Nulvidensbeviser til KYC- og sanktionskontrol

To udbydere kan begge hævde at tilbyde nulvidens-KYC, selvom de giver kunderne vidt forskellige rettigheder. Den ene leverer måske dataminimering, en anden bevis for et prædikat og en tredje løbende overvågning. Grænsefladen kan se ens ud, selvom det økonomiske resultat ikke er det.

Et nulvidensbevis kan påvise, at en påstand er sand, uden at afsløre alle de underliggende data. I KYC- eller sanktionsprocesser kan en kunde bevise, at et betroet legitimationsbevis er gyldigt, at et krav til alder eller jurisdiktion er opfyldt, eller at et screeningsresultat overholder en politik, uden at sende hele identitetsoplysningerne til den part, der skal kontrollere dem.

Nulviden beskytter mod videregivelse, mens et bevis fremlægges; den garanterer ikke, at kildedataene er korrekte, aktuelle eller indhentet på ærlig vis. Systemet har stadig brug for betroede udstedere, tilknytning til en identitet, tilbagekaldelse, opdateringer af politikker, opdatering af sanktionslister, håndtering af undtagelser og lovlig adgang, hvor det kræves.

Hvis du vil sætte nulvidens-KYC ind i Securities.ios bredere dækning, kan du sammenligne OnchainID og digital identitet, KYC i bankvæsenet og kryptovaluta og genanvendelig investoridentitet. Tilsammen viser disse vejledninger, hvordan det samme spørgsmål om overholdelse af regler og identitet ændrer sig, når udstederen, aktivet, investorens rettigheder eller den operationelle infrastruktur ændres.

Etablér pålidelige oplysninger, og knyt dem til afgørelsen: KYC-kæden med nulvidensbeviser

I fasen Etablér pålidelige oplysninger sørger en autoriseret udsteder for at verificere identitets- eller screeningsoplysninger og oprette kryptografiske forpligtelser (commitments) eller legitimationsbeviser. Outputtet bliver derefter input til fasen Kod politikken, hvor den part, der skal verificere oplysningerne, fastlægger den præcise betingelse, der skal bevises, uden at unødvendige værdier afsløres. Dette skift er det første sted, hvor nulvidens-KYC skal afprøves: Modtageren skal kunne skelne en gennemført tilstandsændring fra en besked, et skøn eller en foreløbig registrering. Den samme test gælder ved hver efterfølgende pil, indtil fasen Knyt beviset til afgørelsen fører til et resultat, der kan afstemmes uafhængigt.

Læs diagrammet baglæns med udgangspunkt i fasen Knyt beviset til afgørelsen. Sluttilstanden bør føre tilbage til sikkerhed for udstederens troværdighed, specifikationen af kredsløbet, offentlige input, verificering af beviset, kontrol af aktualitet og tilbagekaldelse samt afgørelsesregistreringen. Derfra går kæden videre til den bemyndigelse, der benyttes i fasen Verificér påstanden, den eksponering, der opstår i fasen Generér beviset, og de input, der accepteres i fasen Etablér pålidelige oplysninger. Hvis kæden brydes, kan mangelfulde input ligne en afsluttet transaktion, selv når beviset er gyldigt for en falsk eller kun svagt verificeret kildepåstand. Denne baglæns gennemgang holder analysen fokuseret på den private identitetsoplysning, det præcise prædikat og den afgørelse, der træffes på grundlag af oplysningerne, frem for på en udbyders betegnelse eller status i grænsefladen.

Hvem kontrollerer de kritiske oplysninger i nulvidens-KYC?

Udstederen af identitets- eller screeningsoplysninger og bevisproducenten befinder sig på hver sin side af driftskæden. Udstederen af identitets- eller screeningsoplysninger attesterer private oplysninger efter almindelig due diligence, mens bevisproducenten genererer beviset ud fra hemmelige data eller legitimationsoplysninger. Deres registre – kildekontroller, legitimationsoplysninger, opdateringsplan og ansvar samt nøglekontrol, softwareintegritet, nonce og binding til den pågældende person – bør stemme overens om den samme hændelse uden at være kopier af én leverandørs database. Verifikatoren, det kryptografiske system og den complianceansvarlige instans træffer forskellige beslutninger eller tilvejebringer forskellig dokumentation; hvis disse funktioner behandles som indbyrdes udskiftelige, bliver det uklart, hvor skønnet, likviditeten eller det juridiske ansvar kommer ind i billedet.

