区块链和分布式记账技术 应用服务 分布式身份参考架构 征求意见稿

1GB/TXXXXX—XXXX区块链和分布式记账技术应用服务分布式身份参考架构本文件确立了分布式身份系统架构，规定了服务对接层、分布式身份能力层、基础设施层以及管理子系统的技术要求。本文件适用于分布式身份系统的设计与实现，指导分布式身份系统的建设，为分布式身份系统参与方选择和使用相关服务提供参考。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T35273信息安全技术个人信息安全规范GB/T39786信息安全技术信息系统密码应用基本要求GB/T42752区块链和分布式记账技术参考架构GB/T43697数据安全技术数据分类分级规则3术语和定义下列术语和定义适用于本文件。3.1分布式身份decentralizedidentity去中心化系统中管理的身份。[来源：ISO22739：2024，3.19]3.2分布式身份标识符decentralizedidentifier全局唯一的持久化标识符，一般不需要集中式注册机构管理，通常以密码的方式生成和/或注册。[来源：ISO/TR6039：2023，3.3，有修改]3.3分布式身份标识符文档decentralizedidentifierdocument描述分布式身份标识符主体的数据集，包括分布式身份标识符主体的公钥等机制，以验证身份并证明其与分布式身份标识符的联系。3.4分布式身份标识符主体decentralizedidentifiersubject由分布式身份标识符标识并由分布式身份标识符文档描述的实体。[来源：ISO/TR6039：2023，3.4]3.52GB/TXXXXX—XXXX分布式账本distributedledger在一组分布式记账技术节点之间共享并使用共识机制同步的账本。注：分布式账本被设计为防篡改、仅可追加和不变性，包含[来源：GB/T43572—2023，3.22]3.6服务端点serviceendpoint一个网络地址，分布式身份标识符主体通过该地址提供服务。3.7鉴别authentication验证某一实体所声称身份的过程。[来源：GB/T25069—2022，3.296]3.8零知识证明zero-knowledgeproof证明者向验证者证明某个论断的正确性，却不泄露除正确性以外其他信息的密码协议。[来源：GB/T42570—2023，3.24]3.9凭证credential一组数据，作为声明或主张的身份和/或权利的证据。[来源：ISO/TR6039：2023，3.2]3.10可验证凭证verifiablecredential一种防篡改的凭证，其权属可被密码学验证。[来源：ISO/TR6039：2023，3.9]3.11可验证数据注册表verifiabledataregistry分布式身份系统中用于存储和验证分布式身份标识符和分布式身份标识符文档、以及验证可验证凭证有效性的子系统。3.12可验证表述verifiablepresentation从一个或多个可验证凭证（由一个或多个颁发者颁发）派生，与特定的验证者共享的数据，其权属可被密码学验证。3.13身份核验identityproofing基于身份证据，旨在达到具体确保级的验证。注1：身份核验通常作为登记的组成部分来进行。在维护已登记的身份信息（例如，用户账户恢复）期间，也可能注3：对身份核验的验证通常基于登记策略，其中包括对实体所提供的身注4：在进行身份核验时获得的经验证的身份信息，能包括在注册中，并能有[来源：GB/T25069—2022，3.514]3.14实体entity3GB/TXXXXX—XXXX在信息和通信技术系统内部或外部的事物，例如人员、组织、设备、子系统或一组可识别的、明确区分的此类事物。[来源：GB/T43572—2023，3.34]3.15用户代理useragent用于帮助用户生成、管理、存储和使用私钥等关键信息的程序、设备和服务。4缩略语下列缩略语适用于本文件。