Claimed or Attested? A Commit-Signature Dataset and Identity Trust Tiers across the World of Code
Dit artikel introduceert de eerste commit-signature dataset voor de World of Code, die onderscheid maakt tussen geclaimde en cryptografisch geattesteerde ontwikkelaarsidentiteiten om een precisieanker te vestigen voor identiteitsvertrouwensniveaus en alias-mappings te kalibreren over een corpus van meer dan 5,8 miljard commits.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je de hele geschiedenis van softwareontwikkeling voor als een enorme, wereldwijde bibliotheek van miljarden handgeschreven briefjes. Elke keer dat een programmeur een stukje code opslaat, laat hij een briefje achter met de tekst: "Ik heb dit geschreven." Maar hier is de crux: iedereen kan een pen oppakken en "Ik ben Steve Jobs" of "Ik ben de CEO" op een briefje schrijven, zelfs als dat niet waar is. In de wereld van code wordt dit een claim genoemd. Het is slechts een naam die in een vakje is getypt; er is geen bewijs dat het waar is.
Dit artikel introduceert een nieuwe manier om die wankele claims te veranderen in attestaties — bewijs dat zo solide is als een vingerafdruk.
Hier is de uitleg over hoe ze het deden en wat ze vonden, met behulp van eenvoudige analogieën:
1. Het Probleen: Het "Naambordje" versus de "Vingerafdruk"
In de bibliotheek van code (de "Wereld van Code") zijn de meeste briefjes slechts geclaimd. Als iemand "John Smith" schrijft, moeten we raden of dit die John Smith is of een andere, of misschien iemand die zich als hem voordoet. Het is als een feestje waar iedereen een naambordje draagt dat hij zelf heeft gemaakt. Bedriegers kunnen hetzelfde naambordje dragen als een beroemd persoon, en de bibliotheek heeft geen manier om het verschil te zien.
2. De Oplossing: Het "Digitale Zegel"
De auteurs vonden een manier om de vingerafdruk te vinden die verborgen zit in de bibliotheek.
- Het Geheim: Wanneer een programmeur voorzichtig is, schrijft hij niet alleen zijn naam; hij "zegelt" zijn briefje met een cryptografische handtekening (zoals een waszegel op een brief, maar dan digitaal). Dit zegel is gekoppeld aan een specifieke sleutel die hij bezit.
- De Ontdekking: De auteurs realiseerden zich dat de bibliotheek deze zegels al die tijd had opgeslagen, maar dat ze weggestopt zaten in het "bericht"-gedeelte van de briefjes, genegeerd en ongelezen. Het was alsoam het vinden van een schatkaart in een boek dat je al jaren leest, maar waarbij je nooit de achterkant hebt bekeken.
- De Extractie: Ze hoefden niet terug te gaan naar de originele bronbestanden (wat zou zijn als het opnieuw lezen van elk afzonderlijk boek in de bibliotheek). Ze scanden simpelweg de bestaande indexkaarten (de tabellen) om deze verborgen zegels eruit te halen.
3. Wat ze vonden: De "Vertrouwensniveaus"
Ze sorteerden de miljarden briefjes in vier vertrouwensniveaus, zoals een beveiligingsbadge:
- Niveau 0 (De Claim): Het briefje heeft geen zegel. Het is alleen een naam. "Ik ben Bob." (49% van de briefjes).
- Niveau 1 (Het Platformzegel): Het briefje is verzegeld door een enorme machine (zoals het automatische systeem van GitHub) omdat de gebruiker op een knop op een website heeft geklikt. Dit bewijst dat de gebruiker is wie hij zegt dat hij is tegenover de website, maar niet noodzakelijkerwijs tegenover de wereld. (50% van de briefjes).
- Niveau 2 (De Persoonlijke Sleutel): Het briefje is verzegeld door een persoonlijke sleutel die de ontwikkelaar rechtstreeks beheert. Dit is een sterke "vingerafdruk". Het bewijst: "Ik ben absoluut de persoon die deze sleutel bezit." (Minder dan 1% van de briefjes).
- Niveau 3 (De Cross-World Link): De persoonlijke sleutel is ook gekoppeld aan een real-world identiteit, zoals een gepubliceerde academische paper of een geverifieerd ID. Dit is de "Gouden Standaard."
4. De "Fan-Out" Poort: Het filteren van de ruis
De auteurs merkten iets interessants op: Sommige sleutels worden gedeeld door honderden mensen (zoals een "Team Key" voor een bedrijf of een robot). Als een sleutel door te veel verschillende mensen wordt gebruikt, is het geen goede vingerafdruk voor één enkel persoon.
- Het Filter: Ze bouwden een "fan-out poort". Als een sleutel door meer dan 50 verschillende mensen wordt gebruikt, behandelen ze het als een "Team Key" en negeren ze het voor identificatiedoeleinden. Als een sleutel door slechts een paar mensen wordt gebruikt, weten ze dat het toebehoort aan een specifiek individu.
- Het Resultaat: Dit hielp hen om de "echte mensen" te scheiden van de "robots en gedeelde accounts."
5. De bedriegers vangen
Omdat ze nu deze "vingerafdrukken" hebben, kunnen ze leugenaars betrappen.
- Het Vanity-probleem: Soms worden beroemde namen (zoals "Linus Torvalds") gebruikt door bedriegers.
- De Test: Als een naam door veel verschillende sleutels wordt ondertekend, is dat een rood vlaggetje. Het betekent dat te veel mensen beweren die ene persoon te zijn. De auteurs ontdekten dat namen die door 20+ verschillende sleutels worden ondertekend, bijna zeker bedriegers of "vanity" strings zijn. Ze kunnen deze nu automatisch markeren, waardoor oude lijsten van "slechte namen" worden vervangen door een wiskundig bewijs van fraude.
6. Waarom dit ertoe doet
De auteurs zijn duidelijk: Dit is geen toverstaf die elke naam in de bibliotheek oplost.
- Precisie, niet dekking: Slechts 17% van de briefjes heeft deze zegels. De meeste niet.
- Het Anker: Denk aan de bibliotheek als een wankelende boot. De ondertekende briefjes zijn de ankers. Ze houden niet de hele boot omhoog, maar ze houden hem wel stevig op de juiste plek.
- Het Voordeel: Voor onderzoekers die proberen software-auteurs te koppelen aan academische wetenschappers (bijv. "Heeft de persoon die deze code schreef ook dit artikel geschreven?"), biedt deze dataset een "Gouden Standaard" om hun werk te controleren. Het verandert een gok ("Deze twee namen lijken op elkaar") in een feit ("Deze twee mensen zijn definitief dezelfde persoon omdat ze een cryptografische sleutel delen").
Samenvatting
Het artikel is een hulpmiddel dat verborgen "digitale vingerafdrukken" opgraaft uit een enorme database van code. Het repareert niet de hele database, maar het creëert een kleine, uiterst betrouwbare laag van waarheid. Dit stelt onderzoekers in staat om te stoppen met gissen wie wat heeft geschreven en het zeker te weten, vooral wanneer ze proberen de wereld van code te verbinden met de wereld van de wetenschap.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.