不大可能实现的结果？关于去中心化个人数据架构前景与潜能的一场分布式讨论

/¶

索伦·巴罗卡斯（Solon Barocas）、塞达·居尔塞斯（Seda Gürses）、阿尔温德·纳拉亚南（Arvind Narayanan）与文森特·图比亚纳（Vincent Toubiana）¶

隐私　去中心化的 项目　社交　用户 中心化的　系统 去中心化　网络 Facebook　数据　架构¶

塞达·居尔塞斯撰写的导言

不同社群都认为，去中心化架构具有丰富的社会、法律和政治潜能；这类架构日益成为研究者、开发者、艺术家、行动者以及私营企业争论的核心。这在很大程度上源自一种根深蒂固的信念：去中心化可能促成权力结构的根本重组。尽管如此，单凭架构变化能否解决隐私、自主性以及其他互联网基本自由等重大问题，仍有待商榷，更不用说争取公正社会的斗争了。¶

对于去中心化如何应对 Facebook、Google 等服务提供商积聚权力所产生的问题，人们的看法十分多样。有些人希望增加在线商业环境中的服务提供商数量，以便用户从中选择（“供应商关系管理”〔Vendor Relationship Management，VRM〕社群中的许多人都有这一目标）；另一些人则希望建立替代性网络，在政治和技术上颠覆中心化权力，并增强民主参与能力（Lorea、RiseUp 等较具政治意识的项目中，有些也抱有这一目标）。¶

2012 年 3 月在阿姆斯特丹举行的 Unlike Us 会议，展示了当时正在进行的部分去中心化探索。会议开启了一场跨越许多不同社群的讨论：有利于保护隐私的去中心化架构的发起者，得以分享自己的工作，并与不同学科的参与者一起，围绕中心化和去中心化网络展开批判性对话。与会者详细阐述了开发和参与“替代性”网络的政治经济学及社会政治层面。这场讨论之所以活跃，也因为讨论者似乎对某些技术、经济和价值假设达成了共识。¶

几乎与此同时，一群学者在会议之外发表了一篇题为《批判性审视去中心化个人数据架构》（“A Critical Look at Decentralized Personal Data Architectures”）的论文，对其中许多假设进行了审视。作者阿尔温德·纳拉亚南、索伦·巴罗卡斯、文森特·图比亚纳、海伦·尼森鲍姆（Helen Nissenbaum）和丹·博内（Dan Boneh），以历史为参照，评估了从所谓“信息中介”到联邦式、分布式社交网络等各种去中心化系统。他们认为，尽管人们投入了大量工作、进行了许多不同尝试，这些项目没有一个得到广泛采用，而且到目前为止，也未能提供去中心化所被认为具有的许多益处。¶

从某种意义上说，作者认为，人们通常与去中心化联系起来的价值，很少真正内在于这种架构；仅仅采用去中心化架构，本身并不能解决其倡导者希望处理的许多问题。他们解释说，考虑到某些经济动态和技术现状，这一点尤其如此。论文随后描述了当前去中心化提案的一些弊端，并探讨了限制其成功可能性的某些技术和认知因素。作者还讨论了开放标准与互操作性问题，在这些方面也发现了若干问题。总的来说，论文对当前一些去中心化替代方案的可行性与有效性提出了一系列批评。令人意外的是，作者回避了政治分析，转而将重点放在（市场）经济、社会和技术问题上。¶

我相信，如果这篇论文曾在阿姆斯特丹的 Unlike Us 会议上发表，就会为会议内外的讨论增添有趣的层次。为了弥补这一错失的机会，我提出了一项协作流程：请这些社群的成员参与进来，看看他们如何理解这篇论文，并借助其反馈来设计对作者的访谈、充实访谈内容。这项活动旨在聚焦共识与分歧，并将去中心化表面上的吸引力，同对其取舍、实际可行性、保护隐私的潜能及整体解放潜力的更深理解联系起来。¶

协作过程如下：我们邀请了从事“替代性”社交网络、点对点研究、身份管理生态系统工作的人，以及跨学科的批判性思想者，对已写成的论文作出回应。回应者中，下列人士还同意公开自己的回应：Lorea 的 SpiderAlex、Jula 和 Hellekin Wolf，GlobalSquare 的 Floren Cabello，以及 RiseUp 的 Elijah；2011 年 6 月在柏林举行的 W3C 联邦式社交网络活动的共同组织者之一 Jan Schallaböck，以及同一活动的参与者、来自 Social Stream 的 Antonio Tapiador；从事点对点社交网络研究的 Sonja Buchegger、Benjamin Greschbach 和 George Danezis；来自 COSIC 与 SPION 项目的 Michael Herrmann、Günes Acar、Leandro Doctors 和 Ero Balsa。此外，我们还收到了 VRM 领域——欧盟项目语境下通常称为身份管理生态系统——中 Jaap Kuipers、Markus Sabadello（Project Danube）及 Scott J. David（UW）的回应。最后，布鲁塞尔女性主义媒体与艺术团体 Constant VZW 的 Nicolas Maleve 也应邀作出了贡献。¶

我们根据这些回应，系统地提炼出突出主题，再以此为基础设计问题，对论文的三位作者进行了书面访谈。访谈写成之后，我们将其与全部回应者分享，并询问他们是否愿意将自己的回应与访谈一起发表。以下收入的是访谈简版；完整版访谈与各方回应可在线获取。¹¶

原注 1. 可通过 Unlike Us 网页在线获取：networkcultures.org/unlikeus。¶

从以上对协作过程的简短介绍可以看出，在去中心化架构领域，还有许多方面的参与者是我们未能联系到的。回应者提出的许多有价值的问题，我们当然也未能一一讨论。毫无疑问，我们也没有涵盖所有利害攸关之事。尽管如此，我们真诚希望这份贡献能够如我们所愿地具有价值：在围绕有利于保护隐私的去中心化架构潜力而持续进行的重要讨论中，再向前迈出一步。如果没有那些响应我们征求意见请求的人，这一切都不可能实现。对于他们的开放态度、对这一流程的信任及精彩回应，我们表示深切感谢。¶

