Nullkunnskapsbevis for KYC og sanksjonskontroller

To leverandører kan begge hevde at de tilbyr KYC med nullkunnskapsbevis, samtidig som kundene får svært ulike rettigheter. Én kan tilby dataminimering, en annen bevis for at et vilkår er oppfylt, og en tredje løpende overvåking. Grensesnittet kan se likt ut selv om det økonomiske resultatet ikke er det.

Et nullkunnskapsbevis kan vise at en påstand er sann uten å røpe alle underliggende data. I KYC- eller sanksjonskontroller kan en kunde bevise at en betrodd legitimasjon er gyldig, at et alders- eller jurisdiksjonsvilkår er oppfylt, eller at et resultat fra en kontroll tilfredsstiller en policy, uten å sende verifikatoren hele identitetsopplysningene.

Nullkunnskap beskytter opplysninger mot innsyn mens et bevis fremlegges; det garanterer ikke at kildedataene er riktige, oppdaterte eller innhentet på en redelig måte. Systemet trenger fortsatt betrodde utstedere, kobling til identiteten, tilbakekall, policyoppdateringer, oppdatering av sanksjonskontroller, håndtering av unntak og lovlig tilgang der dette er påkrevd.

For å sette KYC med nullkunnskapsbevis inn i Securities.io sin bredere dekning kan du sammenligne OnchainID og digital identitet, KYC i bank- og kryptovalutasektoren og gjenbrukbar investoridentitet. Samlet viser disse veiledningene hvordan det samme spørsmålet om etterlevelse og identitet endrer seg når utstederen, eiendelen, investorens rettighet eller driftsinfrastrukturen er forskjellig.

Etabler betrodde fakta, og knytt dem til beslutningen: KYC-kjeden med nullkunnskapsbevis

I trinnet «Etabler betrodde fakta» verifiserer en autorisert utsteder identitets- eller kontrollopplysninger og oppretter kryptografiske forpliktelser (commitments) eller legitimasjoner. Resultatet blir deretter inndata til trinnet «Kod policyen», der verifikatoren fastsetter det nøyaktige vilkåret som skal bevises, uten å røpe unødvendige verdier. Denne overleveringen er det første stedet å teste KYC med nullkunnskapsbevis: Mottakeren må kunne skille en fullført tilstandsendring fra en melding, et anslag eller en foreløpig registrering. Den samme testen gjelder ved hver senere pil, helt til trinnet «Knytt beviset til beslutningen» gir et resultat som kan avstemmes uavhengig.

Les diagrammet baklengs, fra trinnet «Knytt beviset til beslutningen». Sluttilstanden bør lede tilbake til dokumentasjon på utstederens pålitelighet, kretsdefinisjon, offentlige inndata, verifisering av beviset, kontroller av aktualitet og tilbakekall samt beslutningsregistrering. Derfra går sporet videre til autoriteten som brukes ved verifisering av påstanden, eksponeringen som oppstår når beviset genereres, og opplysningene som godtas når betrodde fakta etableres. Hvis denne kjeden brytes, kan dårlige inndata se ut som en fullført transaksjon, selv når beviset er gyldig for en falsk eller svakt verifisert kildepåstand. Denne omvendte gjennomgangen holder analysen rettet mot den private identitetsopplysningen, det nøyaktige vilkåret og beslutningen som baserer seg på beviset, snarere enn en leverandørbetegnelse eller status i grensesnittet.

Hvem kontrollerer de kritiske opplysningene i KYC med nullkunnskapsbevis?

Utstederen for identitetskontroll eller screening og bevisgeneratoren befinner seg på hver sin side av driftskjeden. Utstederen for identitetskontroll eller screening bekrefter fortrolige opplysninger etter ordinær aktsomhetskontroll, mens bevisgeneratoren lager beviset fra hemmelige data eller legitimasjon. Dokumentasjonen deres – kildekontroller, legitimasjon, oppdateringsplan og ansvarsforhold på den ene siden, og nøkkelkontroll, programvareintegritet, nonce og kobling til personen på den andre – bør stemme overens om den samme hendelsen, uten å være kopier av én leverandørs database. Verifikatoren, det kryptografiske systemet og complianceansvarlig bidrar med ulike beslutninger eller bevis. Hvis disse funksjonene behandles som om de var ombyttelige, blir det uklart hvor skjønnsutøvelse, likviditet eller juridisk ansvar kommer inn.