Et driftsnedbrud i det kryptografiske system er en praktisk prøve på ansvarligheden i nulvidensbaseret KYC. Systemet implementerer kryptografiske forpligtelser (commitments), beviser og parametre. Spørgsmålet er, om udstederen af identitets- eller screeningsoplysninger og bevisproducenten stadig kan rekonstruere situationen ud fra en åben specifikation, revisioner, antagelser om opsætningen og versionsoplysninger. Kontrakter kan fordele opgaverne, men den part, der står inde for kundeløftet, aktivet eller forpligtelsen, kan ikke erstatte dokumentation med en klausul om outsourcing. Et robust design angiver, hvilken fallback-dokumentation der skal bruges, og hvem der har bemyndigelse til at løse en uoverensstemmelse.

Sådan ændrer nulvidensbaseret KYC tilstand i praksis

1. Fastslå betroede oplysninger: Definér udgangspunktet for nulvidensbaseret KYC

En autoriseret udsteder kontrollerer identitets- eller screeningsoplysninger og opretter kryptografiske forpligtelser (commitments) eller legitimationsoplysninger. I denne del af nulvidensbaseret KYC fastlægger trinnet de betingelser, som kodningen af politikken kan basere sig på. Udstederen af identitets- eller screeningsoplysninger er central, fordi den attesterer private oplysninger efter almindelig due diligence. Arbejdsdokumentationen bør indeholde kildekontroller, legitimationsoplysninger, opdateringsplan og ansvarsforhold.

Den fejl, der skal udfordres her, er dårlige input: Beviset er gyldigt, selv om påstanden fra kilden er falsk eller kun svagt verificeret. For at teste dette trin skal du registrere resultatet med samme tidspunkt, omfang og gældende vilkår og derefter ændre én antagelse, før politikken kodes. For nulvidensbaseret KYC angiver en forsvarlig overdragelse, hvem der godkendte den, hvilken registrering der blev ændret, hvad der stadig kan omgøres, og hvem der bærer tabet, hvis den næste deltager afviser dokumentationen.

2. Kod politikken: Identificér beslutningsreglen i nulvidensbaseret KYC

Verifikatoren definerer den præcise betingelse, der skal bevises, uden at afsløre unødvendige værdier. I denne del af nulvidensbaseret KYC gennemgår trinnet de betingelser, som genereringen af beviset kan basere sig på. Bevisproducenten er central, fordi den genererer beviset ud fra hemmelige data eller legitimationsoplysninger. Arbejdsdokumentationen bør indeholde nøglekontrol, softwareintegritet, nonce og binding til den pågældende person.

Den fejl, der skal udfordres her, er forældet sanktionsstatus: Et bevis på, at der ikke er et match, bygger på en forældet liste eller forældede legitimationsoplysninger. For at teste dette trin skal du genberegne resultatet med samme tidspunkt, omfang og gældende vilkår og derefter ændre én antagelse, før beviset genereres. For nulvidensbaseret KYC angiver en forsvarlig overdragelse, hvem der godkendte den, hvilken registrering der blev ændret, hvad der stadig kan omgøres, og hvem der bærer tabet, hvis den næste deltager afviser dokumentationen.

3. Generér beviset: Vurdér overførslen af risiko i nulvidensbaseret KYC

Indehaveren eller tjenesten beregner dokumentation ud fra private input og offentlige parametre. I denne del af nulvidensbaseret KYC omfordeler trinnet de betingelser, som verificeringen af udsagnet kan basere sig på. Verifikatoren er central, fordi den accepterer et snævert afgrænset udsagn som grundlag for en beslutning. Arbejdsdokumentationen bør indeholde kredsløbet eller politikken, offentlige input, en liste over betroede parter og en verifikationslog.

Den fejl, der skal udfordres her, er identitetsoverførsel: En anden end den verificerede person genbruger et gyldigt bevis. For at teste dette trin skal du stressteste resultatet med samme tidspunkt, omfang og gældende vilkår og derefter ændre én antagelse, før udsagnet verificeres. For nulvidensbaseret KYC angiver en forsvarlig overdragelse, hvem der godkendte den, hvilken registrering der blev ændret, hvad der stadig kan omgøres, og hvem der bærer tabet, hvis den næste deltager afviser dokumentationen.

