可验证凭证：你应该信任谁？

嘉宾介绍、cheqd 与可迁移信誉

Kevin Wavect，懂你需求的 Web3 软件公司。大家好，欢迎来到 Wavect。今天的特别嘉宾是来自 cheqd 的 Ankur。我们将讨论一个很有意思的话题：去中心化身份，以及如何真正掌控自己的数据。感谢你来做客，很高兴能与你交谈。首先请介绍一下自己，聊聊你目前在做什么，以及你觉得值得分享的内容。

Ankur 好的，Kevin，谢谢邀请我。我很高兴参加你的播客。我叫 Ankur Banerjee，是 cheqd 的 CTO 和联合创始人，[关于发音的插话不清楚]。我们是基于 Cosmos SDK 构建的去中心化数字身份网络。我们想让你的数据更私密、更安全、更容易迁移，稍后可以详细解释它的运作方式。 我们目前也在做一个令人兴奋的相关项目 Creds.xyz，由我亲自负责。它建立在 cheqd 网络之上，关注去中心化的社交信誉：Web3 社区中的人如何把自己作为某个社区或 DAO 成员的信誉带到其他社区？我们觉得这是大家比较容易理解的应用场景，而我们的技术还有很广泛的用途。 我希望构建一个新的网络，让人们对自己的个人数据拥有更多控制权。互联网最初的模式，以及过去二三十年的万维网，竟然没有把这一点纳入其中，我觉得非常可惜。我很希望看到那些经常充当数据守门人的大型科技公司受到挑战。

哪些信息上链，哪些保持私密？

Kevin 很喜欢这个使命。你刚才提到 Creds，我也简单看了一下。我很好奇，按我的理解，你们会纳入链上信誉，比如加入 DAO 并为项目做贡献。你们也想解决链下数据和链上信誉之间的衔接问题吗？你们如何考虑这件事？

Ankur 这是个很好的问题。我们采用链上与链下信誉或存储的结合。传统的去中心化身份做法，往往是把信息放进 NFT，或者参与证明 POAP，然后写到链上。 这很适合展示身份地位，就像把兰博基尼或法拉利停在家门口，让邻居羡慕。这种用途很有效。但 NFT 或其他链上存储的问题是，任何人都可以公开查看。你可以用一个暂时没有与你关联的钱包地址，可一旦有人发现这个地址属于 Kevin，就能看出你在那里持有哪些 NFT。 所以我们结合链上与链下信誉。它基于万维网联盟 W3C 制定的国际标准。你可能经常听到 W3C。参与者不只是 Web3 公司，也包括微软、Mozilla 和谷歌等传统 Web2 公司。 基本思路是：在链上保存公钥和公开签名，让别人检查数据是否被篡改。关于你的社交信誉、医疗、学历、工作经历等各种具体信息，则放在链下钱包中。钱包可以像浏览器扩展形式的加密钱包，也可以在手机上，甚至存储在实体卡片中。我见过这些例子，也参与过相关项目。还可以把二维码打印在纸上，作为包含恢复种子的备份。 如果信息保存在链下钱包或身份钱包中，你向别人展示“我叫 Kevin，住在德国，主持这个播客已经五年”，这些内容就以防篡改的数字格式存在你的钱包里。对方可以检查链上公开的印章或签名，确认你展示的内容没有被改动。 我常用银行寄来的纸质账单打比方，账单底部有一个印章。链上存储就像印章：这家银行的印章是什么样的？但包含账单、交易、地址和姓名的那张纸只在你手里。你自己选择给谁看。 这并不妨碍你公开发布这些防篡改的数字凭证。就像你可以把 Twitter 或 Facebook 资料中的一部分公开，另一部分保密。你仍然可以这样做，只是对于向谁分享哪些信息，有了更多灵活性和控制权。

有效签名能让凭证内容可信吗？

Kevin 听起来很有意思。补充一点背景：我多年前第一次接触加密领域，就是通过一家去中心化身份初创公司。[Ankur：哦，真不错。] 我记得最大的难题之一是凭证签发。你如何证明数据不仅没有被修改，而且最初签发到链上的内容本来就是真的？你们采用什么方法？是否类似 Polygon ID，由签发者输入信息，再靠签发者的信誉来保证信息正确？如果我没记错的话。

