Systems Design Meditation · Edition 5
可携带的信任
为什么数字身份本质上是一个互操作层
Edward Calderón
软件架构师
当数字身份不再只是一个登录问题时,它会变得有趣得多。
登录建立的是与单一应用之间的关系。而可携带的信任所要问的是:一项经过验证的主张能否跨越边界,并且在不需要下一个机构重复整个验证过程的情况下依然有用。
可以流通的验证
身份不应当意味着一个巨大的中心化数据库。中心化虽然可以简化查询,但同时也会集中监控风险、数据泄露的影响,以及机构权力。可携带性是一种不同的架构:发行方做出一项主张,持有方出示相应的证据,而验证方决定这项证据是否足以支持某一具体交易。
这项主张可以是资格、法律身份、账户所有权,或者某种授权。验证方并不需要继承其背后的每一条记录。选择性披露可以减少跨越边界的数据量,不过隐私保护取决于整个实现方式,而不仅仅是凭证的格式。
当验证能够流通,而不必强迫每个系统都重新构建一遍验证流程时,信任就更容易实现规模化。
这并不会消除信任框架。验证方仍然需要知道自己接受哪个发行方、针对哪项主张、在哪个司法管辖范围内,以及采用何种撤销机制。互操作性包含技术、语义、法律和治理等多个层面。一个共享的模式(schema)如果缺乏共享的语义,充其量只是句法层面的兼容。
协调基础设施
身份并不仅仅是一份档案。它可以成为一种协调基础设施。
跨境系统清楚地展示了这种价值。一个人在开设账户、接收付款或使用公共服务时,常常需要重复进行核验,因为各机构无法重复利用彼此的证据。企业在所有权、许可证和授权方面也面临类似的重复劳动。可携带的验证可以在保留机构独立性的同时,减少这种摩擦。
拉丁美洲既有强有力的数字公共基础设施实验,也存在碎片化的公私系统。这里的机会并不在于建立一个单一的区域身份数据库,而在于构建可靠的桥梁:共同的保证语言、可验证的证据、用户控制权、可问责的发行方,以及切实可行的恢复机制。
世界银行的ID4D原则强调包容性、设计、治理和保护,而不是把注册本身当作成功的标志。美洲开发银行(IDB)在数字身份方面的工作同样把身份与服务提供及区域转型联系起来。这一点之所以重要,是因为如果覆盖率高却缺乏可用的互操作性,人们最终得到的可能只是又一份只在一个地方有效的凭证。
支付体系提供了一个具体的类比。一个银行卡网络或即时支付网络能够在不要求各机构变成同一个机构的前提下协调彼此。身份网络同样可以提供可重复使用的证明,同时让每个验证方保留自己的策略。真正困难的工作在于争议解决、责任归属、撤销机制和可及性——也就是围绕接口的运营规则。
AI智能体让可携带的权限变得更加重要。一个代表个人或企业行事的智能体,不仅需要出示自身的机器身份,还需要出示授权委托的证据。各类服务应当只验证完成所请求操作所需的最小权限,而不是接受一份在多个系统间复制流转的宽泛凭证。
为边界而设计
良好的身份架构会让信任边界变得可见。它最大限度地减少所披露的数据,在合适的情况下将不同场景下的标识符相互分离,支持过期和撤销机制,并提供不依赖于用户完美行为的恢复方式。它还会为有争议的交易留下证据。
没有保障措施的可携带性,也会让滥用变得可携带。关联分析、强迫披露和排斥都是系统层面的风险。一份技术上有效的凭证,仍然可能编码着一个有害的流程。架构设计必须包含治理机制和申诉途径。
因此,目标并不是建立一种普遍适用的身份体系,而是实现可组合的验证:既要有足够的共同结构,让独立的系统能够协作;又要有足够的边界,让每一次交互都保持恰当的比例。
最有用的身份系统,最终可能会变得不可见。
我们注意到它们的唯一方式,是发现那些此前无法彼此信任的系统,突然之间可以互相信任了。