數位部提出台版 DID：不發新證件！以卡片皮夾建構事實身分

#590

嗨，早！

從 2017 年區塊勢成立以來，我看過許多政治人物提出大大小小的區塊鏈戰略，目標無非是幫助台灣在 Web3 產業佔有一席之地。但若要從中挑出一項最有發展潛力且可行的提案，這週由數位發展部提出的數位皮夾（Taiwan Digital Identity Wallet）草案是我心目中的第一名！

DALL-E 不知道臺灣黑熊胸前要有 V，我幫忙補上了

近期區塊勢才剛討論過由中國政府推出的去中心化數位身分 RealDID¹。雖然中國聲稱 DID 是要幫助人們解決密碼洩漏問題，實際上卻是將它打造成為數位監控工具，進一步限縮人們的數位隱私。在討論台版 DID —— 數位皮夾 —— 和中國模式有何不同之前，人們更想問的是：「難道大家的數位身分還不夠多嗎？」

網路的缺陷

網路徹底改變了現代人的生活樣貌，但它的設計與發展並不完美，至少缺少了兩大元素 —— 支付、身分 —— 以至於我們現在要把漏洞補起來。已故的數位身分先驅 Kim Cameron 在著名書籍《身分法則》（Laws of Identity）中，一語道破網際網路的設計缺陷：

網路在建立之初就沒有設計身分識別層。在網路上我們無法知道你正在跟誰或跟什麼連結。這限縮了人們能在網路上做哪些事，也讓我們面臨巨大風險。如果不積極應對，很快就會面臨大規模的竊盜和詐欺。這將逐漸削弱大眾對網路的信任。

早在 2005 年，Kim Cameron 就深知網路身分的重要性，還精準預判了 20 年後的網路世界。只是如今大多數人可能都還沒意識到，網路駭客、詐騙事件的根本源頭，很有可能是當初網路沒有設計好。各國政府成天宣導不要誤入網路詐騙和虛假訊息的陷阱，但只有從網路身分下手，才能釜底抽薪。

打開瀏覽器輸入網址，網頁就會自動跳出來。網路將世界各地的電腦串在一起，但我們上網時卻不知道自己正在和誰對話。1993 年《紐約客》的著名漫畫〈在網路上沒人知道你是一隻狗〉，描述的就是網路缺乏身分識別機制的問題。不然誰會跟詐騙集團談戀愛呢？

舉凡買網拍、傳訊息，都要先有身分才行。網路先天沒有身分機制，因此網站會要求使用者註冊、登入才能使用。但這衍生出新問題，每個人在網路上平均有 191 組密碼，密碼洩漏、身分盜用接踵而至，連 Vitalik Buterin 社群帳號都曾被駭客攻破。

後來發展出了社交登入，但副作用是你我的網路身分集中到大企業手中。萬一帳號被封鎖，許多網路服務都會跟著認不得你²。

至於公部門的網路服務，登入的方法更是五花八門。有時候是輸入帳號密碼，有時候要拿出讀卡機搭配自然人憑證，有些只要手機授權就好。這也難怪人們看到政府要做另一個數位身分會有點反感。

但這週由數位部提出的台版 DID —— 數位皮夾 —— 主打不發行新身分，而是採用卡片和皮夾的方式，替人們建構數位世界的事實身分（de facto identity）。

建立事實身分

根據數位部的文章：

數位發展部在 2023 年 1 月，以機關名義加入了 W3C ... 數位部也開始在分散式身分上進行研究與初步驗證，並提出「數位皮夾」的概念。 ... 數位皮夾的目的，是打造一個符合現代數位人權精神，用於日常數位生活的分散式身分系統，核心的兩項功能為認證（Authentication, AuthN）與授權（Authorization, AuthZ）。這個計畫不發行集中式的數位國民身分，而是藉由各界（事業、機關、團體及自然人）所發行的各式證件，來建構國人日常的事實身分（de facto identity），完成所須的基本數位身分服務，達到「個人身分自主，資料授權自決」目的。

肉體就是我們在物理世界的事實身分。即便難民身上沒有任何證件，他仍然存在且享有基本人權，不能被任意剝奪。但在數位世界我們沒有肉體，必須仰賴不同企業給予身分，例如 Gmail 信箱、Apple ID 或是手機門號。如果一個人沒有這些東西，那就和不存在沒有兩樣。

大家對此習以為常，但套回物理世界就知道這有多不合理。企業有權選擇客戶。在物理世界，如果有企業不和你往來，那影響或許還不大。但如果是社群帳號被刪，這個人在數位世界存在的事實等於被否定，過往足跡也會一併消失。不做生意變成了殺人滅口，對誰都沒好處。

既然數位身分不該隸屬於企業，那隸屬於政府可以嗎？戰國時代的「編戶齊民」政策就是將人民視為國家的財產，近期中國政府提出的 RealDID 也依循這個邏輯。但身為台灣人，我們更能理解國家不一定能長治久安的道理。更好的做法應該是反過來，以個人為基礎，讓國籍、企業成為事實身分的一部分。無論國家、企業怎麼變化，都無法剝奪一個人存在的事實。

數位皮夾的目標就是要成為人們在數位世界的事實身分。以個人為主體，其它證件都是配角。這與當前的數位世界運作邏輯完全相反，更像是物理世界的做法：

如同現實生活，人們可以將自然人憑證、員工證、信用卡、集點卡放進皮夾，數位生活也需要一個皮夾，用於「證明你是誰」與「讓你授權他人」等目的。個人，或是各式公私部門等單位，都可以將自己的憑證放進皮夾，這些證件可以是自然人憑證、信箱帳號、學歷證書等公務用證件，也可以是會員卡、入場券等娛樂需求的兌換券。

數位部主打數位皮夾不發行集中式的數位國民身分。因為人們根本不缺另一張證件，缺的是一個「數位肉體」。肉體隸屬於大自然，數位皮夾則被定義為一種數位公共基礎建設。它不屬於任何組織，任何人都可以免費使用。

換言之，人人都可以透過「數位皮夾」建立數位世界的事實身分，不必另外創建新帳號，也不用經過任何人同意。這就像是以 MetaMask 創建錢包，每個人都可以產生好幾組數位皮夾。除此之外，任何人都可以是卡片的發行者，而且發行卡片無需費用。

但身分要有意義，取決於皮夾裡面裝了哪些卡片。未來區塊勢也可以發行卡片給會員當成數位憑證。假設 XREX 交易所希望禮遇區塊勢會員，就可以請用戶出示數位憑證。這還只是最單純的應用情境，數位卡片的好處是可程式化且讓個資揭露最小化。

數位部列舉了三種應用情境，其中讓人最有感的是「防止深偽與數位防詐」。社交平台上最棘手的問題，就是假帳號衍生出的詐騙、釣魚或是帶風向。乍看之下，要解決問題很簡單，要求所有平台落實實名認證就可以了。但這是一種數位監控。當企業和政府對每個人在網路上的一言一行都瞭如指掌，你還敢當鍵盤酸民嗎？