CA：证书认证机构（CertificateAuthority）DID：分布式身份标识符（DecentralizedIdentifier）SE：安全元件（SecureElement）TEE：可信执行环境（TrustedExecutionEnvironment）URI：统一资源描述符（UniformResourceIdentifier）VC：可验证凭证（VerifiableCredential）VDR：可验证数据注册表（VerifiableDataRegistry）VP：可验证表述（VerifiablePresentation）5分布式身份系统架构5.1架构分布式身份系统架构（见图1）包括服务对接层、分布式身份能力层、基础设施层以及管理子系统：a)服务对接层包括SDK、客户端及API，主要实现分布式核心服务与外部系统间的对接与数据交b)分布式身份能力层包括DID子系统、凭证子系统和可验证数据注册子系统，主要实现分布式身份系统的核心功能；c)基础设施层包括存储基础设施和密码基础设施，为分布式身份系统提供基础的存储和密码服d)管理子系统包括安全管理模块、治理模块和审计模块，涵盖分布式身份系统的服务对接层、分布式身份能力层和基础设施层，用以保护系统中用户身份信息的安全和隐私，保证所有身份相关行为可追溯和可审计，实现整个生态系统透明、合规和高效运作。4GB/TXXXXX—XXXX图1分布式身份系统架构5.2服务对接层外部应用系统通过服务对接层接入分布式身份系统，接入方式包括SDK、客户端、API等。5.3分布式身份能力层5.3.1DID子系统DID子系统提供DID标识符和DID文档管理功能，包括DID的创建、解析、使用、更新、恢复、注销等。关于DID相关基础概念的描述和示例见附录A。5.3.2凭证子系统凭证子系统包括VC模块和VP模块，提供对VC和VP的管理功能，包括VC的颁发、验证、更新、撤销、转移、删除，以及VP的出示和验证等。附录B以跨境贸易场景为例描述了凭证的流转过程。5.3.3可验证数据注册子系统可验证数据注册子系统包括DID数据注册模块、VC数据注册模块和VP数据注册模块，结合底层存储基础设施共同构成VDR，提供数据的安全存储和访问功能，保证数据的不可篡改、可追溯和可审计。5.4基础设施层分布式身份系统基础设施层包括存储基础设施和密码基础设施：a)存储基础设施为分布式身份系统提供数据存储服务，包括分布式账本、可信数据库等，根据应用场景可选择去中心化的分布式账本或者中心化的可信数据库作为存储基础设施；b)密码基础设施为分布式身份系统提供密码服务，包括个人密钥设备或系统（TEE、SE、密码模块等）、密钥托管设备或系统（密钥保管箱、密钥管理系统等）、密码计算设备（密码机、密码卡等）等。5GB/TXXXXX—XXXX5.5管理子系统管理子系统包括安全管理模块、治理模块和审计模块：a)安全管理模块用于实现DID和VC的身份信息安全与隐私保护；b)治理模块通过指定管理机构，设立管理框架和技术标准，实现整个生态系统透明、合规与高效运作；c)审计模块记录、监控和评估系统中的各项操作，保证所有身份相关行为可追溯、合规和安全。6服务对接层技术要求分布式身份系统通过SDK、客户端、API等方式对外提供服务，符合如下要求：a)应保证接口采集数据的准确性和可靠性；b)应保证接口数据传输过程中的机密性；c)应保证接口数据传输过程中的完整性；d)应保证接口设计的灵活性和可扩展性；e)应满足跨平台兼容性，保证相关接口可在不同的硬件、操作系统上正常使用；f)应保证接口的调用过程具备流程控制和权限控制；g)应保证接口幂等性，在相同请求数据前提下，接口一次调用和多次调用的结果一致；h)宜支持多种密码算法的调用对接。7分布式身份能力层技术要求7.1DID子系统7.1.1DID创建DID创建是生成并关联DID标识符和DID文档的过程，符合如下要求：a)宜通过用户代理生成DID公私钥对；b)应基于DID公钥等信息创建DID标识符；c)应基于DID标识符、DID公钥等创建相应的DID文档；d)应保证DID标识符和DID文档的一一对应关系；e)应保证DID标识符的全局唯一性；f)宜在DID创建前，向权威第三方（国家网络身份认证公共服务、CA等）进行用户身份真实性核验。