编译：Meta Era
特别感谢 Worldcoin 团队、Proof of Humanity 社区以及 Andrew Miller 的讨论。
在以太坊社区中，人们一直试图构建一个分布式的人员身份验证解决方案，这是一个比较棘手但潜在价值巨大的工具。人员身份验证，又称为"唯一人类问题"，是现实世界身份的有限表现形式，它断言某个注册账户由一个真实的人控制（并且不同于其他任何注册账户的真实人类），理想情况下不会暴露具体是哪个真实人类。
针对这个问题，已经有一些努力：Proof of Humanity、BrightID、Idena 和 Circles 是其中的一些例子。其中一些解决方案附带了自己的应用程序，并且有些已被 Gitcoin Passport 采用以验证哪些账户适用于二次方投票。零知识技术，如 Sismo，为这些解决方案增加了隐私保护。最近，我们看到了一个更大、更有雄心的人员身份验证项目的崛起：Worldcoin。
Worldcoin 由 Sam Altman 共同创立，他以 OpenAI 的首席执行官而闻名。该项目背后的理念很简单：人工智能将为人类创造大量的硕果和财富，但也可能会导致很多人失去工作，并且几乎不可能区分谁是真正的人类，谁是机器人，因此我们需要填补这个漏洞，方法是：(i) 创建一个真正优秀的人员身份验证系统，让人类能够证明他们确实是人类；(ii) 给每个人提供普遍基本收入（UBI）。Worldcoin 的独特之处在于它依赖于高度复杂的生物识别技术，通过使用一种名为"the Orb"的专用硬件扫描每个用户的虹膜。
该项目的目标是生产大量的这些"Orb"设备，并在全球范围内广泛分发并放置在公共场所，以便让任何人轻松获取身份验证。值得称赞的是，Worldcoin 也承诺逐步实现去中心化。首先，这意味着技术上的去中心化：作为以太坊上的二层解决方案，采用 Optimism 技术栈，并通过 ZK-SNARKs 和其他加密技术保护用户隐私。随后，它还包括对系统本身治理的去中心化。
Worldcoin 因 Orb 设备引发的隐私和安全问题、其"代币"设计问题以及公司在一些选择上的道德问题而受到批评。其中一些批评是非常具体的，关注项目所做的决定，这些决定本来可以采取其他方式，而且 Worldcoin 项目本身可能愿意进行改变。然而，其他人则提出更为根本的担忧，即生物识别技术是否是一个好主意 - 不仅是 Worldcoin 使用的虹膜扫描生物识别技术，还包括 Proof of Humanity 和 Idena 中使用的更简单的人脸视频上传和验证游戏。还有人对人员身份验证的概念本身提出批评。风险包括不可避免的隐私泄露，进一步削弱人们在互联网上匿名浏览的能力，受制于威权政府的威逼，以及在保持去中心化的同时可能无法确保安全性。
本文将讨论这些问题，并通过一些论点帮助你决定是否向我们的新球形霸主低头并扫描你的眼睛（或脸部、声音等等...）是否是一个好主意，以及自然的替代方案 - 使用基于社交网络的人员身份验证或者完全放弃人员身份验证 - 是否更好。
什么是人员身份验证，为什么它很重要？
最简单的定义人员身份验证系统的方式是：它创建了一个公钥列表，系统保证每个公钥都由唯一的人类控制。换句话说，如果你是一个人类，你可以在列表上放一个公钥，但你不能放两个公钥，而如果你是一个机器人，你就不能在列表上放任何公钥。
人员身份验证的重要性在于它解决了许多人们关心的反垃圾邮件和反权力集中问题，同时避免了对中心化机构的依赖，并尽可能地减少信息泄露。如果没有解决人员身份验证问题，分散式治理（包括社交媒体帖子的"微治理"）会变得更容易被非常富有的个体或敌对政府所控制。许多服务只能通过设置访问价格来防止拒绝服务攻击，而有时为了阻挡攻击者，设置的价格对许多低收入的合法用户来说也太高。
