プライバシーと身分証明: zk-SNARKs技術における多重のジレンマ

zk-SNARKs技術がデジタル身分システムにおける応用は主流となり、各種のzk-SNARKsに基づくデジタル身分プロジェクトがユーザーフレンドリーなソリューションの開発を進めています。これらのソリューションは、ユーザーが身分の詳細を漏らさずに自分の身分を証明できることを可能にします。最近、生体認証技術を採用し、zk-SNARKsを通じてプライバシーを保護するWorld IDのユーザー数は1000万人を突破しました。

表面上看、zk-SNARKs技術がデジタルアイデンティティ分野で広く応用されていることは、去中心化を加速する(d/acc)の理念において大きな勝利のように思える。しかし、事実はそれほど単純ではなく、zk-SNARKsに基づくアイデンティティシステムにはいくつかのリスクが存在する。本稿では以下の点を探求する。

• zk-SNARKsパッケージは多くの重要な問題を解決しました。
• zk-SNARKsでパッケージされた身分証明にはリスクが依然として存在します。これらのリスクは主に「一人一身分証明」属性の厳格な維持から生じています。
• 単純に"富の証明"に依存して魔女攻撃を防ぐことは不十分であり、私たちは何らかの"身分証明"の解決策を必要としています。
• 理想的な状態は、N個の身分証明を取得するコストがN²であることです。
• 多様な身分は最も現実的な解決策であり、顕在的な(としてソーシャルグラフに基づく身分)、また潜在的な(多種のzk-SNARKs身分が共存する)。

! ヴィタリック:デジタルアイデンティティ+ ZKテクノロジーの下での複数のジレンマ

zk-SNARKsを用いた身分証明の運作メカニズム

零知識証明で包まれた身分証明システムでは、ユーザーの携帯電話に秘密値sが保存され、チェーン上のグローバル登録簿には対応する公開ハッシュ値H(s)があります。ユーザーがアプリにログインする際、特定のアプリに対してユーザーIDが生成されます。すなわちH(s、app_name)であり、零知識証明を通じてこのIDが登録簿にある公開ハッシュ値のいずれかと同じ秘密値sに由来することを検証します。これにより、各公開ハッシュ値は各アプリに対して一つのIDしか生成できず、特定のアプリ専用のIDがどの公開ハッシュ値に対応しているかを漏らさないことが保証されます。

実際の設計はより複雑であり、World IDにおいてアプリケーション固有のIDにはアプリケーションIDとセッションIDのハッシュ値が含まれ、同一アプリケーション内の異なる操作が相互に関連付けを解除できることを許可します。零知识证明護照の設計も同様の方法で構築することができます。

このような身分証明の種類の欠点について議論する前に、それがもたらす利点を認識する必要があります。従来の認証と比較して、zk-SNARKs 身分証明は開示する必要のある個人情報を大幅に削減し、コンピュータセキュリティの「最小権限の原則」により適切に従っています。

しかし、zk-SNARKsパッケージ技術はすべての問題を解決したわけではなく、"一人一身份"の厳格な制限によって、特定の問題がさらに深刻になる可能性があります。

! ヴィタリック:デジタルアイデンティティ+ ZKテクノロジーの下での複数のジレンマ

ゼロ知識証明の限界

完全な匿名性を実現することはできません

たとえzk-SNARKs身分証明プラットフォームが期待通りに機能し、すべてのロジックを厳密に再現し、中央集権機関に依存せずに非技術ユーザーのプライベート情報を長期にわたって保護する方法を見つけたとしても、アプリケーションがプライバシー保護に協力しない可能性があります。彼らは各ユーザーにユニークなアプリ専用IDを割り当てるかもしれず、身分システムが「一人一身分証明」ルールに従うため、ユーザーは一つのアカウントしか持てません。

現実世界では、匿名性を実現するためには通常複数のアカウントが必要です：1つは「通常の身分証明」、他はさまざまな匿名の身分用です。したがって、このモデルでは、ユーザーが実際に得られる匿名性は現在のレベルよりも低い可能性があります。これにより、私たちはすべての活動が単一の公開身分に依存しなければならない世界に徐々に向かう可能性があり、リスクが高まる時代において、これは深刻な悪影響をもたらすでしょう。