4. Verificér udsagnet: Afstem den autoritative registrering for nulvidensbaseret KYC

Den part, der baserer sig på beviset, kontrollerer dets gyldighed, udstederens troværdighed, aktualitet og tilbagekaldelse. I denne del af nulvidensbaseret KYC afstemmer trinnet de betingelser, som bindingen af beslutningen kan basere sig på. Det kryptografiske system er centralt, fordi det implementerer kryptografiske forpligtelser (commitments), beviser og parametre. Arbejdsdokumentationen bør indeholde en åben specifikation, revisioner, antagelser om opsætningen og versionsoplysninger.

Den fejl, der skal udfordres her, er en fejl i kredsløbet: Den kodede politik udelader en betingelse eller implementerer den forkert. For at teste dette trin skal du sammenligne resultatet med samme tidspunkt, omfang og gældende vilkår og derefter ændre én antagelse, før beslutningen bindes. For nulvidensbaseret KYC angiver en forsvarlig overdragelse, hvem der godkendte den, hvilken registrering der blev ændret, hvad der stadig kan omgøres, og hvem der bærer tabet, hvis den næste deltager afviser dokumentationen.

5. Bind beslutningen: Afprøv det endelige resultat af nulvidensbaseret KYC

Resultatet knyttes til kontoen, transaktionen, tidspunktet og overvågningsforpligtelsen. I denne del af nulvidensbaseret KYC afslutter trinnet de betingelser, som det registrerede resultat kan basere sig på. Den complianceansvarlige instans er central, fordi den afgør, om dokumentationen opfylder juridiske krav og tilsynskrav. Arbejdsdokumentationen bør indeholde politiktilknytning, opbevaring, forklarlighed og adgangsprocedure.

Fejlen her er en undtagelse, der ikke kan efterprøves: Undersøgere kan ikke få tilstrækkelig lovlig kontekst til at afklare risikoen. For at teste dette trin skal resultatet bevises ud fra samme tidspunkt, omfang og gældende vilkår, hvorefter én antagelse ændres, før udfaldet registreres. Ved nulvidensbaseret KYC angiver en forsvarlig overdragelse, hvem der godkendte den, hvilken registrering der blev ændret, hvad der fortsat kan omgøres, og hvem der bærer tabet, hvis den næste deltager afviser bevismaterialet.

Tre tilstande, der ofte forveksles i nulvidensbaseret KYC

Dataminimering betyder, at man kun deler de oplysninger, der kræves for at træffe afgørelsen, frem for hele dokumenter eller alle attributter. Prædikatbevis betyder derimod, at man beviser en betingelse, f.eks. at alderen overstiger en grænse, eller at en værdi ikke indgår i en liste. Løbende overvågning tilføjer en tredje betingelse: Oplysninger om sanktioner, ejerskab og adfærd skal opdateres, efterhånden som de ændrer sig; et engangsbevis kan ikke dække fremtidige risici. Forskellene er vigtige, fordi to brugere kan se en lignende bekræftelse, selvom de har forskellige rettigheder, står over for forskellige tidsforløb eller er afhængige af forskellige institutioner. I forbindelse med nulvidensbaseret KYC bør sammenligningen angive den autoritative registrering og den, der bærer tabet, for hver tilstand.

Sammenlign dataminimering, prædikatbevis og løbende overvågning ud fra samme grundlag: beløb, tid, anvendt likviditet, mulighed for at omgøre, juridisk krav og resterende tab. Ved nulvidensbaseret KYC er en hurtigere betegnelse ikke automatisk ensbetydende med en mere endelig tilstand, og et mere jævnt rapporteret afkast indebærer ikke automatisk en lavere økonomisk risiko. Når man bruger samme måleramme, undgår man at forveksle forskelle i timing eller regnskabsføring med reelle forbedringer.

Omkostninger, incitamenter og balanceeffekter ved nulvidensbaseret KYC

Nulvidenssystemer kan mindske risikoen for databrud og omkostningerne ved gentagne kontroller, men generering af beviser, understøttelse af tegnebøger, styring af udstedere og håndtering af undtagelser er ikke gratis. Fordelene vokser, når mange kontrollanter accepterer de samme standarder for legitimationsoplysninger og prædikater.

Privatliv kan øge konverteringen ved at begrænse de oplysninger, der efterspørges, mens uigennemsigtige afgørelser kan øge omkostningerne til regulering og support. Systemet bør fremlægge tilstrækkelig begrundelse og lovligt bevismateriale til, at et afslag kan anfægtes eller undersøges, uden at uvedkommende attributter afsløres.

