Trong nhiều dịch vụ trực tuyến, người dùng thường phải cung cấp cùng một loại thông tin cho nhiều tổ chức khác nhau. Một nền tảng yêu cầu ảnh giấy tờ tùy thân, nơi khác cần địa chỉ cư trú, còn một dịch vụ khác muốn xác nhận độ tuổi hoặc trình độ chuyên môn. Mỗi lần đăng ký là một lần dữ liệu cá nhân được sao chép, lưu trữ và có thể trở thành mục tiêu của sự cố bảo mật. Mô hình danh tính số phi tập trung, thường được nhắc đến cùng blockchain, tìm cách thay đổi cách thức đó bằng việc trao cho người dùng quyền quản lý thông tin xác thực của chính mình.
Ý tưởng này không có nghĩa mọi dữ liệu cá nhân sẽ được đưa công khai lên blockchain. Trái lại, một thiết kế hợp lý phải hạn chế dữ liệu nhạy cảm xuất hiện trên sổ cái công khai. Blockchain có thể đóng vai trò là lớp kiểm chứng, giúp các bên xác nhận rằng một thông tin đã được cấp bởi đúng tổ chức và chưa bị thay đổi. Phần dữ liệu chi tiết có thể được giữ trong ví danh tính hoặc hệ thống lưu trữ phù hợp, dưới sự kiểm soát của người dùng và tuân thủ các yêu cầu pháp lý liên quan.
Danh tính số phi tập trung là gì?
Danh tính số phi tập trung là cách tiếp cận trong đó một cá nhân, tổ chức hoặc thiết bị có thể sở hữu và sử dụng thông tin định danh mà không phải phụ thuộc hoàn toàn vào một tài khoản trung tâm duy nhất. Người dùng thường tương tác với một ví danh tính để lưu giữ các thông tin xác thực, thay vì tạo tài khoản riêng biệt và nộp lại hồ sơ cho từng dịch vụ.
Trong mô hình này, có thể phân biệt ba vai trò chính. Chủ thể là người hoặc tổ chức sở hữu danh tính. Bên cấp là cơ quan, doanh nghiệp, trường học hoặc tổ chức có thẩm quyền phát hành một thông tin xác thực. Bên kiểm tra là dịch vụ cần xác nhận thông tin trước khi cấp quyền truy cập. Chẳng hạn, một trường học có thể cấp chứng nhận tốt nghiệp dưới dạng số; người dùng lưu chứng nhận đó trong ví; một nhà tuyển dụng kiểm tra tính hợp lệ mà không nhất thiết phải liên hệ lại với trường trong từng lần xác minh.
Khái niệm này thường đi cùng định danh phi tập trung và thông tin xác thực có thể kiểm chứng. Định danh phi tập trung là một mã nhận diện do chủ thể kiểm soát, còn thông tin xác thực có thể kiểm chứng là một tuyên bố được bên cấp ký bằng phương thức mật mã. Người kiểm tra có thể xác nhận nguồn phát hành, tính toàn vẹn và phạm vi sử dụng của thông tin mà không cần xem toàn bộ dữ liệu không liên quan.
Blockchain đóng vai trò nào trong hệ thống?
Blockchain không nhất thiết là nơi lưu trữ hồ sơ cá nhân đầy đủ. Vai trò phù hợp hơn của nó là cung cấp một lớp tham chiếu khó bị sửa đổi tùy tiện. Mạng lưới có thể ghi nhận khóa công khai của bên cấp, thông tin về trạng thái của một chứng nhận, hoặc dấu vết mật mã đại diện cho một tài liệu. Khi cần kiểm tra, ứng dụng có thể đối chiếu chữ ký và dữ liệu tham chiếu để phát hiện việc giả mạo.
Ví dụ, một chứng nhận nghề nghiệp có thể được tổ chức đào tạo ký số. Người dùng nhận chứng nhận vào ví danh tính của mình và xuất trình khi ứng tuyển. Nhà tuyển dụng kiểm tra chữ ký của tổ chức cấp, thời hạn hiệu lực và trạng thái thu hồi. Nếu hệ thống chỉ cần biết ứng viên có chứng nhận hợp lệ hay không, người dùng có thể chia sẻ một bằng chứng tối thiểu thay vì gửi toàn bộ hồ sơ học tập.