7.1.2DID解析DID解析是依据DID标识符获取DID文档的过程，符合如下要求：a)应支持根据DID标识符从VDR解析获取DID文档；b)可支持从VDR解析获取DID文档中的指定属性；c)可支持从VDR解析DID标识符对应的指定版本的DID文档。7.1.3DID使用DID使用是应用DID的过程，符合如下要求：a)应支持使用DID私钥对数据进行数字签名，以及基于相应DID公钥的签名验证；6GB/TXXXXX—XXXXb)应支持使用DID私钥进行DID权属鉴别；c)可支持使用DID进行加密通信；d)宜支持使用二维码等方式展示DID标识符。7.1.4DID更新DID更新是对DID文档中属性进行更新的过程，应符合如下要求：a)支持更新DID文档中的DID公钥、服务端点等属性；b)将更新后的DID文档重新注册到VDR；c)对更新DID文档的操作执行身份鉴别。7.1.5DID恢复DID恢复是在DID私钥丢失后重新获得DID控制权的过程，符合如下要求：a)应在创建DID时设置恢复机制，如创建恢复密钥等；b)宜支持基于多方协作的密码机制恢复用户对DID的控制。7.1.6DID注销DID注销是停用DID标识符并将DID文档无效化的过程，应符合如下要求：a)保证注销后该DID无法再次注册或激活；b)在VDR中设置标志表明该DID已注销；c)从关联的DID文档中删除所有验证方法，保证没有任何验证方法可以鉴别DID主体身份。7.2凭证子系统7.2.1VC颁发VC颁发是颁发者颁发VC给持有者的过程，符合如下要求：a)应保证持有者在颁发者为其颁发VC前已经创建DID标识符及相应的DID文档；b)持有者请求颁发VC时，应使用其DID标识符相应的私钥进行数字签名；c)颁发者颁发VC时，应使用持有者DID标识符对应的公钥验证VC颁发请求中的数字签名，保证其为DID标识符的持有者；d)主体身份属性核验通过后，颁发者应使用颁发者私钥对持有者身份信息进行签名，颁发VC；e)宜支持从VDR加载VC模板，根据VC模板颁发VC；f)颁发者颁发VC后，应通过安全信道将VC从颁发者发送至持有者；g)宜支持基于零知识证明、默克尔树等隐私保护技术生成VC。7.2.2VC验证VC验证是验证者验证VC有效性的过程，符合如下要求：a)应支持验证颁发者数字签名的有效性；b)应支持验证VC是否已撤销；c)应支持验证VC有效期；d)宜支持验证采用零知识证明等隐私保护技术生成的VC。7.2.3VC更新VC更新是颁发者对VC属性进行更新的过程，符合如下要求：7GB/TXXXXX—XXXXa)颁发者应对请求VC更新的用户材料进行核验；b)宜支持颁发者更新已颁发VC的有效期；c)宜支持颁发者更新已颁发VC的部分属性。7.2.4VC撤销VC撤销是颁发者撤销VC的过程，符合如下要求：a)应支持颁发者撤销已颁发的VC；b)宜在VDR上维护VC撤销列表，撤销VC后更新该撤销列表。7.2.5VC转移VC转移是持有者将VC传递至不同用户代理或终端的过程，应符合如下要求：a)支持持有者将VC转移到自己的不同用户代理；b)支持持有者将VC转移给其他持有者，转移过程需要原持有者的授权；c)通过安全信道传递VC。7.2.6VC删除VC删除是持有者在用户代理或终端中删除VC的过程，符合如下要求：a)应支持持有者通过用户代理在用户本地终端删除VC；b)宜支持用户代理主动识别VC的异常状态（已过期、已撤销等）；c)宜支持持有者通过用户代理快速查找异常状态VC。