基於全球 SSI 標準和參考實現的 L2 密鑰庫提案

3 天前

本文為機器翻譯

展示原文

我們提出了一個基於Sidetree的金鑰儲存Layer 2網路,作為一個公共設施,由可信的以太坊生態系統實體(如Layer 2運營商和支援以太坊的大型企業)部署和運營,使用W3C去中心化識別符號(DIDs)作為標準化的跨鏈和低成本非託管金鑰管理堆疊。

背景

以太坊Oasis社群專案L2標準工作組最近釋出了一份報告"W3C DIDs和VCs如何幫助以太坊的三大轉型"。該報告與最近@EugeRe的兩篇帖子(1和2)保持一致。在我們的報告中,我們討論瞭如何將W3C去中心化識別符號(DIDs)和可驗證憑證(VCs)整合,以解決以太坊在經歷其三大轉型(透過L2 rollups進行擴容、透過智慧合約錢包增強錢包安全性、提高隱私性)時面臨的挑戰。以太坊的這些轉型需要改變使用者管理身份、金鑰和地址的方式。DIDs和VCs作為去中心化身份生態系統的核心元件,為這些挑戰提供瞭解決方案。

我們認為,DIDs提供全球唯一、可解析的識別符號,而VCs則可以驗證身份、屬性或資格的宣告。透過利用DIDs和VCs,以太坊可以改善身份管理、金鑰輪換和恢復,以及隱私保護。DID文件可以儲存跨網路的地址,並促進金鑰管理,包括社交恢復。此外,零知識證明可以在使用DID文件中的金鑰進行以太坊生態系統內外交易時增強隱私。

幾種基於Sidetree協議的DID方法(一種具有參考實現的Layer 2 DID標準)非常適合以太坊生態系統,提供無許可、區塊鏈錨定、可擴充套件和低成本的解決方案。Sidetree協議由去中心化身份基金會(DIF)開發,可以在各種區塊鏈網路上建立和管理可擴充套件的DIDs,使其成為一種獨立於區塊鏈的解決方案。這允許DIDs被錨定到不同的分散式賬本技術,如以太坊主網。

關鍵技術方面

Layer 2協議: Sidetree作為一個層次建立在現有的區塊鏈網路之上,將DID操作與基礎層的交易限制分離。這允許提高可擴充套件性和降低成本,相比於直接與區塊鏈互動進行每個DID操作。
獨立於區塊鏈: 該協議旨在與任何支援資料錨定的區塊鏈一起工作,提供在選擇底層網路時的靈活性。流行的實現存在於比特幣(ION)和以太坊(Element)等區塊鏈上。
去中心化PKI (DPKI): Sidetree利用去中心化的公鑰基礎設施,DID控制者持有與其DIDs相關的私鑰。這使使用者完全控制自己的數字身份。
DID操作: Sidetree支援的核心操作包括建立、更新、恢復和停用。這些操作允許對DIDs及其關聯的DID文件進行生命週期管理。
內容定址儲存(CAS): Sidetree利用像IPFS或Filecoin這樣的CAS系統來儲存DID文件和其他相關資料。這確保了資料的不可變性和透過分散網路的可用性。
批次處理和錨定: 為了提高效率,Sidetree節點將多個DID操作批次處理,並將其錨定到底層區塊鏈的單個交易中。這大大降低了交易成本,提高了吞吐量。
衝突自由可複製資料型別(CRDTs): Sidetree採用CRDTs來管理DID文件更新,並以去中心化的方式解決衝突。這確保了網路上資料的一致性。

在Sidetree協議中,更新DID文件是一個多步驟的過程,總結如下:

生成更新負載:DID控制者建立一個更新負載,包括以下元件:

didSuffix:正在更新的DID的唯一字尾。
revealValue:前一次更新承諾的已公開值,用於驗證。
patches:一個JSON補丁運算元組,指定要對DID文件進行的修改。
updateCommitment:下一次更新操作的新承諾值。

提交到Sidetree節點:DID控制者將更新負載提交到Sidetree節點。
批次處理和錨定:Sidetree節點收集多個更新操作和其他DID操作,將它們批次打包到一個錨定檔案中,並將該檔案錨定到底層區塊鏈。錨定檔案包含操作的雜湊值和其他元資料,但不包含實際的操作資料。
儲存操作資料:Sidetree節點將完整的更新操作資料以及其他操作,儲存在一個"塊檔案"中,並透過像IPFS或Filecoin這樣的內容定址儲存系統(CAS)提供訪問。區塊鏈上的錨定檔案包含對此塊檔案的引用。
解析:當另一個實體想要解析DID並獲取最新的DID文件時,他們查詢Sidetree節點。
檢索和應用更新:Sidetree節點從區塊鏈檢索相關的錨定檔案,按照對塊檔案的引用找到CAS上的資料,並按時間順序應用所有更新操作到原始DID文件,以構建最新版本。

