비탈릭 부테린, 생체인식 개인증명에 대한 생각

1. 들어가기

이더리움 커뮤니티의 사람들이 구축하려고 시도한 더 까다롭지만 잠재적으로 가장 가치 있는 장치 중 하나는 분산형 개인 증명 솔루션입니다. "고유한 인간 문제"라고도 하는 인격 증명은 주어진 등록된 계정이 실제 사람(및 다른 모든 등록된 계정과 다른 실제 사람)에 의해 제어된다는 것을 이상적으로는 어떤 실제 사람인지 밝히지 않고 주장하는 제한된 형태의 실제 신원입니다.

이 문제를 해결하기 위한 몇 가지 노력이 있었습니다. Proof of Humanity, BrightID, Idena, Circles가 예로 들었습니다. 그들 중 일부는 자체 애플리케이션(종종 UBI 토큰)과 함께 제공되며 일부는 Gitcoin Passport에서 어떤 계정이 2차 투표에 유효한지 확인하는 데 사용됩니다. Sismo와 같은 영지식 기술은 이러한 많은 솔루션에 프라이버시를 추가합니다. 보다 최근에 우리는 훨씬 더 크고 야심찬 개인 증명 프로젝트인 Worldcoin의 등장을 목격했습니다.

Worldcoin은 OpenAI의 CEO로 가장 잘 알려진 Sam Altman이 공동 설립했습니다. 이 프로젝트의 철학은 간단합니다. AI는 인류를 위해 많은 풍요와 부를 창출할 것이지만, 또한 매우 많은 사람들의 일자리를 없애고 누가 봇인지 인간인지 구분하는 것을 거의 불가능하게 만들 수 있습니다. 따라서 우리는 (i) 인간이 실제로 인간임을 증명할 수 있는 정말 좋은 개인 증명 시스템을 만들고, (ii) 모든 사람에게 UBI를 제공하여 그 구멍을 막아야 합니다. Worldcoin은 "the Orb"라고 하는 특수 하드웨어를 사용하여 각 사용자의 홍채를 스캔하는 고도로 정교한 생체 인식에 의존한다는 점에서 독특합니다.

목표는 이러한 Orbs를 대량 생산하여 전 세계에 널리 배포하고 누구나 쉽게 ID를 얻을 수 있도록 공공장소에 배치하는 것입니다. Worldcoin의 신용으로 그들은 또한 시간이 지남에 따라 분산화하기로 약속했습니다. 처음에 이것은 기술적인 탈중앙화를 의미합니다. Optimism 스택을 사용하는 이더리움의 L2가 되고 ZK-SNARK 및 기타 암호화 기술로 사용자의 개인 정보를 보호합니다. 나중에는 시스템 자체의 분산 거버넌스를 포함합니다.

Worldcoin은 Orb 주변의 개인 정보 보호 및 보안 문제, "코인"의 디자인 문제, 회사가 선택한 일부 선택과 관련된 윤리적 문제로 인해 비판을 받았습니다. 비판 중 일부는 매우 구체적이며, 다른 방식으로 쉽게 이루어질 수 있는 프로젝트의 결정에 초점을 맞추고 있으며 실제로 Worldcoin 프로젝트 자체가 기꺼이 변경될 수 있습니다. 그러나 다른 사람들은 Worldcoin의 눈 스캔 생체 인식뿐만 아니라 Proof of Humanity 및 Idena에서 사용되는 더 간단한 얼굴 비디오 업로드 및 확인 게임과 같은 생체 인식이 좋은 생각인지 여부에 대한 보다 근본적인 우려를 제기합니다. 그리고 여전히 다른 사람들은 일반적으로 인격의 증거를 비판합니다. 위험에는 피할 수 없는 개인 정보 유출, 익명으로 인터넷을 탐색할 수 있는 사람들의 능력에 대한 추가 침식, 권위주의 정부의 강압, 탈중앙화와 동시에 보안을 유지하는 것이 불가능할 가능성이 포함됩니다.

이 게시물에서는 이러한 문제에 대해 이야기하고 새로운 구형 지배자(spherical overlords) 앞에서 고개를 숙이고 눈(또는 얼굴, 목소리 등)을 스캔하는 것이 좋은 생각인지 여부를 결정하는 데 도움이 될 수 있는 몇 가지 주장을 살펴보고, 소셜 그래프 기반의 인격 증명을 사용하거나 인격 증명을 완전히 포기하는 자연스러운 대안이 더 나은지 여부를 결정할 수 있습니다.

2. 개인 증명이란 무엇이며 왜 중요한가요?

개인 증명 시스템을 정의하는 가장 간단한 방법은 시스템이 각 키가 고유한 사람에 의해 제어됨을 보장하는 공개 키 목록을 생성하는 것입니다. 즉, 인간이라면 목록에 하나의 키를 넣을 수 있지만 목록에 두 개의 키를 넣을 수 없으며 봇이라면 목록에 아무 키도 넣을 수 없습니다.

개인 증명은 중앙 집중식 기관에 대한 의존을 피하고 가능한 최소한의 정보를 드러내는 방식으로 많은 사람들이 가지고 있는 많은 스팸 방지 및 권력 집중 문제를 해결하기 때문에 가치가 있습니다. 인격 증명이 해결되지 않으면 적대적인 정부를 포함하여 매우 부유한 행위자가 탈 중앙화된 거버넌스(소셜 미디어 게시물에 대한 투표와 같은 "마이크로 거버넌스" 포함)를 포착하기가 훨씬 쉬워집니다. 많은 서비스는 액세스에 대한 가격을 설정해야만 서비스 거부 공격을 방지할 수 있으며 때로는 공격자를 막을 수 있을 만큼 높은 가격이 많은 저소득 합법적 사용자에게 너무 높은 경우도 있습니다.

오늘날 세계의 많은 주요 응용 프로그램은 신용 카드 및 여권과 같은 정부 지원 ID 시스템을 사용하여 이 문제를 처리합니다. 이렇게 하면 문제가 해결되지만 개인 정보 보호에 대해 크고 용납할 수 없는 희생을 치르고 정부 자체에 의해 사소한 공격을 받을 수 있습니다.

"얼마나 많은 인격 증명 지지자들이 우리가 직면하고 있는 양면적인 위험을 보고 있습니까?"

