要经过一段时间才能对您提出质疑。如果有质疑，Kleros 去中心化法院确定您的视频是否真实；如果不是，您将失去存款，而质疑者将获得奖励。
• BrightID：您与其他用户一起加入视频通话“验证方”，每个人都互相验证。可以通过Bitu获得更高级别的验证，如果有足够多的其他经过 Bitu 验证的用户为您提供担保，您就可以在该系统中获得验证。
• Idena：您在特定时间点玩验证码游戏（以防止人们多次参与）；验证码游戏的一部分涉及创建和验证验证码，然后将其用于验证其他验证码。
• Circles：现有 Circles 用户为您担保。Circles 的独特之处在于它不尝试创建“全球可验证的 ID”；相反，它创建了一个信任关系图，其中某人的可信度只能从您自己在该图中的位置的角度来验证。

Wordcoin 如何运作？

每个Worldcoin用户在手机上安装一个应用程序，该应用程序会生成私钥和公钥，就像以太坊钱包一样。然后他们亲自去参观“Orb”。用户凝视 Orb 的摄像头，同时向 Orb 展示由其 Worldcoin 应用程序生成的二维码，其中包含其公钥。Orb 扫描用户的眼睛，并使用复杂的硬件扫描和机器学习分类器来验证：

1. 用户是一个真实的人
2. 用户的虹膜与之前使用过该系统的任何其他用户的虹膜不匹配

如果两次扫描都通过，Orb 会签署一条消息，批准用户虹膜扫描的专门哈希值。哈希值被上传到数据库 - 目前是一个中心化服务器，一旦确定哈希机制有效，就打算用去中心化的链上系统取代。系统不存储完整的虹膜扫描；它只存储哈希值，这些哈希值用于检查唯一性。从那时起，用户就拥有了“World ID”。

World ID 持有者能够通过生成 ZK-SNARK 来证明他们是唯一的人类，证明他们持有与数据库中的公钥相对应的私钥，而无需泄露他们持有的那个密钥。因此，即使有人重新扫描您的虹膜，他们也无法看到您采取的任何操作。

构建Worldcoin面临的主要问题是什么？

人们会立即想到四个主要风险：

• 隐私。虹膜扫描的注册表可能会泄露信息。至少，如果其他人扫描您的虹膜，他们可以根据数据库进行检查，以确定您是否拥有世界 ID。虹膜扫描可能会透露更多信息。
• 访问。除非有足够多的Orb，世界上任何人都可以轻松获得一个orb，否则世界 ID 的访问将不可靠。
• 中心化。 Orb 是一个硬件设备，我们无法验证它的构造是否正确且没有后门。因此，即使软件层完美且完全去中心化，Worldcoin基金会仍有能力在系统中插入后门，让它创建任意多个虚假的人类身份。
• 安全行。用户的手机可能会被黑客入侵，用户可能会被迫扫描自己的虹膜，同时出示属于其他人的公钥，并且有可能 3D 打印“假人”，可通过虹膜扫描并获得World ID。

重要的是要区分以下几个问题：（i）Worldcoin所做选择的特定问题，（ii）任何生物识别人格证明都不可避免会面临的问题，以及（iii）一般人格证明都会面临的问题。例如，注册人格证明意味着在互联网上公开您的面部。参加BrightID的验证活动并不完全如此，但仍会向许多人暴露您的身份。而加入Circles会公开暴露您的社交图谱。相比之下，Worldcoin在保护隐私方面要比这些都要好得多。另一方面，Worldcoin依赖于专用硬件，这就带来了信任orb制造商正确构建了orb的挑战 - 这是人格证明、BrightID或Circles中没有的挑战。甚至可以想象，在将来，除了Worldcoin之外的其他人可能会创建具有不同权衡的不同专用硬件解决方案。

