Vitalik: デジタル ID に ZK テクノロジーが使用されている場合、リスクはないということですか?

著者：ヴィタリック・ブテリン

編集：Saoirse、Foresight News

今日、デジタルIDシステムにおけるプライバシー保護のためにゼロ知識証明を利用することは、ほぼ主流となっています。様々なゼロ知識パスポートプロジェクトでは、ユーザーが自分のIDの詳細を一切明かすことなく有効なIDを保有していることを証明できる、非常にユーザーフレンドリーなソフトウェアパッケージが開発されています。生体認証とゼロ知識証明を用いてプライバシーを保護するWorld ID（旧Worldcoin）は、最近ユーザー数が1,000万人を突破しました。台湾の政府系デジタルIDプロジェクトではゼロ知識証明が活用されており、欧州連合（EU）もデジタルIDの取り組みにおいてゼロ知識証明への注目を高めています。

一見すると、ゼロ知識証明技術に基づくデジタルIDの普及は、d/accにとって大きな勝利のように思えます。ソーシャルメディア、投票システム、そして様々なインターネットサービスを、プライバシーを犠牲にすることなく、魔女攻撃やロボットによる操作から守ることができるからです。しかし、本当にそんなに単純なことなのでしょうか？ゼロ知識証明に基づくIDには、依然としてリスクが伴うのでしょうか？この記事では、以下の点を明らかにします。

ゼロ知識証明ラッピング (ZK ラッピング) は多くの重要な問題を解決します。
ゼロ知識証明を組み込んだアイデンティティには依然としてリスクが存在します。これらのリスクは、生体認証やパスポートとはほとんど関係がないように見えます。リスクの大部分（プライバシー漏洩、強要されやすい状況、システムエラーなど）は、「一人一アイデンティティ」という属性を厳格に維持することに起因しています。
もう一方の極端な例として、シビル攻撃に対抗するために「富の証明」を使用する方法は、ほとんどのアプリケーションシナリオでは不十分であるため、何らかの「準 ID」ソリューションが必要になります。
理論上の理想はその中間にあり、N 個の ID を取得するためのコストは N² です。
この理想的な状態を実際に実現するのは困難ですが、適切な「複数のアイデンティティ」はそれに近いため、最も現実的な解決策となります。複数のアイデンティティは、明示的なもの（ソーシャルグラフに基づくアイデンティティなど）と暗黙的なもの（複数の種類のゼロ知識証明アイデンティティが共存し、どのタイプも100%に近い市場シェアを持たない）に分けられます。

ゼロ知識証明でラップされた ID はどのように機能しますか?

眼球をスキャンするだけでワールドIDを取得できる、あるいはスマートフォンのNFCリーダーでパスポートをスキャンするだけでゼロ知識証明によるパスポートIDを取得できると想像してみてください。この記事では、どちらのアプローチもコアとなる特性は同じです（多重国籍など、わずかな違いはありますが）。

あなたのスマートフォンには秘密値sが存在します。チェーン上のグローバルレジストリには公開ハッシュ値H(s)が存在します。アプリにログインすると、アプリ固有のユーザーID H(s, app_name)が生成され、このIDとレジストリ内の公開ハッシュ値が同じ秘密値sから派生していることがゼロ知識証明によって検証されます。したがって、各公開ハッシュ値はアプリごとに1つのIDしか生成できませんが、特定のアプリIDがどの公開ハッシュ値に対応するかは決して明らかになりません。

実際には、設計はより複雑になる可能性があります。World IDでは、アプリケーション固有IDは実際にはアプリケーションIDとセッションIDを含むハッシュ値であるため、同一アプリケーション内の異なる操作を互いに分離することもできます。ゼロ知識証明パスポートに基づく設計も同様の方法で構築できます。