Worldcoin 뿐만 아니라 Proof of Humanity, Circles 등의 많은 개인 증명 프로젝트에서 "플래그십 애플리케이션"은 내장된 "N-per-person 토큰"(때때로 "UBI 토큰"이라고도 함)입니다. 시스템에 등록된 각 사용자는 매일(또는 시간 또는 주) 일정량의 토큰을 받습니다. 그러나 다른 많은 응용 프로그램이 있습니다.

• 토큰 분배를 위한 에어드랍
• 저소득 사용자에게 더 유리한 조건을 제공하는 토큰 또는 NFT 판매
• DAO 투표
• 그래프 기반 평판 시스템을 "시드"하는 방법
• 2차 투표 (및 펀딩, 주의 지불)
• 소셜 미디어에서 봇/시빌 공격으로부터 보호
• DoS 공격을 방지하기 위한 캡차의 대안

이러한 많은 경우에서 공통점은 프로젝트 운영자의 중앙 집중식 제어와 가장 부유한 사용자의 지배를 모두 피하면서 개방적이고 민주적인 메커니즘을 만들고자 하는 욕구입니다. 후자는 분산형 거버넌스에서 특히 중요합니다. 이러한 많은 경우에서 오늘날의 기존 솔루션은 (i) 운영자가 단순히 좋아하지 않는 사용자를 감지할 수 없게 차별할 수 있는 많은 여지를 남겨두는 매우 불투명한 AI 알고리즘과 (ii) "KYC"라고도 하는 중앙 집중식 ID의 조합에 의존합니다. 효과적인 개인 증명 솔루션은 기존 중앙 집중식 접근 방식의 함정 없이 해당 애플리케이션에 필요한 보안 속성을 달성하는 훨씬 더 나은 대안이 될 것입니다.

3. 인격 증명을 위한 초기 시도는 무엇입니까?

개인 증명에는 소셜 그래프 기반 및 생체 인식의 2가지 주요 형태가 있습니다. 소셜 그래프 기반의 인격 증명은 어떤 형태의 보증에 의존합니다. 앨리스, 밥, 찰리, 데이비드가 모두 검증된 인간이고 모두 에밀리가 검증된 인간이라고 말하면 에밀리도 검증된 인간일 것입니다. 보증은 종종 인센티브로 강화됩니다. 앨리스가 에밀리가 인간이라고 말했지만 그렇지 않은 것으로 판명되면 앨리스와 에밀리 모두 불이익을 받을 수 있습니다. 생체 인식 개인 증명에는 인간과 봇(및 개별 인간을 서로)을 구별하는 Emily의 신체적 또는 행동적 특성을 확인하는 것이 포함됩니다. 대부분의 프로젝트는 2가지 기술을 조합하여 사용합니다.

포스팅 시작 부분에서 언급한 4가지 시스템은 대략 다음과 같이 작동합니다.

• Proof of Humanity : 자신의 영상을 업로드하고 보증금을 제공합니다. 승인을 받으려면 기존 사용자가 귀하를 보증해야 하며 귀하가 이의를 제기할 수 있는 시간이 경과해야 합니다. 이의가 있는 경우 Kleros 분산 법원에서 귀하의 동영상이 진짜인지 여부를 결정합니다. 그렇지 않은 경우 보증금을 잃고 도전자는 보상을 받습니다.
• BrightID : 모두가 서로를 확인하는 다른 사용자와 화상 통화 "확인 파티"에 참여합니다. Bitu 인증을 받은 다른 사용자가 귀하를 보증하는 경우 인증을 받을 수 있는 시스템인 Bitu를 통해 더 높은 수준의 인증이 가능합니다.
• Idena : 특정 시점에 캡차 게임을 플레이합니다(사람들이 여러 번 참여하는 것을 방지하기 위해). 캡차 게임의 일부는 다른 사람을 확인하는 데 사용될 캡차를 만들고 확인하는 것과 관련됩니다.
• Circles : 기존 서클 사용자가 귀하를 보증합니다. Circles는 "전역적으로 확인 가능한 ID"를 생성하지 않는다는 점에서 독특합니다. 오히려 그것은 신뢰 관계의 그래프를 생성하며, 누군가의 신뢰도는 해당 그래프에서 자신의 위치의 관점에서만 확인할 수 있습니다.

4. Worldcoin은 어떻게 작동합니까?

각 Worldcoin 사용자는 이더리움 지갑처럼 개인 및 공개 키를 생성하는 앱을 휴대폰에 설치합니다. 그런 다음 "Orb"를 방문하기 위해 직접 이동합니다. 사용자는 Orb의 카메라를 응시하고 동시에 공개 키가 포함된 Worldcoin 앱에서 생성된 QR 코드를 Orb에 보여줍니다. Orb는 사용자의 눈을 스캔하고 복잡한 하드웨어 스캔 및 기계 학습 분류기를 사용하여 다음을 확인합니다.

1. 사용자는 실제 인간입니다.
2. 사용자의 홍채가 이전에 시스템을 사용한 다른 사용자의 홍채와 일치하지 않습니다.

두 스캔이 모두 통과되면 Orb는 사용자 홍채 스캔의 특수 해시를 승인하는 메시지에 서명합니다. 해시는 데이터베이스에 업로드됩니다. 현재 중앙 집중식 서버이며 해싱 메커니즘이 작동한다고 확신하면 분산형 온체인 시스템으로 대체될 예정입니다. 시스템은 전체 홍채 스캔을 저장하지 않습니다. 해시만 저장하며 이러한 해시는 고유성을 확인하는 데 사용됩니다. 그 시점부터 사용자는 "세계 ID"를 갖게 됩니다.

World ID 보유자는 자신이 보유한 키를 공개하지 않고 데이터베이스의 공개 키에 해당하는 개인 키를 보유하고 있음을 증명하는 ZK-SNARK를 생성하여 고유한 인간임을 증명할 수 있습니다. 따라서 누군가 귀하의 홍채를 다시 스캔하더라도 귀하가 취한 조치를 볼 수 없습니다.

5. Worldcoin 구축의 주요 이슈는 무엇입니까?

즉시 떠오르는 4가지 주요 위험이 있습니다.