7.2.7VP出示VP出示是持有者生成VP并发送给验证者的过程，符合如下要求：a)持有者收到验证者身份验证请求后，应查看并进行主动授权；b)应支持基于针对同一主体由同一颁发者颁发的多个VC生成VP；c)应支持基于针对同一主体由不同颁发者颁发的多个VC生成VP；d)可支持基于不同主体的多个VC生成VP；e)持有者生成VP后，应通过安全信道将VP发送至验证者；f)宜支持采用选择性披露的VP，该VP包含一个或多个VC的部分属性；g)宜支持采用零知识证明等隐私保护技术生成属性身份证明的VP，该VP基于VC派生但可不包含VC数据；h)宜支持从VDR加载VP模板，根据VP模板签发VP。7.2.8VP验证VP验证是验证者验证VP有效性的过程，符合如下要求：a)应支持验证VP的有效性，包括但不限于数字签名和有效期；b)应支持验证VP中包含的一个或多个VC的有效性；c)宜支持验证采用零知识证明等隐私保护技术生成的VP。7.3可验证数据注册子系统7.3.1DID数据注册DID数据注册是在VDR中记录和管理DID标识符和DID文档的过程，符合如下要求：8GB/TXXXXX—XXXXa)应支持DID标识符和DID文档注册；b)应支持根据DID标识符从VDR中获取DID文档；c)应支持在VDR中更新DID文档；d)宜支持将DID使用记录在VDR中存证。7.3.2VC数据注册VC数据注册是在VDR中记录和管理VC辅助验证信息的过程，符合如下要求：a)应支持VC模板注册；b)宜支持VC撤销列表、颁发者公钥等辅助验证信息注册；c)宜支持VC哈希值注册，提供对VC的完整性保护；d)宜支持VC状态查询；e)宜支持将VC颁发、验证、更新、撤销等记录在VDR进行存证。7.3.3VP数据注册VP数据注册是在VDR中记录和管理VP辅助验证信息的过程，宜符合如下要求：a)支持VP哈希值等辅助验证信息注册；b)支持VP模板注册；c)支持将VP出示、验证等操作记录在VDR中进行存证。8基础设施层技术要求8.1存储基础设施8.1.1分布式账本分布式账本提供去中心化的、不可篡改的记录功能，符合如下要求：a)分布式账本基本功能应符合GB/T42752的要求；b)应支持部署智能合约更新链上数据；c)宜使用加密算法保护数据的机密性和完整性，并提供验证的手段；d)宜支持跨链功能，保证相关身份数据的跨链互操作；e)宜提供API或SDK的接入方式，满足数据访问和系统集成要求。8.1.2可信数据库应用于分布式身份系统的可信数据库保证数据存储的机密性、完整性和可用性，符合如下要求：a)应保证数据本地加密存储；b)宜支持数据匿名化和伪匿名化技术，保护用户隐私；c)应具备访问控制机制，通过角色和权限管理机制，保证身份数据的读取和修改操作都经过授权；d)宜提供细粒度的权限管理和动态授权机制；e)应支持灾备和恢复机制，支持在数据丢失或损坏后的数据恢复；f)应为数据库提供安全审计功能，审计记录包括访问的时间、用户标识、操作类型等审计信息，以便于发生安全事件时进行追溯和分析；g)应保护审计日志的完整性，防止审计记录被篡改；9GB/TXXXXX—XXXXh)应支持多种数据存储结构，包括结构化和非结构化数据；i)宜支持数据的自动故障恢复，保证数据的高可用性；j)宜提供根据负载动态调整分片策略的机制，保证数据存储和处理的效率。8.2密码基础设施密码基础设施是分布式身份系统安全运行的基础，符合如下要求：a)应支持安全密钥生成和分发机制，提供安全的密钥存储解决方案；b)应建立和维护公钥基础设施，管理数字证书颁发、撤销和更新，提供证书验证服务；c)使用的密码算法应符合法律、法规的规定和密码相关国家标准、行业标准的有关要求；d)执行密码运算和密钥存储时，应符合GB/T39786等相关国家标准的要求；e)宜在终端不具备安全的计算和存储环境时，通过可信权威机构提供的密钥托管服务保证用户密钥及关键身份信息的计算和存储安全；f)宜支持使用硬件密码模块处理密码相关运算。9管理子系统技术要求9.1安全管理模块9.1.1DID安全与隐私保护DID的安全防护提供DID标识符和DID文档的安全防护措施，符合如下要求：a)宜在用户本地SE、TEE环境中生成用于创建DID的公私钥对；b)宜在用户本地SE、TEE环境中安全存储DID私钥；c)可由满足国家和行业监管要求的可信第三方机构提供DID密钥托管服务；d)应在访问用户代理时或在执行数字签名等密码操作前执行口令认证、生物识别认证或多因素认证；e)宜在DID文档中使用基于数字签名和可验证时间戳的验证方法。