このタイプのIDの欠点に触れる前に、まずそれがもたらすメリットを認識することが重要です。ゼロ知識証明ID（ZKID）のようなニッチな分野を除けば、認証を必要とするサービスに対して自分自身を証明するためには、法的なID全体を明らかにしなければなりません。これは、コンピュータセキュリティにおける「最小権限の原則」の重大な違反です。プロセスは、タスクを完了するために必要な最小限の権限と情報のみを持つべきです。つまり、あなたがロボットではないこと、18歳以上であること、特定の国出身であることを証明する必要があるにもかかわらず、得られるのはあなたの完全なIDを示す情報なのです。

現時点で実現可能な最良の改善策は、電話番号やクレジットカード番号などの間接トークンを使用することです。この場合、電話番号／クレジットカード番号とアプリ内アクティビティの関連性を知っている主体と、電話番号／クレジットカード番号と法的IDの関連性を知っている主体（企業または銀行）が分離されます。しかし、この分離は非常に脆弱です。電話番号は他の種類の情報と同様に、いつでも漏洩する可能性があります。

ゼロ知識証明パッケージング技術（ZKラッピング、ゼロ知識証明を用いてユーザーのアイデンティティプライバシーを保護する技術的手段。ユーザーは機密情報を明かすことなくアイデンティティを証明できる）の助けにより、上記の問題はほぼ解決されました。しかし、次に論じたいのは、あまり言及されていない点です。それは、未解決の問題がいくつか残っているだけでなく、こうしたソリューションの厳格な「一人一アイデンティティ」という制限によって、さらに悪化する可能性があるということです。

ゼロ知識証明だけでは匿名性は実現できない

ゼロ知識証明アイデンティティ（ZKアイデンティティ）プラットフォームが期待通りに動作し、上記のロジックをすべて厳密に再現し、中央集権的な機関に依存せずに、非技術系ユーザーの個人情報を長期にわたって保護する方法さえ見つけ出すと仮定しましょう。しかし同時に、現実的な仮定を立てることもできます。アプリケーションはプライバシー保護に積極的に協力するのではなく、「実用主義」の原則を堅持し、「ユーザーの利便性の最大化」を掲げながらも、採用する設計ソリューションは常に自らの政治的・商業的利益を優先するものとなるでしょう。

このようなシナリオでは、ソーシャルメディアアプリケーションは、セッションキーを頻繁にローテーションさせるような複雑な設計ではなく、各ユーザーにアプリケーション固有の一意のIDを割り当てます。また、アイデンティティシステムは「一人一アイデンティティ」というルールに従うため、ユーザーは1つのアカウントしか持てません（これは、平均的な人が簡単に5つほど登録できるGoogleアカウントなどの今日の「弱いID」とは対照的です）。現実世界では、匿名性を保つには通常、複数のアカウントが必要です。1つは「通常のアイデンティティ」用、もう1つは様々な匿名アイデンティティ用です（「 finstaとrinsta 」を参照）。したがって、このモデルでは、ユーザーが実際に得られる匿名性は現在のレベルよりも低くなる可能性があります。このように、ゼロ知識証明で包まれた「一人一アイデンティティ」システムでさえ、徐々にすべての活動を単一の公開アイデンティティに結び付けなければならない世界へと導く可能性があります。ドローンによる監視など、リスクが増大する時代において、匿名性によって自らを守る選択肢を人々から奪うことは、深刻な悪影響をもたらすでしょう。

ゼロ知識証明だけでは強制から身を守ることはできない

シークレットバリューを開示しなくても、アカウント間の公開接続を誰も見ることはできませんが、もし誰かが開示を強制したらどうなるでしょうか？政府があなたのすべてのアクティビティを把握できるように、シークレットバリューの開示を強制する可能性があります。これは空約束ではありません。米国政府はビザ申請者にソーシャルメディアアカウントの開示を義務付け始めました。さらに、雇用主は完全な公開プロフィールの開示を雇用条件とすることも容易です。個々のアプリでさえ、技術的には、ユーザーがサインアップする前に他のアプリで自分の身元を明らかにすることを要求する場合があります（これはアプリにログインする際にデフォルトで行われます）。