• 프라이버시 : 홍채 스캔 레지스트리는 정보를 공개할 수 있습니다. 최소한 다른 사람이 귀하의 홍채를 스캔하면 데이터베이스와 대조하여 귀하가 World ID를 가지고 있는지 여부를 확인할 수 있습니다. 잠재적으로 홍채 스캔은 더 많은 정보를 나타낼 수 있습니다.
• 접근성 : 세계의 누구나 쉽게 얻을 수 있는 Orb가 너무 많지 않으면 World ID에 안정적으로 액세스할 수 없습니다.
• 중앙화 : Orb는 하드웨어 장치이며 올바르게 구성되었고 백도어가 없는지 확인할 방법이 없습니다. 따라서 소프트웨어 계층이 완벽하고 완전히 분산된 경우에도 Worldcoin Foundation은 여전히 ​​시스템에 백도어를 삽입하여 임의로 많은 가짜 인간 신원을 생성할 수 있습니다.
• 보안 : 사용자의 전화가 해킹될 수 있고 사용자가 다른 사람의 공개 키를 보여주면서 자신의 홍채를 스캔하도록 강요될 수 있으며 홍채 스캔을 통과하고 세계 ID를 얻을 수 있는 3D 프린팅 "가짜 사람"의 가능성이 있습니다.

(i) Worldcoin이 내린 선택에 특정한 문제, (ii) 모든 생체 인식 개인 증명에 필연적으로 발생하는 문제, (iii) 일반적으로 모든 개인 증명에 발생하는 문제를 구분하는 것이 중요합니다. 예를 들어, Proof of Humanity에 가입한다는 것은 인터넷에 얼굴을 게시하는 것을 의미합니다. BrightID 확인 파티에 참여하는 것은 그렇게 하지 않지만 여전히 많은 사람들에게 귀하가 누구인지 노출합니다. 그리고 서클에 가입하면 소셜 그래프가 공개적으로 노출됩니다. Worldcoin이 훨씬 더 좋습니다. 둘 중 하나보다 프라이버시를 보호합니다. 반면에 Worldcoin은 특수 하드웨어에 의존하므로 구체 제조업체가 구체를 올바르게 구성했는지 신뢰하는 문제가 발생합니다. 이는 Proof of Humanity, BrightID 또는 Circles와 유사하지 않은 문제입니다. 미래에는 Worldcoin이 아닌 누군가가 장단점이 다른 특수 하드웨어 솔루션을 만들 것이라는 것도 상상할 수 있습니다.

6. 생체 인식 개인 증명 체계는 개인 정보 문제를 어떻게 해결합니까?

모든 개인 증명 시스템이 가지고 있는 가장 명백하고 가장 큰 잠재적인 개인 정보 유출은 사람이 취하는 각 행동을 실제 신원과 연결하는 것입니다. 이 데이터 유출은 매우 크고 용납할 수 없는 규모이지만 다행스럽게도 영지식 증명 기술로 쉽게 해결할 수 있습니다. 해당 공개 키가 데이터베이스에 있는 개인 키로 직접 서명하는 대신 사용자는 ZK-SNARK를 만들어 자신이 가지고 있는 특정 키를 밝히지 않고 해당 공개 키가 데이터베이스 어딘가에 있는 개인 키를 소유하고 있음을 증명할 수 있습니다. 이는 일반적으로 Sismo와 같은 도구를 사용하여 수행할 수 있습니다. Proof of Humanity 특정 구현을 위해 Worldcoin에는 자체 내장 구현이 있습니다. 여기에서 개인 신용의 "암호화 네이티브" 증명을 제공하는 것이 중요합니다. 그들은 실제로 익명화를 제공하기 위해 이 기본 단계를 수행하는 데 관심이 있지만 기본적으로 모든 중앙 집중식 ID 솔루션은 그렇지 않습니다.

더 미묘하지만 여전히 중요한 개인 정보 유출은 생체 인식 스캔의 공개 레지스트리의 단순한 존재입니다. Proof of Humanity의 경우, 이것은 많은 데이터입니다. 모든 Proof of Humanity 참가자가 누구인지 조사하는 데 관심이 있는 전 세계 모든 사람에게 매우 명확하게 각 Proof of Humanity 참가자의 비디오를 받습니다. Worldcoin의 경우 유출은 훨씬 더 제한적입니다. Orb는 각 사람의 홍채 스캔 의 "해시"만 로컬에서 계산하고 게시합니다. 이 해시는 SHA256과 같은 일반 해시가 아닙니다. 오히려 부정확성을 처리하는 기계 학습된 가버 필터(Gabor filter)를 기반으로 하는 특수 알고리즘입니다. 모든 생체 인식 스캔에 내재되어 있으며 동일한 사람의 홍채에 대해 연속적으로 가져온 해시가 유사한 출력을 갖도록 합니다.

• 파란색: 같은 사람의 홍채를 두 번 스캔했을 때 차이가 나는 비율.
• 주황색: 서로 다른 두 사람의 홍채에 대한 두 스캔 사이의 비트 비율이 상이

이러한 홍채 해시는 소량의 데이터만 유출합니다. 적이 당신의 홍채를 강제로(또는 비밀리에) 스캔할 수 있다면, 그들은 당신의 홍채 해시를 스스로 계산하고 홍채 해시 데이터베이스와 비교하여 당신이 시스템에 참여했는지 여부를 확인할 수 있습니다. 누군가가 가입했는지 여부를 확인하는 이 기능은 사람들이 여러 번 가입하는 것을 방지하기 위해 시스템 자체에 필요하지만 항상 남용될 가능성이 있습니다. 또한 홍채 해시가 일정량의 의료 데이터(성별, 민족, 건강 상태)를 유출할 가능성이 있지만, 이러한 유출은 오늘날 사용 중인 거의 모든 다른 대량 데이터 수집 시스템(예: 거리 카메라)으로 캡처할 수 있는 것보다 훨씬 적습니다. 전반적으로 나에게는 홍채 해시를 저장하는 프라이버시가 충분해 보입니다.

다른 사람들이 이 판단에 동의하지 않고 더 많은 프라이버시가 있는 시스템을 설계하기로 결정하는 경우 2가지 방법이 있습니다.