塞达： 请谈谈，你们是怎样对自己所称的去中心化个人数据架构产生兴趣的，又为什么决定写一篇论文来评估其前景？¶

索伦： 阿尔温德、文森特和我曾共同参与 Adnostic 项目。这个项目表明，在帮助网络广告实现定向投放方面，客户端画像可以取代广泛的第三方追踪。去中心化在 Adnostic 中发挥了关键作用：这意味着可以把追踪用户的任务交给浏览器本身，完全排除那些通常必须收集用户数据并将其集中存储的第三方。但对于去中心化能够解决人们如今热衷于用这种架构处理的所有问题，我们不知何故没有那么信服。¶

在另一项探索中，我考察各种让隐私政策更易理解的技术方案，由此了解到所谓的供应商关系管理（VRM）²，并惊讶地发现，相关项目没有一个提到隐私偏好平台（Platform for Privacy Preferences，P3P）。³ 我曾想建立一个平台，将隐私政策提炼为更易消化的单元，但发现过去和当前已有许多项目做着大致相同的事。⁴ 意识到这些停滞不前的尝试有着漫长历史后，我觉得进行一次综述会很有趣，也很有价值。¶

与此同时，阿尔温德和文森特都对去中心化社交网络产生了兴趣（我想，部分原因在于 Diaspora 引发的热情）。在讨论去中心化替代方案是否真能挑战根深蒂固的既有参与者（尤其是 Facebook）时，我们意识到，有一些出乎意料而又有趣的交集值得探索，¶

原注 2. “VRM 是与 CRM 相对应的客户一方的工具……VRM 工具为客户提供手段，让他们承担关系中自己这一方的责任。它们使 CRM 不必再觉得需要‘捕获’、‘获取’、‘锁定’、‘管理’客户，也不必在与客户打交道时使用奴隶主的其他语言与思维。”更具体地说，VRM 希望“为个人提供管理其与组织之间关系的工具”，“使个人成为收集自身数据的中心”，“赋予个人选择性分享数据的能力”，“赋予个人控制他人如何使用自身数据的能力”，以及“赋予个人提出自身服务条款的能力”。（Project VRM wiki contributors, ‘Main Page’, 4 September 2012, http://cyber.law.harvard.edu/projectvrm/?title=Main_Page&oldid=5867，访问日期：2012 年 12 月 1 日。）¶

原注 3. “隐私偏好平台项目（P3P）使网站能够以标准格式表述其隐私实践，用户代理可以自动获取并轻松解读这种格式。P3P 用户代理将让用户了解网站的实践（兼具机器可读和人类可读格式），并在适当情况下根据这些实践自动作出决定。因此，用户不必阅读自己访问的每个网站的隐私政策。”（‘Platform for Privacy Preferences (P3P) Project: Enabling Smarter Privacy Tools for the Web’, W3C, 20 November 2007, http://www.w3.org/P3P/。）¶

原注 4. 参见 Parsing Privacy Policies, http://solon.barocas.org/?page_id=200。¶

具体而言，就是它们共同致力于去中心化与个人数据存储。我们认为，这些早期项目中可能有重要经验值得吸取，并希望找出反复出现的一些绊脚石。¶

文森特： 在我的记忆中，一切始于阿尔温德与索伦在咖啡馆里讨论 Facebook 是否构成垄断。当时，Google 正因其在欧洲的垄断行为受到审查。我想，我们争论的是：由于网络效应使任何新参与者都无法成为现实的竞争威胁，Facebook 是否比 Google 更具垄断地位。我们由此开始简短讨论一些可能的替代方案。¶

我对这个话题感兴趣，是因为 Diaspora 刚出现时，我对它相当热衷。当时我在纽约大学（NYU），记得在纽约大学隐私研究组⁵的会议上，以及海伦·尼森鲍姆的课上，有过几次讨论：它可能怎样改变游戏规则，而一个可行的 Facebook 替代品，又会如何使 Facebook 不敢再次更改默认设置……我开始制作幻灯片，勾勒一种基于缓存的系统如何让人们从 Facebook 平稳过渡到分布式系统。¶

有意思的是，一些社群对 Diaspora 的回应是：他们在这方面已经做了数月，甚至数年。这表明，几个群体已经走过同一条道路，却还没有真正发展起来。虽然去中心化在线社交网络（Decentralized Online Social Networks，DOSN）几乎到处受到赞扬，但一些人开始批评 Diaspora——主要因为它（无意间）被过度炒作，且获得了过多资金。也许项目最初的目标过于雄心勃勃，但面对批评，架构本身似乎相当经得起考验。除了说“这不现实”之外，我认为回顾常见陷阱会是一件好事。¶

阿尔温德： 有一段时间，我一直想就某个与隐私相关的主题做一篇综述，尤其因为研究隐私的社群很多，采用的方法也十分多样。此外，我似乎总被那些一再被重新发明、却始终没能真正成功的想法所吸引。我想了解其中隐藏的陷阱。我觉得这是一类很适合学者从事的工作：从长时段着眼，寻找理解各种相关项目的共同框架，并在不与结果有重大既得利益牵连的情况下审视它们。¶

我刚刚翻查自己的档案，发现自己对去中心化社交网络的兴趣显然可以追溯到 2009 年。我曾报名在斯坦福的一次工作坊⁶上，做一场关于社交网络隐私陷阱的演讲；准备演讲时，我发现了去中心化模型方面丰富的学术文献，以及各种爱好者的尝试。那次演讲的幻灯片似乎预示了我们后来在论文中提出的几个关于去中心化社交网络的论点（尽管当时只是要点形式），也预示了它们“不大可能打破围墙花园”的结论。有趣的是，写论文时，我完全忘记自己曾做过这场演讲。¶