同様に、これらの場合、ゼロ知識証明属性の価値は失われますが、「1人1アカウント」という新しい属性の欠点は依然として存在します。

同様に、これらのケースでは、ゼロ知識証明属性の価値は失われますが、「1人1アカウント」という新しい属性の欠点は依然として存在します。

設計の最適化によって、強制のリスクを軽減できる可能性があります。例えば、マルチパーティコンピューティングメカニズムを用いて各アプリケーションに固有のIDを生成し、ユーザーとサービスプロバイダーが参加できるようにすることです。このようにすることで、アプリケーション運営者の参加なしに、ユーザーはアプリケーション内で自身の固有IDを証明できなくなります。これにより、他者に完全なIDを開示させることが困難になりますが、この可能性を完全に排除することはできません。また、このようなソリューションには、アプリケーション開発者が受動的なオンチェーンスマートコントラクト（継続的な介入なし）ではなく、リアルタイムでアクティブなエンティティになる必要があるなど、他の欠点もあります。

ゼロ知識証明だけではプライバシー以外のリスクは解決できない

すべての形式のアイデンティティにはエッジケースがあります。

パスポートを含む政府発行の身分証明書は、無国籍者やそのような書類をまだ持っていない人には適用されない。
一方、このような政府ベースのアイデンティティシステムは、複数の市民権保有者に独自の特権を付与します。
パスポート発行機関がハッキングされる可能性があり、敵対国の諜報機関が何百万もの偽の身分証明書を作成することさえ可能になる（例えば、ロシア式の「ゲリラ選挙」が普及した場合、選挙を操作するため）。
怪我や病気により関連する生体認証が損なわれた人にとって、生体認証による ID は完全に無効になります。
生体認証は偽造者によるなりすましの被害を受けやすい。生体認証の価値が極めて高まれば、そうした生体認証を「大量生産」するためだけに人間の臓器を培養する者も現れるかもしれない。

これらのエッジケースは、「一人一アイデンティティ」という特性を維持しようとするシステムにおいて最も有害であり、プライバシーとは全く関係がありません。したがって、ゼロ知識証明はこれらの問題には役立ちません。

シビル攻撃を防ぐために「富の証明」に頼るだけでは問題を解決するには不十分なので、何らかの形のアイデンティティシステムが必要です。

純粋なサイファーパンクコミュニティでは、シビル攻撃を防ぐ手段として、何らかの身元システムを構築するのではなく、「富の証明」に完全に頼るという代替案が一般的です。アカウントごとに一定の費用を課すことで、簡単に大量のアカウントを作成できないようにすることが可能です。この慣行はインターネット上で長年の先例となっています。例えば、Somethingawfulフォーラムでは、アカウント登録に1回限りの10ドルの手数料がかかります。アカウントが禁止されても、手数料は返金されません。しかし、これは実際には真の暗号経済モデルとは言えません。なぜなら、新規アカウント作成における最大の障害は、再び10ドルを支払うことではなく、新しいクレジットカードを取得することだからです。

理論上は、支払いに条件を付けることも可能です。アカウント登録時に一定額の資金を預け入れるだけで、万が一アカウントが停止された場合にのみ、その資金を失うことになります。理論上、これは攻撃コストを大幅に増加させる可能性があります。

このアプローチは多くのシナリオでうまく機能しますが、一部のシナリオでは全く機能しません。ここでは「UBI型」と「ガバナンス型」と呼ぶ2種類のシナリオに焦点を当てます。

UBIのようなシナリオにおけるアイデンティティの必要性

いわゆる「準UBIシナリオ」とは、一定量の資産またはサービスを、支払い能力に関わらず、非常に幅広い（理想的にはすべての）ユーザーグループに分配する必要があるシナリオを指します。Worldcoinはこれを体系的に実践しており、World IDを持つ人なら誰でも、定期的に少量のWLDトークンを受け取ることができます。多くのトークンエアドロップも、より非公式な方法で同様の目的を達成し、少なくとも一部のトークンをできるだけ多くのユーザーの手に届けようとしています。