生物识别人格证明方案如何解决隐私问题？

任何人格证明系统最明显、也是最严重的潜在隐私泄漏就是将一个人所采取的每一项行动都与现实世界的身份进行关联。这种数据泄漏非常大，可以说大到不可接受的程度，但幸运的是，利用零知识证明技术可以轻松解决这个问题。用户可以使用零知识证明技术生成一个ZK-SNARK，证明他们拥有相应的私钥，而不透露具体的密钥，而不是直接用与数据库中对应的公钥进行签名。这可以通过像Sismo这样的工具来通用实现（请参阅本文关于人格证明特定实现的内容），而且Worldcoin也有其内置实现。在这里需要给“加密原生态”的人格证明以赞誉：他们确实想着采取这一基本步骤来提供匿名化，而基本上所有的中心化身份解决方案都没有。

更微妙但仍然重要的隐私泄漏是存在公共生物识别扫描注册表。在人格证明的情况下，这涉及大量的数据：您会得到每个人格证明参与者的视频，因此任何在意的人都可以清楚地了解到所有人格证明参与者是谁。而在Worldcoin的情况下，泄漏要有限得多：Orb本地计算并仅发布每个人虹膜扫描的“哈希”。这个哈希不是像SHA256这样的常规哈希；而是一种基于机器学习的Gabor滤波器的专用算法，它处理了任何生物识别扫描中固有的不精确性，并确保对同一个人的虹膜连续进行的哈希具有类似的输出。

蓝色表示同一个人虹膜两次扫描之间差异的位数百分比。橙色表示两个不同人虹膜的两次扫描之间差异的位数百分比。

这些虹膜哈希仅泄漏少量数据。如果对手可以强行（或秘密）扫描您的虹膜，那么他们可以自己计算您的虹膜哈希值，并根据虹膜哈希值数据库进行检查，以确定您是否参与了该系统。这种检查某人是否注册的能力对于系统本身来说是必要的，以防止人们多次注册，但它总是有可能被滥用。此外，虹膜哈希值有可能泄露一定量的医疗数据（性别、种族，也许还有医疗状况），但这种泄露远远小于当今使用的几乎任何其他海量数据收集系统所能捕获的数据（例如，甚至包括街头摄像机在内）。总的来说，对我而言，存储虹膜哈希的隐私措施是足够的。

如果其他人不同意这个判断并决定设计一个具有更多隐私的系统，有两种方法可以实现这一点：

1. 如果虹膜哈希算法可以改进，使得同一人的两次扫描之间的差异大大降低（例如，可靠地在10%的位翻转以下），那么系统可以存储较小数量的虹膜哈希的纠错位（参见：模糊提取器），而不是存储完整的虹膜哈希。如果两次扫描之间的差异在10%以下，则需要发布的位数至少少了5倍。
2. 如果我们想更进一步，我们可以将虹膜哈希数据库存储在多方计算（MPC）系统内， 该系统只能由 Orbs 访问（有速率限制），使得数据完全无法访问，但代价是管理 MPC 参与者集的协议将变得更具复杂性和社会复杂性。这样做的好处是，即使用户愿意，也无法证明他们在不同时间拥有的两个不同世界 ID 之间的联系。

不好的消息是，这些技术不适用于人格证明，因为人格证明要求公开每个参与者的完整视频，以便在有迹象表明它是假的（包括人工智能生成的假货）时可以对其提出质疑，并且在这种情况下进行更详细的调查。

总的来说，尽管盯着一个球体并让它深入扫描你的眼球有一种“反乌托邦的感觉”，但专业的硬件系统似乎确实可以在保护隐私方面做得相当不错。然而，另一方面是专用硬件系统带来了更大的中心化问题。因此，我们密码朋克似乎陷入这样的困境：我们必须用一种根深蒂固的密码朋克价值观与另一种价值观进行权衡。

生物识别人格证明系统中的可访问性问题是什么？

专用硬件引入了可访问性方面的担忧，因为，专用硬件并不是很易获取的。撒哈拉以南非洲地区现在大约有 51% 到 64% 的人拥有智能手机，预计到 2030 年将增至 87%。但虽然智能手机数量达数十亿，但 Orb 却只有几百个。即使进行更高规模的分布式制造，但要让世界每个人五公里内都有一个 Orb 也是很困难的。