当今世界上许多主要应用程序通过使用政府支持的身份验证系统，如信用卡和护照，来处理这个问题。这种做法解决了问题，但它在隐私方面做出了很大的、也许无法接受的牺牲，并且很容易受到政府自身的攻击。
（图片来源：How many proof of personhood proponents see the two-sided risk that we are facing）
在许多人员身份验证项目中 - 不仅仅是 Worldcoin，还包括 Proof of Humanity、Circles 等等 - 其"旗舰应用"是一个内置的"每人N个代币"（有时称为" UBI 代币"）系统。在该系统中，每个注册用户每天（或每小时、每周）会收到一定数量的代币。但是这些项目还有许多其他应用：
空投用于代币分发
给予较不富裕用户更优惠条件的代币或NFT销售
在DAO中进行投票
为基于图形的声誉系统提供"种子"数据
二次投票（以及资金筹集、关注度支付）
在社交媒体中防止机器人或女巫攻击
代替验证码以防止 DoS 攻击
在许多这些情况下，共同点是希望创建开放和民主的机制，避免项目运营者的集中控制和最富裕用户的主导。后者在分散治理中尤为重要。在许多这些情况下，目前的解决方案依赖于某种组合：（i）高度不透明的人工智能算法，这些算法可以在运营者不喜欢的用户中进行不可检测的歧视；（ii）中心化的身份验证，即"KYC"（了解你的客户）。一个有效的人员身份验证解决方案将是一个更好的替代方案，它可以在不出现现有中心化方法缺陷的情况下，满足这些应用所需的安全属性。
早期的个人身份证明尝试有什么？
有一些早期的人员身份验证尝试，主要分为社交网络图谱和生物特征两种形式。社交网络图谱的人员身份验证依赖于某种形式的担保：如果 Alice、Bob、Charlie 和 David 都是经过验证的人类，并且他们都说Emily 也是经过验证的人类，那么 Emily 很可能也是经过验证的人类。担保通常会通过激励措施加强：如果Alice声称Emily是人类，但事实证明她不是，那么 Alice 和 Emily 可能都会受到惩罚。生物特征的人员身份验证涉及验证 Emily 的某些物理或行为特征，以区分人类和机器人（以及不同个体的人类）。大多数项目采用这两种技术的组合。
前面提到的四个系统的工作原理如下：
Proof of Humanity：用户上传自己的视频并提供一笔押金。要得到批准，现有用户需要为你提供担保，并且需要经过一段时间的挑战期。如果有挑战，Kleros分散式法庭将确定你的视频是否真实；如果不真实，你将失去押金，而挑战者将获得奖励。
BrightID：用户参加与其他用户的视频通话"验证派对"，在这个过程中，每个人都互相验证。更高级别的验证可通过Bitu系统获得，只要有足够多的其他Bitu验证用户为你提供担保，你就能获得验证。
Idena：用户在特定时间参与验证码游戏，并且游戏包括创建和验证用于验证的验证码。
Circles：现有的Circles用户为新用户提供担保。Circles独特之处在于它不试图创建"全球可验证的ID"；相反，它创建了一个信任关系图，其中某人的可信度只能从你在该图中的位置的角度来验证。
Worldcoin 是如何工作的？
每个 Worldcoin 用户在手机上安装应用程序，该应用程序生成一个私钥和公钥，就像以太坊钱包一样。
用户亲自访问一个"Orb"，并在 Orb 的摄像头前凝视，同时向 Orb 展示他们的 Worldcoin 应用程序生成的 QR 码，其中包含他们的公钥。
