파리에서 눈알(그리고 얼굴도…)을 스캔하기 위해 시험해 본 월드코인 구체.

Worldcoin(World ID): 쓸모없고 비효율적이며 위험합니다.

프레데릭 마틴프레데릭 마틴

프레데릭 마틴

마이디드 CEO | 분산형 ID [ 디지털 무결성 | 검증 가능한 자격 증명 | 사이버 보안 및 블록체인 | 개인정보 보호 | OSINT | 자주권 신원 SSI DID | 보안 요소 | PKI FIDO 암호 키 WebAuthn

발행일: 2023년 8월 14일

+ 팔로우

FR 버전은 여기에서 확인 가능합니다 .

'암호화폐'와 새로운 신원을 대가로 기꺼이 참여하는 참가자의 눈알을 스캔하는 Worldcoin 구체 주변에는 많은 소음이 있습니다. 다음은 현재 이벤트에 대한 최신 프로젝트 요약 문서입니다.

면책 조항: 저는 개인 정보 보호 권리, 개인 데이터 보호, 더 광범위하게는 디지털 무결성에 대한 권리를 옹호하므로 제 의견은 중립적이지 않습니다. 저는 15년 넘게 디지털 ID 업계에서 일해 왔으며 이 기사의 내용은 제가 작성한 것입니다.

참고: 여기서 'Worldcoin'이라는 이름은 독일 회사 [ 1 ]와 관련하여 조직 기관의 자격을 부여하기 위해 사용되었습니다. 실제로 일부 작업은 캘리포니아 조직 [ 2 ] 'Tools For Humanity' 또는 케이맨 제도에 본사를 두고 있거나 영국령 버진 아일랜드에 있는 자회사인 '월드코인 재단'.

사전 촬영: 수백 개의 다른 디지털 ID 프로젝트가 존재하며 아래에 설명된 문제가 없습니다. 이는 이 업계 전체의 신용을 떨어뜨리려는 것이 아니며, 특히 다른 프로젝트를 강조하려는 것도 아닙니다. 음모의 토끼굴에 빠지지 않으려면 중앙 집중식이든 분산형이든, 비공개이든 공개이든 상관없이 선도적인 디지털 ID 프로젝트와 관련하여 여러분 모두가 경계심을 유지하도록 권장합니다.

소개:

아직 연구와 초안 작성이 진행 중입니다.

당신은 나에게 '도대체 왜 그렇게 많은 출처가 포함된 긴 기사를 쓰는가?'라고 물을 것입니다.

글쎄요, 저는 존재하지만 흩어져 있는 많은 정보를 수집하고 더 전문적인 주장을 제시하고 싶었습니다. 최근 Worldcoin에 대한 내 의견을 묻는 질문을 여러 번 받았기 때문에 중앙 소스인 단일 기사를 참조할 수 있기를 원했습니다.

이것은 제가 직접 테스트하고 조사한 결과입니다. 저와 몇몇 친구들은 솔루션을 완전히 평가하기 위해 눈과 얼굴을 스캔했습니다.

이 이미지에 제공된 대체 텍스트가 없습니다.

나는 파리의 구체를 마주하고 있다

제가 월드코인에 대한 정보를 찾기 시작한 것은 불과 며칠 전이지만, 몇 달 동안 멀리서부터 프로젝트를 지켜봤기 때문에 다음 내용은 아마도 수정되고 업데이트될 것입니다. 저는 제 연구를 바탕으로 확실히 수정하고 조정할 것입니다. 또한 의견과 외부 기여도 추가할 것입니다(제안 사항이 있으면 언제든지 저에게 연락하십시오).

최종 기사의 버전은 Linkedin 외부에 게시됩니다.

업데이트:

2023년 8월 1일: 이 기사의 초안

8월 5일, 6일, 7일: 업데이트: 케냐에서 Worldcoin 서비스가 중단되었습니다(케냐 경찰이 Worldcoin의 나이로비 사무실을 급습했습니다). Worldcoin 서비스의 대규모 중단

8월 9일: Linkedin에 첫 번째 프랑스어 버전 게시

8월 14일: Linkedin에 최초의 영어 번역이 게시되었습니다.

2023년 12월 : Worldcoin은 인도, 브라질, 프랑스에서 Orb 검증 제공을 중단합니다. [ 61 ]

1) 쓸모없다

a) 사회적 세척

프로젝트의 유용성에 대해 의문을 제기하는 것부터 시작하겠습니다. 현재 뉴스에 너무 집중하면 근본적인 문제를 망각하게 되기 때문입니다. Worldcoin은 무엇보다도 OpenAI를 위한 사회적 세척 프로젝트[ 3 ]입니다.

일부 AI 마케팅 도구 기업은 '뒤쳐진' 기업의 운명에 대해 진정으로 우려하고 있을 가능성이 있습니다. OpenAI(ChatGPT) 및 Worldcoin의 공동 창립자인 Sam Altman은 새로운 AI 도구가 노동력에 미치는 영향에 대해 논의하면서 자신의 책임을 다한 공로를 인정받을 만합니다.

"일자리는 확실히 사라질 것이다." (Sam Altman, 2023년 7월 [ 4 ])

널리 무시되는 Worldcoin 커뮤니케이션에서 자주 반복되는 주요 동기는 OpenAI 및 경쟁사의 등장과 직접적인 관련이 있습니다. 그러나 공식 웹사이트 [ 5 ] 에 언급된 Worldcoin의 1 위 동기는 명확하게 확립되어 있습니다.

"이를 통해 AI 자금 지원 비국가 UBI로의 경로와 디지털 통화의 공평한 글로벌 배포가 가능해졌습니다. [...] AI 시대의 시스템에서 창출된 부를 재분배합니다. AI가 발전함에 따라 액세스 권한과 생성된 가치 중 일부를 공정하게 분배합니다. UBI를 통해 경제력 집중에 대응하는 데 점점 더 중요한 역할을 할 것입니다."

