WEB:對于用戶數據隱私保護，Web 2.0和Web 3.0的區別是什么？

在上篇行業研究報告《如果從用戶畫像實現角度看數據隱私問題，是怎樣的？|萬向區塊鏈行業研究》中，我們從用戶畫像實現角度探討了數據隱私的問題。在本篇研究報告中，作者將從不同的網絡范式出發，探討分析用戶數據隱私該如何保護。作者：萬向區塊鏈首席經濟學家辦公室王普玉審核：萬向區塊鏈首席經濟學家鄒傳偉在經歷了以“門戶網站”為代表的Web1.0和以“社交平臺”為代表的Web2.0之后，互聯網商業及技術的迭代，讓用戶逐漸習慣了從網絡上免費獲取各類資源和數據，當平臺出現一些付費產品，用戶仍傾向于尋找其他的免費渠道。互聯網市場為什么會提供免費產品和服務？市場上是否真的存在一批熱心的“慈善家”為用戶提供免費的網絡“午餐”？平臺通過免費產品或服務吸引用戶，然后收集了大量與平臺無關的用戶身份數據及行為數據，再通過轉讓、精準用戶畫像、廣告等渠道將用戶數據變現，而這種變現模式為平臺帶來的收益遠高于依靠“資源訂閱模式”所獲取的收益。

圖1：用戶數據流通在以犧牲個人數據換取免費網絡資源的大背景下，一批有志之士開始了對互聯網平臺的反抗，包括萬維網之父TimBerners-Lee、以太坊共同創始人GavinWood等人提出了以保護用戶隱私為目標的新一代互聯網Web3.0，在萬向區塊鏈研報總第230期《Web3架構雛形及其中間件》中詳細介紹了三種類型Web3.0，分別是:注重隱私保護的語義Web3.0、注重隱私和數據所有權及控制權的公鏈Web3.0，以及將Web3.0描述為空間網的Web3.0。

數據隱私保護介紹

數據的隱私保護具體指的是什么？在萬向區塊鏈研報總第173期《從用戶畫像實現看數據隱私問題》，我們將用戶畫像數據分為兩類，一類是用戶的身份數據；還有一類是與用戶身份數據關聯的行為數據，包括時間、地點和事件等。當下市場的主流觀點認為：只要可以切斷用戶身份數據與行為數據之間的關聯，就能夠有效地保護用戶隱私。圍繞該方向，市場上涌現出兩類解決方案：一類是基于Web2.0的發展問題而出現的用戶隱私保護方案，主要參與者包括手機廠商和所有的互聯網平臺；另一類是應用各種分布式技術及隱私技術提出的Web3.0用戶數據隱私保護方案。下面我們詳細對比下兩種思路。

報告：資本動態顯示，市場對于比特幣的接受度不斷提升:據LongHash刊文，結合CrunchBase發布的區塊鏈2020行業分析報告，2019年成功融資的區塊鏈項目數量較2018年基本持平，但2019年全球區塊鏈產業融資總額明顯下滑，即資本對單個區塊鏈項目的平均投資額在明顯減少。與此同時，2019年區塊鏈行業股權融資總金額為28億美金，股權投資自2018年以來已強勢取代了ICO的投資方式。無論是平均單個項目投資額度明顯下滑、或是股權投資重新回歸主舞臺，都無疑顯示出18年以來，資本對區塊鏈項目的投資行為趨于謹慎。

當然，這并不能阻止Ripple、Figure和Proxicoin這三個項目在2019年實現逾1億美金的融資目標。除了以上三個明星項目外，19年融資前五的還有Finality International以及Layer1。可見以加密貨幣為核心的區塊鏈金融始終是區塊鏈產業的中流砥柱。與此同時，IBM區塊鏈，Fidelity數字貨幣等多家金融科技大拿也正繼續擴展其在加密貨幣托管、交易平臺的版圖。

從資本對其需求的持續增長可以看出，市場對于比特幣的接受度及信任度正不斷提升。而區塊鏈行業的發展也在比特幣及其社群的活躍狀態下獲益。[2020/6/2]

Web2.0用戶數據隱私保護

Web2.0階段，迫于各國政府部門對互聯網數據的監管壓力，用戶數據隱私管理才逐漸被互聯網平臺重視，在萬向區塊鏈研報總第215期《2021年行業回顧：監管篇》，我們詳細羅列了包括歐盟和中國頒布的個人數據保護法案及要點，法案對平臺處理個人信息的規則、個人權利、義務和責任等做出詳細規定，其中明確要求平臺在處理個人信息前，需取得個人同意并以此保護個人的數據隱私。