原注 5. 参见 Privacy Research Group, Information Law Institute, New York University School of Law, http://www.law.nyu.edu/centers/ili/privacy_research_group/index.htm。¶

原注 6. 参见 Social Network Security Workshop, Stanford University, 11 September 2009, http://crypto.stanford.edu/socialnetsec/。¶

塞达： 你们能否更明确地说明，在你们看来去中心化与隐私之间是什么关系？去中心化如何处理隐私问题？在你们考察的不同项目中，隐私又分别意味着什么？¶

阿尔温德： 去中心化与隐私在两个方面密不可分。第一，两种架构中的隐私“威胁模型”有所不同。在中心化系统中，监视几乎不可避免地是一项重要的潜在威胁。在更去中心化的系统中，客户端软件安全和设备失窃的问题更为相关，尤其是在数据存储于用户设备上的情况下。第二，可用来保护隐私的手段类型有所不同。政府更容易监管中心化系统。danah boyd 曾主张，“Facebook 是一种公用事业；公用事业会受到监管”。⁷ 去中心化系统中的手段则更多具有技术性质；在我看来，它们可能要求用户保持更高警惕、具备更多专业知识并付出更多努力。¶

索伦： 我认为，将隐私视为保密性的项目，与将隐私视为控制权的项目之间，存在一条相当清晰的分界线。有些项目通过使人们的活动不被他人看见，力图让生活重新获得一定程度的不透明性；另一些项目则试图给人们提供手段，使其能更主动地决定，何时与谁分享有关自己的信息。还有一些项目希望两方面都做一点。但这一条分界线，区分了这些去中心化项目实际上最主要、且截然不同的两类目标：为人们提供逃离现有商业产品与服务的途径，或者让个人在持续进行的商业交往中获得更大力量。更一般的——也许更好的——理解方式，是考察各个项目对机构抱有多大程度的疑虑：一类项目希望人们根本不必依靠机构，另一类则希望改善人们与机构的互动方式。这两种取向与隐私的保密性范式和控制权范式相当契合。¶

不出意料，将隐私视为保密性的观点，往往会引起较倾向自由意志主义者的共鸣，因为它确保个人行动不受外部（即政府）窥视。但这种隐私观，对于认同各种集体主义的人也很有吸引力，因为它使社群能够在国家（的管辖范围）之外自我组织。去中心化是这一奇特亲缘关系的关键，因为它似乎允许人们在没有中心化政治机构的情况下，形成政治联合与团结。更切中要点的是，它允许这些联合相对于现有权力机构保持秘密。以密码无政府主义运动为例：有些团体更倾向于自由意志主义的激进个人主义，另一些则更看重自愿集体主义的前景。¶

在这种情况下，谈论控制会有些混乱，因为虽然许多政治动机较强的项目把用户控制放在首位，它们所关注的是对平台的管理控制，而非个人用来管理自身隐私的具体控制机制。多数商业项目的情形则恰恰相反：控制指的是个人能多好地管理自己的数据，很少涉及对平台的管理权。¶

原注 7. danah boyd, ‘Facebook is a Utility; Utilities Get Regulated’, Apophenia, 15 May 2010, http://www.zephoria.org/thoughts/archives/2010/05/15/facebook-is-a-utility-utilities-get-regulated.html。¶

文森特： 许多 DOSN 的核心目标之一，是防止某个中心化实体收集信息；但它们也希望帮助用户轻松转移自己的数据，以防围墙花园的形成。所以，当我们开始这个项目时，也很关心垄断如何与隐私问题相互作用，尤其是市场份额的增加，如何一方面转化为更全面的追踪与数据收集，另一方面又限制新参与者进入，以及用户转向替代平台。¶

Facebook 更改默认设置时，许多人想离开，却发现没有明显可去的地方。虽然有几个替代选择，但人们需要做的不只是选定自己想加入的社交网络，还必须确保朋友也加入同一个网络。如果无法作出共同选择，用户就会分散到不同网络中；而由于缺乏互操作性，他们将不得不在每个网络上都维持账户。人们也意识到，任何中心化社交网络，只要吸引了足够多的用户，都可能走上 Facebook 的道路。因此，DOSN 看起来是一种非常有吸引力的替代方案。¶

然而，当我们开始深入研究现有项目时，注意到有几个项目主要关注中心化实体造成的威胁，却忽视了其他威胁。例如，阿尔温德很早就指出，垃圾信息是一项重大问题（稍后会进一步谈到）。构建分布式社交网络时，必须考虑的威胁模型会变得非常复杂。当你开始考虑人际关系时，它还会变得更加复杂：与你分享数据的朋友和熟人，也可能成为收集你信息的实体。⁸¶

塞达： 回应者反复提到，你们的分析似乎略过了一些关键的技术区别。例如，有些项目采用联邦式架构，另一些则力求完全点对点。有些安排涉及单点登录提供商，另一些则引入更一般的身份基础设施。还有回应者指出，在各项目如何设想使用者的问题上，存在重要差异：他们是消费者、用户、数据主体、公民——甚至非公民？此外还有商业与非商业之分；尽管回应者经常作这种比较，你们却没有作出这一区分。有些人甚至反对把商业模式置于开发工作的核心。根据这些反馈，你们会在评估中增加哪些对比维度？关注这些细节，会怎样改变你们评判这些项目成功与否的标准？¶

阿尔温德： 去中心化项目之间差别很大。有些以广泛采用为目标，另一些则不是。尽管如此，其中许多系统针对的市场具有很强的网络效应，因此，面向小众提供服务究竟有多大可行性，并不清楚。同样，如果我们考察 VRM 的愿景，所讨论的其实是商业运作方式的范式转变，需要零售巨头大力支持，¶

原注 8. Benjamin Greschbach, Gunnar Kreitz and Sonja Buchegger, ‘The Devil is in the Metadata – New Privacy Challenges in Decentralised Online Social Networks’, Fourth International Workshop on SECurity and SOCial Networking, School of Computer Science and Communication, Stockholm, Sweden, 19 March 2012, http://www.csc.kth.se/~bgre/pub/GreschbachKB12_MetadataPrivacyDecentralisedOnlineSocialNetworks.pdf。¶