Beregningsomkostningerne falder, men institutionel tillid er stadig den knappe ressource. Et matematisk korrekt bevis baseret på en svag udsteder eller en forældet liste har ringe økonomisk værdi; udgifter til sikkerhed bør rettes mod hele beviskæden.

Hvor nulvidensbaseret KYC svigter – og hvad der først skal testes

• Forkerte data fra starten: Beviset er gyldigt, selvom kildeoplysningen er falsk eller kun svagt verificeret. Afbryd fastlæggelsen af betroede fakta, mens identitets- eller screeningsudstederen fortsat har sin sædvanlige forpligtelse, og kontrollér derefter, om dataminimering stadig har den betydning, der er beskrevet ovenfor.
• Forældet sanktionsstatus: Et bevis på, at der ikke er et match, bygger på en forældet liste eller legitimationsoplysning. Afbryd kodningen af politikken, mens bevisføreren fortsat har sin sædvanlige forpligtelse, og kontrollér derefter, om prædikatbevis stadig har den betydning, der er beskrevet ovenfor.
• Overførsel til en anden person: En anden end den verificerede person genbruger et gyldigt bevis. Afbryd genereringen af beviset, mens kontrollanten fortsat har sin sædvanlige forpligtelse, og kontrollér derefter, om løbende overvågning stadig har den betydning, der er beskrevet ovenfor.
• Fejl i kredsløbet: Den kodede politik udelader en betingelse eller implementerer den forkert. Afbryd verificeringen af udsagnet, mens det kryptografiske system fortsat har sin sædvanlige forpligtelse, og kontrollér derefter, om dataminimering stadig har den betydning, der er beskrevet ovenfor.
• Undtagelse, der ikke kan efterprøves: Undersøgere kan ikke få tilstrækkelig lovlig kontekst til at afklare risikoen. Afbryd bindingen af afgørelsen, mens den complianceansvarlige instans fortsat har sin sædvanlige forpligtelse, og kontrollér derefter, om prædikatbevis stadig har den betydning, der er beskrevet ovenfor.

En nyttig stresstest af Zero-Knowledge KYC kombinerer dårlige input med genbrug af et gyldigt bevis af en anden end den verificerede person i stedet for at teste de to forhold hver for sig. Frys eller forsink genereringen af beviset, gør det kryptografiske system utilgængeligt, og kræv, at compliancefunktionen afstemmer resultatet ud fra politiktilknytning, opbevaring, forklarlighed og adgangsprocedurer. Designet består kun, hvis beslutningsbindingen fører til én forklarlig tilstand, bevarer de rettigheder, der er knyttet til prædikatbeviset, og placerer ansvaret for eventuelle underskud efter regler, der var fastlagt før afbrydelsen.

Gennemarbejdet eksempel: Følg en Zero-Knowledge KYC-hændelse fra start til slut

En platform skal bekræfte, at en investor er over 18 år og ikke er bosiddende i en forbudt jurisdiktion. En betroet udsteder verificerer investorens identitet og udsteder en legitimationsoplysning til vedkommende. Investoren genererer et bevis for begge prædikater uden at afsløre fødselsdato eller fuld adresse. Platformen validerer beviset, udstederen, nonce-værdien og tilbagekaldelsesstatussen. Den indsamler stadig de oplysninger, der er nødvendige for at betjene kontoen, og overvåger efterfølgende transaktioner; beviset begrænser videregivelsen af oplysninger, men fjerner ikke complianceforpligtelserne.

Eksemplet kan falsificeres ved at ændre den antagelse, der styres, når politikken fastlægges, eller ved at fjerne det bevismateriale, som verifikatoren har fremlagt. Følg ændringen gennem genereringen af beviset, verificeringen af udsagnet og beslutningsbindingen; spring ikke direkte fra input til det overordnede resultat. Hvis det nye Zero-Knowledge KYC-resultat ikke kan genskabes ud fra sikkerhed for udstederens troværdighed, kredsløbsspecifikationen, de offentlige input, verificeringen af beviset, kontrol af aktualitet og tilbagekaldelsesstatus samt beslutningsregistreringen, afhænger processen af en udokumenteret vurdering eller registrering.

