DID 与数据隐私基础设施 zCloak——让数据可证而不可见

September 22nd, 2022

本文作者推特：@maik2hello，未经许可不得复制抄袭内容。

在理想状态下区块链是「匿名」的，用户由被称为公钥的一串字符识别。但现实中，随着区块链应用的逐渐普及和规范化，实体法律框架下现阶段对安全所需要远大于对隐私的需求，在各类链上监测分析工具层出不穷以及遵循合规的要求下，区块链的隐私特性正逐渐被瓦解。寻求安全而隐私的平衡点则是现实所需。

1.KYC 与 web3 背道而驰数据隐私化是关键

前不久一些项目平台推出 KYC 身份认证，一时激起了整个社区的不满，究其原因是其 KYC 认证过程需要上传个人的真实身份信息和肖像视频，在不断迈进 web3 网络更替中人人注重保护隐私的当下，隐私数据泄露造成的后果大家言犹在耳，区块链项目的 KYC 认证让大家更是随时都有可能处于 web3 裸奔状态，对于没有任何公信力认证的平台，平台是无法保证人们上传的信息不为他用，哪怕是中心化的机构都没法完全保证隐私信息的安全（黑客通过技术手段窃取数据等行为屡见不鲜）。

那么这里就出现一个我们急需要解决的问题：有没其他更好的方法，在获得身份确认的同时而不必把自己的身份信息暴露于外界，做到安全的状态呢？

2.zCloak 解决 KYC 认证的产品方案： W3C DID 系统+可验证数字凭证

完美解决上述问题的方案：数据隐私基础设施平台 zCloak 的首个子产品—— zkID.app 是一个链上数字身份与数据隐私保护解决方案（基于 W3C DID 系统+可验证数字凭证），它支持对用户在浏览器扩展程序中进行本地计算（通过下载zkID.app插件完成本地计算验证过程，这个过程不需要当事人上传自己的数据于任何第三方，整个过程数据都掌握在自己手中)

a) 融资背景

zCloak 种子轮和 A 轮完成 700 万美元融资（2021 年种子轮 130 万美元融资由 IOSG 和Hypersphere 领投，2022 年 6 月完成 Pre-A 轮融资 580 万美元，由 Coinbase 等顶级机构牵头完成）

b) 项目概述

zCloak 是独创的自主权数据和自证明计算的多链隐私保护基础设施平台，用户在无需对外发送数据的情况下，实现对数据的本地分析和计算从而验证整个过程。zCloak 从根本上去保护用户数据隐私的方式：第一让用户完全控制自己的数据，第二针对数据的中间验证环节也在用户自己手里进行（而不是在第三方的服务器上进行验证），基于以上核心要素 zCloak 让用户完全控制自己的数据能最大程度的保护个人隐私。

对于 zkID.app 无论是企业、个人还是 IoT 设备，都可以借由 zkID 获得符合 W3C 国际标准的数字身份，并完成相关数字凭证的制备、公证、传递和验证等相关工作，整个过程由符合工业标准的密码技术保障其安全可靠。

明确 KYC 的目的是为了检查某种条件下是否符合要求判定能否参与某项活动，只要不触及违法犯罪在实体法律许可的范围内，上面提到一些项目平台的 KYC 要求，可以通过 W3C DID +可验证数字凭证系统替代 KYC 从而保证数据隐私始终掌握在自己手中

一句话概括 zkID.app 的作用：可以证明你是谁，但不告诉别人你是谁，让数据可证而不可见。

DID 的含义:DID 是 Decentralized Identifiers 的缩写，去中心化标志符的意思

每一个人都有许多独特的标识符/或凭据来识别自己，例如电子邮件地址、各种社交账户、驾照 ID、护照 ID 等等都是我们的标志符。但在现实中，我们是无法控制这些标识符以及它们被共享的方式。通常存储第三方中心化服务器中数据可能被黑客攻击利用。如果禁止你使用它的服务或该存储机构不复存在，你的标识符也将被禁止，特朗普被踢出 Twitter 就是一个很好的例子。