兩類參與者—手機廠商和互聯網平臺，分別從不同出發點提出了兩種完全不同的用戶數據隱私解決方案。

1、手機廠商提出的用戶隱私解決方案

IMEI碼如同每臺手機的身份證，每個IMEI碼都是獨一無二的，如圖2所示，即使用戶在不輸入賬戶名和密碼的情況下，互聯網平臺也能夠通過設備的IMEI碼關聯到具體的用戶身份。為了防止互聯網平臺過度采集用戶的行為數據，手機廠商開發了OAID技術，在互聯網平臺讀取設備IMEI碼時，設備會提供一個虛擬ID來替代IMEI碼，且每次提供的ID都是隨機的，讓互聯網平臺無法關聯到具體的用戶身份。

觀點：對于區塊鏈存證應秉持開放、中立的態度進行個案分析:《民主與法制》雜志發表分析文章指出，區塊鏈存證要解決的是司法“信任”問題。提升司法公信力需要一種革新和顛覆性的思維理念，區塊鏈技術具有的去中介化、建立社會信任、實現共享正好契合了這一需求。文章表示，區塊鏈存證的本質是電子數據的證據保全創新，最大優勢在于保障電子數據的真實性。而區塊鏈存證在特定類型案件中顯著提高了司法效率。文章也同時提到，區塊鏈存證的司法運用前景仍有爭議，除成本昂貴外，尚不能完全解決信任問題，且不是所有場景都需要區塊鏈。法官對于區塊鏈存證應秉持開放、中立的態度進行個案分析，既不應盲目引入區塊鏈技術并盲信區塊鏈存證，也不應排斥新技術和提高電子數據的認定標準，應在審核電子數據的來源和內容的完整性、技術的安全性、方法的可靠性、形成的合法性的基礎上，綜合認定電子數據的證據效力。[2020/5/19]

圖2：應用數據采集過程上述方法在用戶不輸入賬戶名和密碼的情況下起到個人數據隱私保護作用，一旦用戶登錄個人賬戶，就等于將身份數據告知應用平臺，OAID技術的功能也就此失效。由于早期手機廠商對數據管理不夠重視，用戶在下載互聯網應用后會被默認開啟對所有數據的訪問權限，這導致互聯網平臺肆無忌憚的采集了大量與業務無關的用戶數據。在這種情況下，手機廠商為了保證設備的隱私安全性，增加了互聯網平臺數據使用的強提醒功能并讓用戶對數據的使用進行授權。以相冊數據的使用為例，如圖3所示，蘋果手機的相冊數據授權分為三種模式，分別為所有照片、選中的照片和無，該授權讓用戶對照片數據擁有了更加細顆粒度的管理能力，尤其是“選中的照片”功能，讓互聯網平臺只能采集到用戶希望展示的照片，從本地段對數據采集的范圍進行了限制。

圖3：蘋果手機個人數據管理授權2、平臺提出的用戶隱私解決方案

聲音 | 海淀區檢察院白磊：需加強基層治理機構人員對于區塊鏈和密碼技術的認識:據光明網消息，日前，我國首部《密碼法》審議通過，并將于2020年1月1日起施行。北京市海淀區檢察院第二檢察部檢察官白磊表示，數字貨幣出現之后，隨之引發的區塊鏈網絡安全隱患、數字貨幣管理體系建設等新情況，都需要專業技術領域的人才來分析應對。需要提升履行監管人員的區塊鏈密碼專業技術知識背景，通過建立一套成熟的監管和應用預案，加強基層治理機構人員對于區塊鏈和密碼技術的認識，提升監管治理水平和能力。[2019/11/28]

相較于手機廠商的主動式保護，互聯網平臺則是迫于各種數據保護法案的壓力，被動的提出了用戶隱私保護方案，被動的原因不難理解，從2021年財報中可以發現，廣告收益是各互聯網平臺發展中非常重要的一部分，如圖4所示，2021年拼多多、微博的廣告收益占比總收入80%以上，快手、百度超過50%。廣告價值的核心源于數據，如果互聯網平臺開始主動實施用戶數據的隱私保護，就意味著愿意放棄現有的商業模式，這與互聯網平臺的經濟模式背道而馳。