Et driftsavbrudd i det kryptografiske systemet er en praktisk prøve på ansvarliggjøring for KYC med nullkunnskapsbevis. Systemet håndterer kryptografiske forpliktelser (commitments), bevis og parametere. Spørsmålet er om utstederen for identitetskontroll eller screening og bevisgeneratoren fortsatt kan gjenskape situasjonsbildet ut fra en åpen spesifikasjon, revisjoner, forutsetninger for oppsettet og versjonen. Avtaler kan fordele oppgaver, men parten som står ansvarlig for kundeløftet, eiendelen eller forpliktelsen, kan ikke erstatte dokumentasjon med en klausul om utkontraktering. En robust utforming angir hvilken dokumentasjon som skal brukes som reserve, og hvem som har fullmakt til å løse avvik.

Hvordan KYC med nullkunnskapsbevis endrer tilstand i praksis

1. Etabler pålitelige opplysninger: Definer utgangspunktet for KYC med nullkunnskapsbevis

En autorisert utsteder verifiserer identitetsopplysninger eller screeningdata og oppretter kryptografiske forpliktelser (commitments) eller legitimasjon. I denne delen av KYC med nullkunnskapsbevis fastsetter trinnet vilkårene som kodingen av policyen kan bygge på. Utstederen for identitetskontroll eller screening er sentral fordi den bekrefter fortrolige opplysninger etter ordinær aktsomhetskontroll. Dokumentasjonen som brukes, bør omfatte kildekontroller, legitimasjon, oppdateringsplan og ansvarsforhold.

Feilen som skal utfordres her, er «søppel inn»: Beviset er gyldig selv om kildepåstanden er falsk eller bare svakt verifisert. For å teste dette trinnet må du registrere resultatet med samme tidspunkt, omfang og gjeldende vilkår, og deretter endre én forutsetning før policyen kodes. For KYC med nullkunnskapsbevis angir en forsvarlig overlevering hvem som godkjente resultatet, hvilken oppføring som ble endret, hva som fortsatt kan reverseres, og hvem som bærer tapet hvis neste deltaker avviser dokumentasjonen.

2. Kod policyen: Finn beslutningsregelen for KYC med nullkunnskapsbevis

Verifikatoren fastsetter den nøyaktige betingelsen som skal bevises, uten å røpe unødvendige verdier. I denne delen av KYC med nullkunnskapsbevis kontrollerer trinnet vilkårene som bevisgenereringen kan bygge på. Bevisgeneratoren er sentral fordi den lager beviset fra hemmelige data eller legitimasjon. Dokumentasjonen som brukes, bør omfatte nøkkelkontroll, programvareintegritet, nonce og kobling til personen.

Feilen som skal utfordres her, er «foreldet sanksjonsstatus»: Et bevis på at det ikke foreligger et treff, bygger på en utdatert liste eller legitimasjon. For å teste dette trinnet må du beregne resultatet på nytt med samme tidspunkt, omfang og gjeldende vilkår, og deretter endre én forutsetning før beviset genereres. For KYC med nullkunnskapsbevis angir en forsvarlig overlevering hvem som godkjente resultatet, hvilken oppføring som ble endret, hva som fortsatt kan reverseres, og hvem som bærer tapet hvis neste deltaker avviser dokumentasjonen.

3. Generer beviset: Vurder risikooverføringen ved KYC med nullkunnskapsbevis

Innehaveren eller tjenesten beregner dokumentasjon fra private inndata og offentlige parametere. I denne delen av KYC med nullkunnskapsbevis omfordeler trinnet vilkårene som verifikasjonen av påstanden kan bygge på. Verifikatoren er sentral fordi den godtar en snevert definert påstand som grunnlag for en beslutning. Dokumentasjonen som brukes, bør omfatte kretsen eller policyen, offentlige inndata, tillitsliste og verifikasjonslogg.

Feilen som skal utfordres her, er «overføring av subjekt»: En gyldig bevisføring brukes på nytt av en annen enn den verifiserte personen. For å teste dette trinnet må du stressteste resultatet med samme tidspunkt, omfang og gjeldende vilkår, og deretter endre én forutsetning før påstanden verifiseres. For KYC med nullkunnskapsbevis angir en forsvarlig overlevering hvem som godkjente resultatet, hvilken oppføring som ble endret, hva som fortsatt kan reverseres, og hvem som bærer tapet hvis neste deltaker avviser dokumentasjonen.