따라서 AI 소득에 과세할 필요가 없으며 민간 기업이 이를 분배하는 일을 맡게 됩니다. 일자리를 잃은 사람들이 보편적 소득을 받을 수도 있다는 '위안적인 숙명론'이라고 볼 수 있는데…

OpenAI 회사의 과거 반전을 알면 이 불편한 유토피아의 현실성을 믿기 어렵습니다. OpenAI 회사는 처음에는 연구를 투명하고 협력적이며 비영리적으로 공유해야 했지만 결국 완전히 반대되는 회사가 되었습니다. [ 6 ] 더 이상 의미가 없는 이름을 유지하면서 설교한 것입니다('OpenAI'에는 'Open'이라는 단어가 거의 남지 않았습니다). 시간이 지남에 따라 투명성과 공유에 대한 초기 주장은 점점 믿기 어려워졌습니다. 특히 다른 프로젝트가 더 많은 개방성을 제공하고 심지어 Meta가 Llama와 함께 자체 모델을 출시함에 따라 더욱 그렇습니다 [ 7 ].

어쨌든, OpenAI와 같은 기업이 진정으로 잉여 이익을 공유하려고 할 가능성은 거의 없습니다. 특히 OpenAI의 투자자 수익이 '단지' 100을 곱하는 것으로 '제한'되어 있다는 점을 고려할 때 더욱 그렇습니다[ 8 ]. 이 터무니없이 높은 수치는 새로운 자금 조달을 통해 줄어들 예정이었지만 그 이후로는 아무 소식도 들리지 않았습니다. 특히 Microsoft가 방금 추가로 100억 달러를 투자했고 현재 OpenAI의 절반을 소유하고 있다고 합니다[ 8b ].

OpenAI는 또한 가난한 근로자를 거의 배려하지 않고 대우하는 것으로 이미 알려져 있습니다[ 8c ].

미국인들이 이미 이 유명한 WLD 토큰을 박탈당하고 있기 때문에 이러한 이론적 소득 재분배는 더욱 불가능해 보입니다[ 9 ].

더욱이, '대표성이 없는' 낯선 사람들의 국제적 집단 사이의 '공평한' 소득 분배에 대한 주장은 강력한 것이 아닙니다.

따라서 Worldcoin은 OpenAI가 비난한다고 주장하는 권력 및 이익의 집중 문제를 해결하지 못하고 실제로 악화시킬 것입니다.

b) 금전적 이익 이외의 이자는 없음/거의 없음

보편적 급여 상환에 대한 초기 주장을 제쳐두고 Worldcoin이 언급한 다른 혜택과 Worldcoin에 대해 분명한 혜택을 살펴봐야 합니다.

Worldcoin이 언급한 관심사:

실제로 기업과 개인은 정보 출처나 인터넷 활동의 진위 여부를 실제로 확인할 필요가 거의 없습니다.

스팸 방지/봇 방지:

기업이 특정 활동을 필터링해야 하는 경우 일반적으로 reCaptcha[ 10 ] 또는 유사한 옵션[ 11 ]과 같은 도구를 사용합니다. 무작위 인터넷 사용자에게 자신이 인간임을 증명하기 위해 모바일 애플리케이션을 사용하도록 끊임없이 요청하는 것은 전혀 생각할 수 없는 일입니다. 또한 나중에 살펴보겠지만 Worldcoin ID는 이전될 수 있으므로 Worldcoin 제공 ID를 사용하여 봇이나 스팸 생성을 효과적으로 방지하는 것이 불가능하며, 따라서 공유, 차용, 구매 또는 도난이 가능합니다.

전자 평판/검증된 리뷰:

'검증된 리뷰' 역시 Worldcoin을 통해 추가적인 신뢰성을 얻지 못할 것입니다. 왜냐하면 World ID에 의해 통제되는 신원은 오늘날 볼 수 있는 것과 같은 종류의 가짜 리뷰를 쉽게 생성할 수 있기 때문입니다. 반대로 Worldcoin은 가짜 프로필을 위한 새로운 시장을 창출하여 기존의 많은 프로필과 유사한 새로운 '인증된' 가짜 ​​좋아요를 생성할 위험이 있습니다.

입증:

새로운 강력한 인증 시스템 주장과 관련하여, 피싱 방지 솔루션을 얻기 위해 모든 웹 플레이어가 FIDO/Webauthn 프로토콜(최근 '패스키'로 이름 변경/이양됨)을 채택하도록 설득하는 데 10년이 걸렸습니다. Worldcoin은 단지 다음을 기반으로 하는 또 다른 솔루션일 뿐입니다. 피싱에 취약한 QR코드. 그다지 설득력이 없습니다.

전자 투표:

잠재적인 사용 사례로 언급된 전자 투표는 Worldcoin에서 해결되지 않은 수많은 다른 문제에 직면해 있으며, 기사 마지막 부분에서 개인 정보 보호를 위한 올인원 고유하고 거부할 수 없는 신원의 위험성에 대해 다룰 것입니다. 이 특정 주제에는 책 전체가 필요합니다. 다시 말하지만, 이 맥락에서 진정한 유용성에 대한 희망은 거의 없습니다.

Worldcoin에 대한 관심 사항:

WLD 토큰의 초기 시장을 창출하면서 자금 조달

Sam Altman은 이미 Y Combinator에서의 경력으로 유명했지만 공동 창립자에 대한 광범위한 언론의 관심은 본질적으로 ChatGPT의 성공 때문이었습니다.

Worldcoin은 'OpenAI 공동 창립자의 다른 프로젝트' 또는 'OpenAI Sam Altman의 암호화폐 프로젝트'로 제시될 정도로 이러한 새로 발견된 가시성으로부터 큰 이익을 얻었습니다[ 12 ]. Sam Altman이 다양한 다른 '최첨단' 벤처에도 참여하고 있음에도 불구하고 이는 부인할 수 없이 프로젝트에 새로운 신뢰성을 추가했습니다[ 13 ].

개인 투자자와 주요 언론 매체는 Worldcoin과 인공 지능 부문 간의 실제 연관성을 파악하지 못합니다 [ 14 ]. 7월 24일 수백만 개의 토큰이 주요 거래소에서 판매될 수 있게 되자 '돈을 무료로 준다'는 빛나는 작은 구체를 둘러싼 소문은 투자자들의 관심을 불러일으켰습니다. 원래 이론적 가격은 1.70달러였지만 실제 가격은 3달러에 가까운 것으로 나타났습니다. 이용 가능 직후 교환에서 관찰된 바와 같음).