但值得团队称赞的是，他们一直在努力！

还值得注意的是，许多其他人格证明形式存在更糟糕的可访问性问题。除非您已认识社交图中的某个人，否则加入基于社交图谱的人格证明系统非常困难。这使得此类系统很容易被限制在单个国家的单个社区内。

甚至中心化身份系统已吸取了这个教训：印度的 Aadhaar 身份识别系统是基于生物识别的，因为这是快速使其众多人口加入其系统的唯一方法，同时避免重复和虚假账户造成的大规模欺诈（从而节省大量成本），即便 Aadhaar 系统作为一个整体在隐私方面当然比加密社区内大规模提议的任何系统都要弱得多。

从可访问性的角度来看，性能最好的系统实际上是像人格证明这样的系统，您只需使用智能手机即可注册。不过，正如我们已看到的和我们将看到的那样，此类系统会带来各种其他权衡问题。

生物识别人格证明系统存在哪些中心化问题？

生物识别人格证明系统存在三种中心化问题：

1. 系统顶层治理的中心化风险（尤其是当系统中不同参与者主观判断不一致时做出最终顶层决策的系统）。
2. 使用专用硬件的系统所特有的中心化风险。
3. 如果使用专有算法来确定谁是真正的参与者，则存在中心化风险。

任何身份证明系统都必须处理上述的第一个问题。也许除了那些“接受”的 ID 集完全是主观的系统不用应对。如果一个系统使用以外部资产（例如 ETH、USDC、DAI）计价的激励措施，那么它就不能完全是主观的，因此治理风险是不可避免的。

上述的第二个问题对于 Worldcoin 来说，比对人格证明（或 BrightID）的风险要大得多，因为 Worldcoin 依赖于专用硬件，而其他系统则不依赖。

上述的第三个问题使一种特别存在于@VitalikButerin/the-meaning-of-decentralization-a0c92b76a274">“逻辑上中心化”系统中的风险，在这些系统中有一个单一的系统进行验证，除非所有算法都是开源的，并且我们有保证它们确实在运行它们声称的代码。对于完全依赖用户验证其他用户的系统（例如人格证明），这不是一个风险。

世界币如何解决硬件中心化问题？

目前，一个名为“Tools for Humanity”的与Worldcoin有关联的实体是唯一制造Orbs的组织。然而，Orb的源代码大部分是公开的：您可以在这个github存储库中看到硬件规格，其他部分的源代码预计也很快会被发布。许可证是另一种类似于Uniswap BSL的“共享源代码，但直到四年后才在技术上开源”的许可证，除了阻止分叉外，它还阻止了他们认为不道德的行为：他们明确列出了大规模监视和三个国际公民权力宣言。

团队表明，目标是允许并鼓励其他组织创建Orbs，并随着时间的推移从由Tools for Humanity创建的Orbs过渡到有一种DAO来批准和管理哪些组织可以制造被系统认可的Orbs。

此设计种存在两种可能导致失败的方式：

1. 它未能真正去中心化。这可能是由于联合协议的常见陷阱：一个制造商实际上主导了，导致系统重新中心化。据推测，治理可以限制每个制造商可以生产的有效Orbs的数量，但这需要谨慎管理，并且要求治理既去中心化又监视生态系统并有效应对威胁：这比例如仅处理顶级争议解决任务的相对静态DAO要困难得多。
2. 结果发现，这种分布式制造机制无法确保安全。在这里，我看到了两个风险：
   • 对于不良Orb制造商的脆弱性：如果甚至一个Orb制造商是恶意的或被黑客攻击，它可以生成无限数量的虚假的虹膜扫描哈希，并给它们World IDs。
   • Orbs的政府限制：不希望其公民参与Worldcoin生态系统的政府可以禁止Orbs进入其国家。此外，他们甚至可以强迫他们的公民扫描虹膜，使政府可以获得他们的账户，而公民无法应对。

为了使系统能更强地抵御不良Orb制造商的危害，Worldcoin团队提议对Orbs进行定期审计，验证它们是否按规格构建且关键硬件组件在事后未经篡改。这是一项具有挑战性的任务：它基本上类似于IAEA核查机构，但使针对Orbs的。我们希望，即使对审计制度的非常不完美的实施也可以大大减少虚假Orbs的数量。