4. Verifiser påstanden: Avstem mot det autoritative registeret for KYC med nullkunnskapsbevis

Den som baserer seg på beviset, kontrollerer at det er gyldig, at utstederen er betrodd, at det er oppdatert, og at det ikke er tilbakekalt. I denne delen av KYC med nullkunnskapsbevis avstemmer trinnet vilkårene som forankringen av beslutningen kan bygge på. Det kryptografiske systemet er sentralt fordi det håndterer kryptografiske forpliktelser (commitments), bevis og parametere. Dokumentasjonen som brukes, bør omfatte åpen spesifikasjon, revisjoner, forutsetninger for oppsettet og versjonen.

Feilen som skal utfordres her, er «kretsfeil»: Den kodede policyen utelater en betingelse eller implementerer den feil. For å teste dette trinnet må du sammenligne resultatet med samme tidspunkt, omfang og gjeldende vilkår, og deretter endre én forutsetning før beslutningen bindes. For KYC med nullkunnskapsbevis angir en forsvarlig overlevering hvem som godkjente resultatet, hvilken oppføring som ble endret, hva som fortsatt kan reverseres, og hvem som bærer tapet hvis neste deltaker avviser dokumentasjonen.

5. Bind beslutningen: Test det endelige utfallet av KYC med nullkunnskapsbevis

Resultatet knyttes til kontoen, transaksjonen, tidspunktet og overvåkingsforpliktelsen. I denne delen av KYC med nullkunnskapsbevis avslutter trinnet vilkårene som det registrerte utfallet kan bygge på. Complianceansvarlig er sentral fordi vedkommende avgjør om dokumentasjonen oppfyller juridiske krav og tilsynskrav. Dokumentasjonen som brukes, bør omfatte koblingen til policyen, oppbevaring, forklarbarhet og tilgangsprosedyrer.

Feilen som må unngås her, er et unntak som ikke kan etterprøves: Etterforskerne får ikke tilgang til tilstrekkelig lovlig kontekst til å avklare risikoen. For å teste dette trinnet må resultatet dokumenteres med samme tidspunkt, omfang og gjeldende vilkår. Endre deretter én forutsetning før utfallet registreres. I KYC med nullkunnskapsbevis må en forsvarlig overlevering angi hvem som godkjente den, hvilken oppføring som ble endret, hva som fortsatt kan reverseres, og hvem som bærer tapet dersom den neste deltakeren avviser dokumentasjonen.

Tre tilstander som ofte forveksles i KYC med nullkunnskapsbevis

Dataminimering innebærer å dele bare påstandene som er nødvendige for beslutningen, ikke hele dokumenter eller alle attributtene. Predikatbevis innebærer derimot å bevise en betingelse, for eksempel at alderen er over en bestemt grense, eller at en verdi ikke finnes på en liste. Løpende overvåking innebærer en tredje betingelse: Informasjon om sanksjoner, eierskap og atferd må oppdateres når den endres; et engangsbevis kan ikke dekke framtidig risiko. Disse forskjellene er viktige fordi to brukere kan se en lignende bekreftelse, men ha ulike rettigheter, møte ulike tidsforløp eller være avhengige av ulike institusjoner. I KYC med nullkunnskapsbevis bør en nyttig sammenligning angi hvilken oppføring som er autoritativ, og hvem som bærer tapet, for hver tilstand.

Sammenlign dataminimering, predikatbevis og løpende overvåking ut fra samme grunnlag: beløp, tid, brukt likviditet, reverserbarhet, rettslig krav og gjenværende tap. I KYC med nullkunnskapsbevis betyr ikke en raskere merkelapp automatisk at tilstanden er mer endelig, og en jevnere rapportert avkastning betyr ikke automatisk lavere økonomisk risiko. Når man bruker samme målegrunnlag, unngår man å forveksle forskjeller i tidsforløp eller regnskapsføring med reelle forbedringer.

Kostnader, insentiver og balansevirkninger av KYC med nullkunnskapsbevis

Nullkunnskapssystemer kan redusere risikoen for databrudd og kostnadene ved gjentatt verifisering, men det er ikke gratis å generere bevis, støtte lommebøker, styre utstedere og håndtere unntak. Fordelene øker når mange verifikatorer godtar de samme standardene for legitimasjon og predikater.