• 홍채 해싱 알고리즘을 개선하여 동일한 사람의 두 스캔 간의 차이를 훨씬 더 낮출 수 있는 경우(예: 안정적으로 10% 비트 뒤집기 미만) 전체 홍채 해시를 저장하는 대신 시스템은 홍채 해시에 대해 더 적은 수의 오류 수정 비트를 저장할 수 있습니다(퍼지 추출기 참조). 두 스캔 간의 차이가 10% 미만이면 게시해야 하는 비트 수가 5배 이상 적습니다.
• 더 나아가고 싶다면 홍채 해시 데이터베이스를 Orbs에서만 액세스할 수 있는 MPC(multi-party computation : 다자간 계산) 시스템에 저장할 수 있습니다. 이 시스템은 데이터에 완전히 액세스할 수 없도록 만들지만 MPC 참여자 집합을 관리하는 데 상당한 프로토콜 복잡성과 사회적 복잡성이 발생합니다. 이는 사용자가 원하더라도 서로 다른 시간에 보유한 두 개의 서로 다른 World ID 사이의 링크를 증명할 수 없다는 이점이 있습니다.

안타깝게도 이러한 기술은 Proof of Humanity에 적용할 수 없습니다. Proof of Humanity에서는 각 참가자의 전체 비디오를 공개적으로 사용할 수 있어야 하므로 가짜(AI가 생성한 가짜 포함)라는 징후가 있는 경우 이의를 제기할 수 있으며 이러한 경우 더 자세히 조사할 수 있습니다.

전반적으로 Orb를 응시하고 안구 깊숙이 스캔하는 "디스토피아 분위기(dystopian vibez)"에도 불구하고 특수 하드웨어 시스템이 개인 정보를 보호하는 데 상당한 역할을 할 수 있는 것처럼 보입니다. 그러나 이것의 반대 측면은 특수 하드웨어 시스템이 훨씬 더 큰 중앙 집중화 문제를 야기한다는 것입니다. 따라서 우리 사이퍼펑크(cypherpunk)는 곤경에 처한 것 같습니다. 깊이 간직된 사이퍼펑크 가치를 다른 가치와 교환해야 합니다.

7. 생체 인식 개인 증명 시스템의 접근성 문제는 무엇입니까?

특수 하드웨어는 액세스 가능성이 높지 않기 때문에 접근성 문제가 발생합니다. 현재 사하라 사막 이남 아프리카인의 51% 에서 64% 사이 어딘가에 스마트폰이 있으며, 2030년까지 87%로 증가 할 것으로 예상됩니다. 하지만 스마트폰이 수십억 대 있는 반면 오브는 수백 개에 불과합니다. 훨씬 더 높은 규모의 분산 제조로도 모든 사람 의 5km 이내에 Orb가 있는 세상에 도달하기는 어려울 것입니다.

“그러나 팀의 신용으로 그들은 노력해 왔습니다!”

또한 다른 많은 형태의 인격 증명에는 훨씬 더 심각한 접근성 문제가 있다는 점도 주목할 가치가 있습니다. 이미 소셜 그래프에 있는 사람을 알고 있지 않는 한 소셜 그래프 기반의 개인 증명 시스템에 가입하는 것은 매우 어렵습니다. 이것은 그러한 시스템이 단일 국가의 단일 커뮤니티로 제한되는 것을 매우 쉽게 만듭니다.

중앙 집중식 신원 시스템 도 이 교훈을 배웠습니다. 인도의 Aadhaar ID 시스템은 생체 인식 기반입니다. 복제 및 가짜 계정으로 인한 대규모 사기를 피하면서 대규모 인구를 신속하게 온보딩할 수 있는 유일한 방법이었기 때문입니다 (결과적으로 막대한 비용 절감). 접근성 관점에서 가장 성능이 좋은 시스템은 실제로 스마트폰만 사용하여 등록할 수 있는 Proof of Humanity와 같은 시스템입니다.

8. 생체 인식 개인 증명 시스템의 중앙 집중화 문제는 무엇입니까?

3가지가 있습니다.

1. 시스템의 최상위 거버넌스(특히 시스템의 다른 행위자가 주관적 판단에 동의하지 않는 경우 최종 최상위 해결 방법을 만드는 시스템)의 중앙 집중화 위험.
2. 특수 하드웨어를 사용하는 시스템에 고유한 중앙 집중화 위험이 있습니다.
3. 독점 알고리즘을 사용하여 진정한 참가자를 결정하는 경우 중앙 집중화 위험이 있습니다.

"허용된" ID 집합이 완전히 주관적인 시스템을 제외하고 모든 개인 증명 시스템은 (1)과 경쟁해야 합니다. 시스템이 외부 자산(예: ETH, USDC, DAI)에 표시된 인센티브를 사용하는 경우 완전히 주관적일 수 없으므로 거버넌스 위험이 불가피합니다.

2번은 Worldcoin은 특수 하드웨어에 의존하고 다른 시스템은 그렇지 않기 때문에 인류 증명(또는 BrightID)보다 Worldcoin에 훨씬 더 큰 위험이 있습니다.

3번은 모든 알고리즘이 오픈 소스이고 그들이 주장하는 코드를 실제로 실행하고 있다는 확신이 없는 한 검증을 수행하는 단일 시스템이 있는 "논리적으로 중앙 집중화된" 시스템에서 특히 위험합니다. 순전히 사용자가 다른 사용자를 확인하는 데 의존하는 시스템(예: 인류 증명)의 경우 위험하지 않습니다.

8.1 Worldcoin은 하드웨어 중앙 집중화 문제를 어떻게 해결합니까?

현재 Tools for Humanity라는 Worldcoin 계열 단체가 Orbs를 만드는 유일한 조직입니다. 그러나 Orb의 소스 코드는 대부분 공개되어 있습니다. 이 github 저장소 에서 하드웨어 사양을 볼 수 있으며 소스 코드의 다른 부분은 곧 게시될 예정입니다. 이 라이센스는 Uniswap BSL 과 유사한 "공유 소스이지만 지금부터 4년까지 기술적으로 오픈 소스가 아닌" 라이센스 중 하나입니다. 단, 분기를 방지하는 것 외에도 비윤리적 행동을 방지합니다. 구체적으로 대량 감시 및 3가지 국제 민권 선언을 나열합니다.

팀의 명시된 목표는 다른 조직이 Orbs를 생성하도록 허용하고 장려하는 것이며 시간이 지남에 따라 Tools for Humanity에서 생성되는 Orbs에서 시스템에서 인식되는 Orbs를 만들 수 있는 조직을 승인하고 관리하는 일종의 DAO를 갖는 것으로 전환하는 것입니다.

이 설계가 실패할 수 있는 2가지 방법이 있습니다.