为了限制任何不良Orb可能带来的伤害，有必要采取第二个缓解措施。与不同Orb制造商注册的World IDs，理想情况下与不同的Orbs，应该是可区分的。如果这些信息是私密的，并且仅存储在World ID持有者的设备上，那么这是可以的；但它确实需要在需求时可以证明。这使得生态系统能够对（不可避免的）攻击作出反应，通过按需从白名单中删除个别Orb制造商，甚至可能是个别Orbs。如果我们看到朝鲜政府强迫人们扫描眼球，那么这些Orbs及其生成的任何账户可立即追溯以禁用。

人格证明中的普遍安全问题

除了Worldcoin特有的问题之外，还有一些影响总体人格证明设计的问题。我能想到的主要有：

1. 3D打印虚拟人物：人们可以使用人工智能生成虚拟人的照片甚至 3D 打印，这些照片甚至足以被 Orb 软件接受。即使只有一个团体这样做，他们也可以生成无限数量的身份。
2. 出售 ID：某人可以在注册时提供别人的公钥而不是自己的公钥，从而使该人可以控制其注册的 ID，以换取金钱。这似乎已经发生了。除了出售，还有可能租用身份证以在一个应用程序中短时间使用。
3. 电话窃听：如果一个人的手机被黑客入侵，黑客可以窃取控制其 World ID 的密钥。
4. 政府强迫窃取身份证明：政府可以强迫他们的公民进行验证，同时展示属于政府的QR码。这样，一个恶意的政府可以获取数百万个身份证。在生物特征系统中，这甚至可以秘密进行：政府可以使用混淆的Orbs从每个进入其国家的人的护照控制亭中提取World ID。

上述问题1是特定于生物特征身份证明系统的。问题2和3对于生物特征和非生物特征设计都是共同的具有的。问题4也是两者共同存在的，尽管在两种情况下所需的技术方法可能会有很大不同；在本节中，我将重点讨论生物特征案例中的问题。

这些是相当严重的劣势。一些已经在现有协议中得到了解决，其他一些可以通过未来的改进来解决，而还有一些似乎是根本性的限制。

面对虚拟的人我们该怎么办？

对于世界币来说，这比类似人格证明的系统的风险要小得多：面对面的扫描可以检查一个人的许多特征，并且与仅仅相比，很难伪造。深度伪造 A视频。专用硬件本质上比商用硬件更难欺骗，而商用硬件又比验证远程发送的图片和视频的数字算法更难欺骗。

有人可以通过 3D 打印最终欺骗专用硬件吗？大概。我预计，在某个时候，我们会看到保持机制开放和保持安全的目标之间的紧张关系日益加剧：开源人工智能算法本质上更容易受到对抗性机器学习。黑盒算法受到更多保护，但很难说黑盒算法没有经过训练以包含后门。也许ZK-ML技术 可以给我们两全其美的好处。尽管在更遥远的未来某个时刻，即使是最好的人工智能算法也可能会被最好的 3D 打印假人所愚弄。

然而，从我与 Worldcoin 和 Proof of Humanity 团队的讨论来看，目前这两个协议似乎都还没有看到重大的深度虚假攻击，原因很简单：雇用真正的低薪工人代表您注册非常便宜且容易。

这对于Worldcoin而言要比人格证明等系统的风险要小得多：面对面的扫描可以检查一个人的许多特征，相对于简单地深度伪造一个视频来说，这是相当难以做到的。专用硬件本质上比通用硬件更难以欺骗，而通用硬件又比远程验证图片和视频的数字算法更难以欺骗。

有人最终能否制作出可以欺骗甚至是专用硬件的3D打印物品呢？可能会。我预计在某个时候，我们将看到在保持机制开放性和保持安全性之间的目标之间日益加剧的紧张关系：开源人工智能算法本质上更容易受到对抗性机器学习的攻击。黑盒算法更受保护，但很难确定黑盒算法是否经过了训练以包含后门。也许零知识机器学习技术可以给我们带来两全其美的局面。然而，在更遥远的未来的某个时候，即使是最好的人工智能算法也很可能被最好的3D打印的虚拟人欺骗。

