💻 computer science

Compact and Selective Disclosure for Verifiable Credentials

本文提出了一种名为 CSD-JWT 的新型机制，利用加密累加器实现可验证凭证的紧凑选择性披露，显著降低了内存和网络开销，特别适用于资源受限设备。

原作者： Alessandro Buldini, Carlo Mazzocca, Rebecca Montanari, Selcuk Uluagac

发布于 2026-03-25

📖 1 分钟阅读☕ 轻松阅读

原作者： Alessandro Buldini, Carlo Mazzocca, Rebecca Montanari, Selcuk Uluagac

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文提出了一种名为 CSD-JWT 的新方法，旨在解决数字身份（比如电子身份证、驾照、健康证等）在保护隐私和节省空间之间的矛盾。

为了让你轻松理解，我们可以把这篇论文的核心思想想象成**“一个超级智能的魔法保险箱”**。

1. 背景：现在的数字身份有什么麻烦？

想象一下，你有一个**“数字钱包”（就像手机里的电子钱包），里面装着你的各种“数字证件”**（Verifiable Credentials, VCs）。

证件里有什么？ 比如你的姓名、生日、地址、身高、血型、驾照等级等，这些被称为“声明”（Claims）。
现在的痛点： 以前，如果你想证明“我满 18 岁了”（比如买酒），你不得不把整个证件（包含姓名、地址等所有隐私）都展示给对方。这就像为了买瓶水，不得不把整个钱包里的所有东西都倒出来给对方看，既不安全又麻烦。

为了解决这个问题，业界提出了一种叫 SD-JWT 的技术。它就像把证件里的每个信息都装进一个**“带锁的小盒子”**里。

SD-JWT 的做法： 如果你想证明“我满 18 岁”，你就把“年龄”那个小盒子的钥匙给对方，对方打开后看到"18 岁”，但看不到其他盒子。
SD-JWT 的问题：
1. 太占地方： 即使你只展示一个信息，证件里也必须列出所有“小盒子”的清单（哪怕有些盒子你不想打开）。如果证件里有 100 个信息，清单就很长，手机或智能手表（资源受限设备）存起来很吃力。
2. 泄露秘密： 对方虽然看不到你隐藏的信息，但能数出你藏了多少个盒子。比如，如果对方看到你藏了 20 个盒子，他可能会猜：“天哪，他藏了这么多健康数据，肯定生病了。”这就叫“推断攻击”。

2. 新方案：CSD-JWT（魔法保险箱）

这篇论文提出的 CSD-JWT，就像换了一个**“魔法保险箱”**。

核心比喻：魔法保险箱 vs. 清单

旧方法（SD-JWT）： 就像你拿着一张长长的清单，上面写着“盒子 A、盒子 B、盒子 C……"。你想给谁看哪个，就打开哪个。但不管你看几个，对方总能看见清单上总共有多少个盒子。
新方法（CSD-JWT）： 发行证件的机构（比如政府）把所有信息（姓名、年龄、地址等）扔进一个魔法保险箱里，然后把这个保险箱变成一个固定大小的“封印”（就像一枚硬币大小）。
- 这个“封印”里包含了所有信息，但你看不到里面具体有什么。
- 当你需要证明“我满 18 岁”时，你不需要把整个清单给对方。你只需要从保险箱里拿出一个**“通行证”**（Witness，见证者），这个通行证能证明“年龄”确实在这个保险箱里。