Ankur 这是一个很好的问题：如何判断某人持有的数字凭证是否可信？我会用员工凭证作比喻。你的雇主直接签发凭证，证明你在这家公司工作，从人的角度看，这显然比你自己用蜡笔写在纸上“我是 Twitter，现在叫 X，的 CTO”更可信。[短暂插话不清楚。] 人们看到那张纸会说：“我不知道该有多信任它。”但真正的员工证，或者来自有信誉来源的东西，就会被认为可靠得多。 很高兴你提出这一点。过去六七年我在去中心化身份领域工作，而这个领域存在以来，很多方案都缺少这一重要步骤。cheqd 网络可以发布这些链上元素，我们设计了发布可信签发者列表的能力。例如，你想要 Ethereum 上某个 DAO 签发的凭证，人们可以建立 Ethereum 生态中可信 DAO 的列表，列出它们的公钥和公开签名。 你也可能需要检查数据结构。护照在全世界相当标准化：有哪些字段，按什么顺序排列。因此，无论护照用什么语言签发，你去图瓦卢旅行时，对方仍然能够理解里面的内容。我们也允许以防篡改的方式发布这些辅助元素，解决你提到的一些信任和信誉问题。

加密钱包和分享链接如何运作？

Kevin 好的。你说数据既能公开分享，也能私下分享。最近有效性 Rollup 很热门，你应该猜到我会问：你们使用 ZK，对吧？[Ankur：是。] 这如何与公开数据结合？数据放在链下的钱包或应用中，然后用户分享这些声明？大致的用户流程是什么？信息如何分享？

Ankur 没错。这里有两个零知识方面的元素。其中一个是 Creds.xyz 身份钱包的设计。它完全运行在浏览器里，不需要下载应用，也不需要浏览器扩展。我们参考了密码管理器的方式。如果你用过 1Password 或 Bitwarden，它们会把密码同步到你的三四五台设备。你输入口令来解锁钱包，但解密只发生在你自己的设备上。 你收到数字凭证以后，我们以端到端加密的形式备份，类似 WhatsApp、Signal，或者 1Password 和 Bitwarden 等密码管理器。这样你可以在任何设备登录并访问身份钱包。但是下载了加密备份之后，只有知道密码，你才能读取其中关于社交信誉或个人其他事实的内容。 公开分享时，你可以设置限时链接，比如只开放二十四小时，只允许打开五次，或者在网站的某个集合里永久公开。登录 Creds.xyz 或类似的 SSI，也就是自主身份或去中心化身份钱包后，你实际上会创建一个快照。这就像生成疫苗证明的二维码，过去两年很多人都做过，然后将其发布。 你可以把链接发给任何想查看和验证信息的人。但他们会知道它生成于例如八月一日。如果三个月后，也就是十月或十一月才打开，他们可能要求你生成一个新链接，再分享一次，以证明你仍然控制和持有这个钱包。 我们这样设计是出于用户体验考虑。很多去中心化身份钱包假设你会实时向别人出示凭证。有些场景确实如此，但并非所有场景。假设你想在 Telegram 上向某人证明你是某个 DAO 的成员，而你们不在同一个时区，对方可能八小时后才看。如何处理？在这个例子中，我们生成快照，代表用户托管它，并按照用户希望设置的规则来处理。

为什么身份不只是护照和 KYC？

Kevin 好的。我想到身份方案经常面对的一个挑战：从用户角度看，我为什么要用它？身份最终是由政府验证的，对吧？[Ankur：是。] 或者由公共机构验证，而不是公司。你们如何处理？cheqd 的发展路径是什么？是找政府推动整合，还是更关注企业场景，比如经过验证的员工？你们有什么计划？

Ankur 我们的适用范围很广。我们确实与一些大型政府机构交流，也涉及我所说的传统数字身份。例如银行或加密交易所要求你做了解你的客户，也就是 KYC，或者驾驶证、护照等。这是我们通常对身份的理解。 但我认为范围更广。以 Creds.xyz 的社交信誉为例，你在 DAO 投票时，也许想证明自己持有超过一百万枚代币，却不透露钱包地址和准确数量，只想证明“我有超过一百万枚”。目前多数 DAO 按质押数量分配投票权，这只说明你有多少钱，无法体现你是否因为其他原因对 DAO 很重要：贡献出色、积极参与治理，或者经常发表有见地的评论。 对于这样的凭证，我们在 Creds.xyz 上构建由 DAO 管理员和版主签发的证明。它可以关联 Telegram 或 Discord 的化名，也可以不关联，或者关联钱包地址。它包含 DAO 签发的证明。DAO 知道该地址，并声明：“是的，Kevin 持有超过一百万枚 CHEQ 代币。” 有意思的是，这不是法律身份，也不是法律意义上的 KYC，而是相对化名化的身份。这样思考就会发现，身份涵盖很多并非政府签发的场景。我的星巴克会员卡即使没有写我的姓名，也属于我。它没有经历护照那样的治理和保证检查，但仍然是我的个人数据。我在电商网站买衣服的偏好，也是我身份的一部分和与我有关的个人数据。 从更广的视角看，去中心化身份领域一直非常关注把政府凭证数字化。我的问题是：你多久需要出示一次学历证书？如果它是数字凭证，我只需要在找第一份工作时出示一次，此后并没有太大作用。KYC 也是，很多人在十六岁或十八岁开第一家银行账户，也许二十年后买房才再次接受 KYC。它没有那么频繁。 更常见的是使用社交媒体、聊天应用、网络论坛和电商。在这些地方，你都要分享某种个性资料或数据，让体验适合自己。这才是数字身份更广阔的愿景。