DID的隐私保护提供对DID标识符和DID文档的隐私保护措施，符合如下要求：a)DID标识符和DID文档中个人信息处理应符合GB/T35273的相关要求；b)基于实体真实身份信息创建DID标识符时，应进行去标识化及脱敏处理；c)应保证DID文档中不包含个人信息或个人信息的加密值；d)应支持匿名DID机制，同一实体可基于不同应用场景派生出多个匿名DID，未经用户同意不应关联；e)应保证同一实体不同匿名DID对应DID公钥是不同的；f)宜设置策略避免通过服务端点泄露个人隐私；g)宜避免在DID文档中增加有可能显式或隐式推断出DID主体类型信息的额外属性。9.1.2凭证安全与隐私保护凭证的安全防护提供对VC和VP的安全防护措施，符合如下要求：GB/TXXXXX—XXXXa)颁发者颁发VC时，应进行数字签名，保证VC的真实性和不可否认性；b)持有者生成VP时，应进行数字签名，保证VP的真实性和不可否认性；c)在颁发者和持有者之间流转VC时，应进行机密性和完整性保护；d)在持有者和验证者之间流转VP时，应进行机密性和完整性保护；e)当VC包含动态信息时，应保证正确设置过期时间；f)访问用户代理时或执行数字签名等密码运算时，应执行口令认证、生物识别认证或多因素认证；g)应在用户终端可信环境中安全存储VC；h)宜通过用户代理在终端可信环境中生成VP。凭证的隐私保护提供对VC和VP的隐私保护措施，符合如下要求：a)个人身份数据分类分级应符合GB/T43697的相关要求；b)VC或VP中涉及个人信息处理的，应符合GB/T35273的相关要求；c)验证者请求个人身份信息时，应通过用户代理进行提示，经持有者授权后才能共享；d)宜支持个人信息的选择性披露；e)宜支持采用零知识证明等隐私保护技术保护个人信息。9.2治理模块治理模块是在分布式身份系统中，通过指定管理机构、设立管理框架和技术标准，保证各参与方的行为合规，并保障用户隐私和数据安全的系统性管理过程，实现身份的安全验证和隐私保护，保证整个生态系统的透明、合规与高效运作。符合如下要求：a)应明确分布式身份系统的管理机构，发布管理框架，为开发、操作和使用分布式身份系统的各方指定角色和责任；b)管理机构应组织多方共同制定公开透明的凭证管理框架，明确各方权利义务，保证规则统一透明，实现凭证全生命周期管理；c)管理机构应定期对凭证管理框架进行评估和更新，以适应技术发展和业务需求变化，鼓励管理方不断优化凭证管理框架，保证凭证管理框架的适应性和有效性，保障系统长期稳定运行；d)管理机构应对DID方法进行监督，保证DID方法提供方在创建、管理和撤销身份时遵循既定的隐私保护和安全方法，防止有意或无意的数据泄露；e)管理机构应对VC模板进行监督，保证VC中用户隐私数据的最小化披露；f)管理机构应支持定期审计和合规性检查，保证所有参与方的操作符合相关的管理框架、技术标准和法律法规要求，并对违规行为采取适当的纠正措施；g)管理机构宜对用户代理设立基础安全性、隐私性和数据保护方法，保证用户身份、凭证等相关个人数据安全与隐私。9.3审计模块审计模块记录、监控和评估系统中各项操作，保证所有身份相关行为可追溯、合规和安全，符合如下要求：a)应针对DID文档提供安全审计功能，审计记录包括访问的时间、用户标识、操作类型（创建、解析、更新、注销等）等，保证能够追溯每次访问的详情；GB/TXXXXX—XXXXb)应针对VC提供安全审计功能，审计记录包括访问的时间、用户标识、操作类型（颁发、验证、撤销等）等审计信息，以保证凭证的使用和流转过程可追溯；c)应为审计人员提供查询和检索功能，支持基于多条件（时间、用户、操作类型等）的审计记录搜索，以便快速定位和分析特定操作的详细信息；d)应支持审计日志的定期存档，确保历史审计记录能