它的三大优势：

超级省空间（Compact）：
- 不管你的证件里有 1 个信息还是 100 个信息，那个“魔法封印”的大小永远是一样的（就像硬币大小不变）。
- 比喻： 以前存 100 个信息需要一个大箱子，现在只需要一个小小的贴纸。这对于智能手表、硬件钱包这种内存很小的设备来说，简直是救命稻草。论文数据显示，它能节省高达 46% 的存储空间。
超级隐私（Selective & Hidden）：
- 当你只展示“年龄”时，对方只能看到“年龄”和那个“通行证”。
- 关键点： 对方完全不知道你原本藏了多少个信息。他无法通过“通行证”的数量来猜测你隐藏了多少秘密。
- 比喻： 就像你从保险箱里拿出一张“年龄卡”，对方根本不知道保险箱里原本还藏着“地址”、“血型”等其他卡片。这防止了别人通过“你藏了多少东西”来猜你的隐私。
传输快（Network Efficient）：
- 当你把证件发给对方验证时，因为不需要传输长长的清单，数据量变得非常小。
- 数据： 如果你只想证明 1 个信息（比如年龄），而证件里有 100 个信息，新方法传输的数据量比旧方法少了 93%！这就像发一条短信就能代替发一本百科全书。

3. 它是如何工作的？（简单流程）

发证（Issuer）： 政府（发证机构）把你的所有信息（姓名、年龄等）打包，生成那个“魔法封印”（Accumulator），并给每个信息发一个对应的“通行证”（Witness）。
存证（Holder）： 你把“魔法封印”和所有“通行证”存在你的数字钱包里。因为封印很小，所以很省空间。
出示（Presentation）： 你想证明年龄。你只拿出“年龄”信息和对应的“通行证”，加上那个“魔法封印”，发给对方。
验证（Verifier）： 对方检查“通行证”是否真的属于那个“魔法封印”。如果是，他就相信你的年龄是真的，而且他完全不知道你还藏了什么。

4. 总结：为什么这很重要？

这篇论文就像是为未来的数字世界设计了一把**“更轻、更隐秘的钥匙”**。

对于普通人： 你的隐私更安全了，别人猜不到你藏了什么秘密。
对于设备： 你的智能手表、硬件钱包不再因为存不下证件而发愁，因为它们只需要存那个小小的“魔法封印”。
对于网络： 数据传输更快，流量消耗更少。

简单来说，CSD-JWT 让数字身份变得更“轻”（省空间）、更“聪明”（防推断），让每个人都能真正掌控自己的数据，只展示想展示的，隐藏该隐藏的。

这是一篇关于**紧凑且可选择性披露的可验证凭证（CSD-JWT）**的学术论文摘要，该论文已被 2025 年年度计算机安全应用会议（ACSAC）接收。以下是该论文的详细技术总结：

1. 研究背景与问题定义 (Problem)

背景：自我主权身份（SSI）模型正在全球范围内兴起（如欧盟的 EUDI 钱包和新加坡的 NDI），其核心在于让用户完全控制个人数据。可验证凭证（VCs）是实现这一目标的关键技术，其中**选择性披露（Selective Disclosure）**允许用户仅展示凭证中的特定属性（例如证明年龄而不暴露地址）。
现有方案局限：目前最广泛采用的选择性披露方案是 SD-JWT（Selective Disclosure for JWTs）。然而，SD-JWT 存在以下主要缺陷：
1. 存储与网络开销大：凭证大小随声明（Claims）数量线性增长。SD-JWT 需要为每个声明存储一个盐值（Salt）和一个哈希值，导致凭证体积庞大。
2. 隐私泄露风险：SD-JWT 会暴露凭证中包含的确切声明数量。攻击者可能利用声明数量推断出隐藏信息的性质（例如，通过声明数量推断用户是否有特定的健康记录），从而遭受推断攻击（Inference Attacks）。
3. 资源受限设备不友好：对于硬件钱包（通常仅有几 KB 到几 MB 存储）和物联网（IoT）设备，SD-JWT 的存储和传输开销过大，难以部署。

2. 方法论：CSD-JWT (Methodology)

论文提出了一种名为 CSD-JWT 的新机制，旨在解决上述问题。其核心思想是利用**密码学累加器（Cryptographic Accumulator）**来编码凭证中的声明。

