数据泄露、身份盗用与凭证撤销：W3C为何要开发可验证凭证条码

2026年9月，记者发现了一个暗网市场，该市场出售对美国与加拿大约1.6亿份驾照数字扫描件的访问权限。初步报道显示，被盗数据的来源是一家遭到入侵的身份文件验证服务商。这是北美历史上政府签发身份证件遭到的最大规模泄露之一——而且它不仅包含从这些文件中提取的数据要素，还包含文件本身的图像。

身份窃贼会利用这些数据冒充受害者。被盗身份证件的图像，可以用来通过开设新账户或接管现有账户所需的在线身份核查，进而助长大规模银行欺诈等犯罪。此外，攻击者还能从这批数量庞大的被盗证件中，专门挑选那些照片与自己长相足够相似、能通过面对面核验的证件，据此锁定目标。伪造一份高质量的实体证件，填入从真实证件中窃取的数据，再让一个与证件照片上的人高度相似的人去出示——这种攻击用传统手段极难识破。

实体证件的安全何去何从？要保护个人免遭身份盗窃，实时撤销机制必不可少。W3C可验证凭证条码为此提供了解决方案——这项技术开放、免费，供所有人使用。

实时撤销机制必不可少，而非可有可无

诸如W3C可验证凭证等现代凭证技术，通过数字签名为数字凭证增添了密码学安全保障。W3C可验证凭证条码则更进一步，使这些凭证能够为驾照等实体证件提供保护。

W3C可验证凭证数据模型2.0已于2025年5月成为一项web标准。可验证凭证条码将可验证凭证生态系统的数字凭证技术延伸至实体凭证应用场景，从而丰富整个生态。可验证凭证生态是动态发展的，相关规范与功能套件会随着密码学和计算技术的进步而不断扩展和调整。

上文我们描述了两种攻击：一种是数字攻击，攻击者利用窃取的证件图像来通过在线核查；另一种是线下攻击，攻击者从真实证件中提取全部数据，用以伪造实体证件。仅靠数字签名无法阻止这两种攻击。因为光学条码中的数字签名本质上只是图像，很容易被复制。一张包含有效数字签名的条码被盗高清图像，会像原件一样通过签名验证核查。要防御这些攻击，就需要实时撤销机制——一个签发机构在证件遭到泄露时可以触发的开关，能立即将其作废，并使之后所有验证尝试全部失败。

W3C Bitstring Status List已成为一项web标准，正是这样一种状态机制，为凭证签发方提供细粒度、实时、按凭证逐一控制的能力。至关重要的是，该流程在验证过程中无需向签发机构发起侵入式的"回传"调用，从而保护隐私，使签发方无法得知某份凭证在何时、何地被使用。Bitstring Status List 1.0版已于2025年作为W3C推荐标准发布，1.1版目前正在制定中。该技术与W3C可验证凭证及可验证凭证条码是同步设计的，它非常适合需要即时、实时撤销的应用场景。

随着网络攻击在频率和范围上不断升级，实体凭证的安全技术必须加固。保护隐私的实时撤销机制不是可有可无的附加项——而是必需品。

用免费、开源的W3C可验证凭证条码保护实体凭证

如果那1.6亿多份被盗文件使用了可验证凭证条码来保护，那么应对这里所说的威胁，就只需确认哪些文件涉及泄露即可。攻击者一旦试图使用已撤销的凭证，验证时的状态检查就无法通过。这样就能当场阻断两种攻击：一种是在网上冒用被盗图像的数字攻击，另一种是出示伪造实体文件的线下攻击——这类文件里含有被盗数据，还附有复制来的数字签名。

W3C可验证凭证条码技术是开放、公开、免版税的，全球社区均可使用。所有希望保护其用户免遭身份欺诈的凭证签发机构，都可以实现该规范及相关工具。该规范目前处于W3C推荐标准制定流程中，已经过严格的威胁建模，以确保其设计决策符合隐私与安全方面的最高要求。它与W3C的可验证凭证防伪技术相辅相成，后者可加固可验证凭证以更好抵御量子攻击和密钥泄露风险。这些工作都沿用了成熟的W3C可验证凭证体系，包括Bitstring Status List机制。

此外，该技术已经过生产环境检验：自2025年底起，美国加州机动车辆管理局已开始签发带有W3C可验证凭证条码的新驾照和身份证件。

W3C可验证凭证工作组正在开发的可验证凭证条码技术，目前已在保护数百万人免遭身份盗窃和欺诈，未来有望惠及数十亿人。我们希望政府机构和政策制定者了解，这个问题有一个免费、开放的解决方案，而且是出于公共利益而设计的。如果您希望参与制定数字身份标准的工作，欢迎加入W3C成为会员，或联系W3C会员团队了解加入事宜。

关于万维网联盟

万维网联盟（World Wide Web Consortium 简称W3C）的使命是让web为全人类服务。W3C提供了一个独特的平台，通过创建和维护技术标准与指南，致力于构建一个连接并赋能全人类的万维网。

W3C汇聚了数百家成员单位、数千名业界技术专家以及广泛的全球社区，共同塑造web技术的未来，推动无障碍、国际化、安全与隐私等关键领域的发展，让web惠及所有人。

W3C标准通过构建开放包容、广泛可及且互联互通的web生态，助力各界组织与个人满足社会民生、文化与经济发展等多维度需求。代表性技术标准包括WCAG、SVG、WebRTC，以及作为网站核心基础的HTML与CSS。

W3C秉持开放协作理念，其全部技术产出均依据开创性的专利政策免费开放。此项政策确保web标准能够规避复杂的许可程序与高昂的专利成本，保障其在全球范围内的广泛采纳与应用，进而促进技术生态的开放创新，夯实web作为全球基础设施的演进之路。

W3C是一个公益性非营利组织，实体在美国注册、由董事会监管、在全球拥有雇员。日常运营主要依托会员费、社会捐赠、企业赞助及研究资助等多渠道支持。每一份支持都是我们前行的重要力量，将共同推动W3C实现其宏伟愿景。了解更多信息，请访问 https://www.w3.org/。

新闻稿正文结束。

媒体联络

Amy van der Hiel (W3C媒体关系与品牌事务负责人） ：邮箱 w3t-pr@w3.org
电话 +1.617.453.8943（美国东部时间）