鑽石舞台

按照《反洗錢法》《金融機構反洗錢規定》等法律法規的要求，金融機構應當實施客戶身份識別、核對並實名登記。近年來，金融機構數字化轉型升級已經實現了用戶身份信息的數字化體系構建，但是隨着金融服務的多樣化，用戶身份信息除姓名、身份證等要素之外，還包括證件圖像、指紋和人臉等生物信息模板數據、數字證書等，身份信息核驗因子多樣。同時，用戶已逐漸開始關注身份信息數據安全、隱私保護、維護便利，並增強維護自我對數據所有權、控制權、使用權的訴求，傳統的數字身份體系面臨諸多挑戰。

1.數據孤島，移植性弱不利於數據重複使用

數據孤島問題貫穿於用戶身份信息全生命周期。在信息收集階段，用戶在獲取金融服務時重複提交身份信息的情況普遍存在，增加用戶填報工作量，降低用戶金融服務體驗。在信息存儲階段，用戶數據在各機構內部獨立存儲，數據通用性和移植性弱，增加社會資源消耗。在信息核驗階段，由於用戶數據在各機構間存儲差異性，無法實現便捷高效的跨機構身份核驗。在信息變更階段，當用戶身份信息發生變更時，無法實現一次提交，多副本同時更新，導致身份信息在不同機構間存在差異。

2.隱私泄露，數據存儲流轉時易致安全風險

各機構按照《個人信息保護法》要求，採取加密、去標識化等安全技術措施確保個人身份信息安全，但是仍然存在單點機構發生用戶身份信息泄露的風險，且數據的集中式存儲，容易受到惡意第三方的撞庫、拖庫與洗庫攻擊。一旦發生泄露事件，由於用戶身份數據的同一性、部分信息的不可變性以及數據泄露後複製的低成本、無限性、快速化，將會對用戶金融交易和資金安全進一步造成風險。同時，因金融同業間的數據關聯，不同程度的身份信息泄露的危害影響範圍將進一步擴大，造成連鎖反應，危害影響更為廣泛和惡劣。

3.過度收集，違反收集個人信息最小化原則

《個人信息保護法》明確要求「收集個人信息，應當限於實現處理目的的最小範圍，不得過度收集個人信息」，但是各機構為了實現更好的精準營銷和多維度、精細化客群分析，趨向於引導用戶過度填寫身份數據或獲得信息使用授權，用戶數據一旦填寫或授權將無法撤回，當用戶意識到信息被過度收集或授權時，難以維護正當的對自我身份信息的控制權。

4.控制壟斷，未能賦予用戶個人信息自主權

在數字身份發展的1.0和2.0階段，即單一應用賬戶和聯盟身份階段，社交、購物、媒體等大型平台服務商利用錯綜複雜的服務結構和盤根錯節的業務條線，收集了大量用戶身份信息，逐漸形成了用戶數量和信息的壟斷優勢。基於這些大型平台的身份體系打造的聯盟身份認證模式，更加劇了大型平台服務商對用戶信息和鑒權的壟斷地位，用戶對存放在機構服務器上的個人信息不能行使自主控制權。

分布式數字身份技術是以密碼學為基礎的實現隱私保護與數據安全的數字身份認證體系。相對於傳統中心化的數字身份認證體系，分布式數字身份技術通過分布式賬本、分散式標識符、可驗證憑證、分布式密鑰體系等技術，將身份數據的所有權和控制權歸還給用戶自己，其更公平、透明，抗風險能力更強。

1.分布式賬本技術實現用戶信息分布式數據存儲

分布式賬本技術（Distributed Ledger Technology，DLT）是密碼算法、共識機制、分布式存儲等多種核心技術高度融合形成的一種基礎架構與計算範式，為數字身份提供了較好的分布式存儲載體。基於分布式賬本的共識機制，個人信息發生變更時，整個網絡中的身份信息都可以便捷實現同步更新，從而提高個人信息的完整性和一致性，有效降低「數據孤島」問題，且分布式架構下各機構基於統一的數據結構、交換規則，提高了個人信息數據的可移植性。