圖4：2021年各互聯網公司廣告收入占比互聯網平臺所提出的用戶隱私保護方案，僅僅是為了迎合相關法律法規的監管要求，在《中華人民共和國個人信息保護法》實施后，如圖5所示，各大平臺紛紛增加或調整了個人隱私設置界面，并對用戶數據收集類型、使用范圍、使用方式等做出詳細說明，讓用戶對個人數據的使用有更多地選擇權。

圖5：微信、抖音、知乎的應用設置界面3、小結

手機廠商對用戶數據的隱私保護與其經濟模式相關，即通過提升手機的銷量來增加收益，而設備的隱私安全性能對銷量會產生極大影響，因此不難理解為什么手機廠商會致力于開發OAID技術和各種數據授權功能來提升用戶數據的隱私保護。相較于手機廠商，互聯網平臺提出的用戶隱私保護方案僅為了滿足監管合規要求，與他們的經濟模式無關，甚至背道而馳，這也不難解釋為什么互聯網平臺對用戶隱私的解決方案是被動的，當下所提出的隱私保護僅是對數據使用的一些說明，而缺少一些主動地保護措施，當用戶的數據被采集后是否被用于畫像，是否被交易等，用戶仍然無從得知，究其原因是用戶數據被存儲在互聯網平臺的中心化服務器里，用戶缺少對中心化服務器的控制權。

聲音 | 互金專委會主任陳云峰：對于區塊鏈和虛擬貨幣項目，檢察機關更注重“結果”的導向性:中倫文德律師事務所高級合伙人、互聯網金融專業委員會主任陳云峰今日在巴比特上發布文章。他在文章中表示，區塊鏈和虛擬貨幣的發行同傳銷活動存在很大的相似性，是否會被歸類為傳銷活動，取決于項目的真實性和投資者回報形式的可靠性。如果區塊鏈和虛擬貨幣項目最終無法落地，引發了惡性的群體性事件，檢察機關很可能會出于“結果”導向性的原則認定其構成非法集資詐騙類犯罪或者組織領導傳銷活動罪。[2018/7/19]

Web3.0用戶身份隱私保護方案

Web2.0背景下，用戶數據的隱私和安全假設是基于對平臺的信任和對政府部門監管的信任，但用戶仍然缺少對個人數據的控制權。為解決該問題，Web3.0背景下提出的用戶數據隱私保護方案，都是圍繞著對個人數據的控制權進行構思。

圖6：用戶登錄方式對比如圖6所示，在Web1.0階段，用戶使用用戶名和密碼登錄賬戶；當進入Web2.0階段，用戶無需再為記錄賬號及密碼發愁，也無需因重復輸入身份信息而煩惱，只需要點擊“Signinwith”或“Continuewith”授權Twitter、Google、Facebook等應用的賬戶信息，讓身份數據通過API、SDK被其他應用抓取或讀取，在沒有輸入賬戶名和密碼的情況下完成用戶身份的驗證。這種方式雖然提升了用戶體驗，但換之而來的是Twitter、Google等互聯網巨頭采集到更多的用戶行為數據。無論Web1.0還是Web2.0，用戶數據都存儲在中心化服務器里，用戶缺少控制權。

為了解決控制權的問題，基于W3C提出的分布式身份標識符DID，通過一個字符串替代明文的個人身份信息，與字符串映射的行為數據均存儲在用戶可控的服務器中。圍繞DID的核心理念，當前有兩種身份隱私解決方案：第一種以uPort為代表的分布式應用DApp，用一串代理合約地址代替身份信息的標識符(如圖7所示)，其他平臺可以通過識別代理合約地址來完成身份驗證，以此取代Twitter、Google等中心化應用的授權并掌握數據的控制權；第二種是在不同時間、不同平臺、不同目的生成不同的標識符，再將數據存儲到支持該協議的身份錢包，以此掌握個人數據的控制權。

李啟威評論BM推特：EOS籌集40億美元，但對于主網漏洞的獎勵只有1萬美元表示很奇怪:今日，萊特幣創始人李啟威轉發并評論了EOS創始人BM（Daniel Larimer）的推特，李啟威評論稱，EOS籌集了40億美元，在主網上線前2天曝出災難性漏洞，但對于主網漏洞的獎勵只有1萬美元，表示很奇怪。EOS創始人BM（Daniel Larimer）原文表示“在發布1.0版本前，幫助我們發現EOSIO中的關鍵bug，對于每一個可能導致智能契約中崩潰、權限升級或非確定性行為的錯誤，獎勵金都是1萬美元，如果獎勵金有更改，也是需要再次協定的”。[2018/5/30]