Việc đưa dữ liệu trực tiếp lên blockchain thường tạo ra những rủi ro đáng cân nhắc. Dữ liệu trên nhiều blockchain được thiết kế để tồn tại lâu dài, trong khi thông tin cá nhân có thể cần được sửa, xóa hoặc hạn chế truy cập. Một khi dữ liệu nhạy cảm đã bị công khai, việc loại bỏ hoàn toàn khỏi mọi bản sao là rất khó. Vì vậy, thiết kế an toàn thường ưu tiên lưu trữ ngoài chuỗi, mã hóa dữ liệu và chỉ ghi lên blockchain những thông tin cần thiết cho việc xác minh.
Người dùng có thể kiểm soát dữ liệu tốt hơn ra sao?
Lợi ích đáng chú ý nhất của mô hình này là khả năng giảm việc chia sẻ quá mức. Trong nhiều tình huống, dịch vụ chỉ cần biết một thuộc tính cụ thể chứ không cần toàn bộ danh tính. Một nền tảng có thể cần xác nhận người dùng đủ tuổi, nhưng không nhất thiết phải biết ngày sinh chính xác. Một đơn vị giao hàng có thể cần địa chỉ nhận hàng trong một thời điểm, nhưng không nên mặc nhiên có quyền truy cập vào lịch sử định danh của khách hàng.
Các kỹ thuật chứng minh tối thiểu hoặc chứng minh không tiết lộ quá nhiều thông tin có thể hỗ trợ mục tiêu đó. Về nguyên tắc, người dùng chứng minh một mệnh đề là đúng mà không phải công khai tất cả dữ liệu nền. Chẳng hạn, một bằng chứng có thể cho thấy một tài khoản đáp ứng điều kiện độ tuổi mà không hiển thị ngày, tháng và năm sinh. Việc áp dụng thực tế vẫn phụ thuộc vào thiết kế giao thức, khả năng tích hợp của dịch vụ và yêu cầu kiểm tra trong từng lĩnh vực.
Quyền kiểm soát cũng thể hiện ở việc người dùng có thể lựa chọn thời điểm và phạm vi chia sẻ. Một ví danh tính tốt không chỉ là nơi chứa thông tin, mà còn phải cho người dùng biết ứng dụng nào đang yêu cầu dữ liệu, dữ liệu đó được dùng vào mục đích gì và quyền truy cập kéo dài bao lâu. Nếu giao diện quá phức tạp, người dùng vẫn có thể bấm chấp thuận theo thói quen, khiến mục tiêu bảo vệ quyền riêng tư không đạt được.
Những giới hạn không thể giải quyết chỉ bằng blockchain
Blockchain không tự động biến dữ liệu sai thành dữ liệu đúng. Nếu một tổ chức cấp thông tin không chính xác, chữ ký trên blockchain chỉ chứng minh rằng thông tin đó đến từ tổ chức tương ứng, chứ không bảo đảm nội dung ban đầu là đúng trong mọi hoàn cảnh. Chất lượng của danh tính số vì thế vẫn phụ thuộc vào quy trình thẩm định, trách nhiệm của bên cấp và cơ chế xử lý khi có tranh chấp.
Vấn đề khôi phục cũng đặc biệt quan trọng. Trong hệ thống tài khoản truyền thống, người dùng có thể yêu cầu đặt lại mật khẩu. Với ví danh tính được kiểm soát bằng khóa riêng, việc mất khóa có thể khiến người dùng không truy cập được dữ liệu hoặc quyền xác thực. Một hệ thống thực tế cần tính đến các phương án khôi phục xã hội, người giám hộ, thiết bị dự phòng hoặc cơ chế thay đổi khóa. Mỗi phương án đều có đánh đổi giữa sự tiện lợi, quyền riêng tư và nguy cơ bị lạm dụng.
Khả năng tương thích là một thách thức khác. Nếu mỗi ứng dụng dùng một định dạng chứng nhận, tiêu chuẩn kết nối và cách xác minh riêng, người dùng sẽ phải duy trì nhiều ví hoặc chuyển đổi dữ liệu thủ công. Một hệ sinh thái danh tính chỉ có ý nghĩa khi các bên có thể hiểu và kiểm tra thông tin theo những quy tắc tương thích, đồng thời vẫn bảo vệ được quyền riêng tư của chủ thể.
Ngoài ra, danh tính số liên quan trực tiếp đến pháp luật. Quyền được biết dữ liệu đang được xử lý, nghĩa vụ lưu trữ hồ sơ, yêu cầu xác minh khách hàng và trách nhiệm khi xảy ra sai sót có thể khác nhau giữa các ngành và khu vực. Một giải pháp kỹ thuật không thể tự thay thế quy định của cơ quan quản lý hoặc nghĩa vụ bảo vệ dữ liệu của doanh nghiệp. Việc triển khai cần xác định rõ ai là bên chịu trách nhiệm, người dùng có thể khiếu nại ở đâu và dữ liệu được xử lý trong những giới hạn nào.