Personvernet kan øke andelen som fullfører prosessen, fordi det blir bedt om færre opplysninger, mens beslutninger som er for lite gjennomsiktige, kan øke kostnadene til regelverksetterlevelse og brukerstøtte. Systemet bør gi nok begrunnelse og lovlig dokumentasjon til at et avslag kan bestrides eller undersøkes, uten å røpe uvedkommende attributter.

Beregningskostnadene synker, men tillit mellom institusjoner er fortsatt en knapp ressurs. Et matematisk korrekt bevis basert på en svak utsteder eller en utdatert liste har liten økonomisk verdi; utgifter til kvalitetssikring bør rettes mot hele dokumentasjonskjeden.

Her svikter KYC med nullkunnskapsbevis – og dette bør testes først

• Feil data inn: Beviset er gyldig, men bygger på en uriktig eller svakt verifisert kildepåstand. Avbryt etableringen av pålitelige fakta mens utstederen av identitets- eller screeningdataene beholder sitt vanlige ansvar. Kontroller deretter om dataminimering fortsatt har betydningen som er beskrevet ovenfor.
• Utdatert sanksjonsstatus: Et bevis på at det ikke er treff, bygger på en utdatert liste eller legitimasjon. Avbryt kodingen av policyen mens bevisgeneratoren beholder sitt vanlige ansvar. Kontroller deretter om predikatbevis fortsatt har betydningen som er beskrevet ovenfor.
• Overføring til en annen person: En gyldig bevisføring gjenbrukes av en annen enn den verifiserte personen. Avbryt genereringen av beviset mens verifikatoren beholder sitt vanlige ansvar. Kontroller deretter om løpende overvåking fortsatt har betydningen som er beskrevet ovenfor.
• Feil i kretsen: Den kodede policyen utelater en betingelse eller implementerer den feil. Avbryt verifiseringen av påstanden mens det kryptografiske systemet beholder sitt vanlige ansvar. Kontroller deretter om dataminimering fortsatt har betydningen som er beskrevet ovenfor.
• Unntak som ikke kan etterprøves: Etterforskerne får ikke tilgang til tilstrekkelig lovlig kontekst til å avklare risikoen. Avbryt koblingen av beslutningen mens den ansvarlige etterlevelsesfunksjonen beholder sitt vanlige ansvar. Kontroller deretter om predikatbevis fortsatt har betydningen som er beskrevet ovenfor.

En nyttig stresstest av KYC med nullkunnskapsbevis kombinerer dårlige inndata med gjenbruk av et gyldig bevis av en annen enn den verifiserte personen, i stedet for å teste disse forholdene hver for seg. Frys eller utsett genereringen av beviset, gjør det kryptografiske systemet utilgjengelig, og krev at den ansvarlige etterlevelsesfunksjonen avstemmer resultatet mot policytilordning, oppbevaring, forklarbarhet og tilgangsprosedyrer. Utformingen består testen bare dersom beslutningsforankringen gir én forklarbar tilstand, ivaretar rettighetene knyttet til predikatbeviset og plasserer ansvaret for eventuelle underskudd i henhold til regler som var fastsatt før avbruddet.

Gjennomarbeidet eksempel: Følg én KYC-hendelse med nullkunnskapsbevis fra start til slutt

En plattform må bekrefte at en investor er over 18 år og ikke er bosatt i en jurisdiksjon der dette er forbudt. En betrodd utsteder bekrefter identiteten og gir investoren en attest. Investoren genererer et bevis på begge predikatene uten å avsløre fødselsdato eller fullstendig adresse. Plattformen validerer beviset, utstederen, nonce-verdien og tilbakekallingsstatusen. Plattformen samler fortsatt inn opplysninger som er nødvendige for kontoadministrasjon, og overvåker senere transaksjoner; beviset begrenser hva som må oppgis, men fjerner ikke etterlevelseskravene.

Eksemplet kan falsifiseres ved å endre forutsetningen som styrer hvordan policyen kodes, eller ved å fjerne dokumentasjonen som verifikatoren har lagt fram. Spor endringen gjennom genereringen av beviset, verifiseringen av påstanden og beslutningsforankringen; ikke hopp direkte fra inndataene til hovedresultatet. Hvis det nye utfallet av KYC med nullkunnskapsbevis ikke kan gjenskapes ut fra utstederens pålitelighet, kretsens spesifikasjon, offentlige inndata, verifisering av beviset, kontroller av aktualitet og tilbakekalling samt beslutningsloggen, er prosessen avhengig av en udokumentert vurdering eller registrering.