1. 그것은 실제로 탈중앙화에 실패합니다. 이것은 연합 프로토콜의 일반적인 함정 때문에 발생할 수 있습니다 한 제조업체가 실제로 지배하게 되어 시스템이 다시 중앙 집중화됩니다. 아마도 거버넌스는 각 제조업체가 생산할 수 있는 유효한 Orbs의 수를 제한할 수 있지만 이는 신중하게 관리해야 하며 거버넌스가 분산되고 생태계를 모니터링하고 위협에 효과적으로 대응해야 한다는 많은 압력을 가합니다. 최상위 수준의 분쟁 해결 작업만 처리하는 상당히 정적인 DAO입니다.
2. 이러한 분산 제조 메커니즘을 안전하게 만드는 것은 불가능하다는 것이 밝혀졌습니다. 여기에 내가 보는 2가지 위험이 있습니다.

• 불량 Orb 제조업체에 대한 취약성 : 하나의 Orb 제조업체라도 악의적이거나 해킹된 경우 가짜 홍채 스캔 해시를 무제한으로 생성하고 World ID를 부여할 수 있습니다.
• Orbs에 대한 정부의 제한 : 시민들이 Worldcoin 생태계에 참여하는 것을 원하지 않는 정부는 해당 국가에서 Orbs를 금지할 수 있습니다. 더욱이 그들은 심지어 시민들에게 홍채를 스캔하도록 강요하여 정부가 그들의 계정을 가져오도록 허용할 수 있으며 시민들은 대응할 방법이 없습니다.

나쁜 Orb 제조업체에 대해 시스템을 더욱 강력하게 만들기 위해 Worldcoin 팀은 Orbs에 대한 정기적인 감사를 수행하여 Orbs가 올바르게 구축되었는지 확인하고 주요 하드웨어 구성 요소가 사양에 따라 구축되었으며 사후에 변조되지 않았는지 확인할 것을 제안하고 있습니다. 이는 어려운 작업입니다. 기본적으로 Orbs를 위한 IAEA 핵 사찰 관료주의 와 비슷합니다. 감사 체계를 매우 불완전하게 구현하더라도 가짜 Orbs의 수를 크게 줄일 수 있기를 바랍니다.

미끄러지는 잘못된 Orb로 인한 피해를 제한하려면 2번째 완화 조치를 취하는 것이 좋습니다. 다른 Orb 제조업체, 이상적으로는 다른 Orb에 등록된 World ID는 서로 구별할 수 있어야 합니다. 이 정보가 비공개이고 World ID 소유자의 장치에만 저장되어 있어도 괜찮습니다. 하지만 필요에 따라 증명할 수 있어야 합니다. 이를 통해 생태계는 주문형 화이트리스트에서 개별 Orb 제조업체 및 개별 Orbs를 제거하여 (불가피한) 공격에 대응할 수 있습니다. 북한 정부가 돌아다니며 사람들에게 안구 스캔을 강요하는 것을 본다면, 그 오브와 그들이 생성한 모든 계정은 즉시 소급하여 비활성화될 수 있습니다.

9. 일반적으로 신원 증명의 보안 문제

Worldcoin에 특정한 문제 외에도 일반적으로 개인 증명 디자인에 영향을 미치는 문제가 있습니다. 내가 생각할 수있는 주요 사항은 다음과 같습니다.

1. 3D로 인쇄된 가짜 사람 : AI를 사용하여 Orb 소프트웨어에서 받아들일 만큼 충분히 설득력 있는 가짜 사람의 사진이나 3D 인쇄물을 생성할 수 있습니다. 한 그룹이라도 이렇게 하면 무제한으로 ID를 생성할 수 있습니다.
2. ID 판매 가능성 : 누군가가 등록할 때 자신의 공개 키 대신 다른 사람의 공개 키를 제공하고 등록된 ID에 대한 통제권을 돈과 교환할 수 있습니다. 이것은 이미 일어나고 있는 것 같습니다. 판매 외에도 하나의 응용 프로그램에서 짧은 시간 동안 사용할 ID를 대여 할 수도 있습니다.
3. 전화 해킹 : 사람의 전화가 해킹되면 해커는 World ID를 제어하는 ​​키를 훔칠 수 있습니다.
4. ID 도용에 대한 정부의 강요 : 정부는 정부 소유의 QR 코드를 보여주면서 시민들에게 인증을 받도록 강요할 수 있습니다. 이러한 방식으로 악의적인 정부는 수백만 개의 ID에 액세스할 수 있습니다. 생체 인식 시스템에서 이것은 은밀하게 수행될 수도 있습니다. 정부는 난독 처리된 Orbs를 사용하여 여권 심사대에서 자국에 입국하는 모든 사람의 World ID를 추출할 수 있습니다.

(1)은 생체 인식 개인 증명 시스템에만 적용됩니다. (2)와 (3)은 생체 인식 및 비 생체 인식 디자인 모두에 공통입니다. (4) 필요한 기술은 두 경우 모두 상당히 다르지만 두 경우 모두 공통적입니다. 이 섹션에서는 생체 인식 사례의 문제에 중점을 둘 것입니다.

이것들은 꽤 심각한 약점입니다. 일부는 기존 프로토콜에서 이미 해결되었고, 다른 일부는 향후 개선을 통해 해결할 수 있으며, 여전히 다른 일부는 근본적인 제한 사항으로 보입니다.

9.1 우리는 가짜 사람들을 어떻게 다룰 수 있습니까?

이것은 Proof of Humanity와 같은 시스템보다 Worldcoin에 대한 위험이 훨씬 적습니다. 직접 스캔은 사람의 많은 특징을 검사할 수 있으며 단순히 비디오를 가짜로 만드는 것과 비교하여 위조하기가 상당히 어렵 습니다. 특수 하드웨어는 기본적으로 상용 하드웨어보다 속이기 어렵습니다. 이는 다시 원격으로 전송된 사진과 비디오를 확인하는 디지털 알고리즘보다 속이기 어렵습니다.

누군가 특수 하드웨어도 결국 속일 수 있는 것을 3D 프린팅할 수 있을까요? 아마도 언젠가는 메커니즘을 개방적으로 유지한다는 목표와 보안을 유지한다는 목표 사이에 긴장이 고조되는 것을 볼 수 있을 것으로 예상합니다. 오픈 소스 AI 알고리즘은 본질적으로 적대적 기계 학습에 더 취약합니다. 블랙박스 알고리즘은 더 보호되지만 블랙박스 알고리즘이 백도어를 포함하도록 훈련되지 않았다고 말하기는 어렵습니다. 아마도 ZK-ML 기술은 우리에게 두 세계의 장점을 모두 제공할 수 있습니다. 더 먼 미래의 어느 시점에는 최고의 AI 알고리즘조차도 최고의 3D 프린팅 가짜 사람들에게 속을 가능성이 있습니다.

