Lúc đầu khi đọc tài liệu về New ID System của @SignOfficial , mình khá bị thuyết phục bởi một ý tưởng quen thuộc trong Web3: identity nên thuộc về người dùng, không phải bị kiểm soát bởi một hệ thống trung tâm.
Nhưng đọc kỹ hơn, mình bắt đầu tự hỏi — liệu điều đó có thực sự đúng trong cách hệ thống này được thiết kế?
1. Người dùng có thực sự kiểm soát identity của mình?
Trên lý thuyết, Sign sử dụng Verifiable Credentials (VC) và Decentralized Identifiers (DID) — những tiêu chuẩn mở cho phép người dùng “giữ” danh tính của mình.
Nghe có vẻ rất “self-sovereign”.
Nhưng vấn đề là:
Identity không chỉ là dữ liệu → mà là ai xác nhận dữ liệu đó
Và trong hệ thống này, việc xác nhận phụ thuộc vào issuer (bên cấp credential)
Nói cách khác:
Người dùng có thể giữ credential, nhưng không tự tạo ra “tính hợp lệ” của identity đó.
Điều này dẫn đến một nghịch lý:
Bạn sở hữu ví chứa identity
Nhưng bạn không sở hữu niềm tin đằng sau identity đó
Vậy thì “ownership” ở đây có thể chỉ là ownership ở tầng lưu trữ — không phải tầng quyền lực.
2. Trust Registry có trở thành điểm tập trung mới?
Một thành phần quan trọng trong hệ thống là trust registry — nơi lưu danh sách các issuer hợp lệ, trạng thái credential, và cơ chế thu hồi.
Thoạt nhìn, nó giống một “layer tổ chức” cần thiết.
Nhưng nếu nhìn theo hướng khác:
Ai kiểm soát trust registry?
Ai quyết định issuer nào được phép cấp identity?
Ai có quyền revoke credential?
Thì trust registry gần như trở thành:
Một “central authority mềm” — không nằm ở database, nhưng nằm ở governance.
Điều này khá giống với hệ thống ID truyền thống:
Không phải bạn không có dữ liệu
Mà là bạn không thể tự xác nhận dữ liệu đó có giá trị
Vậy câu hỏi là:
Sign đang loại bỏ trung tâm… hay chỉ đang dịch chuyển nó sang một layer khác khó nhìn thấy hơn?
3. VC/DID có quá phức tạp với người dùng phổ thông?
Một điểm mình thấy đáng nghi ngờ là mức độ “thực tế” khi triển khai:
Hệ thống yêu cầu:
Credential issuance
DID management
Selective disclosure
Revocation check
Có thể cả ZK proof
Tất cả nghe rất mạnh về mặt kỹ thuật — nhưng:
Người dùng phổ thông có hiểu credential là gì không?
Họ có biết khi nào cần “present VC”?
Ai chịu trách nhiệm UX?
Ngay cả trong tài liệu, hệ thống còn hỗ trợ cả offline verification qua QR/NFC — điều này cho thấy độ phức tạp không hề nhỏ.
Nếu không được “đóng gói” cực tốt, thì:
VC/DID có nguy cơ trở thành thứ chỉ developer hiểu, chứ không phải người dùng.
4. So với rủi ro của hệ thống ID quốc gia truyền thống
$SIGN rõ ràng đang cố giải quyết các vấn đề của hệ thống ID quốc gia:
Privacy
Interoperability
Auditability
Nhưng nếu đặt cạnh các rủi ro đã được ghi nhận từ các hệ thống ID truyền thống:
Exclusion (loại trừ)
Trong thực tế, ID system có thể loại bỏ những người không đủ giấy tờ hoặc không đăng ký được.
→ Với Sign:
Nếu bạn không có issuer đáng tin
Bạn cũng không có identity “có giá trị”
Privacy
Hệ thống truyền thống thường tập trung dữ liệu → dễ bị lạm dụng
→ Sign cải thiện bằng selective disclosure
Nhưng:
Metadata (ai verify bạn, khi nào) vẫn có thể bị theo dõi
Attestation tạo ra một “audit trail” vĩnh viễn
Dependency vào hạ tầng
Truyền thống: phụ thuộc chính phủ
Sign: phụ thuộc vào:
issuer
trust registry
infrastructure layer (Sign Protocol)
5. Điểm mạnh thực sự (và trade-off đi kèm)
Không thể phủ nhận, Sign có những điểm rất đáng giá:
Điểm mạnh
Chuẩn hóa identity bằng VC/DID → dễ interoperability
Cho phép verification không cần gọi API trung tâm
Có thể hoạt động cross-chain, cross-system
Evidence layer (attestation) giúp audit cực kỳ rõ ràng
Trade-off
Phức tạp hóa UX
Đẩy trust sang trust registry
Tạo thêm dependency vào issuer ecosystem
Có nguy cơ “over-engineering” cho use case đơn giản
Kết luận mở
Mình không nghĩ New ID System của Sign là một hướng đi sai.
Ngược lại, nó đang cố giải một bài toán rất khó:
Làm sao để identity vừa portable, vừa verifiable, vừa không phụ thuộc hoàn toàn vào một bên trung tâm.
Nhưng sau khi đọc kỹ, mình thấy:
“Decentralized identity” ở đây không hoàn toàn phi tập trung
Nó là một hệ thống phân tán trust, chứ không loại bỏ trust
Và điều đó dẫn đến một kết luận chưa trọn vẹn:
Đây là một hướng đi rất tiềm năng —
nhưng vẫn còn nhiều giả định chưa được kiểm chứng, đặc biệt là về quyền lực thực sự của người dùng trong hệ thống.