Sidetree協議還結合了幾種安全措施,以確保DID操作的完整性,並緩解潛在的攻擊向量:

1. 去中心化公鑰基礎設施(DPKI)

DID控制者持有私鑰:每個DID控制者都擁有與其DIDs相關的私鑰,完全控制自己的身份資料。這消除了集中式金鑰管理系統存在的單點故障或被破壞的風險。

2. 承諾方案

更新承諾:每個更新操作都包含對下一次更新的承諾,在連續的更新中建立了加密連結。這可以防止未經授權的修改或篡改DID文件的歷史記錄。
公開值:與前一次更新承諾相關的公開值確保只有擁有相應私鑰的DID控制者才能發起新的更新。

3. 批次處理和錨定

區塊鏈錨定:將多個DID操作批次打包到錨定檔案中,並將其錨定到區塊鏈,提供了一個防篡改和可審計的操作歷史記錄。
內容定址儲存(CAS):在像IPFS或Filecoin這樣的CAS中儲存操作資料,進一步增強了不可變性,防止未經授權的修改。

4. 密碼學操作

數字簽名:操作使用DID控制者的私鑰進行簽名,確保了真實性和不可否認性。
雜湊:廣泛使用雜湊函式來建立承諾、連結操作和生成識別符號,增加了另一層安全性和完整性。

5. 衝突自由可複製資料型別(CRDTs)

確定性衝突解決:CRDTs使網路能夠處理對同一DID文件的併發更新,並以一致和可預測的方式解決衝突。

6. 網路冗餘和去中心化

多個Sidetree節點:由不同實體運營的多個Sidetree節點降低了單點故障或審查的風險。
點對點解析:透過查詢任何Sidetree節點來解析DIDs,進一步增強了去中心化和彈性。

緩解攻擊向量

未經授權的更新:承諾方案和需要DID控制者的私鑰進行更新,可以防止對DID文件的未經授權的修改。
資料篡改:區塊鏈錨定和CAS儲存確保了資料的不可變性,使篡改過去的操作或DID文件變得很困難。
審查:網路的去中心化特性,擁有多個節點和點對點解析,可以緩解審查或拒絕服務攻擊的風險。
單點故障:將私鑰分散給DID控制者,以及Sidetree節點的冗餘,降低了單點被破壞的風險。

建議

鑑於上述情況,我們建議部署和運營一個基於Sidetree的L2金鑰儲存網路,作為一個公共設施,由可信的以太坊生態系統實體(如L2運營商和大型企業)運營,作為一個標準化的跨鏈和低成本非託管金鑰管理解決方案,而不受任何當前正在考慮的專有解決方案的限制。

我們設想這種方法具有以下有益特徵:

跨鏈DID解析:在與不同的以太坊網路(主網、測試網或其他L2)進行互動時,使用者的DID可以透過L2 Sidetree網路進行解析。這允許這些網路上的應用程式和智慧合約訪問使用者的DID文件並驗證其金鑰。
低成本金鑰管理操作:金鑰輪換、恢復和其他金鑰管理操作可以在L2 Sidetree網路上批次進行,大大降低了單個交易成本。
用於隱私的ZK證明:可以使用零知識證明有選擇地披露有關使用者金鑰和DID文件的資訊,同時保護隱私。這允許在不暴露敏感資料的情況下,在不同的以太坊網路之間進行安全和私密的互動。
智慧合約錢包和DIDs:智慧合約錢包可以與DIDs關聯,為這些錢包提供安全和去中心化的金鑰管理。DID文件可以指定錢包的控制金鑰,允許使用多重簽名和社交恢復機制。
互操作性和標準化:透過利用W3C DID標準和Sidetree協議,L2 Sidetree網路確保與以太坊生態系統中的其他DID系統和應用程式(如Polygon ID)實現互操作性,促進了跨鏈管理金鑰和身份的無縫和使用者友好體驗。
避免供應商鎖定:透過使用來自W3C和DIF的全球身份標準,以及開源參考實現和獨立的Sidetree節點運營商,生態系統可以以非常低的甚至零成本將跨鏈身份/金鑰操作作為一個公共設施。

我們歡迎並期待收到對此建議的意見。