" Веб-инженеры давно искали способ доказать что-либо, не раскрывая никаких данных, подтверждающих утверждение. Технология доказательства с нулевым разглашением (ZKP) позволила развернуть криптографические алгоритмы для проверки достоверности заявлений о владении данными без их расшифровки. Эти механизмы подтверждения привели к созданию усовершенствованных механизмов, повышающих конфиденциальность и безопасность.
В этой статье представлены основные сведения о доказательствах с нулевым разглашением; переносимой идентификации; проблемах в преобладающих решениях для идентификации; портативных решениях на основе блокчейна, имеющих доказательство с нулевым разглашением; ненадежной аутентификации и процессе создания учетных данных паролей.
Что такое доказательство с нулевым разглашением?
Доказательство с нулевым разглашением - это криптографический метод, который устанавливает подлинность конкретного утверждения. Он позволяет протоколу продемонстрировать верификатору, что утверждение об определенной конфиденциальной информации является точным, не раскрывая при этом никаких важных сведений. Данная технология упрощает интерактивные и неинтерактивные приложения с нулевым разглашением информации.
Интерактивное доказательство требует нескольких механизмов связи между двумя сторонами - доказывающим и проверяющим. Неинтерактивное доказательство с нулевым разглашением требует всего лишь однократного обмена информацией между ними. Это повышает эффективность нулевого разглашения за счет сокращения обмена данными между доказывающим и проверяющим.
В процессе доказательства с нулевым разглашением доказывающий демонстрирует проверяющему, что у него есть идентифицирующий секрет, не раскрывая сам этот секрет. Например, доказывающий может иметь пару асимметричных ключей и использовать идентифицирующий секрет в качестве закрытого ключа для ответа на запрос, отправленный с открытым ключом. Кульминацией этого является ситуация, когда проверяющий убежден, что у доказывающего есть ключ, а доказывающий его не раскрывает.
Благодаря технологии доказательства с нулевым разглашением пользователь может, например, продемонстрировать, что его возраст соответствует тому, который позволяет получить доступ к продукту или услуге, не раскрывая при этом свой реальный возраст. Или кто-то может доказать, что у него есть достаточный доход для выполнения критериев, не делясь точной информацией о своем банковском балансе.
Аутентификация личности с нулевым разглашением
Потребность предприятий в управлении огромными объемами клиентских данных при одновременном обеспечении конфиденциальности потребителей и сложном соблюдении нормативных требований привела к необходимости инновационных решений для цифровой идентификации. Доказательство с нулевым разглашением помогло эффективно реализовать концепцию портативной цифровой идентификации.
Появилась переносимость удостоверений - способность пользователей создавать единый набор учетных данных цифрового удостоверения, которые можно использовать на нескольких платформах. Схема управления цифровой идентификацией объединяет уникальные идентификаторы на устройстве пользователя, соответствующие юридические документы и такие биометрические данные, как идентификатор лица или отпечатки пальцев.
Пользователям нужно понимать, как кошелек децентрализованной идентификации (DID) хранится на смартфоне. Эмитент прикрепляет открытый ключ к выданным им верифицируемым учетным данным. Те надежно хранятся в кошельке и передаются верификаторам. Все, что нужно сделать верификатору, - это подтвердить, что соответствующий эмитент криптографически подписал учетные данные, отправленные пользователем.
Проблемы в распространенных решениях идентификации
Серьезные утечки данных, злоупотребление конфиденциальностью и некачественная аутентификация стали врагами онлайн-приложений.
Из-за сложной и постоянно меняющейся среды безопасности традиционных методов аутентификации больше недостаточно. Такие методы серьезно ограничивают контроль пользователей над своей идентификацией и управлением рисками, тем самым ставя под угрозу доступ к важным данным.
Получение данных из различных источников с помощью ряда передовых технологий сделало сохранение данных, связанных с идентификацией, сложной задачей. Сбор многомерных данных при соблюдении огромного набора правил чрезвычайно усложнил для компаний быстрое решение проблем, связанных с идентификацией, обнаружение мошенничества и одновременное раскрытие возможностей для бизнеса.