미국인과 터키, 중국 등 다른 국가의 시민은 토큰을 구매할 수 없었습니다. 이러한 토큰이 배포된 방식은 더 광범위한 질문을 제기합니다.

주목할만한 특징은 공식 Worldcoin 웹사이트가 토큰 배포, 초기 판매 조건('토크노믹스'라고도 함) 및 여러 국가에서 배포되는 방법에 대한 정보에 대한 접근을 차단했다는 것입니다. 이 제한은 WLD(Worldcoin) 토큰을 구매할 수 있는 국가에도 적용됩니다. 예를 들어 그리스, 인도, 이탈리아, 영국[ 15 ], 심지어 프랑스의 방문자도 공식 Worldcoin 웹사이트에서 이러한 중요한 정보에 액세스할 수 없었습니다.

이 이미지에 제공된 대체 텍스트가 없습니다.

현재 액세스 가능한 정보 페이지는 2023년 8월 2일 프랑스에서 여전히 액세스할 수 없었습니다.

VPN의 도움을 받거나 다른 웹사이트의 정보를 읽어 주의 깊은 관찰자는 토큰이 판매되는 협력 시장에 연결된 시장 조성자에 의해 시장이 통제된다는 것을 깨달을 수 있었습니다. '공정한 가격 발견'이라는 개념은 기껏해야 의심스럽습니다[ 16 ].

이 이미지에 제공된 대체 텍스트가 없습니다.

시장 조성자를 위한 토큰 대출 조건, 의심스럽긴 하지만 합법적일 수도 있음

사용할 수 있는 전체 수에 비해 처음에 사용할 수 있는 토큰의 수가 적다는 점을 감안할 때, 생체 인식 데이터와 교환하여 얻은 필터링되지 않은 에어드롭(KYC 없이), 시장 조성자 및 투자자와의 토큰 대출과 관련된 '비정상적인'[ 17 ] 계약이 제공됩니다. 불완전한 정보... 이미 전문가들에 의해 비판을 받고 있는 이러한 이상한 상황은 규제 당국에서 면밀히 관찰될 가능성이 높습니다. Worldcoin은 이를 ICO라고 부르지 않도록 주의하고 있습니다. 이는 특정 법률을 피하기 위해 가능합니다. 왜냐하면 시장 조성자에게만 토큰을 대여/판매하기 때문입니다(이후 개인에게 토큰을 제공합니다).

" WLD의 "ICO"는 없습니다 " (Worldcoin 공식 웹사이트 [ 17b ])

Worldcoin의 숨겨진 초기 토큰 제공이 프로젝트 관계자에게 얼마나 많은 수익을 가져다 줄지 정확하게 결정하려면 시장 조성자에 대한 대출(구매 옵션 포함)이 완료된 후 3개월 내에 첫 번째 평가를 수행해야 합니다. 이 평가는 직원과 팀이 예약된 토큰에 액세스할 수 있게 됨에 따라 향후 3년 동안 계속됩니다. 과대광고가 계속된다면 기여액은 수천만 달러에 달할 가능성이 높습니다 [ 18 ] [ 19 ].

대부분의 언론은 애플리케이션 테스터에게 '아낌없이', '자유롭게' 주어진 토큰의 가치가 단지 ICO 기간 동안 다른 개인 투자자에게 토큰 판매 가격을 예상하는 동시에 자금의 원천을 제공한 것에서 비롯된 것이라는 큰 그림을 놓치고 있습니다. 월드코인용.

따라서 Worldcoin은 다른 사람의 돈에 대해 정말 관대합니다.

실제로 Worldcoin 팀과 그 투자자들은 토큰의 상당 부분(23.3%)을 보유하고 있습니다[ 17b ].

이 이미지에 제공된 대체 텍스트가 없습니다.

100억 개의 토큰 중 23억 개 이상이 팀과 투자자에게 할당되어 1년 후 2년에 걸쳐 출시됩니다.

결국 Worldcoin이 의미 있는 솔루션을 제공하지 않더라도, 그에 수반되는 수많은 부정적인 논란을 무시하고 적어도 처음에는 chatGPT를 둘러싼 과대 광고에 힘입어 재정적 사회적 세척의 성공적인 사례가 될 가능성이 높습니다.

다음 섹션에서는 Worldcoin.c가 제기하는 실제 위험을 최종적으로 파악하기 위해 이 '솔루션'의 비효율성을 구체적으로 분석해 보겠습니다.

2) 비효율적

a) 어떻게 작동해야 합니까?

건축적인 세부 사항에 빠져들기 쉬우므로 기술적인 측면에 대해서는 별도의 기사에서 다루겠습니다. 그러나 단순화를 위해 Worldcoin 솔루션이 3가지 주요 구성 요소를 기반으로 구축되었다고 가정해 보겠습니다.

'World ID'[ 21 ]라는 새로운 유형의 신원과 'WLD 토큰'이라는 암호화폐를 관리하기 위한 지갑 역할을 하는 'World App'[ 20 ] 이라는 모바일 애플리케이션입니다 .

외부 서비스에서 이러한 ID와 토큰을 활용할 수 있도록 하는 중앙 집중식 및 분산형 서비스의 복잡한 집합입니다.

신뢰할 수 있는 운영자가 관리하는 'Orbs'라는 하드웨어 장치[ 22 ]는 자원 봉사자가 자신의 홍채를 스캔하여 고유한 World ID ID[ 23 ]와 일부 WLD 토큰을 얻을 수 있도록 합니다. Orbs는 본질적으로 이 시스템의 진입점 역할을 합니다.

이 이미지에 제공된 대체 텍스트가 없습니다.

Worldcoin의 World App 스마트폰 애플리케이션

각 사람의 홍채는 고유하기 때문에 Orb는 각 홍채의 개성을 구별할 수 있게 하고 '인격 증명'[ 24 ] 또는 '인간성'이라고 불리는 고유하고 맞춤화된 인류 증거를 생성할 수 있습니다. 검증된 개인은 '월드앱'이라는 모바일 애플리케이션을 통해 관리할 수 있었다.