Orb 扫描用户的眼睛，并使用复杂的硬件扫描和机器学习分类器来验证以下内容：
用户是真实的人类。
用户的虹膜与之前使用该系统的任何其他用户的虹膜不匹配。
如果两个扫描通过，Orb 将签署一条消息，批准用户虹膜扫描的专用哈希。哈希将上传到数据库，目前是一个集中式服务器，但计划在确保哈希机制有效后改为去中心化的链上系统。该系统不存储完整的虹膜扫描，只存储哈希，并且这些哈希用于检查唯一性。从此刻起，用户拥有一个"World ID"。
World ID 持有者可以通过生成一个 ZK-SNARK 证明来证明他们是一个唯一的人类，证明他们持有与数据库中公钥对应的私钥，而不透露他们持有哪个密钥。因此，即使有人重新扫描你的虹膜，他们也无法看到你所做的任何行为。
Worldcoin 的构建存在四个主要风险
隐私：虹膜扫描登记可能泄露信息。至少，如果其他人扫描你的虹膜，他们可以与数据库进行比对，确定你是否拥有 World ID。潜在地，虹膜扫描可能泄露更多信息。
可访问性：除非有足够多的Orb在全球范围内分布，否则World ID可能无法被所有人可靠地获取。
集中化：Orb是一个硬件设备，我们无法验证它是否被正确构建且没有后门。因此，即使软件层面是完美和完全去中心化的，Worldcoin基金会仍有能力在系统中插入后门，从而创建任意数量的虚假人员身份。
安全性：用户的手机可能被黑客攻击，用户可能在展示属于其他人的公钥的同时被强迫扫描虹膜，还有可能3D打印可以通过虹膜扫描获得World ID的"虚假人物"。
需要区分的是：（i）与 Worldcoin 选择相关的特定问题，（ii）任何生物特征人员身份验证必然具有的问题，以及（iii）一般人员身份验证可能存在的问题。例如，注册 Proof of Humanity 意味着将你的面部信息公开在互联网上。参加 BrightID 验证派对可能没有那么公开，但仍会暴露你的身份给很多人。而加入 Circles 则会公开你的社交网络图谱。Worldcoin 在保护隐私方面要比这些系统显著好。另一方面，Worldcoin 依赖于专用硬件，这引入了信任Orb制造商是否正确构建了这些硬件的挑战，而这在 Proof of Humanity、BrightID 或 Circles 中并不存在。甚至有可能在未来，除了 Worldcoin，其他人可能会创建不同的专用硬件解决方案，具有不同的权衡。
生物特征的人员身份验证方案如何解决隐私问题？
任何人员身份验证系统最明显、也是最大的潜在隐私泄露问题是将每个人的行为与真实身份联系起来。这种数据泄露非常大，可以说是不可接受的大，但幸运的是，可以通过零知识证明技术轻松解决。用户不直接使用与数据库中对应的公钥生成私钥签名，而是可以使用零知识证明（ZK-SNARK）来证明他们拥有与数据库中某个公钥对应的私钥，同时不透露具体是哪个公钥。这可以通过像Sismo这样的工具来实现（Proof of Humanity也有专门的实现），而Worldcoin则内置了这个实现。值得强调的是，在"加密原生"的人员身份验证方案中，他们真的关心采取这一基本步骤来提供匿名化，而几乎所有集中式身份解决方案都没有考虑这一点。
另一个更微妙但同样重要的隐私泄露是公开的生物特征扫描登记库的存在。在Proof of Humanity的情况下，这是大量的数据：每个Proof of Humanity参与者都会上传一段视频，让任何在世界上关心调查的人都可以清楚地知道所有Proof of Humanity参与者是谁。而在Worldcoin的情况下，泄露要少得多：Orb只在本地计算并发布每个人的虹膜扫描的"哈希"。这个哈希不是常规的哈希函数（比如SHA256）；而是基于机器学习的Gabor滤波器的专用算法，用于处理任何生物特征扫描中的不精确性，并确保对同一人的虹膜进行连续哈希后输出相似的结果。