核心机制：
- 固定长度累加值：CSD-JWT 不再为每个声明存储单独的哈希和盐值，而是使用基于陷门（Trapdoor-based）的密码学累加器，将所有声明聚合为一个固定长度的累加值（Accumulator Value）。
- 成员资格证明（Witness）：对于需要披露的每个声明，发行者提供一个见证（Witness），作为该声明包含在累加值中的数学证明。
- 工作流程：
  1. 发行阶段：发行者计算所有声明的累加值，并为每个声明生成对应的见证。凭证中只包含累加值，而见证和明文声明存储在持有者的“见证 - 值容器（WVC）”中。
  2. 展示阶段：持有者选择要披露的声明子集，将其对应的见证与累加值一起发送给验证者。
  3. 验证阶段：验证者使用发行者的公钥和累加值，验证每个披露声明的见证是否有效，从而确认该声明确实属于原始凭证，而无需知道未披露的声明。
隐私增强：由于累加值的大小是固定的，且见证仅针对披露的声明，CSD-JWT 隐藏了凭证中声明的总数，从而有效防止了基于声明数量的推断攻击。相比之下，SD-JWT 需要引入“诱饵哈希（Decoy Digests）”来掩盖数量，但这会进一步增加凭证体积。

3. 主要贡献 (Key Contributions)

提出 CSD-JWT 协议：一种基于密码学累加器的紧凑选择性披露机制，赋予持有者完全的数据控制权，同时最小化存储和共享数据量。
隐私保护增强：通过将声明映射为固定长度值，隐藏了凭证内的声明数量，显著提升了隐私水平，抵御推断攻击。
资源效率优化：大幅减少了需要维护和共享的信息量，降低了存储和网络开销，使其特别适用于硬件钱包和 IoT 等资源受限环境。
开源实现与评估：实现了 CSD-JWT 原型，并进行了广泛的性能评估，代码已开源供社区使用。

4. 实验结果 (Results)

研究团队在标准服务器和受限设备（Nordic nRF52840，RFC7228 Class-2 设备）上进行了实验，与 SD-JWT 进行了对比：

存储节省：
- CSD-JWT 实现了高达 46% 的凭证存储节省（针对单个凭证）。
- 随着声明数量的增加，节省效果更加显著。例如，对于包含 100 个声明的凭证，CSD-JWT 比 SD-JWT 节省了约 $(N-2) \times 256$ 位。
网络开销（凭证展示大小）：
- 高隐私场景（仅披露 1 个声明，共 100 个）：CSD-JWT 生成的可验证展示（VP）大小比 SD-JWT 小 93%。
- 无隐私场景（披露所有声明）：CSD-JWT 仍比 SD-JWT 小 27%。
计算性能：
- 发行端：CSD-JWT 的发行延迟略高于 SD-JWT（主要由于见证生成），但在毫秒级范围内，且发行者通常拥有强大算力，影响可忽略。
- 持有端：在受限设备上，生成 VP 的延迟与 SD-JWT 相当，因为主要操作仅为签名和选择声明。
- 验证端：验证时间受累加器影响，约为几毫秒，符合 Google RAIL 模型要求，且验证者通常拥有较强算力。

5. 意义与结论 (Significance)

资源受限环境的适用性：CSD-JWT 解决了 SD-JWT 在硬件钱包和 IoT 设备上存储和传输瓶颈的问题，使得在内存仅几 KB 的设备上管理大量凭证成为可能。
隐私与效率的平衡：该方案在不牺牲隐私（甚至增强了抗推断能力）的前提下，实现了显著的性能提升。
未来影响：随着欧盟 EUDI 法规在 2026 年实施，用户将持有多个凭证。CSD-JWT 的紧凑特性对于管理大规模凭证集、降低网络流量和提升系统整体可扩展性具有重要意义。

总结：CSD-JWT 通过引入密码学累加器，成功地将可验证凭证的大小从“随声明数量线性增长”转变为“固定长度 + 线性增长的见证”，在保持 SSI 核心隐私原则的同时，极大地优化了存储和网络效率，是下一代数字身份系统的重要技术突破。