個人的には、そのようなトークンが個人の生計を支えるのに十分な価値を持つとは考えていません。AI主導の経済で富が1000倍に増えれば、そのようなトークンは生活を維持するのに十分な価値を持つかもしれませんが、それでも、少なくとも天然資源の豊富さに裏付けられた政府主導のプログラムが経済においてより重要な役割を果たすでしょう。しかし、これらの「ミニUBI」が真に解決できる問題は、人々が基本的なオンチェーン取引やオンライン購入を完了するのに十分な暗号通貨を獲得することだと私は考えています。具体的には、以下のようなことが挙げられます。

ENS名を取得する
ゼロ知識証明IDを初期化するためにハッシュをオンチェーンで公開する
ソーシャルメディアプラットフォームへの支払い

暗号通貨が世界中で広く普及すれば、この問題は解消されるでしょう。しかし、暗号通貨がまだ普及していない現状では、これが人々がブロックチェーン上の非金融アプリケーションや関連するオンライン商品・サービスにアクセスする唯一の手段となるかもしれません。そうでなければ、これらのリソースに全くアクセスできない可能性があります。

同様の効果を実現するもう一つの方法は、「ユニバーサル・ベーシック・サービス」です。これは、IDを持つすべての人に、特定のアプリ内で一定回数の無料取引を行えるようにするものです。このアプローチは、導入によってメリットを享受するすべてのアプリが非ユーザーへの支払いをせずに済むため、インセンティブと資本効率の両面で優れている可能性があります。しかし、ユニバーサル性が低下するというトレードオフも伴います（ユーザーはプログラムに参加しているアプリへのアクセスのみが保証されます）。それでもなお、システムをスパム攻撃から保護しつつ、誰もが利用できるとは限らない決済方法での支払いをユーザーに要求することによる排他性を回避するためには、IDソリューションが依然として必要です。

最後に注目すべき重要なカテゴリーは、「ユニバーサル基本保証金」です。アイデンティティの機能の一つは、インセンティブの規模に見合った資金の拠出をユーザーに求めることなく、説明責任を果たすための目標を提供することです。これは、参加基準が個人資本の額に依存することを軽減する（あるいは資本を全く必要としない）という目標の達成にも役立ちます。

ガバナンスのようなシナリオにおけるアイデンティティの必要性

投票システム（ソーシャルメディアプラットフォームにおける「いいね！」やリポストなど）を想像してみてください。ユーザーAがユーザーBの10倍のリソースを持っている場合、彼の投票力もBの10倍になります。しかし経済的な観点から見ると、投票力1単位あたりのAの利益はBの10倍です（Aの方が規模が大きいため、あらゆる決定がBの経済レベルに与える影響はより大きくなります）。したがって、全体として、Aの投票はBの投票よりも100倍もA自身に有益です。このため、Aは投票への参加、自身の目標を最大化するための投票方法の研究に、はるかに多くのエネルギーを費やし、さらには戦略的にアルゴリズムを操作することさえあります。これは、「クジラ」がトークン投票メカニズムに過度の影響力を持つ根本的な理由でもあります。

より一般的でより深い理由は、ガバナンスシステムが「10万ドルを管理する1人の人物」と「10万ドルを保有する1,000人の人物」に同じ重みを与えるべきではないということです。後者は1,000人の独立した個人を表しており、したがって、少量の情報の重複ではなく、より豊富で価値のある情報を含んでいます。また、1,000人からのシグナルは、異なる個人の意見が互いに打ち消し合う傾向があるため、より「穏やか」になる傾向があります。

これは、正式な投票システムだけでなく、人々が公の場で発言することで文化の進化に参加する能力などの「非公式な投票システム」にも当てはまります。

これは、準ガバナンスシステムにおいては、同じ規模のバンドルを、その出所に関わらず全て同じように扱うだけでは十分ではないことを示唆している。むしろ、システムはこれらのバンドル間の内部調整の程度を把握する必要がある。