이론적으로 홍채 이미지는 Orb를 떠나는 경우가 거의 없으며 고유한 '홍채 코드', '홍채 해시' 또는 'irishash')만 Worldcoin의 서비스로 전송됩니다. 홍채 코드는 홍채 이미지의 일종의 해시인 고유한 지문으로, 단순히 코드를 비교하여 홍채 이미지를 비교할 수 있는 기능을 갖추고 있습니다[ 25 ]. 이를 통해 동일한 사람을 시스템에 여러 번 등록할 수 있습니다.

참고로, 이 시스템에 자발적으로 등록한 개인은 처음에는 25개의 WLD 토큰을 받고 그 다음에는 매주 1개의 토큰을 받습니다. 이것이 사람들, 특히 초기 200만 명의 참가자 대부분이 출신인 '가난한' 국가의 사람들이 기꺼이 시간을 내어 Orb를 사용하려는 주된 이유입니다.

8월 11일, Worldcoin 팀은 이제 World App이 Orb를 방문하기 전에 사용자가 WLD 토큰을 예약할 수 있는 "새로운" 기능을 제공한다고 발표했습니다. 이러한 예약은 12개월 동안 유효하며, 사람들이 해당 기간 동안 눈을 스캔하여 예약된 세계 토큰을 사용하도록 동기를 부여합니다. 아무것도 바뀌지 않았으며(여전히 동일한 방식으로 토큰을 얻습니다) 살짝 찔러보는 것 외에는 거의 의미가 없습니다. [ 25b ]

이 이미지에 제공된 대체 텍스트가 없습니다.

새로운 자기 동기 부여 전략

동시에, 확인된 등록자는 실제 개인이 온라인에서 수행한 작업과 AI 유무에 관계없이 자동화된 프로그램에서 수행한 작업을 구별하는 데 도움이 되는 'World ID'라는 새로운 ID도 받게 됩니다.

이는 기술적으로 효율적이고 안전하며 개인 정보 보호를 존중합니다.

이제 효율성에 대한 약속에 초점을 맞춰 보겠습니다.

b) 인간과 AI를 구별하는 비효율적인 접근 방식

Worldcoin은 특히 인공지능 시대에 인간을 '기계' 및 기타 점점 인간과 유사한 '프로그램'과 차별화하는 것을 목표로 합니다. 개인적으로 우리가 사용하는 콘텐츠 추천 알고리즘이나 AI 편견의 영향보다 AI 탐지에 더 집중하는 것이 다소 특이하다고 생각합니다. 그럼에도 불구하고 그것이 중요하다고 가정합시다 ...

첫째, OpenAI조차도 자체 ChatGPT 기술로 생성된 텍스트를 포함하여 AI가 생성한 텍스트를 감지하지 못했다는 사실을 최근에 인정했다는 점에 주목할 필요가 있습니다[ 26 ]. AI가 순수하게 생성한 콘텐츠('인간' 콘텐츠에 대해 훈련됨)와 인간이 작성한 콘텐츠(AI에 의해 강화되었는지 여부)를 구별하려는 이러한 탐구는 상당히 쓸데없어 보입니다.

그러나 Worldcoin이 특정 콘텐츠의 출처를 효과적으로 구별하지 못하더라도 회사는 봇, 가짜 리뷰와 같은 자동화된 특정 욕설 행위를 탐지하고 이에 대처하는 데 도움을 주어야 합니다.... 그렇지 않다고 해도 무방합니다.

이 주제에 대한 주요 오류는 이러한 지속적인 사실에 있습니다. 신원이 처음에 인간과 연관된 것으로 확인되었다고 해서 나중에 이 신원이 동일한 인간에 의해 사용된다는 것을 보장할 수 있다는 의미는 아닙니다.

오늘 우리는 1000개의 가짜 계정이 서비스를 정체시키거나 가짜 리뷰를 게시하는 것에 대해 불평할 수 있지만, 내일은 Orbs Worldcoin 플랫폼에서 실제 사람들이 만든 1000개의 가짜 World ID로 인해 동일한 문제에 직면할 수 있습니다.

실제로 고유 홍채인증은 용도가 아닌 신원 생성을 위해 필요했습니다(다행입니다).

그러므로 그것은 가능합니다:

초기 홍채의 소유자가 아니어도 월드앱 애플리케이션을 사용할 수 있습니다. (휴대폰에서는 초기 검증을 재현할 수 있는 기능이 없습니다.)

World 앱을 거치지 않고도 Worldcoin의 WorldID ID를 관리할 수 있습니다(결국 이는 암호화로 약하게 보호되는 키이므로 이 주제는 다른 기사에서 다시 다루겠습니다).

따라서 Worldcoin의 World ID ID는 AI 유무에 관계없이 프로그램에서 동일하게 사용할 수 있습니다.

결론: Worldcoin은 인간이 개별적으로 관리하는 ID와 단일 인간 또는 기계가 제어하는 ​​ID를 구별하는 실질적인 솔루션을 제공하지 못합니다. 이러한 보증은 기만적이며 영리한 사기꾼이 이 기술을 쉽게 악용할 수 있는 새로운 기회를 구성합니다.

c) 다소 상대적인 신뢰

인간은 정말로 하나의 정체성인가? 그것은 논쟁의 여지가 있습니다.

현재 공격자들은 이 주장의 타당성을 테스트하는 데 별로 관심이 없을 수도 있지만, Worldcoin Orb 앞에 동일한 인간이 여러 번 나타나는 경우 동일한 식별자를 받아야 한다는 아이디어가 있습니다.

시간이 지남에 따라 Orb에 대한 특권적인 접근이 없더라도 다음 사항을 확인해야 합니다.

이미지 캡처 간 변형에 대한 허용 오차 설정은 동일한 Orb에서 '중복'이 감지되도록 하는 데 충분합니다.