并重组整个行业部门。因此，虽然其中有些项目即使未被主流采用，也可能宣布成功，但我不认为这适用于所研究的大多数系统。¶

对我来说，商业与非商业项目的区别并没有那么突出。需要一种商业模式，只是这个世界的现实。一个项目可能设想通过志愿捐款来承担全部开发、托管、营销及其他成本，但那也是一种商业模式！我们提出的这一类主张——例如，中心化系统受益于规模经济、整体成本更低——与项目是否商业化无关。¶

索伦： 在我看来，早期的信息中介（如 Lumeria）和许多较新的项目（无论商业还是非商业），试图以与 P3P 大致相同的方式处理隐私：为个人提供工具，让他们在向交易对方披露个人信息时，更好地行使选择权。P3P 设想的世界是：机器可读的隐私政策使用户得以将作出这些决定的过程交给本地“用户代理”；信息中介则把自己定位为能够承担许多相同职责的代理，只不过它们是在远程承担这些职责。当时的很多论述都明确指出，某些人所谓的“协商式隐私技术”与信息中介之间存在这种联系。话虽如此，Lumeria——就像当时和现在的其他信息中介一样——有更宏大的雄心，并积极寻求把这些技术扩展到在线生活的各个方面：让用户把自己的数据集中到一个地点，并保有对此地点的排他控制。¶

尽管差别很多，FreedomBox 及其他试图使用户完全脱离商业服务的项目，也同样关注允许用户托管自己全部信息的架构。关键在于，无论哪种情况，个人数据存储都是实现有意义控制的先决条件。但与信息中介不同，FreedomBox 及类似项目的目标，并不是促进更加知情或更加细化的信息披露；它们存在的目的，是让人根本不必向第三方披露任何信息。这是一个关键区别。不过，我仍要强调，这两个社群都选择了个人数据存储，这一点颇为引人注目，尽管它们采用这一架构的目的几乎相反：一方认为它能让消费者更有效地与其他市场参与者交往；另一方则把它理解为一种根本不必求助于市场的方式。同一种架构可以容纳截然不同的政治立场。¶

考虑到这一点，问一句是否应当尝试用相同标准评价这些项目，似乎是合理的。我认为，这与另一个问题有关：这些项目面向谁？把可能参与其中的所有人都视为“用户”，又意味着什么？我们起初并不是要评估这些项目的用户规模。相反，我们想问：这些项目是否很有可能实现其设计目标？进一步说，拟议的（或现有的）功能，是否可能产生开发者预期的结果？不过，正如阿尔温德已经指出的，即使用项目自身的标准衡量，吸引大量人群并让他们积极参与，往往也是许多项目成功的关键。但情况并非总是如此，尤其是当项目的目的并不是与现有商业平台竞争或对其加以补充时。有些项目提出的是截然不同的事情：不是争夺泛泛的“用户”，而是服务于特定社群的需求与利益。¶

塞达： 你们的批评是去中心化架构特有的吗？正如许多回应者指出的，所有系统都必须处理可扩展性、可靠性和一致性问题。硬件后门、安全局限和缺乏精细的访问控制，也绝非这些项目所独有。此外，P2P 社群还面对互联网服务提供商和政府在网络层施加限制所造成的问题。只在应用层讨论希望采用去中心化或分布式架构的社群所面对的挑战，是否合理？¶

索伦： 对我们论文的这类回应令人沮丧。我们从未打算批评去中心化本身。我们这项工作的要点在于表明：许多我们通常归咎于中心化的问题，实际上也会延续到去中心化系统中——这些问题可能影响两种架构。当一些回应者指出，中心化服务也存在同样的问题时，他们实际上是在支持我们的论点：任何一种架构都不能轻易解决这些问题，或完全摆脱它们。例如，我们在网络隐私方面面对的一些非常严重的问题，并不单纯由底层架构决定。去中心化非但未必能解决这些问题，反而可能使它们在理论上和实践中都更难处理。只需想想这些挑战：如何确保同一 DOSN 的用户之间信息适当流动（即如今所谓的“横向隐私”问题）；又如何在 VRM 中选择性分享信息（人们对于愿意向他人披露什么信息，背负着同样多——实际上更多——的选择负担）。¶

文森特： 中心化系统中存在的问题，在去中心化网络中可能更为严重。目前，在中心化架构中，最薄弱的环节可能位于客户端：例如，用来访问社交网络的浏览器或电脑。即使某个客户端遭到攻破，也可以在中心化系统上设置防护措施，在检测到可疑行为时阻止其访问资源（例如，用户开始下载自己以及朋友的全部照片时）。如果分布式系统中充当主机的电脑遭到攻破，这些防护措施就会失效；最坏的情况下，攻击还可能进一步传播到其他对等节点。¶

总体而言，联邦式系统的复杂性和开放性使某些问题更难处理。例如，访问控制策略必须得到不同系统的共同支持。但如果我只知道朋友使用的系统，却不知道他们的朋友使用什么系统，我就不确定能否将“允许我的朋友的朋友访问”转换为可执行的规则。比如，在联邦式系统中，影响你隐私的，并非你所用系统实施的助推，而是你朋友所用系统实施的助推。在我看来，这可能造成严重误解，因为在你的网络中受到劝阻的行为，在另一个网络中未必受到劝阻。我认为，要让助推在全局范围内有效，设计者就必须确保它们实行同样的规范；但这样会损失一些开放性：不合规的联邦式系统将不能成为联邦的一部分。我觉得，一个很好的例子是 Google+ 上显示的警告，⁹¶

原注 9. 参见 ‘Google+ and Privacy: A Roundup’, 33 Bits of Entropy, 3 July 2011, http://33bits.org/2011/07/03/google-and-privacy-a-roundup/。¶