脅迫を防ぐことはできません

たとえユーザーが自分の秘密値sを公開しなくても、誰もが各アカウント間の公開された関連を見られない。しかし、もし誰かが公開を強制したらどうなるだろうか？政府はすべての活動を確認するために秘密値の開示を強制する可能性がある。雇用主も、雇用条件として完全な公開情報の開示を求めるかもしれない。さらには、特定のアプリケーションが技術的な観点から、ユーザーが他のアプリケーションでの身分証明を開示しなければ、登録を許可しないこともある。

これらの状況では、zk-SNARKsの価値は消失しますが、「一人一アカウント」という新しい属性の欠点は依然として存在します。

デザインの最適化によって脅迫リスクを低減することは可能ですが、例えば各アプリケーション専用IDを生成するためのマルチパーティ計算メカニズムを採用することによっても、リスクを完全に排除することはできず、他の欠点をもたらす可能性があります。

非プライバシーリスクを解決できません

すべての身分証明の形式には、境界ケースが存在します:

• 政府が発行した身分証明では、無国籍者やこのような証明書をまだ取得していない人々をカバーすることはできません。
• 多重国籍保有者は独自の特権を得る可能性があります。
• パスポート発行機関はハッキング攻撃を受ける可能性があり、敵対国の情報機関が大量の偽の身分証明を偽造する可能性さえあります。
• 生体認証は、関連する生物的特徴が傷病によって損なわれた人にとっては完全に無効となります。
• 生体認証身分は偽造品に騙される可能性があり、さらにはこの種の身分を"大量生産"する行為が発生する可能性があります。

これらのエッジケースは「一人一身分証明」属性のシステムを維持しようとする際に最も危険であり、プライバシーとは無関係です。したがって、zk-SNARKsはこれに対処できません。

! ヴィタリック:デジタルアイデンティティ+ZK技術の下での複数のジレンマ

富の証明の制限

純粋な暗号パンクコミュニティは、女巫攻撃を防ぐために「富の証明」に完全に依存する代替案を提案することがよくあります。これは、あらゆる形の身分証明システムを構築するのではなく、各アカウントに一定のコストを発生させることで、多数のアカウントを簡単に作成することを防ぐというものです。このアプローチはインターネット上での先例がありますが、実際の運用では真の暗号経済モデルではありません。

理論的には、支払いに条件を持たせることも可能です: アカウント登録時に資金を担保に入れるだけで、アカウントが停止された場合にのみこの資金を失うことになります。これにより攻撃コストが大幅に増加します。

このような提案は多くのシーンで顕著な効果を示しますが、特定のタイプのシーン、特に「国民基本所得に類似したシーン」と「ガバナンスに類似したシーン」ではまったく機能しません。

における国民基本所得のシナリオにおける身分証明の必要性

"クラス全体の基本的な収入シナリオ"は、非常に広範なユーザーグループに対して、支払い能力を考慮せずに一定量の資産またはサービスを提供するシナリオを指します。Worldcoinはこれを体系的に実践しています: World IDを持つ誰もが定期的に少量のWLDトークンを受け取ることができます。多くのトークンエアドロップも非公式な方法で類似の目標を達成しています。

このような「小型のユニバーサルベーシックインカム」は、人々が十分な数量の暗号通貨を獲得し、ENS名の取得や、特定のzk-SNARKs身分証明を初期化するためのハッシュをオンチェーンで公開したり、ソーシャルメディアプラットフォームの料金を支払ったりするなどの基本的なオンチェーントランザクションやオンライン購入を完了することを可能にします。

別の類似の効果を実現する方法は「全員基本サービス」であり、特定のアプリ内で限られた数の無料取引を行う権利を持つ身分証明を持つ全ての人に提供します。この方法はインセンティブメカニズムにより適している可能性が高く、資本効率も高いですが、普遍性は低下します。

身分証明のもう一つの重要な機能は、ユーザーが担保として相当の資金を提供することなく、責任を追及できる対象を提供することです。これにより、参加の敷居が個人資本の量への依存を減らすのに役立ちます。

類ガバナンスシナリオにおける身分証明の必要性

投票システムにおいて、ユーザーAのリソースがユーザーBの10倍であれば、Aの投票権もBの10倍になります。しかし、経済的な観点から見ると、1単位の投票権がAにもたらす利益はBにもたらす利益の10倍です。したがって、Aの投票が自身にもたらす利益はBの投票が自身にもたらす利益の100倍になります。これにより、Aは投票に多くのエネルギーを投入し、どのように投票すれば自身の目標を最大化できるかを研究し、場合によっては戦略的にアルゴリズムを操作する可能性があります。