서로 다른 오브(동일한 세대이든 아니든, 하드웨어가 발전함에 따라) 간의 이미지 캡처 차이는 별개의 신원으로 받아들여질 만큼 다른 '홍채 코드'를 생성하지 않습니다.

렌즈(질감, 컬러, 왜곡 등)를 사용하는 공격자는 충분히 구별되는 '홍채 코드'를 생성할 수 없습니다.

홍채 기반 생체 인식 분야의 특정 표준 보안 테스트와 달리 공격자는 자신의 홍채가 다른 사람의 홍채인 것처럼 가장할 필요가 없습니다. 여기서의 도전은 더 쉽습니다. 그들은 자신의 홍채가 이전에 Orb에 의해 기록된 자신의 홍채와 충분히 다르게 보이도록 만들기만 하면 됩니다(독립적으로 여러 ID를 생성하기 위해).

등록 인센티브를 사용하면 사기가 더 쉬워집니다.

Worldcoin은 자원봉사자들에게 보상의 대가로 안구 스캔을 받도록 권장해 왔습니다. 전 세계의 다양한 그룹에 등록 시 다양한 선물(예: WLD 토큰, USD/US1DT, 현지 통화, '에어팟' 등)이 제공되었습니다.

이러한 보상은 Orb를 사용하는 개인뿐만 아니라 운영자에게도 제공됩니다(그리고 과거에 운영자와 협력한 Orb 배포자에게도 제공될 수 있습니다 [ 27 ]).

이 이미지에 제공된 대체 텍스트가 없습니다.

사용자와 운영자에게 인센티브를 제공하는 WLD 토큰 [28]

안타깝게도 이런 종류의 '동기'로 인해 운영자는 수량을 우선시하고 사람들이 Orb를 사용하도록 서두르게 되었으며, 때로는 부적절하게 필요한 정보를 제공하지 않거나 심지어 개인이 앱을 올바르게 사용하는 방법을 이해했는지 확인하지도 않았습니다. 모바일 앱 없이 진행되어 가짜 등록이 더 쉬워졌습니다.)

이 이미지에 제공된 대체 텍스트가 없습니다.

상황이 무엇이든, 운영자는 신규 사용자를 등록하기 위해 비용을 지불받습니다. (사진 출처: Worldcoin)

과거의 부정적인 홍보에 연연하지 않고 Worldcoin조차도 가난한 국가(Worldcoin이 자랑하는 2백만 명의 인간 등록 중 대부분이 발생한 곳)에서 이전 Orb 운영자의 특정 학대 행위를 인정했다는 점을 언급할 가치가 있습니다. 이러한 문제에 대해서는 '기만, 근로자 착취 및 현금 지급: Worldcoin이 처음 50만 명의 테스트 사용자를 모집한 방법'[ 29 ]이라는 제목의 MIT 기술 리뷰 기사와 Worldcoin의 응답[ 30 ](아님) 에서 읽을 수 있습니다. 매우 설득력 있음) 이러한 주장에.

우리는 이러한 '잘못된' 등록 개인 중 다수가 받아야 할 토큰을 청구하기 위해 앞으로 나오지 않을 때 이러한 문제의 결과를 미래에 보게 될 것입니다.

불행하게도 우리는 그들을 대신하여 허위로 주장된 토큰을 감지할 수 없습니다.

등록에 대한 금전적 인센티브는 단일 개인이 제어하는 ​​다수의 '좀비' 신원을 생성하려는 사기꾼에게도 도움이 될 수 있습니다.

실제로, 공격자는 개인 사용을 위해 등록할 수 있도록 미리 구성된 전화를 제공하고 이러한 '프록시' 개인을 Worldcoin에서 받은 토큰으로 전체 또는 부분적으로 보상함으로써 취약한 개인 그룹을 악용하기 쉽습니다.

Worldcoin은 앱의 동적 QR 코드[ 31 ]를 통해 등록 보안을 향상한다고 주장했지만 이는 본질적으로 시간이 지남에 따라 변경되는 단순한 세션 ID일 뿐 강력한 보호 기능을 제공하지 않습니다. 이러한 소위 '개선'을 우회하기 위해 예를 들어 공범에게 전화를 제공하거나 서버에서 다시 전송된 세션 코드를 중계할 수 있습니다.

확인된 신원을 구매, 판매 또는 임대할 수도 있습니다.

한 명의 사기꾼이 여러 개인에게 직접 등록하도록 비용을 지불할 수 있을 뿐만 아니라 World ID ID를 거래하는 것도 전적으로 가능합니다. 게다가 암시장[ 32 ]에서 이러한 신원을 얻는 것은 이미 현실입니다.

Worldcoin의 World ID ID를 생성하고 이를 재판매용으로 제공하는 가장 쉬운 방법의 단계는 다음과 같습니다.

a) 초기 비밀번호로 새 Google 또는 Apple 계정을 만듭니다.

b) 이 계정을 재설정된 스마트폰에 연결합니다.

c) Worldcoin에서 World App을 설치하고 두 번째 비밀번호(첫 번째 비밀번호와 동일할 수 있음)를 선택하여 클라우드에서 백업을 활성화합니다(새 계정 사용).

d) 월드 ID를 얻기 위해 오브 앞에 서세요.

e) 이제 World ID를 판매용으로 제공할 수 있습니다. 결제를 받을 때 구매자가 인수할 수 있도록 Google 또는 Apple 계정의 참조 번호와 두 개의 비밀번호만 제공하면 됩니다.

익명 복원 절차가 가능한 순간부터[ 33 ], 이러한 유형의 사기에 효과적으로 대처하기는 어렵습니다.

또 다른 더 복잡한 해결책은 애플리케이션에서 개인 키를 추출하는 것입니다. 그러나 우리는 아마도 다른 기사에서 이 트랙으로 돌아올 것입니다.

검증된 ID 판매 사례와 별도로 이러한 유형의 솔루션이 채택되면 가끔 대량 사용(투표, 리뷰 등)을 위해 ID를 '대여'하는 불법적인 제안이 나타날 가능성이 높습니다.