DID特性：用户完全自己控制标识符如何生成、存储在哪里，以及如何分享它。

优点：无需中心化的注册机构，许多 DID 使用分布式账本技术或任何其他去中心化的网络，永久性，它的存储不依赖于单一的第三方或中心化的机构，可以通过密码学验证等等。

可验证数字凭证

DID 体系中并不包含关于主体的个人信息这就使验证并不完全可靠和真实，主体信息的引入能通过可验证凭证（VC：Verifiable Credentia）得已实现。可以把 DID 想象成去中心化基础设施的基础层，而包含主体个人身份信息的可验证凭证则属于更高层使整个验证完整可靠，只有通过 DID + VC 验证才能得到一个真实可信且验证结果具有防篡改和安全属性的方案。

凭证概念：如果可验证数字凭证是一个大学学位，它的内容则包含：大学的名称、Holder 的学位、毕业的年份等信息。如果这个可验证数字凭证是护照，则将包含诸如 Holder 的名字、姓氏、地址、出生日期等信息。

3.zCloak 平台对数据的整个验证过程

用户本地计算结果的真实性取决于“输入数据”和“计算过程”这两个步骤的真实性

云计算与大数据模式的问题在于用户的数据以及针对数据的验证计算都是在机构的数据库里，如果机构作恶或者黑客攻击的话，数据就会泄露，造成严重后果，而这样的例子比比皆是，我们应该如何安全的使用掌握这些数据呢？

如果以 zCloak 平台验证数据为例向银行寻求贷款，第三方机构如果要验证用户的数据的真实性，机构先把数据以纯文本 zk-program 的形式发给用户，用户安装 zkID.app 插件之后，只需将数据接入zkID.app 进行零知识证明验证。然后计算验证结果发送给第三方验证人，验证人检查零知证明验证结果就知道对不对。零知识证明（ZKP）：可以看做一个程序，一个实体可通过仅透露最必要的信息来证明一个声明是否为真并隐藏用户的输入数据。它能证明对你的数据的计算是正确的，但不显示计算或过程。如此，你就可以向银行证明，你有资格获得银行的贷款，但并不没有真正出示你的数据，我们将这种新的范式计算命名为自主权数据和自证明计算，这也是 zCloak 平台所独创的证明方式。

在这一认证过程中通过零知识证明技术来证明其完整性以及隐藏用户的输入数据。使用的是基于zk-STARK的零知证明虚拟机来证明计算过程。用户可以向任何实体(比如，智能合约）证明自己的身份属性，用户对外只需出示一个本地数据的验证结果，而不必出示自己的隐私数据。

4.数据隐私的应用场景

数据隐私的运用场景在哪里有的人可能不太明白，举个例子，我们个人的生物特征信息数据（指纹、虹膜、DNA 等）在保护隐私的同时能够用于身份识别，而得到广泛的运用，此外还有借贷、保险、票据等等金融应用场景，很多基于隐私保护的数据使用场景都可以是通过数据隐私协议来实现。

合作方面：zCloak 目前在帮助 LegalDAO（一个全球律师 DAO）成员建立链上 DID 身份，并且提供律师在虚拟世界提供公证、见证等法律服务的全套基础设施。
zCloak 与 Moledao（挖掘区块链人才）的合作已经开展在开发者基于 DID 与隐私协议进行应用方面的合作开发等。
年内 zCloak 会以正式产品的形式推出基于 W3C 标准的 DID 与 VC 服务（zkID 以及与之配合的钱包 zkID Wallet、zkID SDK 和登录服务 zkID Login）。

通过以上一些关于 zCloak 隐私网络平台的叙述，zCloak 所处赛道结合了隐私计算、DID、零知识证明等领域，不仅在区块链世界包括传统的大市场都有很大的市场需求，不同于很多区块链项目没有可以实现真正的现实使用场景，zCloak 具有广阔的使用前景。