够保存不少于六个月；e)宜支持实时监控功能，能够实时检测并报告异常行为，及时采取措施；f)应为用户提供透明度保障，允许用户在获得适当授权的情况下访问与其相关的审计记录，了解自己的DID和凭证在系统中的使用情况；g)宜支持审计记录的自动化分析功能，能够检测异常行为或未经授权的访问，并及时发出安全警报；h)在提供审计记录访问时，应对用户的个人信息进行脱敏处理，以保护用户隐私；i)宜设立用户通知机制，当其DID或VC的审计记录被访问或更改时及时通知用户；j)宜设立定期审计机制，定期对DID系统的操作日志进行检查，保证所有行为符合安全要求，并生成审计报告供内部或外部审核使用；k)对于有可信身份验证要求的场景，应提供可验证的可信身份证明，实现真实身份溯源。GB/TXXXXX—XXXXDID描述及示例A.1DID标识符DID标识符编码由三部分组成，即“did”+“:”+<did-method>+“:”+<method特定标识符>，其中：a)“did:”：固定格式的前缀；b)<did-method>：DID方法名，关于DID方法详见A.3；c)<method特定标识符>：根据DID方法生成的标识符，保证最终生成的DID标识符是全局唯一的标识符。A.2DID文档A.2.1概述分布式身份系统中DID标识符与DID文档是一一对应关系，从DID标识符可以解析得到DID文档。DID文档包括标识、控制者、别名、核验方法、验证关系、服务等内容，见表A.1。DID文档提供了一组机制，使DID主体能够证明其对DID的控制，外部服务可与DID主体进行可信交互等。表A.1DID文档DID主体对应的DID标识符，即DIDA.2.2标识DID文档所描述的DID主体对应的DID标识符。A.2.3控制者控制者是被授权的可对DID文档进行修改的实体，其值是控制者的DID标识符。A.2.4别名一个DID主体可以拥有多个DID标识符，别名可用来断言多个DID标识符指向同一DID主体。A.2.5核验方法GB/TXXXXX—XXXX与当前DID主体进行交互实现鉴别或授权的方法，如公钥可被看做是一种核验方法。核验方法包含标识（id）,类型（type）,控制者（controller）等属性：a)标识表示核验方法编号，该属性的类型是字符串；b)类型表示验证方法的类型，如基于SM2的签名算法，该属性的类型是字符串；c)控制者是被授权可对DID文档进行更新的实体的DID标识符，授权机制由DID方法定义。注：验证方法的controller和DID的contrA.2.6验证关系验证关系表示DID对象和核验方法之间的关系。如A.2.8节DID文档示例中用"authentication":"did:shili:26fbb291cac584edb30cb83d0cdbf7d7#keys-1"表示验证关系，即id为did:shili:26fbb291cac584edb30cb83d0cdbf7d7#keys-1的核验方法（即SM2公钥"04CB05F018A48134D5063F6F60F38CB72EA9D1A0AF0725C3B2D36915492F18E1DE1A93A553D8D39BE9DA65074D88992466838504552254A75DFABF060FB41FA2C7"）所关联的验证关系是"authentication"（身份鉴别）。其他验证关系还包括assertionMethod（断言）、keyAgreement（密钥协商）、capabilityInvocation（能力调用）、capabilityDelegation（能力委托）等。A.2.7服务服务表示DID主体希望公告提供的服务，包括用于身份验证、授权或交互等分布式身份管理相关的服务，包含标识（id）、类型（type）、服务端点（serviceEndpoint）等属性：a)标识表示服务编号，该属性的值是数值类型；b)类型表示服务的类型，如鉴别、授权，该属性的值是字符串或字符串集；c)服务端点表示服务的网络地址，DID主体通过该地址提供服务，该属性的值是一个或多个URI组成的集合。