그러나 Worldcoin 및 Proof of Humanity 팀과 논의한 결과, 귀하를 대신하여 가입할 실제 저임금 근로자를 고용하는 것이 매우 저렴하고 쉽다는 간단한 이유 때문에 현재로서는 어느 프로토콜도 아직 심각한 딥 페이크 공격을 보고 있지 않은 것 같습니다.

9.2 ID 판매를 막을 수 있습니까?

단기적으로 이러한 종류의 아웃소싱을 방지하는 것은 어렵습니다. 왜냐하면 전 세계 대부분의 사람들이 개인 증명 프로토콜조차 인식하지 못하기 때문입니다. QR 코드를 들고 눈을 스캔하여 30달러를 지불하면 그렇게 할 것입니다. 더 많은 사람들이 개인 증명 프로토콜이 무엇인지 알게 되면 상당히 간단한 완화가 가능해집니다. 등록된 ID가 있는 사람들이 재등록할 수 있도록 허용하고 이전 ID를 취소합니다. 이것은 "신분증 판매"를 훨씬 덜 신뢰하게 만듭니다. 왜냐하면 귀하에게 자신의 ID를 판매한 누군가가 방금 가서 재등록하고 방금 판매한 ID를 취소할 수 있기 때문입니다. 그러나 이 지점에 도달하려면 프로토콜이 매우 널리 알려져야 하며 Orbs는주문형 등록을 실용적으로 만들기 위해 널리 액세스할 수 있습니다.

이것이 UBI 코인을 개인 증명 시스템에 통합하는 것이 가치 있는 이유 중 하나입니다. UBI 코인은 사람들이 (i) 프로토콜에 대해 알아보고 가입하고 (ii) 다른 사람을 대신하여 등록하는 경우 즉시 재등록하도록 쉽게 이해할 수 있는 인센티브를 제공합니다. 재등록을 하면 휴대폰 해킹도 방지할 수 있습니다.

9.3 생체 인식 개인 증명 시스템에서 강제를 방지할 수 있습니까?

이것은 우리가 말하는 강제의 종류에 따라 다릅니다. 강제의 가능한 형태는 다음과 같습니다.

• 정부는 국경 통제 및 기타 일상적인 정부 검문소에서 사람들의 눈(또는 얼굴 또는...)을 스캔하고 이를 사용하여 시민을 등록(및 자주 재등록)합니다.
• 사람들이 독립적으로 재등록하는 것을 방지하기 위해 국가 내에서 Orbs를 금지하는 정부 개인이 ID를 구매한 후 재등록으로 인해 ID가 무효화된 것을 발견하면 피해를 주겠다고 위협하는 행위
• 사람들이 공개 키로 직접 서명하여 "로그인"하도록 요구하는 (아마도 정부에서 운영하는) 응용 프로그램으로, 해당 생체 인식 스캔을 볼 수 있으므로 사용자의 현재 ID와 재등록을 통해 얻을 수 있는 향후 ID 사이의 링크를 볼 수 있습니다. 일반적인 두려움은 이로 인해 평생 동안 사람과 함께하는 "영구 기록"을 너무 쉽게 만들 수 있다는 것입니다.

“당신의 모든 UBI와 투표권은 우리에게 있습니다”

특히 순박한 사용자의 손에서 이러한 상황을 완전히 방지하는 것은 상당히 어려워 보입니다. 사용자는 보다 안전한 국가의 Orb에 (재)등록하기 위해 자신의 국가를 떠날 수 있지만 이는 절차가 어렵고 비용이 많이 듭니다. 진정으로 적대적인 법적 환경에서 독립적인 Orb를 찾는 것은 너무 어렵고 위험해 보입니다.

실현 가능한 것은 이러한 종류의 남용을 구현 하고 감지하기 어렵게 만드는 것입니다. 등록할 때 특정 문구를 말하도록 요구하는 인류 증명 방식이 좋은 예입니다. 훨씬 더 노골적인 강압을 요구하며 등록 문구에는 응답자가 독립적으로 재등록할 권리가 있고 UBI 코인 또는 기타 보상을 받을 수 있음을 알고 있음을 확인하는 진술이 포함될 수도 있습니다. 강제 등록이 적발될 경우 강제 등록을 일괄적으로 수행하는 장치의 접근 권한이 박탈될 수 있습니다. 응용 프로그램이 사람들의 현재 및 이전 ID를 연결하고 "영구 기록"을 남기려고 시도하는 것을 방지하기 위해 기본 개인 증명 앱은 신뢰할 수 있는 하드웨어에서 사용자의 키를 잠글 수 있으며, 그 사이에 익명화 ZK-SNARK 계층 없이 모든 응용 프로그램이 키를 직접 사용하지 못하게 할 수 있습니다. 정부 또는 애플리케이션 개발자가 이 문제를 해결하려면 자체 맞춤형 앱을 사용하도록 의무화해야 합니다.

이러한 기술과 능동적 경계의 조합을 통해 진정으로 적대적인 정권을 차단하고 중간 정도로 나쁜 정권을 정직하게 유지하는 것이 가능해 보입니다. 이것은 Worldcoin 또는 Proof of Humanity와 같은 프로젝트가 이 작업을 위해 자체 관료주의를 유지하거나 ID가 등록된 방법에 대한 자세한 정보를 공개하고(예: ID가 어느 Orb에서 왔는지) 이 분류 작업을 커뮤니티에 맡김으로써 수행할 수 있습니다.

9.4 신분증 대여 (예: 투표용)를 방지할 수 있습니까?

재등록으로 아이디 대여가 가능합니다. 일부 응용 프로그램에서는 괜찮습니다. UBI 코인의 당일 몫을 받을 권리를 임대하는 비용은 UBI 코인의 당일 몫의 가치가 될 것입니다. 그러나 투표와 같은 애플리케이션에서 손쉬운 투표 판매 는 큰 문제입니다.