なお、上記の 2 つのシナリオ (ユニバーサルベーシックインカムのようなシナリオとガバナンスのようなシナリオ) の私の説明フレームワークに同意する場合、技術的な観点から、「1 人 1 票」などの明確なルールはもはや必要ありません。

UBIのようなアプリケーションに真に必要なのは、最初のアイデンティティを無料にし、取得可能なアイデンティティの数を制限するアイデンティティソリューションです。制限効果は、より多くのアイデンティティを取得するためのコストが十分に高くなり、システムへの攻撃が無意味になったときに達成されます。
ガバナンスのようなアプリケーションの場合、主な要件は、公開されているリソースが単一のエンティティによって制御されているか、調整度の低い「自然に形成された」グループによって制御されているかを、いくつかの間接的な指標を通じて判断できることです。

どちらのシナリオでも、アイデンティティは依然として非常に有用ですが、「1 人の人物に 1 つのアイデンティティ」などの厳格なルールに従う必要はなくなりました。

理論上の理想的な状態は、N個のアイデンティティを取得するコストがN²であるということです。

上記の議論から、アイデンティティシステムで複数のアイデンティティを取得する際の望ましい困難さを制限する、両端からの 2 つの圧力があることがわかります。

まず、容易にアクセスできるアイデンティティの数に、明確かつ目に見える厳格な制限を設けることはできません。人が持つアイデンティティが1つしかなければ、匿名性は失われ、アイデンティティを明かすよう強要される可能性があります。実際、1より大きい数値を設定することさえリスクがあります。誰もが5つのアイデンティティを持っていることを知っている場合、5つすべてを明かすよう強要される可能性があります。

これを支持するもう一つの理由は、匿名性自体が脆弱であるため、十分に大きな安全バッファが必要であるということです。現代のAIツールを使えば、プラットフォーム間のユーザー行動の相関関係を容易に把握できます。単語の使用習慣、投稿時間、投稿間隔、議論のトピックといった公開情報を通じて、わずか33ビットの情報で人物を正確にロックできます。AIツールを防御に活用することは可能かもしれませんが（例えば、私が匿名でコンテンツを投稿する際は、フランス語で書き、それをローカルで稼働する大規模な言語モデルを通して英語に翻訳しました）、それでも、たった一つのミスで匿名性を完全に失いたくないのです。

第二に、アイデンティティは完全に金銭と結び付けることはできません（つまり、N個のアイデンティティを取得するコストがNである）。そうすると、大規模な組織が過大な影響力を持つことが容易になり（結果として、小規模な組織は発言権を完全に失ってしまう）、結果として大きな影響が出てしまうからです。Twitter Blueの新しい仕組みはこの点を反映しています。月額8ドルの認証料は、悪用を効果的に抑制するには低すぎます。そのため、ユーザーはこの認証マークを事実上無視するようになりました。

さらに、N 倍のリソースを持つ組織が、罰せられることなく N 倍の不適切な行為を行えるようにすることは望ましくないかもしれません。

上記の議論を要約すると、私たちは以下の制約を満たしながら、複数のアイデンティティを可能な限り簡単に取得できるようにしたいと考えています。(1)ガバナンスのようなアプリケーションにおける大規模なエンティティの権限を制限すること。(2)UBIのようなアプリケーションにおける乱用を制限すること。

前回の記事で示したガバナンス的な応用の数理モデルを直接参照すれば、明確な答えが得られます。N個のアイデンティティを持つことでN²の影響力を発揮できるのであれば、N個のアイデンティティを取得するためのコストはN²であるはずです。偶然にも、この答えはユニバーサル・ベーシック・インカム的な応用にも当てはまります。

このブログの常連読者の方は、これが「二次資金調達」に関する以前のブログ投稿のグラフとまったく同じであることに気付くかもしれませんが、これは偶然ではありません。

多元的なアイデンティティはこの理想的な状態を達成できる

いわゆる「マルチアイデンティティシステム」とは、個人、組織、プラットフォームなど、単一の支配的な発行機関を持たないアイデンティティメカニズムを指します。このシステムは、以下の2つの方法で実現できます。