然而，根据我与Worldcoin和Proof of Humanity团队的讨论，目前似乎两个协议都还没有遭受到重大的深度伪造攻击，原因很简单，即雇佣真正的低工资工人代表您注册是相当便宜和容易的。

我们能防止出售ID吗？

在短期内，防止这种外包是困难的，因为世界上大多数人甚至不知道人格证明协议，如果您告诉他们举起一个QR码并允许扫描他们的眼睛就能获得30美元，他们会这样做。一旦更多的人了解了人格证明协议是什么，就会出现一种相当简单的缓解措施：允许持有注册ID的人重新注册，取消先前的ID。这使得“出售ID”的可信度大大降低，因为出售您ID的人可以随时重新注册，取消他们刚刚出售的ID。然而，要达到这一点，协议必须达到广泛知名程度，而且Orbs必须在很大程度上可访问，以使按需注册变得实际可行。

这也是将UBI币集成到人格证明系统中的价值之一：UBI币为人们提供了一个易于理解的激励，让他们（i）了解协议并注册，并（ii）如果他们代表别人注册，立即重新注册。重新注册还可以防止手机被黑客入侵。

我们可以防止生物特征识别系统中的强制行为吗？

这取决于我们正在谈论的是哪种强制行为。可能的强制形式包括：

• 政府在边境管制和其他例行政府检查点扫描人们的眼睛（或面部，或…），并使用此信息注册（并经常重新注册）他们的公民
• 政府禁止国内的Orbs，以防止人们独立重新注册
• 个人购买ID，然后威胁伤害卖家，如果他们检测到由于重新注册而使ID无效
• （可能是政府运行的）应用程序要求人们通过直接签名来“登录”，让他们看到与用户当前ID及其未来ID之间的链接。人们通常担心这样做会使很容易留下“永久记录”，这些记录将伴随一个人的整个生活。

您所有的 UBI 和投票权都属于我们。（来源）

尤其是在不熟练的用户手中，彻底阻止这些情况似乎很难。用户可以离开自己的国家/地区，在更安全的国家/地区的 Orb 上（重新）注册，但这这个过程困难且成本很高。在一个真正充满敌意的法律环境中，寻找一个独立的Orb似乎太困难、太冒险了。

可行的办法是让这种滥用行为变得更麻烦、更容易被发现。要求一个人在注册时说出特定短语的人格证明方法就是一个很好的例子：它可能足以防止隐藏扫描，要求更加明目张胆的强制，并且注册短语甚至可以包括确认该人的声明受访者知道他们有权独立重新注册并可能获得UBI币或其他奖励。如果检测到强制行为，则用于集体执行强制注册的设备的访问权限可能会被撤销。为了防止应用程序链接人们当前和以前的 ID 并试图留下“永久记录”，默认的身份证明应用程序可以将用户的密钥锁定在受信任的硬件中，从而防止任何应用程序直接使用该密钥，而无需中间的匿名 ZK-SNARK 层。如果政府或应用程序开发人员想要解决这个问题，他们需要强制使用他们自己的定制应用程序。

通过将这些技术与积极的警惕相结合，将那些真正敌对的政权拒之门外，并保持那些只是中等不良的政权（世界上大部分地区都是如此）的诚实，似乎是可能的。这可以通过像 Worldcoin 或人格证明这样的项目维护自己的官僚机构来完成此任务，或者通过透露有关 ID 如何注册的更多信息（例如，在 Worldcoin 中，它来自哪个 Orb）并保留此分类来完成任务交给社区。

我们能否阻止出租ID（例如出售选票）？

重新注册无法阻止出租您的ID。在某些应用中这没问题：出租您收集当天份额的UBI币的权利的成本将仅仅是当天份额的UBI币的价值。但在投票等应用中，轻松出售选票是一个巨大的问题。

像MACI这样的系统可以防止您可信地出售您的选票，方法是允许您随后投出另一张票，使您之前的票无效，而且没有人能够判断您是否实际投了这样一张票。但是，如果贿赂者在注册时控制您获得的密钥，这就无济于事了。