현재로서는 그다지 분산되지 않은 솔루션

Worldcoin은 솔루션의 분산화가 불완전하다는 것을 인식하고 이를 개선할 수 있는 몇 가지 아이디어를 가지고 있습니다[ 34 ]. 솔루션과 '공통' 분산형 웹3의 거리를 두는 중앙화의 몇 가지 지점은 다음과 같습니다.

Orbs의 중앙 집중식 제조

등록에 대한 비공개 감독(Orb를 구매할 수 있는 경우에도)

Worldcoin 서비스 운영에 필수적인 수많은 중앙 집중식 웹 서버

프로젝트의 민간 거버넌스(이전 반전으로 설명됨)

3) 위험하다

a) 수집 가능한 개인 데이터가 너무 많습니다.

특정 Worldcoin 페이지를 빠르게 살펴보면 해당 페이지가 개인 정보를 수집하지 않는다고 가정할 수 있습니다. 그러나 작은 글씨를 읽어보면 항상 그런 것은 아니라는 것을 알 수 있습니다.

Worldcoin은 요청된 정보 중에서도 필수 정보가 거의 없다고 주장함으로써 스스로를 방어하려고 합니다.

실제로 앱 버전마다 차이가 있지만 안타깝게도 일반적인 기술을 사용하여 필요 이상의 사용자 정보를 요청하고 수집하는 관행이 일반적입니다. 사용자가 최소한의 개인 정보를 공유하도록 선택할 수 있더라도 인터페이스의 함정(어두운 패턴)에 빠지지 않는 것은 어렵습니다.

다음은 전화번호를 알아내는 '다크 패턴' 트릭의 예입니다. 단계를 건너뛰는 미묘한 버튼과 전화번호를 알려주지 않는 것에 대해 다시 생각하게 만드는 경고 메시지입니다.

이 이미지에 제공된 대체 텍스트가 없습니다.

전화번호를 알려주지 않는 방법을 찾기가 어렵습니다... 그리고 그 선택을 고수하세요

스마트폰 앱이 출시되기 전에 사용자 등록에는 표준 웹 로그인을 통해 이메일(확인할 수는 없지만 이름까지)과 같은 추가 개인 정보가 필요할 수 있었습니다[ 35 ]. https://getworldcoin.com/signin 에는 아직도 흔적이 있습니다 .

이 이미지에 제공된 대체 텍스트가 없습니다.

Worldcoin의 기존 웹 로그인 시스템은 다른 데이터를 수집할 수 있습니다.

제가 7월에 Orb에 등록하기 위해 사용한 버전에서는 '데이터 보호권' 옵션이 그다지 명확하지 않았습니다. 데이터 공유를 위한 선택적인 'Worldcoin 개선 지원' 선택이라는 점을 이해해야 했습니다. 간단하지 않았고 8월 버전이 좀 더 명확해졌습니다.

이 이미지에 제공된 대체 텍스트가 없습니다.

앱 내 '데이터 보호권' 옵션에 대한 정보가 최근에야 개선되었습니다.

하지만 Orb에서 수집한 데이터와 관련하여 이 '데이터 보호권' 옵션에는 실제로 무엇이 포함됩니까?

이 이미지에 제공된 대체 텍스트가 없습니다.

공식 Worldcoin 웹사이트에 설명된 '데이터 보호권' 옵션 [36]

홍보 웹사이트에서 Worldcoin은 때때로 '생체 인식 데이터'라는 용어를 사용하여 자체 서버에 선택적으로 저장할 수 있는 데이터를 나타냅니다. Worldcoin '도움말 센터'는 '생체 인식 데이터'와 '이미지 데이터'라는 용어를 번갈아 사용합니다[ 37 ].

우리가 생각하는 것과는 달리 이는 단순한 홍채 사진이 아니라 홍채와 얼굴 전체의 사진을 가시광선과 두 가지 유형의 적외선으로 촬영한 2D 및 3D 사진입니다.

이 이미지에 제공된 대체 텍스트가 없습니다.

Orb는 단순한 홍채 이미지 이상의 것을 수집합니다. (Noun Project CC BY 3.0의 김문강 작품)

다음은 Worldcoin 웹사이트에서 서버에 사진을 보내는 데 동의하도록 권장하기 위해 언급한 주장입니다. 나중에 알고리즘이 변경되면 일반적으로 Orb를 다시 방문하여 신원을 업데이트해야 합니다. 그러나 Worldcoin에 사진이 저장되어 있으면 다시 돌아올 필요가 없으며 업데이트가 자동으로 발생합니다. Orb 운영자는 또한 등록 시 사람들을 설득하기 위해 이 점을 사용합니다.

이 이미지에 제공된 대체 텍스트가 없습니다.

또는 '사진을 보내주시면 업데이트 시 Orb로 돌아올 필요가 없습니다.' [37b]

결국, 수집된 모든 데이터는 데이터 수집을 위한 법적 동의서(생체인식 데이터 동의서 [ 38 ]) 및 개인정보 보호정책(개인정보 보호정책 [ 39 ])에 자세히 설명되어 있으며 여기에는 다음이 포함됩니다.

위에서 설명한 이미지(얼굴, 홍채 등)

사용자가 제공하고 별도로 저장되는 기타 정보는 상황에 따라 이름, 이메일, 전화번호, 이메일 또는 채팅을 통한 지원 교환, 지리적 위치 등이 될 수 있습니다.

운영 체제, 브라우저, IP 주소, 타임스탬프에 대한 세부 정보 등 애플리케이션이나 해당 웹 서비스에서 자동으로 수집할 수 있는 기타 정보

GDPR의 제약 사항은 이 문서에 명확하게 설명되어 있는 것으로 보이며, 자동으로 미국으로의 이미지 전송 권한을 부여하더라도 유럽 데이터는 유럽 서버에 남아 있다는 점에 주목합니다.

과거에 Worldcoin은 자사의 Orbs도 검증된 인간의 신체를 2D와 3D로 촬영했다고 밝혔지만 [ 39b ] 더 이상 그렇지 않은 것 같습니다.

대부분의 데이터 수집은 등록 단계에서 발생하며 백서 [ 40 ]에 이 프로세스에 대한 다이어그램이 있지만 다음은 보다 상세하고 포괄적인 개인 버전입니다.