明示的な多元的アイデンティティ（ソーシャルグラフベースのアイデンティティとも呼ばれます）。コミュニティ内の他の人々による証明を通じて、自分のアイデンティティ（またはコミュニティのメンバーであることの確認など）を検証できます。これらの証明者のアイデンティティも同様のメカニズムで検証されます。「分散型社会」の記事では、このタイプの設計についてより詳細な説明がされており、Circlesは最新の例として挙げられます。
暗黙の多元的アイデンティティ。これが現状です。Google、Twitter、各国の類似プラットフォーム、そして複数の政府発行IDなど、多様なアイデンティティプロバイダーが存在します。1種類のアイデンティティ認証のみを受け入れるアプリケーションはごくわずかです。多くのアプリケーションは複数の種類に対応しています。そうすることでのみ、潜在的なユーザーにリーチできるからです。

Circles アイデンティティグラフの最新スナップショット。Circles は、ソーシャルグラフをベースとした最大規模のアイデンティティプロジェクトの一つです。

明示的なマルチアイデンティティは、当然ながら匿名性を備えています。つまり、1つ（あるいは複数）の匿名アイデンティティを持つことができ、それぞれのアイデンティティは、その行動を通じてコミュニティ内での評判を築くことができます。理想的な明示的なマルチアイデンティティシステムでは、「個別のアイデンティティ」という概念さえ必要とされないかもしれません。その代わりに、検証可能な過去の行動の曖昧な集合を持ち、必要に応じて、それぞれの行動の異なる部分をきめ細かく証明できるかもしれません。

ゼロ知識証明は匿名性の実現をはるかに容易にします。マスターIDを用いて仮名IDを作成し、その後、新しい仮名IDを認識させるための最初のシグナルを非公開で提供することができます（例えば、anon.worldに投稿するために一定量のトークンを所有していることを証明したり、Twitterのフォロワーが特定の特性を持っていることを証明したりするなど）。ゼロ知識証明をより効率的に活用する方法があるかもしれません。

暗黙的な複数のアイデンティティの「コスト曲線」は二次曲線よりも急峻ですが、それでも望ましい特性のほとんどを備えています。ほとんどの人は、ここに挙げたアイデンティティの一部は持っていますが、すべてを持っているわけではありません。ある程度の努力で別のアイデンティティを獲得することはできますが、アイデンティティの数が増えるほど、次のアイデンティティを獲得するための費用対効果は低くなります。その結果、ガバナンス攻撃やその他の悪用に対する必要な抑止力となり、同時に、強制者が特定のアイデンティティの開示を要求できない（そして合理的に期待できない）ことを保証します。

いかなる形態の多重アイデンティティシステム（暗黙的であろうと明示的であろうと）も、本質的にはより寛容である。手や目の障害を持つ人々も依然としてパスポートを保有できるし、無国籍の人々も非政府系の手段を通じて自らのアイデンティティを証明できる可能性がある。

単一のIDフォームが市場シェア100%に達し、唯一のログイン方法になった場合、上記の機能は機能しなくなることに注意が必要です。これは、私の考えでは、「普遍性」を過度に追求するIDシステムが直面する最大のリスクです。市場シェアが100%に近づくと、世界はマルチIDシステムから「一人一ID」モデルへと移行し、この記事で述べたように、多くのデメリットを伴います。

現在の「一人一アイデンティティ」プロジェクトの理想的な成果は、ソーシャルグラフに基づくアイデンティティシステムとの統合だと私は考えています。ソーシャルグラフに基づくアイデンティティプロジェクトが直面する最大の問題は、大規模なユーザーへの拡張が難しいことです。「一人一アイデンティティ」システムは、ソーシャルグラフの初期サポートとして活用し、数百万人の「シードユーザー」を創出することで、その後、ユーザー数が十分に増加し、この基盤からグローバルな分散型ソーシャルグラフを安全に構築できるようになります。

ディスカッションに参加してくださった Balvi ボランティア、Silviculture メンバー、および World チームメンバーに特に感謝します。