下载数据能把身份迁到另一平台吗？

Kevin 很有意思。我个人有个想法：这是不是更取决于具体场景？大型 FAANG 公司，比如 Meta、Alphabet 等，有资源以完全符合 GDPR 的方式使用你的数据，如果我们现在谈的是欧洲。但它们不这样做，或者只做维持商业模式所必需的最低限度。

Ankur 它们只让你下载副本。根据 GDPR 权利，你可以下载全部 Facebook 历史记录，但拿到的是电子表格、机器可读文件和上传过的图片，并不好用。你无法轻松说：“我不用 Facebook 了，要迁到一个新的竞争平台 Mastodon。”你说得对，大型科技公司通常只提供法律要求的最低限度，而没有让数据容易迁移到别的服务。 举个社交媒体例子。假设我像很多人一样厌倦了 Twitter。其实没有，我还很喜欢，但假如我要换到 Threads，同样的用户名可能已经被别人占了。而且相同用户名也不代表同一个人。就算下载了所有 Twitter 数据，也无法轻松把它们带过去。 去中心化身份可能让你说：“我在 Threads 或 Mastodon 开了一个新账户。我可以验证自己以前就是那个人或账户，至少证明我曾控制那个 Twitter 用户名，这是我十年 Twitter 历史的经过验证的导入。”你就能向别人证明这些事实。 欧盟在这方面的监管框架相对有前瞻性。它最近通过了《数字市场法》，希望增加竞争，推动这些可能性。它们也意识到 GDPR 实际上没有给人很多权利。也许它帮助你要求公司删除数据，这一点做得对。其他方面并不是真正的知情同意。Cookie 提示出现，大家都点“是”，就允许对方随意处理数据。它并没有让更换服务变得容易。 我很期待正在发生的一些监管变化。我们与政府合作，让人们持有政府批准或签发凭证的数字副本，以及银行、医疗等受监管行业的凭证，也会很有意思。这些行业受监管是有原因的。我个人遇到过的问题是，去看新医生时，对方无法访问我的病历。最多给我一张 DVD，我能拿它做什么？ 政府主导的场景很有吸引力，因为它们有较高的可信度、可靠性和信誉。我也很好奇，如果数据能够更自由地流动，私营部门会发生什么。

留给下一位嘉宾的问题

Kevin 很喜欢。这部分可以很好地告一段落。如果你不介意，我想引入一个新传统：请你向下一位嘉宾提出一个任意问题。可以问任何事，最好不要太技术化或太小众，因为不是每位嘉宾都有技术背景。由你决定。

Ankur 我的问题是：过去一年，你在加密或 Web3 领域学到的最有意思的东西是什么？某件让你惊讶、原本没有预料或了解的事。在 Web3 或去中心化身份会议上，我很喜欢进行这种讨论。这就是给下一位嘉宾的问题。

了解更多与结束语

Kevin 太好了，谢谢 Ankur。很高兴与你交谈。如果有希望放进视频简介的链接，我很乐意分享。谢谢你从可能很忙的一天里抽出时间，也谢谢大家观看。

Ankur 我也会把两个链接发给你：想了解我们，可以访问 cheqd.io。这是我们的协议层网络，有超过四十家去中心化身份合作伙伴，包括业内一些最大的供应商，它们都在我们的网络上工作和构建。技术兴趣更浓的可以看看。如果你更关注社交信誉，可以访问 Creds.xyz，了解我们如何让你以私密、安全、可迁移的方式把社交信誉带到任何地方。

Kevin 很好，谢谢大家。再次感谢 Ankur。下次见。

Ankur 谢谢 Kevin。

Kevin Wavect，懂你需求的 Web3 软件公司。