当我想分享一篇“有限公开”（即非公开）的帖子时，它就会出现。如果我在 Google+ 发布了某些内容，我可以预期，朋友想分享这些内容时，也会看到同样的警告……但在联邦式社交网络中，我无法抱有相同的预期。我不认为去中心化和联邦式系统能够轻易解决这些问题。开发者将不得不开展更多合作与对话；如果这能促成某种围绕助推的标准化，从而让隐私规范得到更多尊重，那当然很好。¶

垃圾信息是联邦式系统面临的另一项严重威胁，因为这类系统必须相信彼此会过滤向外发送的垃圾信息。拦截传入的垃圾信息，效率也会低得多。想想同样依赖联邦式架构的电子邮件的经验：如果某个电子邮件提供商未能拦截向外发送的垃圾邮件，就有被其他提供商列入黑名单的风险。联邦式系统的一项关键优势——任何新的、可互操作的参与者都能加入系统——也带来一种风险：专门发送垃圾信息的主机可能不断重新出现，污染网络。¶

阿尔温德： 我们心里其实想着两类不同的弊端：有些是我们认为去中心化架构特有的；另一些则涉及被宣称为去中心化架构优势的方面，但我们认为，它们其实是两类系统共同存在的弊端。遗憾的是，我们没有把这两类区分清楚。¶

接着文森特的例子说，在中心化系统中，助推更容易实施、效果也更好，因为这类系统可以规定统一的用户界面。当助推能使典型用户作出可预测的行为时，它的效果最好。Privicons¹⁰ 是我很喜欢的一个项目，也是去中心化媒介中助推的好例子：采用这款浏览器扩展的用户，可以向邮件接收者表明自己希望邮件如何处理（例如，“阅读后／X 天后删除”）。但这只有在收件人也采用了该扩展时才有效。而且，由于电子邮件是联邦式的，要将这一功能变成通用标准，就需要所有电子邮件厂商的支持，还要向用户解释该功能如何工作。把它与文森特描述的 Google+ 助推比较一下便可明白。¶

塞达： 你们在综述中汇集的项目，采用了非常不同的策略来落实有关信息适当流动的规范。有些采用访问控制，有些依靠法律合同，还有些反对任何此类限制，认为它们类似于 DRM。对于这些实现“用户控制”的方式，你们如何看待其可行性、优势与局限？¶

索伦： 我认为，同意仍然至高无上。这些项目没有一个采用关于信息适当流动的、更有实质内容的指导原则；它们只是试图让用户处于更有利的位置，以理解并决定信息如何流动。而这——极少数例外除外——意味着实施一套更复杂的选择。访问控制让用户能将这些选择实施为持续有效的规则；让用户能够起草合同、规定信息交换和使用条件，其目标也十分相似。允许人们“拥有”自己的数据，并不能改善这一状况；它只是用合同协商取代阅读隐私政策（而且很可能是用一种法律行话取代另一种）。无论在哪一种情况下，开发者构建这些系统时设想的人，¶

原注 10. 参见 www.privicons.org。¶

仍然是一个（希望他更加知情的）理性行动者，对隐私有着自己独特的偏好。但是，一种更有实质内容的适当性概念——其基础是认识到隐私具有超出个人利益的社会价值——却很少被纳入平台设计。不要把通过类似 DRM 的、硬编码的使用限制来执行用户选择的做法，与这种有原则指引的设计混为一谈。通常提出的这些做法，是“告知与选择”的附加措施，而不是按照情境规范来引导信息流动的机制。¶

文森特： 根据我使用社交网络访问控制列表的经验，它们可以有两种用途：1）限制帖子的受众（选择性广播）；2）保护我的隐私（控制对我的涂鸦墙的读取权限）。请注意，在后一种情况下，效果相当有限，因为已经分享的数据在实践中很难控制。不幸的是，当你在动态消息中看到一篇帖子时，并没有相应的语境信息，所以你必须猜测发送者的意图（选择性广播，还是隐私保护）。显然，这些批评同样适用于中心化网络……¶

塞达： 我们认为属于中心化的服务，往往采用各种形式的去中心化，从使用开源软件、转向分布式计算，到利用消费者所开展的活动。应当如何恰当地理解去中心化架构与管理控制之间的关系？更一般地说，企业究竟在多大程度上愿意将某些任务或责任交给客户？¶

阿尔温德： 架构上的与管理上的（去）中心化之间的区别，很容易被忽视。我并不认为 Facebook 这样的系统，在任何具有实际意义的层面上是去中心化的。当然，它们可能使用 PHP 或 Linux，但我不认为底层编程环境与我们的分析有多大关系，因为我们更关心影响个人数据和用户体验的架构决策。同样，应用平台的兴起和用户生成内容，在广义上都是成功的“去中心化”实例，却不是我们所关注的那种意义上的去中心化。这里必须区分：交付任务与交付控制权。¶

文森特： 有些中心化服务原本被设计为运行于中心化架构；为了应对迅速增长和本地化，它们将部分组件分布开来。由某个中心化实体控制这些系统这一事实，缓解了分布式架构固有的大部分问题：冗余受到控制，可靠性在一定程度上得到保证，互操作性不成问题……从用户角度看，这些系统的行为仿佛是完全中心化的。分布式系统若要在管理分布式架构方面达到同等效率，就必须让系统的某些部分中心化或形成层级，并对用户施加一些约束（例如，共享存储、开关机时间及连接质量）。¹¹¶

原注 11. 正如一位回应者所说，已有少数分布式系统对用户施加共享存储约束（例如 Darknet／Freenet），这意味着用户必须处理托管他人内容所涉及的法律与道德问题。¶

阿尔温德： Google（通过 OpenSocial、Google+ 等）与 Twitter，都是曾涉足、起步于或承诺过有限程度去中心化的企业实例。然而，大多数这类服务似乎最终都背离了这一方向——最近的趋势事实上是不断加强对 API 的控制。在附带一些限定条件的情况下，去中心化可能有利于社会，但很可能不利于生意。¶