我在这里讨论了两个解决方案：

1. 在MPC中运行整个应用程序。这也包括重新注册过程：当一个人注册到MPC时，MPC会为他们分配一个与他们的身份证明ID分开且不可链接的ID，当一个人重新注册时，只有MPC会知道要停用哪个帐户。这可以防止用户对他们的行为做出证明，因为每个重要步骤都是在MPC内部使用仅MPC知道的私人信息完成的。
2. 去中心化的注册仪式。基本上，实现类似于这种要求四名随机选定的当地参与者共同注册某人的面对面密钥注册协议。这可以确保注册是一个“受信任”的过程，攻击者无法在其间窥探。

基于社交图的系统在这里实际上可能表现更好，因为它们可以自动创建本地的去中心化注册流程，这是它们工作方式的副产品。

生物识别技术与人格证明的其他领先候选者（基于社交图谱的验证）相比如何？

除了生物识别方法之外，迄今为止人格证明的主要其他竞争者是基于社交图谱的验证。基于社交图谱的验证系统都遵循相同的原理：如果有一大堆现有的经过验证的人格都证明了您身份的有效性，那么您可能是有效的，并且也应该获得经过验证的状态。

如果只有少数真实用户（意外或恶意）验证虚假用户，那么您可以使用基本的图论技术来设置系统验证的虚假用户数量的上限。（来源：https://www.sciencedirect.com/science/article/abs/pii/S0045790622000611）

基于社交图谱的验证的支持者经常认为它使生物识别技术的更好替代方案，原因如下：

• 它不依赖专用硬件，这使其更容易部署
• 它避免了制造商试图创造虚拟人以及Orb需要更新以拒绝此类虚拟人之间的永久军备竞赛
• 它不需要收集生物特征数据，因此更加隐私友好
• 它对于匿名性可能更友好，因为如果某人选择将他们的互联网生活分割成多个彼此独立的身份，那么这两个身份都有可能被验证（但维护多个真实且独立的身份会牺牲网络效应并具有很高的成本，因此攻击者不容易做到这一点）
• 生物特征方法提供了一个“是人类”或“不是人类”的二进制评分，这是脆弱的：被意外拒绝的人最终可能完全没有UBI，甚至可能无法参与在线生活。基于社交图的方法可以提供更加细致的数值评分，这可能对某些参与者可能有些不公平，但不太可能完全“取消”某个人。

我对这些论点的看法基本上是我同意它们！这些是基于社交图的方法的真正优势，应该认真对待。然而，值得注意的是，基于社交图的方法也有劣势：

• 启动问题：对于用户加入基于社交图的系统，该用户必须认识已经在图中的某个人。这使得大规模采用变得困难，并且存在排除世界上整个地区的风险，这些地区在初始启动过程中没有幸运的地区。
• 隐私：虽然基于社交图的方法避免了收集生物特征数据，但它们往往会泄漏有关个人社交关系的信息，这可能会带来更大的风险。当然，零知识技术可以缓解这一问题（例如，Barry Whitehat提出的这个提案），但是图中的相互依赖性以及需要对图进行数学分析的需要使得实现与生物特征相同级别的数据隐藏变得更加困难。
• 不平等：每个人只能拥有一个生物特征ID，但是一个富有和社交关系良好的人可以利用他们的联系生成许多ID。基本上，可能允许社交图系统为真正需要该功能的人（例如，活动人士）提供多个化名的灵活性，也可能意味着更强大和社交关系更好的人可以获得比较不强大和社交关系不那么好的人更多的化名。
• 陷入中心化风险：大多数人懒得花时间向互联网应用报告谁是真人谁不是。因此，存在这样的风险：随着时间的推移，系统将倾向于采用依赖于中心化权威的“简单”方式来加入，而系统用户实际上将成为其社交图谱的“社交图谱”。国家承认哪些人是公民 - 使我们陷入了具有不必要的额外步骤的中心化KYC。

