انتقال Longfellow نشان می‌دهد سرپرستی هم بخشی از مدل امنیتی ZK است

گوگل در ۲ سپتامبر اعلام کرد که Longfellow، کتابخانه اثبات دانش صفر این شرکت برای کاربردهای هویت دیجیتال، به اتحاد رمزنگاری پساکوانتومی زیرمجموعه Linux Foundation Europe واگذار می‌شود. گوگل می‌گوید هدف این اقدام ایجاد سرپرستی بی‌طرفانه برای کتابخانه‌ای است که می‌تواند ادعاهای مربوط به اعتبارنامه‌ها را بدون افشای داده‌های شخصی زیربنایی اثبات کند.

دامنه این پروژه برای زیرساخت ZK کاربردی است. صفحه پروژه در PQCA می‌گوید Longfellow از پروتکل‌های مرتبط با اسناد هویتی موبایلی ISO، توکن‌های JWT و اعتبارنامه‌های قابل‌تأیید W3C پشتیبانی می‌کند. بنابراین پروژه میان قالب‌های هویتی موجود و سیستم‌های اثبات پل می‌زند و لازم نیست هر برنامه مدل اعتبارنامه تازه‌ای اختراع کند.

زاویه مهم و به‌روز این خبر، حکمرانی است. کتابخانه رمزنگاری مورد استفاده در کیف‌پول‌ها، فرایندهای احراز سن یا بررسی هویت میان چند سرویس، فقط با ریاضیات خود امن نمی‌شود. نگه‌داری، روند انتشار، مشخصات، ممیزی‌های امنیتی و تصمیم‌های مربوط به سازگاری نیز مرز اعتماد را شکل می‌دهند. انتقال سرپرستی از یک خانه شرکتی به اتحادی با پشتیبانی Linux Foundation به این معنا نیست که همه مشکلات حکمرانی حل شده‌اند؛ اما باعث می‌شود این مسئولیت‌ها به‌عنوان یک پروژه مشترک آسان‌تر بررسی شوند.

برای توسعه‌دهندگان ICP، نتیجه کاربردی در سطح معماری است. یک کانستر یا سرویس هویتی که ادعاهای مبتنی بر ZK را مصرف می‌کند، بهتر است سه لایه را جدا نگه دارد: قالب اعتبارنامه، پیاده‌سازی اثبات و سیاست برنامه که تعیین می‌کند یک ادعا چه مجوزی ایجاد می‌کند. پشتیبانی مستند Longfellow از چند زیست‌بوم اعتبارنامه‌ای می‌تواند طراحی این جداسازی را آسان‌تر کند؛ به‌ویژه زمانی که سرویس باید شواهد چند کیف‌پول یا صادرکننده هویت را بپذیرد. این یک نتیجه معماری است، نه مدرکی از وجود یکپارچه‌سازی با ICP یا آماده بودن یک بسته کانستری.

مخزن کد همچنین کارهای باقی‌مانده را نشان می‌دهد. README پروژه می‌گوید دو ممیزی امنیتی مستقل در حال انجام است؛ بنابراین توسعه‌دهندگان باید نسخه‌ها را تثبیت کنند، تغییرات مدار و سریال‌سازی را بررسی کنند و مسیر جایگزین یا مهاجرت داشته باشند. در نتیجه، این انتقال را باید یک سطح جدید پاسخ‌گویی برای زیرساخت هویت ZK دانست، نه گواهی ایمنی آن برای محیط تولید.

این ملاحظه مهم است: اعلامیه فقط انتقال سرپرستی را تثبیت می‌کند، نه آمادگی تولید یا تکمیل فرایند استانداردسازی را. مخزن Longfellow نیز می‌گوید ممیزی‌های امنیتی مستقل هنوز ادامه دارند. تیم‌های ICP هنگام ارزیابی آن باید کد، نسخه‌های مدار، تجزیه اعتبارنامه و رابط verifier را وابستگی‌هایی بدانند که به بررسی مستقل خودشان نیاز دارند.