文森特： 不过，事情也可能朝另一个方向发展：中心化系统的运营者可能有动力利用用户拥有的设备，来扩展自己的架构。企业可以把可识别个人身份的信息交由用户管理，只把档案与化名相联系，这样就能继续经营，同时减轻来自数据保护机构和其他隐私监管者的压力。关键的信息可以由用户存储，中心化系统则可以托管经过扰动处理的、非个人数据。例如，中心化系统可以只托管缩略图和不精确的记录（截短的姓名、出生日期及经过扰动的社交图谱），同时提供指向托管准确记录的系统的链接（例如，终端用户的手机或机顶盒）。Polaris¹² 曾发展过沿着这一思路的想法，但该项目的目标是保障用户隐私，较少考虑服务提供商对于现有隐私法规的顾虑。¶

索伦： 将某些责任下放给个人的做法（可能看起来像是有意义的去中心化），仍然可能服务于既有强势参与者的利益。让人们参与管理自身数据，会把确保隐私的负担从平台转移到用户身上。这以赋权之名，免除了机构照顾其利益相关者的责任。VRM 能够将自身描述为个人与机构的双赢局面，恰恰说明去中心化可能多么不具威胁性。虽然改进互操作性和数据可携带性经常出现在去中心化项目中，但去中心化本身并不必然要求这些功能。¶

塞达： 回应者指出，去中心化与分布式架构可以通过多种方式服务于隐私保护：减轻用户数据泄露的风险，减少画像机会，并遏制功能范围不断扩张。去中心化对数据聚合、分析和二次使用所施加的限制，是特性而非缺陷。但你们指出，这些限制也有明显的不利之处。密码学能否帮助避免你们所强调的某些取舍（例如垃圾信息问题）？¶

阿尔温德： 我们不应混淆两件互不相干的事情：安全失守无疑是坏事，而二次使用即使不讨个人喜欢，也可以说有利于社会。服务器端数据泄露的风险，与个人设备遗失或被盗等风险相比究竟如何，是一个有意思的经验问题。至于限制中心化模式中发生的二次使用所带来的隐私好处，那正是许多此类系统存在的理由。但这同样是一项劣势，原因在于，¶

原注 12. 参见 Christo Wilson, Troy Steinbauer, Gang Wang, Alessandra Sala, Haitao Zheng and Ben Y. Zhao, ‘Privacy, Availability and Economics in the Polaris Mobile Social Network’, ACM Workshop on Mobile Computing Systems and Applications (HotMobile 2011), https://www.cs.ucsb.edu/~ravenben/publications/abstracts/polaris-hotmobile11.html。¶

这些往往是人们想要的功能；即使部分或多数用户不想要，它们也会因为金钱上的激励而存在于中心化系统中。这就把我们带回经济可行性的论点：一种不提供这些功能的架构，在市场竞争中会更加艰难。¶

密码技术在增强隐私方面的局限，是我曾经较为详细地研究和讨论过的主题。我认为，密码学的倡导者大大低估了密码学隐私保护计算这一范式的实现成本，以及其他实际问题。仅举一例：需要计算的内容发生一点小变化，就可能涉及重新设计协议（甚至重新处理数学问题！），可能影响数据库模式，并需要据此重写代码。这与现代网络软件开发的节奏和方式极不相容。¶

塞达： 一位回应者认为，构建大型分布式系统就是非常困难——比构建依赖享有规模经济的中心化资源的服务，困难得多。此外，去中心化系统不但面对互操作性问题，还受到在不同平台上复制所需应用时产生的劳动和成本的影响。这些确实是主要障碍吗？它们是否足以解释，为什么去中心化替代方案无法与相应的中心化服务竞争？这一问题的解决办法，是否如这位回应者所说，是“专注于软件组件、基础设施与服务，让构建有利于保护隐私的架构，变得像构建中心化架构一样容易”？¶

阿尔温德： 对去中心化架构的实现难度和低效率，我本人的看法实际上比论文中表达的还要强烈，所以我很赞同这一论点的许多方面。然而，若说实现障碍已经足以解释一切，因而可以排除经济和认知因素，恐怕言之过甚。有些架构在开发劳动方面极为复杂且昂贵，却因经济上可行而发展出来：看看错综复杂的在线广告世界，再与直接对服务（如社交网络、移动应用等）收费这种简单明了的替代办法作一比较即可。¶

我过去的看法是，我们需要的不是构建更多技术组件；当务之急是解决可用性和经济问题。但读过这份回应后，我愿意重新思考。也许世界尚未准备好接受去中心化个人数据架构；也许，正如一些人所说，存在的是中心化与去中心化的周期，而不是线性趋势。假如未来经济可行性方面的条件朝有利方向变化，建设技术底层设施，可能被证明是明智的押注。¶

文森特： 我认为，新进入者需要有差异化功能，才能吸引用户，并鼓励他们在其平台上花更多时间。许多开发者认为，只靠隐私就足以吸引新用户，但这一“功能”本身并不够，因为如前所述，这些项目采用的隐私定义并不相同。更一般地说，一些用户会觉得 Facebook 的隐私设置符合自己的预期（或者觉得自己可以在不透露敏感信息的情况下使用 Facebook），因而看不到离开 Facebook 的理由。还有一些人则宁可根本不使用社交网络。¶

我想指出，我并不认为去中心化替代方案无法与相应的中心化服务竞争。中心化网络也可能受困于网络效应。例如，尽管获得 Google 架构的全面支持，Google+ 起步仍然缓慢。如果没有 Google 为这个项目宣传和推广，我想它很快就会被忽视。¶

索伦： 有人认为，开发和运营去中心化服务的技术难度，是它们未能成功的首要原因；我觉得这一论点很有道理。但我不认为，它能解释这些项目即使达成技术目标，是否就能改善在线隐私状况。更完善的配套基础设施，并不能确保这些项目更有可能产生其意图中或预期的隐私结果。隐私方面存在一些概念性问题，它们独立于让去中心化服务建立起来并运行的艰巨程度。¶