이 이미지에 제공된 대체 텍스트가 없습니다.

등록 프로세스와 데이터 및 해당 위치에 미치는 영향

간단히 말해서, 이 다이어그램의 신원 확약 [ 41 ] 및 머클 트리의 개념은 귀하가 그룹의 일원임을 증명하고 올바르게 수행되었을 때 개인 정보를 그대로 유지하는 데 도움이 되는 기술입니다. 목표는 사용자가 검증된 인간 신원 그룹의 일부임을 증명할 수 있는 도구를 갖는 것입니다.

법률 문서에서 '월드 앱'과 이전 웹 등록 서비스 모두에 '데이터 관리 앱'이라는 용어를 사용하고 있어 상황이 더 명확하지 않을 수 있다는 점이 흥미롭습니다.

b) 당국 및 규제 당국의 조사

규제 당국은 이 프로젝트에 대해 거의 동일한 우려와 질문을 갖고 있습니다.

어떤 데이터가 수집되고 있나요?

무슨 목적을 위해?

저장된 데이터는 어디에, 어떻게 보관되나요?

관련된 사람들이 사용자 또는 운영자(더 많은 책임을 져야 함)로 참여할 때의 의미를 진정으로 이해합니까?

언론인이나 조사관이 '공짜 돈'을 받기 위해 Orbs 주변에 모인 사람들과 상호 작용할 때마다 이는 매우 분명합니다. 이용 약관을 읽는 사람은 거의 없으며 정보는 불완전하거나 잘못된 경우가 많습니다. 우리는 개인 및 생체 인식 데이터를 수집하는 공간에 필수적인 전문적인 감독과는 거리가 멀습니다.

독일

독일에 본사를 두고 있는 주요 데이터 보호 기관인 바이에른 DPA(바이에른 주 데이터 보호 감독국)는 2022년 11월에 최초의 유럽 조사를 시작했습니다[ 42 ]. 조사는 아직 진행 중입니다.

영국

영국 규제기관인 정보위원회(ICO)는 조직이 생체정보를 처리하기 전 '데이터 보호 영향 평가(DPIA)'를 실시해야 한다고 7월 2일 밝혔다. 규제 당국은 영국 내에서 Worldcoin의 구현을 인정했으며 조사를 시작할 것입니다 [ 43 ].

프랑스

7월 31일, CNIL(Commission Nationale de l'Informatique et des Libertés)은 Worldcoin에 대한 조사를 시작했음을 확인했습니다. 한 관계자는 (언론인과의 대화에서) '데이터 수집 및 저장의 합법성에 대한 우려'를 표명한 것으로 알려졌습니다[ 44 ].

8월 7일 저녁, 프랑스에 있던 Orb가 Worldcoin 공식 웹사이트의 사용 가능한 Orb 목록에서 갑자기 사라졌습니다(프랑스에서는 더 이상 약속을 잡을 수 없습니다).

케냐

8월 5일 케냐 당국은 수집된 데이터와 그 활용, 혼잡한 대기줄에 대해 우려를 표명했다[ 45 ].

8월 7일 경찰은 문서를 압수하기 위해 월드코인 사무실을 급습했다[ 46 ].

2024년 2월 최신 세계지도

2023년 12월, Worldcoin은 인도, 브라질, 프랑스에서 Orb 검증 제공을 중단한다고 발표했습니다[ 61 ]. Orbs를 찾을 수 있는 국가 목록은 그 어느 때보다 적습니다.

업데이트된 국가 목록 출처: 공식 Worldcoin 웹사이트

c) 사용자 스스로

Worldcoin 지원은 약하고 거의 존재하지 않습니다.

인앱 '채팅'이 응답하지 않습니다.

Zendesk 공간에는 정보가 거의 없습니다. [ 47 ]

World App 및 Worldcoin 서비스는 종종 다음과 같은 문제를 경험합니다.

등록 서비스를 이용할 수 없습니다

비밀번호 요청 메시지 반복

세부정보가 없는 기타 오류 메시지

최소 2주 동안은 클라우드 백업이 불가능합니다.

아래 예: 사용자와 언론이 보도한 대규모 서비스 중단 중 8월 7일의 서비스 상태 페이지 [ 47b ].

이 이미지에 제공된 대체 텍스트가 없습니다.

Worldcoin 서비스 진단 페이지

지원 플랫폼 역할도 하지만 사람들이 주로 서로 의존하는 Discord에는 공식 회원의 개입이 거의 없습니다. 다행히도 커뮤니티 자체에서 어느 정도 도움을 주고 있습니다.

불행하게도 Discord에는 공식적인 지원을 가장하는 사기꾼들이 가득합니다. 몇 분 만에 가짜 에어드롭 웹사이트, 가짜 문제 해결사, 가짜 Discord 지원 사이트 초대라는 3가지 유형의 접근 방식을 만났습니다.

이 정도 규모의 프로젝트에 대한 지원은 기대치에 훨씬 못 미치며 이러한 부족함은 모든 종류의 사기꾼에게 좋은 환경을 제공한다고 말하는 것이 타당합니다. [ 48 ].

정보를 얻는 것은 쉽지 않지만 상대적으로 덜 활동적인 지원 채널은 Twitter/X 계정 @worldappsupport [ 49 ]에서 찾을 수 있습니다.

d) 보안 문제

운영자 신뢰성

운영자를 관리하고 감독하는 방식은 시간이 지남에 따라 개선되는 것처럼 보이지만 보안에서는 핵심적인 역할을 합니다.

그들은 특정 Worldcoin 검증을 스스로 우회할 수 있습니다.

그들은 오브의 물리적 무결성을 담당합니다.

때로는 대기자 명단 관리를 독립적으로 구성해야 하는 경우도 있습니다.

사용자 등록을 위해 적절한 정보를 제공하고 적절한 수준의 보안을 유지해야 합니다.

Orb 운영자 제어판은 오랫동안 두 번째 인증 요소 없이 액세스할 수 있었으며 과거에는 일부 액세스 권한이 도난당했습니다[ 50 ].