蓝色：同一个人的两次虹膜扫描结果不同的比特百分比。橙色：两个不同人的虹膜两次扫描结果的差异比特百分比。
这些虹膜哈希仅泄露少量数据。如果敌对方可以强制（或秘密地）扫描你的虹膜，那么他们可以自行计算你的虹膜哈希，并将其与虹膜哈希数据库进行对比，以查看你是否参与了该系统。系统本身需要检查某人是否注册了多次，以防止滥用，但始终存在滥用的可能性。此外，虹膜哈希可能泄露一些医疗数据（性别、种族，可能包括一些医疗状况），但这种泄露远远小于目前几乎所有其他大规模数据收集系统（例如，街道摄像头）可能捕获的内容。总体而言，在我看来，存储虹膜哈希的隐私似乎是足够的。
如果其他人不同意这一判断，并决定设计一个更加隐私保护的系统，有两种方法可以实现：
1. 如果可以改进虹膜哈希算法，使得同一人的两次扫描之间的差异更小（例如，可靠地在10%以下的位翻转范围内），那么系统可以存储虹膜哈希的更少的纠错位数（参见：模糊提取器）。如果两次扫描之间的差异在10%以下，那么需要发布的位数至少可以减少5倍。
2. 如果想进一步改进，可以将虹膜哈希数据库存储在多方计算（MPC）系统中，只能由Orb访问（有速率限制），使得数据完全不可访问，但代价是在管理MPC参与者的协议复杂性和社会复杂性方面会带来显著挑战。这将使用户即使愿意也无法证明他们在不同时间拥有的两个不同的World ID之间存在联系。
不幸的是，这些技术不适用于 Proof of Humanity，因为 Proof of Humanity 需要每个参与者的完整视频公开可用，以便在出现伪造迹象（包括AI生成的伪造品）时进行挑战，并在这种情况下进行更详细的调查。
总体而言，尽管盯着一个Orb并让它深入扫描你的眼球给人一种"反乌托邦氛围"，但似乎专用硬件系统在保护隐私方面做得相当不错。然而，这一情况的另一面是，专用硬件系统引入了更大的集中化问题。因此，我们密码朋克似乎陷入了两难境地：必须在一个深受密码朋克价值观支配的选择与另一个之间进行权衡。
生物特征个人身份证明系统中存在哪些可访问性问题？
撒哈拉以南非洲约51%至64%的人现在拥有智能手机，预计到2030年将增加到87%。但虽然有数十亿的智能手机，却只有几百个 Orb。即使通过更高规模的分布式制造，也很难实现在每个人五公里内都有一个 Orb 的世界。
值得注意的是，许多其他形式的人员身份验证系统存在更严重的可访问性问题。加入基于社交网络的人员身份验证系统非常困难，除非你已经认识在社交网络中的某些人。这使得这类系统很容易仅限于一个国家的一个社区内。
即使是集中式身份系统也从中吸取了教训：印度的 Aadhaar 身份证系统是基于生物特征的，因为这是唯一可以快速为庞大的人口提供服务并避免大规模欺诈（从而实现巨大成本节省）的方法，尽管当然，Aadhaar 系统在隐私方面远不及加密社区内大规模提议的任何方案。
从可访问性的角度来看，表现最佳的系统实际上是像 Proof of Humanity 这样的系统，你只需要一个智能手机就可以注册，尽管正如我们所见，这些系统也有各种权衡。
生物特征的人员身份验证系统存在的集中化问题主要有以下三个方面：
1. 系统的顶层治理的集中化风险（尤其是在系统中的不同参与者对主观判断存在分歧时，最终顶层决议的制定）。
2. 基于专用硬件的系统独特的集中化风险。
3. 使用专有算法来确定谁是真正参与者的集中化风险。
