32、KERI：实现完全自主的去中心化密钥管理

KERI：实现完全自主的去中心化密钥管理

1. 密钥事件日志的见证者

KERI的一项主要创新在于，除控制器之外的其他各方也可以对密钥事件消息进行数字签名。这些参与方被称为见证者，因为他们在“见证”控制器对密钥事件消息的数字签名，就如同在纸质文件上见证某人的亲笔签名一样（这在诸如遗嘱和抵押贷款等高价值文件中通常是法律要求的）。

KERI协议规范了见证者如何从控制器接收密钥事件消息。如果见证者能够验证密钥事件消息，他们就可以添加自己的签名，创建自己独立的密钥事件日志副本。

每个见证者都成为控制器主要自认证信任根的二级信任根。在验证者信任见证者作为密钥事件消息独立真实来源的程度上，每增加一个见证者都会提高密钥事件日志的可信度。这就像纸质文件“湿墨水”签名的人类见证者一样，见证者越多，文件的可信度就越高。

见证者增加密钥事件日志可信度的流程

graph LR
    A[控制器] -->|发送密钥事件消息| B[见证者]
    B -->|验证消息| C{验证是否通过}
    C -- 是 --> D[添加签名]
    C -- 否 --> E[拒绝消息]
    D --> F[创建独立日志副本]

2. 预旋转：防范密钥泄露的简单、安全且可扩展的保护措施

所有密钥管理系统必须解决的挑战不仅是如何轮换密钥，还包括如何防范私钥以各种可能的方式被泄露，例如：
- 设备丢失或被盗；
- 自认证信任根（数字钱包）存在安全漏洞；
- 对自认证信任根的侧信道攻击； <