A.2.8DID文档示例DID文档通过序列化数据模型来表示，其中JSON-LDObject结构如下所示。{"id":"did:shili:26fbb291cac584edb30cb83d0cdbf7d7"//DID主体的DID标识符"controller":"did:shili:26fbb291cac584edb30cb83d0cdbf7d7"//DID控制者"verificationMethod"://核验方法[{"id":"did:shili:26fbb291cac584edb30cb83d0cdbf7d7#keys-1","type":"SM2VerificationKey","controller":"did:shili:26fbb291cac584edb30cb83d0cdbf7d7","publicKeyHEX":"04CB05F018A48134D5063F6F60F38CB72E//以16进制表示的SM2公钥A9D1A0AF0725C3B2D36915492F18E1DE1A93A553D8D39BE9DA65074D88992466838504552254A75DFABF060FB41FA2C7""authentication":"did:shili:26fbb291cac584edb30cb83d0cdbf7d7#keys-1",//验证关系"service"://服务GB/TXXXXX—XXXX[{"id":"vcrepository-1",//服务标识"type":"VerifiableCredentialRepository",//VC存储服务"serviceEndpoint":""//提供服务的网络地址}}A.3DID方法A.3.1概述DID方法，结合特定的VDR，定义了特定的DID子系统的各项功能（DID标识符的生成语法，DID文档的创建、解析、更新、撤销等操作方法）如何实现。此外，DID方法还应明确说明其安全和隐私要求。A.3.2语法DID方法的语法应符合如下要求：a)有一个方法名，并保证方法名的全局唯一性；b)说明如何生成DID方法的<method特定标识符>；c)保证<method特定标识符>的值在DID方法下的唯一性；d)保证由DID方法生成的DID标识符是全局唯一的。A.3.3操作方法DID方法的操作方法符合如下要求：a)DID方法应定义如何对执行创建、解析、更新、撤销等操作进行授权；b)对于DID创建操作，DID方法应说明DID控制者如何在VDR上创建DID标识符及其相关的DID文档；c)对于DID解析操作，DID方法应说明DID控制者如何从DID标识符解析得到DID文档，以及如何验证解析结果的真实性；d)对于DID更新操作，DID方法应说明DID控制者如何更新DID文档，或者声明无法更新；e)对于DID撤销操作，DID方法应说明DID控制器如何撤销DID标识符，或者声明无法撤销。A.3.4安全与隐私DID方法的安全与隐私应符合如下要求：a)保证DID的创建、解析、更新和撤销等操作，在包括但不限于窃听、重放、消息注入、删除、更改、拒绝服务、中间人等攻击下的安全性；b)提供对DID的创建、解析、更新和撤销等操作的完整性保护机制和鉴别机制；c)设计隐私保护策略。GB/TXXXXX—XXXX跨境贸易DID应用示例跨境贸易区块链平台场景中，进出口商、存储机构、陆港公司、海关、银行、监管机构接入平台，将经营信息、仓库货物信息、物流信息等贸易相关信息上链，平台向跨境贸易相关方提供广泛的贸易信息服务，包括金融服务、分布式身份服务等。以进出口商物流单据证书的流转为例阐明平台的分布式身份服务流程见图B.1，其流程如下：a)陆港公司、进出口商等跨境贸易的参与者、相关方在基于区块链的VDR上注册DID；b)陆港公司在VDR登记物流单据证书对应的凭证模板；c)进出口商向陆港公司申请物流单据；d)陆港公司作为凭证颁发者，使用