任何人员身份验证系统必须处理第一点，除非系统的"接受"身份集是完全主观的。如果系统使用以外部资产（如ETH、USDC、DAI）为单位的激励措施，那么它就无法完全主观，因此治理风险是不可避免的。
2. 对Worldcoin而言是比 Proof of Humanity（或BrightID）更大的风险，因为 Worldcoin 依赖于专用硬件，而其他系统不依赖。
3. 风险主要存在于"逻辑集中化"的系统中，其中有一个单一系统进行验证，除非所有算法都是开源的，并且我们可以保证它们确实运行了它们声称运行的代码。对于纯粹依赖用户验证其他用户的系统（例如 Proof of Humanity），这不是一个风险。
Worldcoin如何解决硬件集中化问题？
当前，一个名为"Tools for Humanity"的与 W orldcoin 有关的实体是唯一制造 Orbs 的组织。然而，Orb 的源代码大部分是公开的：你可以在这个 Github 仓库中看到硬件规格，其他部分的源代码预计很快也会公开。许可证是那种"共享源代码，但在四年后才被视为开源"的许可证，类似于Uniswap的BSL许可证，除了防止分叉外，它还防止他们认为是不道德的行为，特别列出了大规模监视和三个国际人权宣言。
该团队的声明目标是允许并鼓励其他组织创建 Orbs，并逐步过渡到由某种 DAO 来批准和管理哪些组织可以制造被系统认可的 Orbs。
这种设计可能会在两个方面失败：
它没有真正实现分散化。这可能是由于联邦协议的常见陷阱：一个制造商在实际中占据主导地位，导致系统重新集中化。理论上，治理可以限制每个制造商可以生产的有效Orbs数量，但这需要谨慎管理，并对治理施加很大的压力，以实现分散化，并有效监控生态系统并应对威胁，这比处理一些相对静态的DAO任务更难。
证明这种分布式制造机制是安全的可能不可行。在这里，我看到两个风险：
对恶意 Orb 制造商的脆弱性：如果有一个Orb制造商是恶意的或遭到黑客攻击，它可以生成无限数量的伪造虹膜扫描哈希，并给它们颁发 World IDs。
Orb 的政府限制：不希望其公民参与 Worldcoin 生态系统的政府可以禁止Orb进入其国家。此外，他们甚至可以强迫其公民扫描虹膜，从而允许政府获得他们的账户，而公民将无法回应。
为了使系统对恶意 Orb 制造商的伤害降到最低，Worldcoin 团队计划对 Orb 进行定期审核，验证它们是否按规格正确构建，以及关键硬件组件是否在事后没有被篡改。这是一项具有挑战性的任务：这基本上类似于IAEA核查机构，但用于 Orbs。希望即使对审核制度的非常不完美的实现也能大大减少伪造Orbs的数量。
为了限制任何一个恶意 Orb 造成的损害，有必要进行第二种缓解措施。使用不同的 Orb 制造商，并且最好使用不同的 Orbs 注册的 World IDs 应该彼此可区分。这种信息可以是私有的，只存储在 World ID 持有者的设备上，但需要在需要时能够提供证明。这使得生态系统能够对（不可避免的）攻击做出回应，从白名单中删除单个 Orb 制造商，甚至可能删除单个 Orbs。如果我们看到朝鲜政府强迫人们扫描他们的眼睛，那么这些 Orbs 和由它们生成的任何账户可以立即被追溯地禁用。
普遍的个人身份证明中的安全问题
总的来说，除了 Worldcoin 的特定问题外，还存在着一些影响一般人员身份验证设计的担忧。我想到的主要问题有：
3D打印的虚假身份：可以使用 AI 生成逼真的假人照片甚至3D打印的假人，这些假人足够令人信服，被 Orb软件接受。如果有一个组织这样做，他们可以生成无限数量的身份。
出售身份：有人在注册时提供他人的公钥，而不是自己的公钥，以换取对方控制他们注册的ID的权利，这似乎已经在发生。除了出售，还有可能出租 ID，用于在某个应用程序中的短期使用。