Ứng dụng tiềm năng trong đời sống
Danh tính số phi tập trung có thể được thử nghiệm trong các tình huống cần xác minh lặp lại nhưng không muốn thu thập quá nhiều dữ liệu. Giáo dục là một ví dụ, khi chứng chỉ, bảng điểm hoặc xác nhận hoàn thành khóa học có thể được cấp dưới dạng số và kiểm tra khi người học chuyển tiếp sang đơn vị khác. Trong tuyển dụng, ứng viên có thể chủ động chia sẻ thông tin nghề nghiệp đã được xác thực thay vì gửi nhiều bản scan giấy tờ.
Trong tài chính và thương mại điện tử, người dùng có thể sử dụng các thông tin xác thực phù hợp với quy trình nhận diện khách hàng, nhưng chỉ chia sẻ dữ liệu cần thiết cho từng dịch vụ. Trong lĩnh vực y tế, cách tiếp cận này có thể hỗ trợ việc chia sẻ quyền truy cập vào hồ sơ giữa bệnh nhân và cơ sở khám chữa bệnh. Tuy nhiên, dữ liệu sức khỏe có mức độ nhạy cảm cao, nên mọi thiết kế phải đặt quyền riêng tư, sự đồng ý và khả năng thu hồi quyền truy cập lên hàng đầu.
Đối với thiết bị và phần mềm, danh tính số còn có thể giúp xác nhận nguồn gốc của thiết bị, quyền cập nhật hoặc tư cách của một dịch vụ tự động. Đây là hướng ứng dụng khác với việc xác minh con người, nhưng cùng dựa trên nguyên tắc kiểm tra khóa, chữ ký và quyền hạn. Trong mọi trường hợp, blockchain chỉ là một thành phần trong tổng thể gồm ví, giao diện, máy chủ, cơ chế mã hóa và quy trình quản trị.
Điều kiện để công nghệ có thể được chấp nhận
Muốn danh tính số phi tập trung trở nên hữu ích, trải nghiệm sử dụng phải gần với các dịch vụ quen thuộc hơn là yêu cầu người dùng hiểu sâu về khóa mật mã. Việc nhận, chia sẻ và thu hồi thông tin cần rõ ràng. Người dùng phải biết mình đang cấp quyền gì, cho ai và trong bao lâu. Các cảnh báo bảo mật cũng cần được viết bằng ngôn ngữ dễ hiểu thay vì chỉ hiển thị chuỗi ký tự kỹ thuật.
Doanh nghiệp và cơ quan cung cấp dịch vụ cần tránh biến ví danh tính thành một điểm theo dõi mới. Nếu mọi hoạt động xác minh đều để lại dấu vết có thể liên kết với nhau, quyền riêng tư vẫn bị suy giảm dù dữ liệu gốc không được công khai. Thiết kế tốt cần hạn chế khả năng liên kết không cần thiết, tách các mục đích sử dụng và cho phép kiểm toán cách dữ liệu được xử lý.
Cuối cùng, cần đánh giá công nghệ bằng kết quả thực tế thay vì chỉ dựa vào việc có sử dụng blockchain hay không. Một giải pháp đáng tin cậy phải chứng minh được rằng nó giảm chi phí xác minh, hạn chế chia sẻ dữ liệu dư thừa, hỗ trợ người dùng khôi phục quyền truy cập và có cơ chế xử lý sai sót. Nếu blockchain làm hệ thống phức tạp hơn mà không đem lại lợi ích tương xứng, việc dùng nó có thể không phải lựa chọn phù hợp.
Danh tính số phi tập trung mở ra một cách nhìn khác về quyền sở hữu và sử dụng thông tin cá nhân. Thay vì để mỗi dịch vụ tự xây dựng một hồ sơ riêng, người dùng có thể mang theo các thông tin xác thực và chia sẻ chúng theo từng nhu cầu. Blockchain có thể hỗ trợ việc kiểm tra nguồn gốc và tính toàn vẹn của những thông tin đó, nhưng không phải lời giải duy nhất cho quyền riêng tư, trách nhiệm pháp lý hay sự thuận tiện. Tương lai của mô hình này sẽ phụ thuộc vào cách các tổ chức kết hợp tiêu chuẩn kỹ thuật, thiết kế lấy người dùng làm trung tâm và cơ chế bảo vệ dữ liệu trong thực tế.
