因應數位皮夾政策討論，這是我們在翻譯 Epicenter.works 的文章之後，選出的第二篇文章。以下文章來自Electronic Frontier Foundation（電子前線基金會），根據原作團體CC4.0授權公開，由志工梁理旋翻譯。原始文章請見連結：Zero Knowledge Proofs Alone Are Not a Digital ID Solution to Protecting User Privacy。
近年來，世界各國政府紛紛推出數位身分識別方案，並推動線上企業依此進行身分與年齡驗證。本篇文章為系列的第一篇，將介紹什麼是數位身分（digital ID），以及它在年齡驗證上的應用。後續文章將探討在現有數位身分架構下，能採取哪些保護措施，並進一步分析如何透過更完善的隱私保障與自主權，讓人們在網路世界中更安全。
目前，年齡驗證措施備受關注。美國及多個國家的政策制定者正透過立法，要求線上服務與企業在提供適齡內容前，先驗證使用者的身分。然而，對大多數人而言，是否擁有駕照、護照或其他政府核發的實體證件，並不是單純的「有」或「沒有」問題。實體身分系統的準確性與有效性，受到數百種因素影響。日常生活中，身分屬性可能變動，證件也可能失效、不準確，或必須重發，例如地址變更、駕照過期或吊銷後恢復，或在取得正式證件前發放的臨時證件。
目前推行的數位身分識別系統，雖有望解決部分企業與政府服務中的身分詐欺等問題，卻也讓持證人更容易受到蒐集此類資訊的企業影響。州與聯邦政府推動數位身分識別的理由，通常是加快存取速度、防止詐欺並提升便利性。然而，一旦數位身分識別被用作網路驗證手段，它也可能阻礙人們申請公共補助與其他服務，而非促進取得。因此，法律保障的重要性與數位身分識別本身同等重要。
此外，在缺乏全面性資料隱私法規的地區，對驗證方能向持證人索取哪些資訊的限制並不多。雖然已有部分隱私保護機制被提出，但只有少數成為強制措施。例如，「零知識證明」（Zero Knowledge Proofs，ZKPs）就被視為能有效解決共享身分屬性時的隱私問題。
零知識證明：好消息
現代數位身分識別系統最吸引人的特色之一，特別是在大規模年齡驗證方面，就是能整合並運用「零知識證明」（ZKP）技術，讓網站或行動 App 驗證身分資訊時，無需直接查看身分證或上面的明確資訊。ZKP 提供一種加密方式，讓使用者不必透露具體資料（例如出生日期），而只需給驗證方一個「是或否」的判斷值（例如是否已滿 18 歲）。
更具體地說，ZKP 有兩大核心特性：「可信性」（soundness）與「零知識性」（zero knowledge）。可信性能讓持證人難以提供偽造資訊，因此驗證方與政府都十分看重；零知識性則保障持證人無需透露如出生日期等明確資訊，只需提供加密證明，證明該資訊存在且有效。近期，包括 Google 在內的多家大型科技公司，已宣布計畫將 ZKP 技術應用於年齡驗證，以及「在其他合適的 Google 產品中」使用。
零知識證明：壞消息
然而，ZKP 無法防止驗證方濫用權限，例如索取過多不必要的資訊，或在短時間內反覆要求你驗證年齡。它也無法阻止網站或應用程式在互動過程中收集其他可識別的個人資訊，例如 IP 位址或裝置資訊。
ZKP 確實是長期或一次性交易中，減少個資分享的好工具，但對解決資料掮客產業幫助不大，因為該產業早已擁有龐大的個資庫。雖然 ZKP 的設計本意並非解決這個問題，但必須指出：在強制年齡驗證的情況下，使用此技術反而可能擴大已經高度滲透且容易串聯的個資生態系在網路上流通。原本每週只需出示實體身分證兩三次，未來可能變成每天都要在多個網站與 App 上證明年齡，讓「上網」本身成為一種負擔，甚至對沒有身分證的人形成全面性的阻礙。
保護未來的方向
強制年齡驗證，可能將行動身分識別與 ZKP 的潛在隱私優勢，扭曲成限制言論自由的工具。在尚未解決驗證方濫用權力的風險，以及防止身分資訊回傳（phoning home）給發證機構的機制之前，這些系統不應在缺乏充分保護的情況下推行。更隱私、以持證人為中心的身分識別系統，不能只靠 ZKP 當成萬能解方。線上安全問題從來不是光靠技術就能解決，它需要多方持續對話與討論。
沒錯，這聽起來比讓所有人直接進行線上年齡驗證要困難得多。也許正因如此，才有人急著推動後者。然而，我們呼籲政策制定者與立法者，應該關注「什麼才是最好的」，而非「什麼是最容易的」。