手机黑客：如果某人的手机被黑客攻击，黑客可以窃取控制其 World ID 的私钥。
政府强制窃取身份：政府可以强迫其公民在显示属于政府的QR代码的情况下进行验证。在这种情况下，恶意政府甚至可以秘密地进行：政府可以使用混淆的Orb从每个入境的人中提取 World ID。
其中，第一点特定于生物特征的人员身份验证系统。（2）和（3）对生物特征和非生物特征的设计都适用。（4）也适用于两者，尽管所需的技术在两种情况下可能大不相同；在本节中，我将重点关注生物特征的情况。
我们如何应对虚假身份？
这些都是相当严重的弱点。一些已经在现有协议中得到解决，其他一些可能需要未来的改进，而另一些则似乎是基本限制。目前与 Worldcoin 和 Proof of Humanity 团队的讨论表明，至少目前这两个协议都尚未遇到重大的深度伪造攻击，原因很简单：雇佣真实的低工资工人来代表你注册相当便宜和容易。
可以预防出售身份吗？
在短期内，防止这种外包是困难的，因为世界上大多数人甚至不知道人员身份验证协议的存在，如果你告诉他们只需30美元举起QR码并扫描他们的眼睛，他们会这样做。一旦更多的人了解了人员身份验证协议，一个相当简单的缓解措施就变得可能：允许已经注册过 ID 的人重新注册，取消之前的 ID。这使得"出售身份"变得不太可信，因为卖给你他们的ID的人可以重新注册，取消刚刚出售的 ID。然而，要达到这一点，需要该协议广为人知，并且Orb要非常广泛地可访问，以使按需注册成为实际。
这也是为什么将 UBI 货币整合到人员身份验证系统中很有价值的原因之一：UBI 货币为人们提供了一个容易理解的激励，使他们（i）了解该协议并注册，以及（ii）如果他们代表其他人注册，则立即重新注册。重新注册还可以防止手机黑客攻击。
我们可以防止生物特征人员身份验证系统中的强迫性吗？
这取决于我们讨论的是什么类型的强迫。可能的强迫形式包括：
政府在边境控制和其他常规政府检查站扫描人们的眼睛（或面部等等），并使用此信息注册（并频繁重新注册）他们的公民
政府禁止该国的 Orb，以防止人们独立重新注册
个人购买 ID，然后威胁对方，如果他们发现他们的 ID 因重新注册而失效
（可能是政府运营的）应用要求人们通过直接使用他们的公钥签名进行"登录"，让他们看到相应的生物特征扫描，从而了解用户当前ID和任何未来重新注册后的ID之间的链接。人们普遍担心这样做会让人们太容易创建"永久记录"，这些记录将在其一生中与其同在。
特别是在不熟悉使用者手中，要完全阻止这些情况似乎相当困难。用户可以离开自己的国家去一个更安全的国家进行（重新）注册，但这是一个艰难的过程，成本很高。在真正敌对的法律环境中，寻找一个独立的 Orb 似乎太难以及具有风险。
可行的方法是使这种滥用行为变得更加麻烦且易于检测。Proof of Humanity 要求在注册时要求一个人朗读特定的短语就是一个很好的例子：这可能足以防止隐藏式扫描，需要强迫行为更加明目张胆，而且注册短语甚至可以包含确认回答者知道他们有权独立重新注册并可能获得 UBI 货币或其他奖励的声明。如果检测到强迫行为，可以撤销用于大规模进行强制注册的设备的访问权限。为了防止应用程序关联人们的当前和以前的 ID，并尝试留下"永久记录"，默认的人员身份验证应用程序可以将用户的密钥锁定在可信硬件中，防止任何应用程序直接使用密钥，除非其中间使用了匿名化的 ZK-SNARK 层。如果政府或应
用程序开发者想绕过这一点，他们需要强制使用他们自己的定制应用程序。