话虽如此，规模经济能够显著降低开发和运营成本，这毫无疑问。同样，以模块化的中心化组件为基础，为独立服务拼装配套基础设施，这种能力会鼓励更多试验、加快创新速度（有多少项目能够存在，要归功于亚马逊可租用的存储与计算能力？）。然而，尽管如此，开发者似乎并不特别抗拒构建基于去中心化架构的服务。这样的项目已经有很多、很多、很多，¹³ 其中一些甚至已经投入运行。尽管开发成本高昂，相关工作仍在迅速推进，包括那些试图把服务运营成本分散到本地节点的项目（把额外的运营负担多少转化成一种优点）。它们把运行服务的责任分散给所有用户，以社群贡献弥补规模经济方面的损失（Bit Torrent 是显而易见的典范）。¶

既然这些挑战并未让开发者却步，甚至催生了应对持续成本的巧妙办法，真正的问题就是：构建去中心化服务的相对困难，会怎样影响所提供服务的性质和质量？这要求我们从开发者的视角转向用户的视角——其思路是，人们选择不使用去中心化服务，是因为它们缺乏同等的功能或易用性。但是，正如文森特关于 Google+ 的论点所表明的，仅凭这一点，似乎还不能决定人们为什么会采用某种服务（或更广泛地说，加入某个社群）。同等功能——甚至加上新颖的隐私控制——并不会引发突然迁移。Google 只有通过推广其服务这种非技术性工作，才能抵消网络效应的力量。这揭示了一个我们都未充分处理的问题：那些已经占据我们在线生活很大部分的参与者，为何拥有特别有利的位置来招徕人们，¶

原注 13. 参见 Venessa Miemis, ‘88+ Projects & Standards for Data Ownership, Identity, & A Federated Social Web’, Emergent By Design, 11 April 2011, http://emergentbydesign.com/2011/04/11/88-projects-standards-for-data-ownership-identity-a-federated-social-web/；Daniel Appelquist, Dan Brickley, Melvin Carvahlo, Renato Iannella, Alexandre Passant, Christine Perey and Henry Story, ‘A Standards-based, Open and Privacy-aware Social Web’, Harry Halpin and Mischa Tuffield (Eds), W3C Incubator Group Report, 6 December 2010, http://www.w3.org/2005/Incubator/socialweb/XGR-socialweb-20101206/；以及 ‘ProjectComparison’, Gitorious, 11 November 2012, https://gitorious.org/social/pages/ProjectComparison。¶

既因为它们已经拥有这样做所需的财力，也因为它们本来就能经常接触到我们。¶

塞达： 在论文中，你们有力地论证了“网络效应的力量”。你们还认为，这种效应会因你们所谓的“更紧密整合”而增强。这是什么意思？那些本应从中受益的大型社交网络（如 Geocities、MySpace 和 Orkut），为什么还是走向了瓦解？¶

阿尔温德： 实践中，管理上去中心化、拥有多种相互竞争且可互操作实现的系统，不可避免地会向用户提供不同体验。可能是互操作性没有完全实现，可能是用户运用互操作性时存在某些阻力，也可能是更细微的东西，例如不同厂商以不同方式实施助推。毕竟，如果各种实现之间没有实质区别，那么缺乏多样性就会使管理去中心化失去意义。¶

这就是我所说的中心化网络具有紧密整合，而去中心化网络缺乏这种整合。当我们把旋钮从一端拨到另一端时，可以看到：如果不同实现之间几乎没有或完全没有整合，就不会有网络效应；如果它们的互操作程度高到无法区分，就会产生与中心化系统一样强的网络效应。我预计，实际情况总会处在两者之间。¶

这并不是说中心化系统的网络效应没有局限。最熟悉的例子是，不同国家的人群之间只有较弱的联系，因此，在具有网络效应的市场中，多数服务即使在某些国家占据绝对主导地位，也很难进入另一些国家（例如，Facebook 和 Google 在俄罗斯遇到困难，当地社交网络与搜索领域的既有主导者分别是 Livejournal 和 Yandex）。“世界社交网络地图”¹⁴ 的演变非常有意思。不过，我的观点是：中心化网络存在地理孤岛，而去中心化网络除此之外，还存在由不同实现构成的孤岛。¶

这就引出了社交网络的瓦解，一个我觉得很有意思的主题。对于 MySpace（乃至更早的 Friendster、classmates.com 等）经历的事情，常见的理解是：出现了更好或更酷的服务，用户于是转移过去。这个解释看似显而易见，却并不属实！在 Facebook 之前，美国从来没有一个社交网络的用户接近全体网民的一半。稍作简化地说，Facebook 取代 MySpace 的方式是：新用户——那些尚未使用社交网络的人——大多选择了 Facebook 而非 MySpace，因为前者更好。但是，直到 Facebook 已经与 MySpace 差不多同样流行时，真正的用户转移才发生。¹⁵ 由于 Facebook 的规模（以其主导市场中占总人口的比例衡量），Facebook 取代 MySpace 的那套动态机制，¶

原注 14. Vincenzo Cosenza, ‘World Map of Social Networks’, Vincos Blog, http://vincos.it/world-map-of-social-networks/。¶

原注 15. 参见 danah boyd, ‘White Flight in Networked Publics? How Race and Class Shaped American Teen Engagement with MySpace and Facebook’, in Lisa Nakamura and Peter A. Chow-White (eds), Race After the Internet, London: Routledge, 2011, pp. 203–222。可获取于 http://www.danah.org/papers/2009/WhiteFlightDraft3.pdf。¶

不能再被用来取代 Facebook！这是一个微妙却关键的观点。显然，我并不是说 Facebook 不可能被颠覆；但过程必须不同，而且我敢打赌，它会困难得多。也许非得出现严重的管理失误才行，例如 Orkut 未能打击垃圾信息。¶