2.分散式標識符實現用戶信息數據隱私保護

分散式標識符（Decentralized Identifier，DID）是一種可驗證的數字身份標識符。一方面，DID的獲取不依賴於任何中心化的身份提供商（ID Provider，IDP），而是通過區塊鏈等去中心化網絡進行註冊，降低了中心化信任風險。另一方面，一個實體可以有多個DID，並且實體間業務關係也可以關聯多個DID，從而保證了用戶身份數據或交易行為的匿名性和隱私性。

3.可驗證憑證實現物理憑證關聯

可驗證憑證（Verifiable Credential，VC）是不可篡改的一個聲明（Claim）或由多個聲明組成的集合，實現將物理世界中的紙質證明文件電子化，利用區塊鏈不易篡改的特性，將原始數據的Hash上鏈，並附上權威機構的簽名，確保數據不可偽造，實現驗證的權威性。一方面，基於憑證的數據共享必須經過憑證持有人的授權方可完成，大大增強了用戶對於個人信息的自主控制；另一方面，基於數據屬性和業務需求有選擇性的對外共享，精細化授權有助於落實數據收集的最小化原則。

4.分布式密鑰體系保障個人信息數據安全

分布式公鑰基礎設施（Decentralized Public-key Infrastructure，DPKI）是基於區塊鏈的不依賴第三方的更加安全的PKI系統。與傳統的中心化信任結構不同，在DPKI體系下，用戶身份信息不再由中心化的權威機構管理，而是由身份信息所有者自主管理密鑰，增強用戶對個人信息的自主控制權。同時，在DPKI中，基於共識協議建立和維護的區塊鏈充當分散式的密鑰存儲，可以有效防止區塊鏈中的不良行為並限制其作用，有效保障整個系統的完整性和安全性不被任何一方進行破壞。

5.點對點通信增強數據可移植性

DID的點對點相互認證和安全通信基於DID消息協議實現，不再依賴於第三方的中心化管理規則，網絡中的任意兩個用戶基於對規則和目標的共同理解和共識達成互動。通過用戶自己管理數字憑證和密鑰完成交互，實現了個人身份信息的自主控制，並提高數據的可移植性和可擴展性。

1.制定業務監管措施

分布式數字身份技術雖然在理論模型、關鍵技術等方面取得了一定成果，國內如工商銀行、微眾銀行、上海票交所和中鈔集團等也進行了實踐探索，但是個人身份數據的匿名化處理、分布式存儲等方面還沒有相應的監管規則，憑證留存等方面仍需要監管層面出台相應的業務規則和指引。

2.擴大應用場景驗證

儘管分布式數字身份技術在供應鏈金融、普惠金融等金融場景有所應用，但大部分案例還處於初步探索階段或內部孵化階段，以實驗性驗證為主要目標，缺乏場景深度驗證和普及。需要充分發揮科技公司技術供給能力，依託於金融機構豐富應用場景，逐步擴大技術和具體應用場景結合探索。

3.加強檢測認證體系的建設

分布式數字身份技術作為一種融合技術，仍面臨算法驗證工具缺乏、性能和容量較低等問題。目前尚缺乏一套完整的關於分布式數字身份系統技術可信、性能可靠的驗證機制和認證體系，應加強對檢測認證技術體系的研究和探索，搭建一套科學、合理、必要的檢測認證體系。

4.促進形成行業共識

分布式數字身份技術體系的建立意味着應用推廣僅僅依靠某一家機構或某一個組織是行不通的。應從頂層加強政策引導、從行業層加強宣傳普及，使金融行業充分認識到分布式數字身份體系的內在價值，逐漸形成行業廣泛共識，推動技術發展和應用的落地。

目前，數字身份技術的發展仍然處在單一應用賬戶和聯盟身份階段，隨着用戶對隱私數據安全重視程度的提升，以及對數據自主權訴求的增強，金融機構勢必要建立一套滿足用戶對個人身份信息保護需求的全新體系，分布式數字身份技術或將成為突破口。未來，需要產業各方加強分布式數字身份的研究與應用，在保障個人信息安全的前提下，促進金融數據流通融合，激發數據要素價值，為推動構建數字經濟社會提供技術支撐。

（來源：金融電子化）

《中國信息安全》雜誌 傾情推出

「企業成長計劃」

點擊下圖 了解詳情