通过结合这些技术和积极警惕，锁定那些真正敌对的政权，并让那些仅仅是中等恶劣的政权保持诚实（就像世界上的大多数地方一样）似乎是可行的。这可以通过像Worldcoin或Proof of Humanity这样的项目维护自己的官僚机构来实现，或者通过透露更多关于ID是如何注册的（例如在Worldcoin中，它来自于哪个Orb），并将此分类任务交给社区来完成。
我们可以防止出租 ID 吗（例如出售选票）？
通过重新注册无法防止出租 ID。这在某些应用中是可以接受的：出租你收集当天份额的 UBI 货币的权利的成本将仅仅是当天份额的 UBI 货币价值。但在诸如投票之类的应用中，轻松出售选票是一个巨大的问题。
像 MACI 这样的系统可以防止您可信地出售您的选票，方法是允许您稍后投下另一张票，使您以后的选票无效，但任何人都无法知道您是否实际上投过这样的票。然而，如果行贿者在注册时控制您得到的密钥，这是无济于事的。
我看到两个解决方案：
在 MPC 内运行整个应用程序。这也将覆盖重新注册过程：当一个人向MPC注册时，MPC为他们分配一个与他们的人员身份验证ID分开且不可关联的ID，当一个人重新注册时，只有MPC会知道哪个帐户应该被停用。这样可以防止用户对其行为进行证明，因为每个重要的步骤都是在MPC内部使用仅对MPC已知的私人信息进行的。
去中心化的注册仪式。基本上，实现类似于此的面对面密钥注册协议，要求四名随机选择的本地参与者共同为某人注册。这可以确保注册是一个攻击者无法窥探的"受信任"过程。
社交图谱系统在这里实际上可能表现得更好，因为它们可以自动创建本地的去中心化注册流程，这是它们运作方式的副产品。
如果只有少数真实用户（意外或恶意）验证了虚假用户，那么就可以使用基本的图论技术，为系统验证的虚假用户数量设定一个上限。
生物特征识别与基于社交网络图谱的验证作为个人身份证明的两种主要候选方案有何区别？
除了生物特征方法之外，迄今为止主要用于个人身份证明的另一个竞争对手是基于社交网络图谱的验证。基于社交网络图谱的验证系统都遵循同样的原理：如果存在大量已验证的身份，这些身份都证实您的身份的有效性，那么您可能也是有效的，并应该获得验证状态。
社交网络图验证的支持者通常认为它是比生物特征验证更好的替代方案，原因如下：
不依赖特定硬件，更容易部署。
避免制造商试图创建虚假身份和需要更新系统以拒绝虚假身份之间的永久军备竞赛。
不需要收集生物特征数据，更加注重隐私保护。
可能更有利于伪匿名，因为如果有人选择将互联网生活分开为多个相互独立的身份，这些身份都有可能得到验证（但维护多个真实且独立的身份会牺牲网络效应并且成本较高，所以攻击者难以轻易实现）。
生物特征验证给出的是“是人类”或“不是人类”的二进制评分，这很脆弱：那些被意外拒绝的人将完全失去基本收入（UBI），并且可能无法参与在线生活。而社交网络图验证可以提供更细致的数值评分，虽然对某些参与者可能会有一定程度的不公平，但不太可能完全“抹去”某人的存在。
我对这些观点的看法基本上是认同的！这些都是社交网络图验证的真正优势，值得认真考虑。然而，我们也应该考虑社交网络图验证的弱点：
启动：为了加入社交网络图验证系统，用户必须认识已在该图中的某人。这使得大规模采用变得困难，并可能排除世界上一些地区由于缺少初期关系而无法加入。
隐私：虽然社交网络图验证避免了收集生物特征数据，但它们往往会泄漏关于个人社交关系的信息，可能导致更大的风险。当然，零知识技术可以减轻这一问题（例如Barry Whitehat的提案），但图的相互依赖性和需要对图进行数学分析使得隐私保护难以达到与生物特征验证相同的水平。