MACI 와 같은 시스템은 귀하가 실제로 그러한 투표를 했는지 여부를 아무도 알 수 없는 방식으로 이전 투표를 무효화하는 다른 투표를 나중에 할 수 있도록 허용함으로써 귀하의 투표를 신뢰할 수 있게 판매하는 것을 방지할 수 있습니다. 그러나 뇌물을 받은 사람이 등록 시 받는 키를 제어하는 ​​경우 도움이 되지 않습니다.

여기에 2가지 해결책이 있습니다.

1. MPC 내에서 전체 애플리케이션을 실행. 여기에는 재등록 프로세스도 포함됩니다. 사람이 MPC에 등록할 때 MPC는 개인 ID 증명과 분리되고 연결할 수 없는 ID를 할당하고, 사람이 재등록할 때 MPC만이 어떤 계정을 비활성화할지 알 수 있습니다. 이렇게 하면 모든 중요한 단계가 MPC에만 알려진 개인 정보를 사용하여 MPC 내에서 수행되기 때문에 사용자가 자신의 행동에 대한 증명을 할 수 없습니다.
2. 분산 등록 행사. 기본적으로 누군가를 등록하기 위해 함께 작업하기 위해 무작위로 선택된 4명의 로컬 참가자가 필요한 이 직접 키 등록 프로토콜과 같은 것을 구현합니다. 이렇게 하면 등록이 공격자가 스누핑할 수 없는 "신뢰할 수 있는" 절차가 되도록 할 수 있습니다.

소셜 그래프 기반 시스템은 작동 방식의 부산물로 로컬 분산 등록 프로세스를 자동으로 생성할 수 있기 때문에 실제로 여기에서 더 잘 수행될 수 있습니다.

10. 생체 인식은 개인 증명, 소셜 그래프 기반 확인을 위한 다른 주요 후보와 어떻게 비교됩니까?

생체 인식 접근 방식을 제외하고 지금까지 개인 증명에 대한 다른 주요 경쟁자는 소셜 그래프 기반 검증이었습니다. 소셜 그래프 기반 확인 시스템은 모두 동일한 원칙에 따라 작동합니다. 귀하의 신원의 유효성을 모두 증명하는 기존의 확인된 신원이 많이 있는 경우 귀하는 아마도 유효하며 확인된 상태도 받아야 합니다.

“소수의 실제 사용자(우연히 또는 악의적으로)만 가짜 사용자를 확인하는 경우 기본 그래프 이론 기술을 사용하여 얼마나 많은 가짜 사용자가 시스템에서 확인되는지에 대한 상한선을 지정할 수 있습니다.”

출처: https://www.sciencedirect.com/science/article/abs/pii/S0045790622000611

• 소셜 그래프 기반 검증의 지지자들은 다음과 같은 몇 가지 이유로 생체 인식에 대한 더 나은 대안이라고 종종 설명합니다.
• 특수 목적 하드웨어에 의존하지 않으므로 배포가 훨씬 쉬워집니다.
• 그것은 가짜 사람을 만들려는 제조업체와 그러한 가짜 사람을 거부하기 위해 업데이트해야 하는 Orb 사이의 영구적인 무기 경쟁을 피합니다.
• 생체 인식 데이터를 수집할 필요가 없으므로 개인 정보 보호에 더 유리합니다.
• 가명에 더 우호적일 수 있습니다 . 왜냐하면 누군가가 인터넷 생활을 서로 분리된 여러 ID로 분할하기로 선택한 경우 두 ID 모두 잠재적으로 검증될 수 있기 때문입니다(그러나 여러 정품 및 별도 ID를 유지하면 네트워크 효과가 희생되고 비용이 많이 들기 때문에 공격자가 쉽게 할 수 있는 일이 아닙니다)
• 생체 인식 접근 방식은 "인간입니다" 또는 "인간이 아닙니다"라는 이진법 점수를 부여합니다. 이는 취약합니다. 실수로 거부된 사람은 결국 UBI가 전혀 없고 잠재적으로 온라인 생활에 참여할 수 없습니다. 소셜 그래프 기반 접근 방식은 보다 미묘한 수치 점수를 제공할 수 있으며, 이는 물론 일부 참여자에게는 다소 불공평할 수 있지만 누군가를 완전히 "비인칭"할 가능성은 낮습니다.

이러한 주장에 대한 나의 관점은 대부분 동의한다는 것입니다! 이는 소셜 그래프 기반 접근 방식의 진정한 장점이며 진지하게 받아들여야 합니다. 그러나 소셜 그래프 기반 접근 방식의 약점도 고려할 가치가 있습니다.

• 부트스트래핑 : 사용자가 소셜 그래프 기반 시스템에 참여하려면 해당 사용자는 이미 그래프에 있는 사람을 알고 있어야 합니다. 이로 인해 대규모 채택이 어려워지고 초기 부트스트래핑 프로세스에서 운이 좋지 않은 전 세계 지역을 제외할 위험이 있습니다.
• 개인정보보호 : 소셜 그래프 기반 접근 방식은 생체 데이터 수집을 피하지만 종종 개인의 사회적 관계에 대한 정보를 유출하여 더 큰 위험을 초래할 수 있습니다. 물론 영지식 기술은 이를 완화할 수 있지만(예: Barry Whitehat의 이 제안 참조) 그래프에 내재된 상호 의존성과 그래프에서 수학적 분석을 수행해야 하는 필요성으로 인해 생체 인식과 동일한 수준의 데이터 숨기기를 달성하기가 더 어렵습니다.
• 불평등 : 각 사람은 하나의 생체 인식 ID만 가질 수 있지만 부유하고 사회적으로 잘 연결되어 있는 사람은 그들의 연결을 사용하여 많은 ID를 생성할 수 있습니다. 본질적으로 소셜 그래프 기반 시스템이 해당 기능이 실제로 필요한 사람(예: 활동가)에게 여러 가명을 부여할 수 있는 것과 동일한 유연성은 더 강력하고 연결이 잘 된 사람들이 덜 강력하고 연결이 잘 된 사람들보다 더 많은 가명을 얻을 수 있음을 의미할 수 있습니다.
• 중앙 집중화로 인한 붕괴 위험 : 대부분의 사람들은 너무 게을러서 누가 실존 인물인지 아닌지를 인터넷 앱에 보고하는 데 시간을 할애하지 않습니다. 그 결과, 시간이 지남에 따라 시스템이 중앙 집중식 기관에 의존하는 "쉬운" 입회 방법을 선호하게 될 위험이 있으며, 시스템 사용자가 사실상 국가에서 어떤 사람을 시민으로 인식하는지에 대한 소셜 그래프가 되는 "소셜 그래프"가 불필요한 추가 단계를 통해 중앙 집중식 KYC를 제공합니다.

