【臉書】數位身分進化論：從政府管控到自主管理小記

背景

政府如何管數位身分？如何管？

這是我目前讀過有關「數位身分」最完善的圖表，來自 OpenID 基金會去年10月發表的白皮書《為政策制定者所寫，以人為本的數位身分》（Human-Centric Digital Identity: for Government Officials），作者用這個圖表盤點了世界各國的數位身分政策。

觀察

從左到右，是從政府管制最大的集中式管理，一路到公民自主管理，並以「識別」、「認證」、「授權」為三種服務，劃歸到身分提供者（IdP）或身分驗證者（或依賴方RP）兩個服務範疇。

首先是「電子身分+集中管理的生物識別資料」，意思就是政府幫你管理身分，同時存了指紋。這種由政府伺服器儲存一切個人資料的做法，驗證者只要知道這個公民有沒有被政府認證即可，經典案例為印度（Aadhaar）、奈及利亞（NIN）、巴基斯坦（NADRA）、菲律賓（PhilID）等。這種方案也讓這些系統成為史上最大的個資外洩事件之一。

再來是固定／主權國家的「電子身分+使用者端管理的生物識別資料」，意思即為政府管理資料，但牽涉到刷臉指紋認證時回歸個人裝置等，典型案例包含新加玻（Singpass）、愛沙尼亞（Estonia eID）、西班牙（DNIE）、義大利（CIE）、歐盟第一代電子身分（eIDAS1.0）等。

想法

再來是「分散式聯邦制身分」，這種數位身分的解決方案，政府仰賴服務提供者發行憑證，提供者遵守由政府制定的信任框架，並基於這些框架開發各種服務模式，供使用者選擇。因此證件服務非政府一手包辦，而是委外處理，數位身分服務進入了市場競合的狀態。案例包含挪威與瑞典（BankID）、GSMA、Yes 等。緊接著是類似的「經紀式聯邦制身分」，與前者的差別是數位身分解決方案更趨近於「市場驅動」，在提供者與使用者之間有一個市集或集中式中心（卻無需回傳身分狀態）的存在，相關案例如英國（UK Verify）、美國（Connect . gov）。

接著是「憑證服務提供者」的數位身分解決方案，與前者的差異為，身分識別的模組移到了依賴方這邊，並且由身分提供者在使用者的手機裝置端完成認證的服務，包含生物識別功能，案例為加拿大（Verified Me）。

最後是最為分散式的「個人身分提供者」解決方案，也就是所謂的「數位皮夾」。簡單來說就是只要經過身分識別後，使用者取得的憑證可以獲得認證與授權的功能，與提供識別的身分提供者沒有絲毫關係，而其功能展示流程皆在手機端完成。這與前者「憑證服務提供者」的解決方案差異最大之處在於可以避免「打電話回家」（Phone Home）的風險，讓服務提供者（往往是政府服務）沒辦法知道使用者在哪裡使用了哪些服務，減少了數位足跡被監控的可能性。相關案例如歐盟（eIDAS2.0）、不丹（NDI）、加拿大（BC Wallet）、美國（mDL，美國不盡然滿足前面的條件，因此我存保留態度，事實上電子前哨基金會也曾提出一樣的書面意見）。

其實最後者就是「數位身分自主」（SSI）的具體展現，也是對使用者而言最符合分散式、自主性、最像是「紙本」證件的社會狀態，不過其標準才剛建立，生態系正在成熟，使用者大眾尚也還不知道隱私自主的重要性，一切還有待觀察。

但根據(棄)加速主義（d/acc）的精神，人類需要花好大的力氣，才可能自己決定新興科技發展的方向，我個人是非常認同隱私自主的分散式科技就是了。