이러한 운영자는 급하게 훈련을 받는 경우가 많으며, 안타깝게도 직무를 효과적으로 수행하는 데 필요한 환경이나 시간이 부족합니다. 추가적으로, 그들은 진정한 Worldcoin 직원이 아니라는 점을 기억하는 것이 중요합니다. 오히려 그들은 불안정한 계약에 따라 하청업체로 기능합니다.

누구나 운영자가 되기 위해 지원할 수 있기 때문에 나쁜 의도와 관련 위험을 가진 운영자를 만날 가능성이 있습니다. 더 나쁜 것은 보안 전문가들이 자격을 갖춘 Orb 운영자가 되기 위해 Worldcoin의 검증 절차를 우회하는 방법을 찾았다는 것입니다. [ 50b ].

Orb의 하드웨어 보안

Worldcoin은 궁극적으로 Orb의 소프트웨어 및 하드웨어 세부 정보를 공유하여 다른 사람들도 개발에 기여할 수 있도록 할 계획입니다. 그동안 그들은 Orb [ 51 ] [ 52 ]에 대한 많은 정보를 제공합니다.

이 이미지에 제공된 대체 텍스트가 없습니다.

이 이미지에 제공된 대체 텍스트가 없습니다.

블로그 게시물[53] 및 백서[54]에서 Orb 키의 하드웨어 보안에 대한 언급

Worldcoin Github의 아키텍처 다이어그램 [ 55 ]이나 해당 구성 요소 목록 [ 56 ]에는 보안 요소(예: TPM)에 대한 언급이 없습니다 . 이 점에 대해서는 더 이상 정확한 정보가 없습니다.

카메라가 메인 CPU에 연결되는 방식도 누군가 수정된 콘텐츠를 전송하기 위해 조작할 수 있다면 약점이 될 수 있습니다.

곡선 선택(암호화)

Worldcoin이 발행한 보안 보고서(이 점에 대해 찬사를 보냅니다)는 선택된 곡선(암호화 알고리즘)이 특정 국가 보안 기관의 권장 사항을 완전히 충족하지 못한다고 지적합니다. 자세한 내용을 다루지 않고 Worldcoin 팀은 현재 'BN-254'라는 곡선을 사용하고 있는데, 이 곡선의 보안 수준은 최근 몇 년간 감소했습니다[ 57 ].

보안 보고서는 BLS12-381로의 전환을 제안하지만 안타깝게도 BN254 [ 58 ] 이상의 암호화 유연성은 별로 없습니다. 왜냐하면 이더리움에서 (온체인 zkSNARKs 증명을 활성화하기 위해) 곡선 지원 요청이 거의 이루어지고 허용되지 않았기 때문입니다.

따라서 보고서는 이 문제가 Worldcoin 팀에 의해 인정되었으며 실행 가능한 기술 솔루션이 부족하여 해결되지 않은 것으로 간주하고 있음을 관찰합니다[ 59 ].

이 이미지에 제공된 대체 텍스트가 없습니다.

곡선 선택에 따른 보안 수준 표(기관에서는 새로운 솔루션에 대해 120 또는 128을 권장하는 경우가 많음)

기관별 보안 수준 요구 사항 요약: [ 60 ]

미국: NIST는 112(2019~2030), 2030년 이후에는 128을 권장합니다.

프랑스: ANSSI는 2021년부터 128을 권장합니다.

독일: BSI는 2020년부터 128을 권장합니다.

매우 다양한 암호화 도구를 비교할 때 보안 수준 동등성의 기본 개념에 대한 지속적인 논쟁도 있습니다.

e) 제한에 대한 신뢰

Worldcoin의 Orbs와 서비스의 손상은 취약성과 장애에서 비롯될 수 있지만 다양한 인적, 물질적, 중앙 집중식 개입의 조합으로 인해 또 다른 위협, 즉 의도적인 악의적 행위를 예방하고 탐지하는 것이 어려워집니다.

악의적인 내부자

조작된 각 신원은 토큰 수입의 원천이 되므로 내부 행위자는 기술적인 도전(또는 트롤링)이나 금전적 이득에 대한 욕구로 거짓 신원을 생성하려는 유혹을 받을 수 있습니다.

외부 협박

경영진을 포함한 내부 행위자는 악의적인 공격자에 의해 허위 신원을 생성하거나, 권한 있는 액세스를 제공하거나, 기밀 정보를 공개하도록 강요받을 수 있습니다.

Worldcoin은 대기업과 심지어 국가가 자사의 솔루션을 사용할 수 있도록 '활성화'하려는 의도를 강조합니다. 이러한 민감한 행위자의 경우 다른 유형의 위협도 고려할 수 있습니다.

특권적인 협업

경영진을 포함한 내부 행위자는 '3자 기관'(NSA, FBI)에 의해 허위 신원을 생성하거나, 특권적인 액세스를 제공하거나, 기밀 정보를 공개하도록 강요받을 수 있습니다.

f) 고유하고 부인할 수 없는 식별자로 축소된 신원

[평가판 플랫폼 docs.worldcoin.org/try 에서 지속적인 테스트 중 ]. 웹 서비스는 특정 컨텍스트(예: 도메인/서비스) 내에서 동일한 사용자에 대해 고유하고 일관성을 유지하는 식별자를 요청할 수 있는 것으로 보입니다.

현재 진행 중인 주요 SSO(Single Sign-On)/인증 포털 제공업체(Okta, Auth0 등)와의 파트너십을 고려하면, 국가가 Worldcoin World ID 보유자에게 다양한 서비스에 액세스하기 위해 특정 포털에서 인증을 요청하는 시나리오를 구상하는 것이 가능합니다. 동일한 식별자를 사용합니다.

이러한 유형의 기능을 사용하면 대규모 중앙 집중식 개인 또는 공용 서비스에서 사용자가 변경할 수 없는 고유하고 거부할 수 없는 식별자에 연결되도록 강요할 수 있습니다. 간접적으로 이는 사용자의 개인정보를 완전히 존중하지 않을 수 있는 Worldcoin 기반 솔루션 개발로 이어질 수 있습니다.

결론

Worldcom의 World ID 솔루션은 궁극적으로 (환상적인 보편