圖7：身份標識符與DApp一對一映射

圖8：身份標識符與DApp多對一映射身份標識符與DApp一對一的用戶隱私解決方案

我們以Consensys在2017年推出的uPort為例介紹，與“SigninwithTwitter”及“ContinuewithFacebook”功能類似，如圖9所示，uPort也提供了“ContinuewithuPort”功能，讓用戶能夠對其他平臺進行身份驗證以及無密登錄。

圖9：uPort登錄授權與中心化平臺的區別在于，uPort是一款用戶可控且獨立的分布式身份服務平臺，技術層面實現兩方面功能：第一，用戶對uPort的身份數據有直接的控制權，即用戶可以自行決定展示什么信息給第三方平臺；第二，身份相關數據存儲在用戶有控制權的服務器，即用戶能決定存儲哪些數據，存儲多長時間以及誰能閱讀這些數據。

首先是數據的控制權，和前面介紹的蘋果手機權限設置一樣，用戶在uPort中可以管理及控制個人數據，與傳統App不同的是，DApp只是一個便于用戶連接數據存儲服務器的工具，即使uPort的DApp不再提供服務，它也帶不走用戶的數據，用戶依然可以使用助記詞或密鑰通過其他工具找回數據，這個過程中最關鍵的點在于數據需要存儲在用戶可控的地址。在用戶身份驗證過程中，只要Twitter、Facebook等中心化平臺支持uPort，即可通過uPort授權并在加密環境下完成身份驗證。這個過程中，互聯網平臺只能得到一個代理合約地址，而無從得知其他具體的驗證信息。

前面提到Web2.0用戶沒有個人數據的控制權，主要原因在于用戶數據存儲在中心化服務器中，就此問題，Web3.0的數據存儲方式有兩種解決方案，以創作平臺Mirror為例，第一種存儲方式是分布式存儲方案，文件大小在1M以下的會通過Arweave實現永久存儲，數據被分片且加密存儲在分布式服務器中，僅持有Arweave鏈上私鑰的用戶才能拿到完整數據，其他人員均無法獲得；出于成本考慮，對于1M以上的文件會使用第二種方式，存儲在Mirror定向的一個中心化服務器中，這種方式無法保證數據的隱私及安全，只要Mirror停止對中心化服務器的維護，所有的用戶數據也將隨之而丟失。需要解釋的是，Mirror為什么提出兩種存儲方案？原因在于當前所有的數據存儲所產生的費用都是由Mirror暫時補貼，如果用戶希望將1M以上的文件也通過Arweave存儲，就需要自己支付一定的成本。

上述內容是用戶通過拿回數據控制權解決數據隱私問題，但它并不是絕對的，uPort讓用戶得到了數據控制權，但在一定程度上可能仍無法保護數據的隱私。通常uPort對應的每個身份標識符是唯一的，如果鏈上大量數據關聯到該代理地址，通過一些第三方工具仍然可以判斷用戶的身份，無法真正切斷用戶身份與行為數據的關聯。為解決該問題，在公鏈上，Aztec的zk.money放棄了以太坊賬戶體系，轉為UTXO體系使用零知識證明，通過票據記賬形式完成所有權變更，讓第三方無法追蹤具體的地址。除零知識證明以外，如以太坊混幣器tornado.cash，利用智能合約作為交易過程中的黑盒，來打破發送者和接受者的聯系，第三方也無法追蹤到具體的地址。無論是零知識證明還是混幣器，都能夠有效解決鏈上地址暴露而導致的資產交易數據公開問題，但在實體經濟應用中，面對海量且類型豐富的個人身份及行為數據，簡單的零知識證明和混幣器方法對用戶隱私保護的可行性不高，仍需要一套更完整的身份管理方案。