人格证明与现实世界中的假名兼容吗？

原则上，人格证明与各种假名兼容。应用程序的设计方式可以使具有单一身份 ID 证明的人可以在应用程序中创建最多五个配置文件，从而为假名帐户留出空间。甚至可以使用二次公式：N 个配置文件的成本为 N²美元。但这行得通吗？

然而，悲观主义者可能会认为，尝试创建一种对隐私更加友好的 ID 形式并希望它实际上能够以正确的方式被采用，这种想法太天真的，因为掌握权力的人并不友好于隐私，如果一个强大的行动者获得了一个可以用来获取关于某个人更多信息的工具，他们会以这种方式使用它。在这样的世界中，论点是，唯一现实的方法是不幸地扰乱任何身份解决方案的正常运作，并捍卫一个拥有完全匿名和高信任度数字社区的世界。

我理解这种思考方式背后的逻辑，但我担心，即使成功，这样的方法也会导致一个世界，没有任何人可以采取任何行动来抵制财富中心化和治理中心化，因为一个人总是可以假装成一万个人。这些集中点反过来又很容易被掌握权力的人所抓住。相反，我倾向于采取一种温和的方法，我们积极倡导人格证明解决方案具有强大的隐私保护，甚至可以在协议层面包含一个“N个账户对应$N²”的机制，创造出一些具有隐私友好价值观的东西，并有可能被外界接受。

那么…我是怎么看的？

不存在理想的人格证明形式。相反，我们至少有三种不同的方法范式，它们都有自己独特的优点和缺点。比较图表可能如下所示：

理想情况下，我们应该将这三种技术视为互补，并将它们全部结合起来。正如印度 Aadhaar 所展示的那样，专用硬件生物识别技术具有大规模安全的优势。他们在去中心化方面非常薄弱，尽管这可以通过让个别球体负责来解决。如今，通用生物识别技术很容易被采用，但其安全性正在迅速下降，而且可能只能再工作 1-2 年。基于社交图谱的系统由数百名与创始团队社交关系密切的人引导，可能会面临不断的权衡问题，要么完全错过世界大部分地区，要么容易受到他们看不到的社区内的攻击。然而，一个由数千万生物识别 ID 持有者引导的基于社交图谱的系统实际上可以发挥作用。生物识别引导可能在短期内效果更好，而基于社交图谱的技术从长期来看可能会更加稳健，并且随着算法的改进，随着时间的推移，它们会承担更大的责任。

可能的混合路径

所有负责这些项目的团队都有可能犯下多种错误，商业利益与更广泛社区需求之间不可避免地会出现紧张关系，因此必须保持高度警惕。作为一个社区，我们可以并且应该推动所有参与者开源其技术，并要求进行第三方审计，甚至要求使用第三方编写的软件，以及使用其他的审查和平衡机制。我们还需要在每个类别中拥有更多的替代方案。

与此同时，重要的是要认识到已完成的工作：许多运行这些系统的团队已经表现出了这样的意愿：比任何政府或主要公司运营的身份系统都更重视隐私，我们应该在这类成功的基础之上继续前行。

在将有效可靠的人格证明系统引入远离现有加密社区的人群手中方面，面临着相当大的挑战。我绝对不是嫉妒那些尝试完成这项任务的人，而且认为很可能需要几年的时间才能找到一个可行的方案。人格证明的概念从原则上讲似乎非常有价值，尽管各种实现方式都存在风险，但在不存在任何人格证明的情况下也存在风险：一个没有人格证明的世界更有可能是一个由中心化身份解决方案、金钱、小封闭社区或三者组合而成的世界。我期待着看到各种类型的人格证明取得更多进展，希望不同的方法最终能够融合成一个连贯的整体。

声明：

1. 本文转载自[vitalik]，，著作权归属原作者[vitalik]，如对转载有异议，请联系Gate Learn团队，团队会根据相关流程尽速处理。
2. 免责声明：本文所表达的观点和意见仅代表作者个人观点，不构成任何投资建议。
3. 文章其他语言版本由Gate Learn团队翻译， 在未提及Gate.io的情况下不得复制、传播或抄袭经翻译文章。