より深い理由は、ガバナンスシステムが「1人が10万ドルを管理する」ことと「1000人が10万ドルを共同保有する」ことに同等の重みを与えるべきではないということです。後者は1000の独立した個体を代表しており、より豊かな有価な情報を含んでいます。小規模な情報の高度な重複ではありません。1000人からの信号はしばしば「穏やか」であり、なぜなら異なる個体の意見はしばしば相互に相殺されるからです。

これは、ガバナンスのようなシステムが資金束の内部調整の程度を理解する必要があることを示しており、単に「資金の出所にかかわらず、同等の規模の資金束は平等に扱われる」というわけではありません。

注意すべきは、上記の2つのシナリオの説明フレームワークに同意する場合、技術的な観点から「一人一票」という明確なルールの必要性はもはや存在しないということです。

• クラウドファンディングのようなユニバーサルベーシックインカムのシナリオにおいて、実際に必要な身分証明のプランは: 最初の身分証明は無料で、取得可能な身分証明の数に制限を設けることです。
• ガバナンス類似のシナリオにおけるアプリケーションの核心的なニーズは、接触しているこのリソースの背後に単一の制御主体がいるのか、あるいは「自然に形成された」調整の程度が低い集団がいるのかを、何らかの間接的な指標を通じて判断できることである。

この2つのシーンでは、身分証明は依然として非常に役立ちますが、「一人一身分証明」といった厳格なルールの要求はもはや存在しません。

! Vitalik:デジタルアイデンティティ+ ZKテクノロジーの下での複数のジレンマ

理想状態: N個の身分証明を取得するコストはN²

上述の議論から、我々は、二つの圧力が相反する両端から身分証明システムにおける複数の身分を取得する期待の難易度を制限していることが分かります。

まず、"簡単に取得できる身分の数"に明確で目に見えるハードリミットを設定することはできません。もし一人が一つの身分しか持てない場合、匿名性については話にならず、身分を強要されて漏らす可能性があります。たとえ1より大きい固定の数であってもリスクがあります: すべての人がそれぞれ5つの身分を持っていることを知っている場合、あなたはすべての5つを漏らすように強要されるかもしれません。

次に、身分証明は財務と完全に結びつけることはできません(、つまりN個の身分証明を取得するコストはN)です。これは、大規模な主体が容易に過度な影響力を得ることを許してしまいます。

上記の論点を総合すると、以下の制約条件を満たす前提で、できるだけ容易に複数の身分証明を取得したいと考えています: ( 政治理論のようなアプリケーションにおいて大規模な主体の権力を制限すること; ) 全面的な基本所得のようなアプリケーションにおいて濫用行為を制限すること。

前述のガバナンスアプリケーションの数学モデルを参考にすると、明確な答えが得られます: N個の身分を持つことがN²の影響力をもたらすなら、N個の身分を取得するコストはN²であるべきです。偶然にも、この答えはユニバーサルベーシックインカムアプリケーションにも同様に適用されます。

! Vitalik:デジタルアイデンティティ+ ZKテクノロジーの下での複数のジレンマ

多様な身分証明システムは、この理想的な状態を実現できます。

いわゆる「多元身分体系」とは、個人、組織、プラットフォームのいずれであっても、単一の主導発行機関が存在しない身分メカニズムを指します。この体系は、2つの方法で実現できます:

• 明示的多元身分(は「ソーシャルグラフに基づく身分」)とも呼ばれます: あなたは所属するコミュニティ内の他の人々の証明を通じて自分の身分(や他の主張を証明することができます。例えば、特定のコミュニティのメンバーであることを証明する)、そしてこれらの証明者の身分も同様のメカニズムで検証されます。
• 隠性多元身分:これは現在の状況であり、多くの異なる身分証明者が存在します。大手テクノロジー企業、ソーシャルプラットフォーム、さまざまな政府発行の身分証明書などが含まれます。特定の身分認証のみを受け入れるアプリケーションはほとんどなく、ほとんどのアプリケーションは複数の身分証明に対応しています。なぜなら、そうしなければ潜在的なユーザーにリーチできないからです。

顕在的多元身分は自然に匿名性を備えています: あなたは匿名の身分(を持つことができ、さらには複数の)を持つこともできます。それぞれの身分は、コミュニティ内で独自の行動を通じて評判を築くことができます。理想的な顕在的多元身分システムは、"独立した身分"の概念を必要としないかもしれません; 逆に、あなたは検証可能な過去の行動から構成される曖昧な集合を持ち、その中の異なるものを精緻な方法で証明できるかもしれません。