10.1 실생활에서 인격 증명이 가명과 양립할 수 있습니까?

원칙적으로 개인 증명은 모든 종류의 가명과 호환됩니다. 응용 프로그램은 단일 개인 ID 증명을 가진 사람이 응용 프로그램 내에서 최대 5개의 프로필을 생성할 수 있는 방식으로 설계되어 가명 계정을 위한 공간을 남길 수 있습니다. 2차 공식을 사용할 수도 있습니다. N은 $N²의 비용을 설명합니다. 하지만 그럴까요?

그러나 비관주의자는 프라이버시 친화적인 형태의 ID를 만들려고 노력하는 것이 순진하다고 주장할 수 있으며 그것이 실제로 올바른 방식으로 채택되기를 희망합니다. 그 힘은 프라이버시 친화적이지 않기 때문입니다. 강력한 행위자가 사람에 대해 훨씬 더 많은 정보를 얻는 데 사용할 수 있는 도구를 얻는다면 그들은 그것을 그런 식으로 사용할 것 입니다. 그러한 세상에서 유일한 현실적인 접근 방식은 불행하게도 ID 솔루션 의 기어에 모래를 던지고 완전한 익명성과 높은 신뢰 커뮤니티의 디지털 섬으로 세상을 방어하는 것입니다.

이러한 사고 방식의 이유는 알지만, 그러한 접근 방식이 성공하더라도 한 사람이 항상 만인 척할 수 있기 때문에 부의 집중과 거버넌스 중앙 집중화에 대응하기 위해 누구도 할 수 있는 방법이 없는 세상으로 이어질까 걱정됩니다. 이러한 중앙 집중화 지점은 권력자들이 쉽게 점령할 수 있을 것입니다. 오히려 저는 강력한 개인 정보 보호를 위해 개인 증명 솔루션을 적극적으로 옹호하는 온건한 접근 방식을 선호합니다. 원하는 경우 잠재적으로 프로토콜 계층에 "N개의 계정이 $N²에 대해" 메커니즘을 포함하고 개인 정보 친화적인 가치를 가지며 외부 세계에서 받아들일 수 있는 무언가를 만듭니다.

11. 그래서... 내(비탈릭 부테린) 생각은 어때?

인격을 증명하는 이상적인 형태는 없습니다. 대신, 우리는 모두 고유한 강점과 약점을 지닌 적어도 세 가지 접근 방식의 패러다임을 가지고 있습니다. 비교 표는 다음과 같습니다.

	소셜 그래프 기반	일반 하드웨어 생체인식	특수 하드웨어 생체인식
개인정보보호	낮음	상당히 낮음	상당히 높음
접근성/확장성	상당히 낮음	높음	중간
탈중앙화의 견고성	상당히 높음	상당히 높음	상당히 낮음
가짜 사람에 대한 보안	높음(잘 수행된 경우)	낮음	중간

우리가 이상적으로 해야 할 일은 이 3가지 기술을 상호보완적으로 취급하고 모두 결합하는 것입니다. 인도의 Aadhaar가 대규모로 보여준 것처럼 특수 하드웨어 생체 인식은 대규모 보안이라는 이점이 있습니다. 그들은 개별 Orbs에 책임을 묻음으로써 해결할 수 있지만 분산화에 매우 약합니다. 범용 생체 인식은 오늘날 매우 쉽게 채택될 수 있지만 보안이 급속히 줄어들고 있으며 향후 1~2년 동안만 작동할 수 있습니다. 창립 팀과 사회적으로 가까운 수백 명의 사람들로 구성된 소셜 그래프 기반 시스템은 세상의 많은 부분을 완전히 놓치는 것과 그들이 볼 수 없는 커뮤니티 내의 공격에 취약한 것 사이에서 끊임없는 상충 관계에 직면할 가능성이 있습니다. 그러나 수천만 명의 생체 인식 ID 보유자를 부트스트래핑한 소셜 그래프 기반 시스템은 실제로 작동할 수 있습니다. 생체 인식 부트스트래핑은 단기적으로 더 잘 작동할 수 있습니다.

“가능한 하이브리드 경로”

이 모든 팀은 많은 실수를 저지를 수 있는 위치에 있으며 비즈니스 이익과 더 넓은 커뮤니티의 요구 사이에는 불가피한 긴장이 있으므로 많은 경계를 행사하는 것이 중요합니다. 커뮤니티로서 우리는 기술을 오픈 소싱하고 제3자 감사와 심지어 제3자가 작성한 소프트웨어, 기타 견제와 균형을 요구하는 모든 참가자의 안전 지대를 추진할 수 있고 또 그렇게 해야 합니다. 우리는 또한 세 범주 각각에서 더 많은 대안이 필요합니다.

동시에 이미 완료된 작업을 인식하는 것이 중요합니다. 이러한 시스템을 실행하는 많은 팀은 거의 모든 정부 또는 주요 기업이 운영하는 ID 시스템보다 개인 정보 보호를 훨씬 더 심각하게 받아들이려는 의지를 보여주었고 이는 우리가 구축해야 할 성공입니다.

특히 기존 암호화 커뮤니티에서 멀리 떨어진 사람들의 손에 효과적이고 신뢰할 수 있는 개인 증명 시스템을 만드는 문제는 상당히 어려워 보입니다. 나는 그 일을 시도하는 사람들을 절대 부러워하지 않으며, 작동하는 공식을 찾는 데 몇 년이 걸릴 것입니다. 개인 증명의 개념은 원칙적으로 매우 가치 있는 것처럼 보이며 다양한 구현에는 위험이 있지만 개인 증명이 전혀 없는 것도 위험이 있습니다. 개인 증명이 없는 세상은 중앙 집중식 ID 솔루션, 돈, 소규모 폐쇄 커뮤니티 또는 이 세 가지 모두의 조합이 지배하는 세상일 가능성이 높습니다. 저는 모든 유형의 인격 증명에 대해 더 많은 진전이 있기를 기대하며 서로 다른 접근 방식이 결국 일관된 전체로 결합되는 것을 보기를 바랍니다.

https://vitalik.eth.limo/general/2023/07/24/biometric.html