Hvorfor Zero-Knowledge KYC er vigtigt nu

Teknologier til beskyttelse af privatlivets fred bevæger sig fra forskning til regulerede pilotprojekter, efterhånden som dataminimering og genanvendelig identitet bliver prioriteter. Udbredelsen afhænger af standardiserede prædikater, løsninger, der kan revideres, tilbagekaldelse, som ikke afslører brugeradfærd, og tilsynsmyndighedernes accept. De mest overbevisende anvendelser beviser stabile egenskaber, mens hurtigt skiftende risikosignaler fortsat håndteres gennem løbende kontroller.

Den varige lære af Zero-Knowledge KYC er, at fastlæggelsen af betroede fakta og bindingen af beslutningen ikke er samme hændelse. De mellemliggende beslutninger fastlægger det private identitetsfaktum, det præcise prædikat og den beslutning, der træffes på grundlag af oplysningerne, mens identitets- eller screeningsudstederen og compliancefunktionen kan have adgang til forskellige dele af registreringen. Automatisering er værdifuld, når den gør disse beslutninger billigere at verificere; den er farlig, når den samler dem i én status, der skjuler undtagelser, som ikke kan efterprøves.

Dokumentationen bag Zero-Knowledge KYC

Det primære dokumentationsgrundlag for Zero-Knowledge KYC består af FATF’s vejledning om digital identitet, NIST’s kryptografi, der styrker beskyttelsen af privatlivets fred og W3C’s datamodel for verificerbare legitimationsoplysninger. Læs dem som komplementære lag: regler og definitioner, institutionelle forhold eller markedsstrukturer samt den driftsdokumentation, der er nødvendig for at afprøve en konkret påstand. Ingen af dem bør betragtes som en erstatning for produktdokumenter, konti eller transaktionsregistreringer som dem, der er beskrevet ovenfor.

Spørgsmål, du bør stille, før du baserer dig på Zero-Knowledge KYC

• Kan identitets- eller screeningsudstederen dokumentere kildekontroller, legitimationsoplysninger, opdateringsplan og ansvar, før politikken fastlægges?
• Hvilken registrering er afgørende, hvis bevisføreren og det kryptografiske system er uenige?
• Hvem finansierer eller bærer den eksponering, der opstår, når beviset genereres?
• Hvordan adskiller prædikatbevis sig fra dataminimering juridisk og økonomisk?
• Hvordan ville systemet opdage forældede sanktionsoplysninger, før beslutningen bindes?
• Hvad sker der, hvis verifikatoren ikke er tilgængelig, eller dens dokumentation er forældet?
• Kan en uafhængig kontrollant afstemme resultatet med sikkerhed for udstederens troværdighed, kredsløbsspecifikationen, de offentlige input, verificeringen af beviset, kontroller af aktualitet og tilbagekaldelsesstatus samt beslutningsregistreringen?

I forbindelse med Zero-Knowledge KYC bør formuleringer som »platformen tager sig af det« erstattes med navngivne konti, kontrakter, tidsstempler, godkendelsesregler og ansvarlige enheder. Et fyldestgørende svar bør gøre det muligt for en kontrollant at gå fra beslutningsbindingen tilbage til fastlæggelsen af betroede fakta, identificere ejeren af hver registrering og beregne, hvem der bærer tabet, før en undtagelse opstår.

Grundprincippet bag Zero-Knowledge KYC

Zero-Knowledge KYC er lettest at forstå, når analysen følger det private identitetsfaktum, det præcise prædikat og den beslutning, der træffes på grundlag af oplysningerne, gennem de fem driftsfaser og efterprøver resultatet ud fra sikkerhed for udstederens troværdighed, kredsløbsspecifikationen, de offentlige input, verificeringen af beviset, kontroller af aktualitet og tilbagekaldelsesstatus samt beslutningsregistreringen. Forløbet forklarer, hvad der ændrer sig; deltageroversigten viser, hvem der kan godkende ændringen; sammenligningen af de tre tilstande forhindrer, at forskellige påstande blandes sammen; og fejloversigten viser, hvor tilliden bør mindskes. Tilsammen skelner disse elementer en reel forbedring fra friktion eller risiko, der blot er flyttet til et mindre synligt lag.

Primære kilder til Zero-Knowledge KYC

• FATF’s vejledning om digital identitet
• NIST’s kryptografi, der styrker beskyttelsen af privatlivets fred
• W3C’s datamodel for verificerbare legitimationsoplysninger