Портативные решения для идентификации с нулевым разглашением
Самостоятельные многоканальные портативные решения для идентификации позволяют предприятиям защищать доступ клиентов и данные с помощью единой платформы. Такая бесшовная идентификация снижает отток клиентов. Легкий безопасный вход на рабочую станцию помогает защитить удаленную работу и снизить риски мошенничества, связанные со слабыми паролями.
Решение на основе блокчейна сохраняет личность в децентрализованной экосистеме, позволяя при необходимости подтвердить ее. Например, NuID использует протокол доказательства с нулевым разглашением и технологии распределенного реестра для облегчения цифровой идентификации физических и юридических лиц.
Экосистема NuID позволяет пользователям владеть цифровой идентификацией и управлять ею с помощью сервисов, основанных на фундаментальных решениях для аутентификации с нулевым разглашением. Децентрализованный характер решения приводит к изначально переносимой и принадлежащей пользователю платформе идентификации. Они могут владеть своими данными, управлять ими, контролировать, и разрешать эффективное использование их для идентификации.
Решение делает бизнес-предприятия «потребителями» этих удостоверений и связанных с ними метаданных, тем самым способствуя взаимодействиям, в большей степени ориентированным на конфиденциальность. Владение динамическими данными приносит пользу как клиенту, так и поставщику услуг. Это избавляет компании от необходимости защищать огромное количество пользовательских данных, поскольку им больше не нужно скрывать какую-либо конфиденциальную идентифицирующую информацию.
Доверительная аутентификация
Аутентификация является одним из основных шагов при создании программного приложения. В быстро развивающемся ландшафте безопасности, где контекстно-зависимые потребности в UX (пользовательском опыте) неуклонно растут, проблемы конфиденциальности пользователей требуют чего-то большего, чем обычная аутентификация. Для приложений нужна платформа, которая облегчает адаптацию к изменяющимся требованиям цифровой идентификации.
Доверительная аутентификация представляет собой надежную альтернативу модели хранения паролей в частных базах данных. Например, NuID Auth API (интерфейс прикладного программирования) развертывает конечные точки для создания и проверки учетных данных пользователя с помощью технологии ZKP, упрощая создание доказательств и учетных данных в клиентских приложениях для таких случаев использования, как регистрация пользователей и вход в систему.
Можно ожидать, что передовая платформа будет устранять распространенные ошибки аутентификации и управления пользователями. Функции могут включать черный список паролей для безопасного информирования пользователей о ненадежных и украденных учетных данных, модульные и доступные компоненты пользовательского интерфейса аутентификации и расширенные функции MFA (многофакторной аутентификации).
Процесс создания пароля учетных данных
Такой процесс чем-то похож на существующий рабочий процесс создания и проверки паролей. Кто-то берет информацию о пользователе (имя, адрес электронной почты, пароль), отправляет ее на конечную точку регистрации и инициирует сеанс. Чтобы интегрировать процесс регистрации, необходимо создать учетные данные на стороне клиента. Вместо пароля, как это делается в устаревших приложениях, в приложения на основе ZPK отправляются проверенные учетные данные.
Вот обычный процесс регистрации пользователя в портативном решении для идентификации на основе доказательства с нулевым разглашением:
Этот процесс не имеет отношения к оставшемуся потоку регистрации, который может включать создание сеанса, отправку уведомлений по электронной почте и многое другое.
Что дальше?
В ближайшие годы, по мере развития технологии доказательства с нулевым разглашением, можно ожидать, что огромные объемы информации и учетных данных будут представлены в блокчейне общедоступным идентификатором, основанным на протоколах с нулевым разглашением. Это поможет избежать раскрытия прав собственности на атрибуты, тем самым эффективно устраняя связанные угрозы.
Опираясь на технологию ZKP, портативные решения для идентификации могут поднять конфиденциальность и безопасность данных на новый уровень в широком спектре приложений: от передачи данных в Интернет вещей (IoT) до систем предотвращения мошенничества.