塞达： 最后，你们是否认为，替代性（去中心化）网络即使在设计原则和采用方式上与市场熟悉的做法不同，仍然能够推动试验与创新、使获取技术的途径更加多样，并为社会和技术变革创造潜在基础？¶

阿尔温德： 我不怀疑替代架构能够带来社会益处，尽管其程度可能不如我所读到的某些描述那么大。虽然我仍然怀疑它们能否得到广泛采用，但我承认，其中某些系统即使只被小众群体使用，也可能有意义。此外，这些项目的存在，可以防范企业过快地攫取过多权力，并使公众持续意识到这些问题。因此，即使这些替代方案永远不会得到广泛使用，我也很高兴它们以某种形式存在。¶

文森特： 我对去中心化网络的未来持悲观态度。我认为，技术和设备正在朝另一个方向演进：更加中心化。虽然移动设备越来越强大，但存储容量在过去几年里一直保持稳定。看看苹果设备的容量：它与我们过去在电脑上拥有的大容量还相去甚远。移动设备的存储容量没有增长；实际上，由于电影和照片现在以更高分辨率显示、因而需要更多空间，你如今能在设备上存储的内容反而更少。虽然这种趋势可能是转向固态硬盘（SSD）造成的，但主要原因大概是设备制造商在推动存储向云端转移。因此，我担心设备制造商（它们往往也是服务提供商）会通过减少本地存储、优先采用云存储，实际上阻碍去中心化服务的发展。¶

阿尔温德： 与文森特一样，我认为长期趋势是更加中心化。最近，我开始认为，“数字封建主义”的未来最有可能出现：少数品牌提供受到严密控制、垂直整合的平台（硬件、软件、应用和内容），其互操作性甚至比今天更差。我不把这看作反乌托邦，但这样的世界显然存在问题，而且它几乎与我们讨论过的许多努力所追求的愿景完全相反。¶

在我看来，有两条可能超越数字封建主义的路径，它们并不互相排斥。一条是通过监管，限制私营企业对我们的权力——对我们的身份、关系与沟通、思想，以及自我的权力。这种监管可能产生一种附带效果，使替代架构更容易繁荣，虽然我对此并不抱太大期待。第二条是经典的颠覆性创新。如果那句口号可信，它最初会像个玩具，因此很难预测它会来自哪里。但它很可能不会被构想为一次对现状的正面进攻。¶

索伦： 我绝不愿否定那些展示事情也可能有另一种样子的项目的重要性。它们服务于一种超越其直接技术目标的社会目的，因为它们表明，事物并不存在一种天然秩序。¶

Adnostic 就是如此：这一概念验证，动摇了某些人的道德权威——他们声称，只有允许第三方追踪用户，定向广告的明显益处才可能实现。从这个角度看，我也认为，从 Adnostic 等项目采用率低的经历中，有许多值得学习的东西。它们产生一种（有时无意的）效果：让决定某些项目繁荣、另一些项目受挫的非技术因素更加鲜明地显露出来。讽刺的是，它们在市场上的失败，可能成为政治上的成功。¶

参考文献

Appelquist, Daniel, Dan Brickley, Melvin Carvahlo, Renato Iannella, Alexandre Passant, Christine Perey and Henry Story. ‘A Standards-based, Open and Privacy-aware Social Web’, Harry Halpin and Mischa Tuffield (Eds), W3C Incubator Group Report, 6 December 2010, http://www.w3.org/2005/Incubator/socialweb/XGR-socialweb-20101206.¶

boyd, danah. ‘Facebook is a Utility; Utilities Get Regulated’, Apophenia, 15 May 2010, http://www.zephoria.org/thoughts/archives/2010/05/15/facebook-is-a-utility-utilities-get-regulated.html.¶

______. ‘White Flight in Networked Publics? How Race and Class Shaped American Teen Engagement with MySpace and Facebook’, in Lisa Nakamura and Peter A. Chow-White (eds), Race After the Internet, London: Routledge, 2011, pp. 203–222.¶

Cosenza, Vincenzo. ‘World Map of Social Networks’, Vincos Blog, http://vincos.it/world-map-of-social-networks/.¶

‘Google+ and Privacy: A Roundup’, 33 Bits of Entropy, 3 July 2011, http://33bits.org/2011/07/03/google-and-privacy-a-roundup/.¶

Greschbach, Benjamin, Gunnar Kreitz and Sonja Buchegger. ‘The Devil is in the Metadata – New Privacy Challenges in Decentralised Online Social Networks’, Fourth International Workshop on SECurity and SOCial Networking, School of Computer Science and Communication, Stockholm, Sweden, 19 March 2012, http://www.csc.kth.se/~bgre/pub/GreschbachKB12_MetadataPrivacyDecentralisedOnlineSocialNetworks.pdf.¶

Miemis, Venessa. ‘88+ Projects & Standards for Data Ownership, Identity, & A Federated Social Web’, Emergent By Design, 11 April 2011, http://emergentbydesign.com/2011/04/11/88-projects-standards-for-data-ownership-identity-a-federated-social-web.¶

‘Platform for Privacy Preferences (P3P) Project: Enabling Smarter Privacy Tools for the Web’, W3C, 20 November 2007, http://www.w3.org/P3P/.¶

‘ProjectComparison’. Gitorious, 11 November 2012, https://gitorious.org/social/pages/ProjectComparison.¶

Project VRM wiki contributors. ‘Main Page’, 4 September 2012, http://cyber.law.harvard.edu/projectvrm/?title=Main_Page&oldid=5867, accessed 1 December 2012.¶

Wilson, Christo, Troy Steinbauer, Gang Wang, Alessandra Sala, Haitao Zheng and Ben Y. Zhao. ‘Privacy, Availability and Economics in the Polaris Mobile Social Network’, ACM Workshop on Mobile Computing Systems and Applications (HotMobile 2011), https://www.cs.ucsb.edu/~ravenben/publications/abstracts/polaris-hotmobile11.html.¶