Hvorfor KYC med nullkunnskapsbevis er viktig nå

Personvernfremmende teknologier går fra forskning til regulerte pilotprosjekter etter hvert som dataminimering og gjenbrukbar identitet blir prioritert. Innføringen avhenger av standardiserte predikater, løsninger som kan revideres, tilbakekalling som ikke avslører brukeratferd, og aksept fra tilsynsmyndighetene. De mest lovende bruksområdene beviser stabile egenskaper, samtidig som signaler om risiko i rask endring håndteres gjennom løpende kontroller.

Den varige lærdommen av KYC med nullkunnskapsbevis er at det å fastslå betrodde fakta og det å forankre beslutningen ikke er samme hendelse. Beslutningene imellom avgjør hvilken privat identitetsopplysning, hvilket nøyaktig predikat og hvilken beslutning basert på opplysningene det dreier seg om, mens identitets- eller screeningutstederen og den ansvarlige etterlevelsesfunksjonen kan ha innsyn i ulike deler av dokumentasjonen. Automatisering er nyttig når den gjør disse beslutningene billigere å verifisere; den er farlig når den slår dem sammen til én status som skjuler unntak som ikke kan gjennomgås.

Dokumentasjonen bak KYC med nullkunnskapsbevis

Det viktigste kunnskapsgrunnlaget for KYC med nullkunnskapsbevis er FATFs veiledning om digital identitet, NISTs kryptografi som fremmer personvern og W3Cs datamodell for verifiserbare attester. Les dem som utfyllende lag: regler og definisjoner, institusjonell struktur eller markedsstruktur, og den operative dokumentasjonen som trengs for å etterprøve en konkret påstand. Ingen av dem bør brukes som erstatning for produktdokumentene, kontoene eller transaksjonsregistrene som er beskrevet ovenfor.

Spørsmål du bør stille før du baserer deg på KYC med nullkunnskapsbevis

• Kan identitets- eller screeningutstederen dokumentere kildekontroller, attest, oppdateringsplan og ansvar før policyen kodes?
• Hvilken registrering gjelder dersom bevisføreren og det kryptografiske systemet er uenige?
• Hvem finansierer eller bærer eksponeringen som oppstår når beviset genereres?
• Hva er forskjellen på predikatbevis og dataminimering, juridisk og økonomisk sett?
• Hvordan ville systemet oppdage at sanksjonsstatusen er utdatert før beslutningen forankres?
• Hva skjer når verifikatoren ikke er tilgjengelig, eller dokumentasjonen fra den er utdatert?
• Kan en uavhengig gransker avstemme utfallet mot utstederens pålitelighet, kretsens spesifikasjon, offentlige inndata, verifisering av beviset, kontroller av aktualitet og tilbakekalling samt beslutningsloggen?

For KYC med nullkunnskapsbevis bør uttrykk som «plattformen håndterer det» erstattes med navngitte kontoer, kontrakter, tidsstempler, godkjenningsregler og ansvarlige enheter. Et fullstendig svar bør gjøre det mulig for en gransker å gå fra beslutningsforankringen tilbake til fastsettelsen av betrodde fakta, identifisere hvem som eier hver registrering og beregne hvem som bærer tapet før et unntak oppstår.

Kjerneprinsippet bak KYC med nullkunnskapsbevis

KYC med nullkunnskapsbevis blir tydeligst når analysen følger den private identitetsopplysningen, det nøyaktige predikatet og beslutningen basert på opplysningene gjennom de fem operative trinnene, og resultatet verifiseres mot utstederens pålitelighet, kretsens spesifikasjon, offentlige inndata, verifisering av beviset, kontroller av aktualitet og tilbakekalling samt beslutningsloggen. Prosessen forklarer hva som endres; deltakeroversikten viser hvem som kan godkjenne endringen; sammenligningen av de tre tilstandene hindrer at ulike påstander blandes sammen; og feiloversikten viser hvor tilliten bør svekkes. Til sammen skiller dette en reell forbedring fra friksjon eller risiko som er flyttet til et mindre synlig lag.

Primærkilder om KYC med nullkunnskapsbevis

• FATFs veiledning om digital identitet
• NISTs kryptografi som fremmer personvern
• W3Cs datamodell for verifiserbare attester