不平等：每个人只能有一个生物特征ID，但富有和社交关系良好的人可以利用他们的关系生成许多ID。这种灵活性可能使得社交网络图验证系统能够给某些真正需要多个假名的人（例如活动家）提供多个假名，但也可能意味着更有权势和社交关系的人比较容易获得更多的假名。
风险：中心化崩溃的风险：大多数人都懒得花时间在互联网应用程序上报告谁是真实的人，谁不是。因此，有可能随着时间推移，系统会倾向于依赖于依赖于中心化机构的“简单”方式进行录用，并且系统用户的“社交图”事实上将成为哪个国家承认哪些人作为公民的社交图，从而导致冗余的中心化 KYC。
在现实世界中，人格证明与伪匿名是否兼容？
原则上，人格证明与各种类型的伪匿名是兼容的。应用程序可以设计成使一个人持有的单一人格证明ID可以在应用程序内创建多达五个个人资料，留出伪匿名账户的空间。甚至可以使用二次方程：N个账户的成本为$N²。但这些是否会得以实现呢？
然而，悲观主义者可能会认为，试图创建更加注重隐私的ID并希望它能被正确接受是天真的，因为权力机构并不注重隐私，如果强大的主体获得了可以获取更多关于个人的信息的工具，他们会用于这个目的。在这样的世界中，这种观点认为，唯一现实的方法是不幸地向任何身份解决方案投入砂砾，捍卫一个完全匿名的世界和高信任社区的数字岛屿。
我理解这种思维方式，但我担心，即使成功，这种方法也会导致一个没有任何人可以采取措施来对抗财富集中和治理集中的世界，因为一个人始终可以假装成成千上万个身份。这些中心化的地方，反过来，容易被权力机构所占领。相反，我更倾向于采取一种温和的方式，坚决主张人格证明解决方案具有强大的隐私性，可能在协议层甚至包含一个“N个账户的成本为$N²”的机制，并创建一个具有注重隐私价值的解决方案，并有机会被外界接受。
那么我是怎么想的呢？
没有理想的人格证明方式。相反，我们至少有三种不同的方法范式，它们都有各自独特的优缺点。比较图表如下
在理想情况下，我们应该将这三种技术视为互补，并将它们结合起来。正如印度的 Aadhaar 在大规模应用中所展示的，专用硬件生物特征识别具有规模安全性的优势。然而，它们在去中心化方面非常薄弱，不过这可以通过追究个别Orb的责任来解决。通用生物特征识别可以在今天非常容易地被采用，但它们的安全性正在迅速减弱，也许只能再维持1-2年。社交网络图验证系统最初依靠与创始团队有紧密社交联系的几百人来启动，可能会面临在完全忽视世界其他地区和容易受到未知社区攻击之间不断做出取舍的情况。然而，如果一个社交网络图验证系统从拥有数千万生物特征ID持有者开始启动，那么它实际上可能是可行的。生物特征验证可能在短期内效果更好，而社交网络图验证技术可能在长期内更加稳健，并随着其算法的改进逐渐承担更多责任。
所有这些团队都有可能犯许多错误，而且商业利益与整个社区的需求之间存在不可避免的紧张关系，因此我们需要保持高度警惕。作为一个社区，我们可以和应该推动所有参与者在开源技术方面超越自己的舒适区，要求第三方审计，甚至第三方编写软件，以及其他的制衡措施。我们还需要在这三种类别中寻找更多的替代方案。
与此同时，重要的是要认识到已经取得的成就：许多运营这些系统的团队已经表现出比任何政府或主要企业运营的身份识别系统更加重视隐私，这是我们应该继续发展的一个成功因素。
在远离现有加密社区的人手中实现一个有效可靠的人格证明系统似乎是相当具有挑战性的。我绝对不嫉妒那些尝试这项任务的人，而且可能需要数年时间找到有效的方法。从原则上讲，人格证明的概念非常有价值，虽然各种实现都存在风险，但完全没有任何人格证明也是有风险的：一个没有人格证明的世界似乎更可能是由中心化的身份解决方案、货币、小闭合社区或其中的某种组合所主导的世界。我期待在所有类型的人格证明方面取得更多进展，希望不同的方法最终能融合成一个连贯的整体。