Systems Design Meditation · Edition 5
持ち運び可能な信頼
デジタルアイデンティティが実は相互運用性の層である理由
Edward Calderón
ソフトウェアアーキテクト
デジタルアイデンティティは、ログインの問題であることをやめたとき、はるかに興味深いものになる。
ログインは一つのアプリケーションとの関係を確立する。持ち運び可能な信頼が問うのは、検証済みの主張が境界を越えても、次の機関に検証プロセス全体をやり直させることなく、有用であり続けられるかどうかである。
移動できる検証
アイデンティティは、一つの巨大な中央集権的データベースを意味するべきではない。中央集権化は検索を単純化する一方で、監視、侵害の影響、そして制度的な権力を集中させる。持ち運び可能性は別のアーキテクチャである。発行者が主張を行い、保持者が適切な証拠を提示し、検証者がその証拠が特定の取引に十分かどうかを判断する。
その主張は、資格、法的地位、口座所有権、あるいは権限であってもよい。検証者は、根底にあるすべての記録を引き継ぐ必要はない。選択的開示によって境界を越えるデータ量を減らすことができるが、プライバシーは資格情報のフォーマットだけでなく、実装全体に依存する。
検証が、各システムに検証プロセスを一から作り直させることなく移動できるとき、信頼はスケールさせやすくなる。
これは信頼の枠組みを排除するものではない。検証者は依然として、どの発行者を、どの主張について、どの管轄のもとで、どの失効メカニズムとともに受け入れるかを知る必要がある。相互運用性には技術的、意味論的、法的、そしてガバナンスの層がある。共有された意味を伴わない共有スキーマは、単なる構文的な互換性にすぎない。
調整のためのインフラストラクチャ
アイデンティティは単なるプロフィールではない。それは調整のためのインフラストラクチャになりうる。
国境を越えるシステムは、その価値を明確に示す。口座を開設し、支払いを受け取り、あるいは公共サービスにアクセスする人は、機関が証拠を再利用できないために、しばしば同じ確認作業を繰り返すことになる。企業も、所有権、ライセンス、権限をめぐって同様の重複に直面する。持ち運び可能な検証は、制度的な独立性を保ちながら、この摩擦を減らすことができる。
ラテンアメリカには、力強いデジタル公共インフラの実験例と、断片化した官民のシステムの両方が存在する。そこにある機会は、単一の地域的アイデンティティデータベースではない。それは、信頼できる橋である。すなわち、共通の保証言語、検証可能な証拠、利用者による制御、説明責任を負う発行者、そして実用的な復旧手段である。
世界銀行のID4D原則は、登録を成功として扱うのではなく、包摂性、設計、ガバナンス、そして保護を重視している。米州開発銀行(IDB)のデジタルアイデンティティに関する取り組みも同様に、アイデンティティをサービス提供と地域的な変革に結びつけている。これが重要なのは、実用的な相互運用性を伴わないカバレッジが、人々に一つの場所でしか機能しないもう一つの資格情報を残しかねないからである。
決済は具体的な類推を提供する。カードネットワークや即時決済ネットワークは、それぞれの機関が同一の機関になることを求めることなく、機関間を調整する。アイデンティティネットワークは、各検証者が自らの方針を維持しながら、再利用可能な証明を提供できる。難しい作業は、紛争解決、責任、失効、そしてアクセシビリティ――インターフェースを取り巻く運用ルール――にある。
AIエージェントは、持ち運び可能な権限をさらに重要なものにする。人や企業に代わって行動するエージェントは、自らのマシンとしてのアイデンティティだけでなく、委任の証拠も提示する必要がある。サービスは、システム間でコピーされた広範な資格情報を受け入れるのではなく、要求された行動に必要な最小限の権限を検証すべきである。
境界のための設計
優れたアイデンティティアーキテクチャは、信頼の境界を可視化する。開示されるデータを最小化し、適切な場合には文脈をまたいで識別子を分離し、失効と取り消しをサポートし、完璧な利用者行動に依存しない復旧手段を提供する。また、争いのある取引のための証拠も残す。
保護策のない持ち運び可能性は、悪用もまた持ち運び可能にしてしまう。相関、強制的な開示、そして排除は、システムレベルのリスクである。技術的に有効な資格情報であっても、有害なプロセスを内包しうる。アーキテクチャには、ガバナンスと救済手段が含まれていなければならない。
したがって目標は、普遍的なアイデンティティではない。組み合わせ可能な検証である。独立したシステムが協力できるだけの共通構造と、それぞれのやり取りが釣り合いの取れたものであり続けるだけの境界である。
最も有用なアイデンティティシステムは、いずれ見えなくなるかもしれない。
私たちがそれに気づくのは、それまで互いを信頼できなかったシステムが、突然そうできるようになったときだけだろう。