区块链与身份管理

关于区块链的应用已经已经被吹得天花乱坠，但实际上我认为，区块链的核心应用不外乎三个领域：金融，网络安全，物联网。而这区块链在这三个领域的发展，都离不开一个核心技术，那就是身份管理。本文就来讨论一下区块链技术可以为身份管理提供怎样的助力。

身份管理

身份管理是信息安全领域的一个关键技术，其在维基上的解释是“使正当的个体在正当的时间以正当的理由访问正当的资源”，即所谓的“非礼勿视，非礼勿听，非礼勿言，非礼勿动”，然而在网络世界里，没有小人与君子之分，这就对身份管理提出了挑战。

自互联网诞生以来，身份管理问题就一直没有被很好解决，“身份窃取”的事件时有发生。一直以来困扰广大互联网用户的一大问题就是，我们的个人身份是由第三方控制的，身份主权并不是由我们所有。现在任何一个有10年以上网龄的网民都在互联网上注册了成百上千的账户，我们的身份和数据都由这些第三方的公司来管理。然而其中超过99%的公司对用户身份的管理都是草率了事，例如用户账号密码明文传输，甚至明文存储，网站页面存在大量SQL注入和XSS漏洞。一旦这些公司的数据库遭到攻击，用户的数据就毫无安全性可言。即使一些大厂（例如谷歌、微软）在这些方面做得很出色，比如限制用户密码格式，使用高强度安全防护措施等，但很多用户的账户密码在不同网站都用的同一个，一旦密码在其中一个网站泄露，黑客其实就掌握了这个用户的所有身份信息，可以冒充合法用户身份在多个网站窃取数据。

还有一个问题就是大平台的垄断性。以腾讯为例，鹅厂之所以成为互联网巨头的最重要原因之一就是它套牢了一大批的互联网用户。在用户选择平台的时候，他们不得不选择腾讯，因为他们的亲属、朋友都在用。当有人觉得厌烦，想要更换平台时，却无法带着自己的数据、社交关系一起转移。这就是中心化的互联网环境下大公司的“作恶”。

区块链可以做什么

区块链作为一种去中心化、去信任的存储技术非常适合用作身份管理。

首先从比特币的应用来说，比特币钱包的地址就可以当做这个人的数字ID（每个人可以有多个地址），这个地址所关联的所有交易都具有签名，每个节点都可以验证身份。有很多人误解比特币是匿名的，但实际上比特币也只能算是半匿名，因为比特钱包的地址是公开的，所有交易也都是公开的，因此即使每个人可以拥有多个地址，也还是可以通过取现时的地址，历史交易记录查到人的身份。

用户将自己的身份信息加密、哈希后存入区块链中，自己的个人信息则可以加密存储在本地。当有第三方需要认证用户身份时，只需要提供加密的数据，第三方可以将之与区块链中的哈希值做对比从而验证用户的身份。在这个过程中用户既不用输入账号密码，也不用担心个人信息会泄露。也就是说，利用区块链，用户拥有对自己身份的绝对控制。

现有的应用

Talk is cheap. Show me the code.

光说不练总归是纸上谈兵。虽然区块链在身份管理方面的应用比不上风生水起的ICO，但也还是有不少稳中求进的开源项目或者公司，在这里选几个我比较关注的，做一简单介绍，供大家参考。

1. Blockstack 这个是我最近比较关注的一个开源项目，提供分布式的PKI，分布式的DNS，以及身份管理，旨在创建分布式的互联网。原本这个项目是构建在Namecoin上的，但后来创始人通过分析发现Namecoin正在遭受51%攻击，于是将平台转移到了Bitcoin区块链。Blockstack提供一个分布式的平台，用户对自己的身份和数据拥有绝对的控制权，而开发者在这之上可以开发分布式App，本地运行，调用用户提供的API。
2. ShoCard 是一家在区块链之上开发身份管理平台的创业公司，旨在为用户创建数字身份，保护个人隐私。用户可以通过该公司提供的App创建数字身份，所有的数据都是加密后本地存储，哈希后存储在区块链上。第三方机构也需要使用该公司的App来通过区块链验证用户的身份。该公司已经用成熟的应用在机场身份认证的案例。
3. Certcoin 是MIT的学生开发的基于Namecoin的开源项目，是一个分散式的认证系统。

扩展阅读

[1] How The Blockchain Will Secure Your Online Identity?

https://www.forbes.com/sites/jonathanchester/2017/03/03/how-the-blockchain-will-secure-your-online-identity/#2be2aea95523

[2] Blockstack: https://blockstack.org/

[3] ShoCard: https://shocard.com/

[4] 有关区块链在身份管理方面的项目列表：

https://github.com/peacekeeper/blockchain-identity