身份標識符與DApp多對一的用戶隱私解決方案

在萬向區塊鏈行業研究報告《DID：一種全新的身份標識技術》中，我們詳細介紹了DID的技術原理，其核心方法在于：不同主體在不同時間、不同應用平臺、基于不同目的使用不同的DID標識符來完成身份驗證，而與每個DID標識符相關的行為數據都將保存在用戶可控的地址下。用Web2.0的術語來解釋，即每次使用不同的用戶名和密碼登錄平臺，讓平臺無法關聯到某個具體的用戶身份，且所有的數據都保存在客戶有控制權的地址服務器中。這種方法能夠解決身份標識符與DApp一對一用戶隱私解決方案中出現的所有問題，包括通過大量數據對某個唯一地址的用戶畫像，或者是單個身份標識符的泄露而導致所有數據的泄露問題等。通過身份標識符與DApp的多對一，實現不同身份標識符實現行為數據的隔離，將從另外一個維度解決數據隱私問題。這是市場努力的方向，但仍有很多瓶頸需要解決，包括法律層面的、商業層面的、還有技術層面，在市場已有的各種分布式身份標識符解決方案中，還沒有多對一的用戶隱私解決方案真正被開發，大多仍然停留在概念階段。

思考與總結

通過上面內容的對比可以發現，Web2.0和Web3.0用戶隱私保護最大的區別在于：用戶是否對個人數據擁有絕對的控制權？從道德層面看，Web3.0所推行的數據絕對控制權對大家很有誘惑力，這對于個人數據管理具有里程碑性的意義，能夠實現自己的數據自己做主；但從經濟和商業角度看，這種數據絕對控制權是否真的有價值？

這種價值可以分為兩個層面看，第一個層面是對用戶的價值；第二個是個人持有數據與經濟發展的價值是否一致？首先我們來討論對用戶的價值，用戶隱私保護更多是道德層面的價值，但從商業層面，Web3.0沒有“慈善家”，所有數據隱私保護的解決方案需要有人買單，有多少用戶愿意為數據隱私平臺的開發成本買單？以及有多少人可以長期承受個人數據的維護成本，例如，當我們在銀行或通訊公司辦理業務時需要簽署合同，有多少客戶會花時間仔細閱讀合同內容？所以Web3.0讓用戶花費時間成本和資金成本來維護個人數據，我們需要提出質疑；此外，習慣了使用免費網絡資源的用戶，在Web3.0是否愿意為獲取資源而付費？

基于上述問題，Web3.0的個別項目方也提出一些解決方案，其中包括個人數據交易市場，例如，當用戶拿回個人數據的控制權，將數據授權廣告商、研究機構和金融機構等使用，能夠從中獲取在Web2.0階段無法得到的收益，用戶可以使用這部分收益來支付和彌補工具開發和數據維護的成本，這種方案聽起來很理想，但商業邏輯是否能經得起市場的考驗？我們需要提出質疑，根本原因在于個體數據對市場的價值到底有多少？這是一個很復雜的問題，暫不在本文討論。

與上述方案不同的是，數據隱私平臺在公鏈各類項目中備受歡迎，經濟模式方面也非常清晰，項目方開發數據隱私平臺并通過ICO方式籌集資金，隨著數字資產的價值上漲，項目方會獲得收益并吸引更多人加入到項目的維護和管理中，但這種模式在很多國家和地區存在監管合規性問題，如果脫離這種模式，又該怎么考慮經濟模式，即誰來為隱私平臺的開發買單？此外，在數字經濟社會中，如何突破中心化平臺的抵制？這些問題都需要進一步的解決方案。除了這些問題外，Web3.0的隱私保護還有以下問題待解決。

如何防止黑客利用隱私技術作惡？

2022年2月20日，黑客利用OpenSea為期一周的智能合約升級間隙，竊取了大量高價值系統的NFT，并通過以太坊隱私交易平臺Tornado.cash混幣1100ETH，導致OpenSea無法追蹤到黑客的交易地址。按照主流資產的地板價計算，黑客至少獲利416.6萬美元。從該事件我們可以發現，隱私技術能夠保護個人隱私，但也為作惡者提供了保護傘。當安全事件發生后，用戶也難以通過Web2.0階段的安全保障進行維權。

如何滿足監管合規要求？

當發生上述黑客攻擊事件，該如何保護用戶的合法權益及資產安全？KYC(了解你的用戶，KnowYourCustomer)必不可少，該如何進行KYC？誰負責KYC？以什么樣的方式進行KYC？在分布式解決方案下，這都需要新的解決思路。但需要防止因為KYC而導致個人數據的泄露，這將會讓其他隱私保護技術的努力全部付諸東流。

Tags：區塊鏈WEBWEB3WEB3.0銀行區塊鏈CWEBweb3域名WEB3.0價格

狗狗幣價格