ATProto 身份主权危机：你的数字身份真的属于你吗？

背景

2026 年 3 月 1 日，一篇源自 Hacker News 的深度技术评论文章引发了关于去中心化社交协议 ATProto（由 Bluesky 采用的基础协议）安全模型的激烈讨论。文章标题为《Who Owns Your ATProto Identity? Hint: It's Probably Not You》（谁拥有你的 ATProto 身份？提示：可能不是你）。

作者此前曾撰文探讨 Bluesky 的集中化风险，随后深入研究了个人数据服务器（PDS, Personal Data Server）的工作原理。随着研究的深入，作者发现该架构存在比“平台作恶删除账户”或“锁定用户”更为严峻的结构性缺陷。在传统的中心化社交平台中，管理员作恶的影响范围通常局限于单一平台；而在 ATProto 架构下，PDS 运营商掌握着用户的核心加密密钥，这意味着一旦 PDS 运营商失控或被攻击，用户不仅会在 Bluesky 上失去控制权，其整个基于 ATProto 构建的数字生态身份（包括代码协作、博客发布等）都将面临被接管或彻底抹除的风险。

核心内容

PDS 运营商的绝对控制权

在 ATProto 架构中，PDS 不仅是数据的存储库，更是用户身份的控制中枢。PDS 持有用户的签名密钥（Signing Key）和轮换密钥（Rotation Key）。

• 签名密钥：用于对用户仓库中的每一次提交（commit）进行签名。无论是发帖、点赞、关注，还是其他任何操作，PDS 都代表用户生成有效的加密签名。
• 轮换密钥：用于控制用户的身份标识（DID, Decentralized Identifier）。持有此密钥意味着可以更改签名密钥，或将账户指向新的 PDS，从而完全接管 DID。

这种设计导致了一个致命的后果：PDS 运营商可以冒充用户。由于签名在密码学上是有效的，且提交格式正确，协议层面无法区分这些操作是由真实用户发起，还是由 PDS 运营商发起。对于观察者而言，这些行为与用户的真实活动毫无二致。

跨应用的“一损俱损”风险

与传统平台不同，ATProto 的 PDS 存储的不仅仅是 Bluesky 上的社交动态。随着生态系统的扩展，PDS 还存储着用户在基于 ATProto 构建的其他应用中的数据，例如：

• Tangled：基于 ATProto 的 Git 协作平台。
• Grain：社交互动应用。
• Leaflet：博客发布平台。

所有新推出的 ATProto 应用都写入同一个仓库，使用同一个签名密钥，并由同一个 PDS 运营商控制。这意味着，如果某个流行的第三方 PDS 运营商掌握了数千名开发者的密钥，他们不仅可以冒充开发者在 Bluesky 上发表激进言论，还可以：

1. 在 Tangled 上获取仓库的推送权限，发动供应链攻击。
2. 在 Leaflet 上发表博客文章。
3. 在所有 ATProto 应用中冒充用户进行交互。

所有这些操作都是经过签名的、合法的，且在每个应用中都可被验证为真实用户的行为。

身份即死亡：从数据泄露到身份抹除

文章强调，核心问题不在于数据本身，而在于密钥。

• 数据公开性：仓库数据本身是公开的，通过 firehose（ATProto 的实时数据流）广播，任何人都可以爬取。即使中继服务（Relay）被攻破，攻击者获得的也只是公开数据。
• 密钥的危险性：如果 PDS 被攻破，或者运营商本身是恶意的（甚至持有法庭传票的国家行为体），攻击者获得的不是只读权限，而是创建新活动的签名密钥和锁定用户身份的轮换密钥。

一旦 PDS 运营商决定“杀死”用户的身份，用户不仅在 Bluesky 上被封禁，其在整个 ATProto 生态系统中发帖、提交代码、发布内容或进行交互的能力也将被彻底切断。虽然数据可能仍存在于备份或 firehose 中，但用户的“身份”已死，无法再被使用。这与传统平台截然不同：在 Twitter 被封禁不会影响你的 GitHub 账户，但在 ATProto 中，一个运营商的决定可以锁定你进入整个生态系统。

便利性对主权的妥协

ATProto 系统为了降低用户管理密钥的难度（Key Management），牺牲了用户的主权。作者承认，密钥管理对普通用户来说过于复杂，大多数人不愿处理。但这种妥协导致整个系统的安全性完全依赖于用户对 PDS 运营商的信任。

这种信任模型极其脆弱：一个被攻破或恶意的 PDS 运营商，会导致托管在其上的所有账户在所有应用中暴露风险。随着新 ATProto 应用的不断推出，被 compromised（被攻破）的密钥造成的破坏面只会越来越大。

关键要点

• 密钥即身份：PDS 持有用户的签名密钥和轮换密钥，这使得 PDS 运营商在密码学层面上可以完全冒充用户，且协议无法识别这种冒充。
• 生态级风险：ATProto 的 PDS 存储用户在所有基于该协议的应用（如 Bluesky、Tangled、Leaflet 等）中的数据。一个 PDS 的失守意味着用户在所有相关应用中的身份被接管。
• 身份抹除而非数据丢失：恶意 PDS 运营商不仅可以冒充用户，还可以通过控制轮换密钥彻底“杀死”用户的身份，使用户无法在任何 ATProto 应用中继续活动，即使数据备份依然存在。
• 信任模型脆弱：系统为了用户体验牺牲了密钥管理的主权，将安全性完全寄托在 PDS 运营商的诚信和能力上，这是一种单点故障风险极高的信任模型。
• 现有缓解措施不足：虽然用户可以注册自我控制的轮换密钥以覆盖 PDS 的权限，但这并非默认设置，绝大多数用户不会主动配置，且客户端和文档缺乏对此风险的清晰警示。

意义与影响

这篇文章揭示了去中心化协议在工程实现与用户教育之间的巨大鸿沟。虽然 ATProto 在架构层面实现了去中心化，但在密钥管理层面，它实际上构建了一个比传统中心化平台更危险的信任层级。

对用户的警示： 用户必须意识到，在使用基于 ATProto 的服务时，自己并没有真正拥有数字身份的主权。选择 PDS 运营商等同于将数字生活的钥匙交给第三方。对于高价值用户（如开发者、意见领袖），使用默认 PDS 或不可信的第三方 PDS 将面临极高的身份被接管风险。

对协议设计的启示：

1. 默认安全：备份轮换密钥的注册应成为账户创建的默认流程，并集成到客户端中，而不仅仅是 API 层面的选项。
2. 透明度与审计：客户端应提供清晰的机制，让用户审计 PDS 代表其签署了哪些内容。
3. 文档完善：ATProto 的官方文档必须明确阐述 PDS 持有密钥的实际含义，避免用户产生“去中心化即安全”的误解。

对行业的影响： 如果 ATProto 无法解决这一信任模型的根本缺陷，其“去中心化”的承诺将在实际应用中大打折扣。这不仅影响 Bluesky 的用户体验，也可能阻碍其他基于 ATProto 构建的应用（如 Tangled、Grain）的采用，因为开发者无法接受其核心资产（代码仓库签名权）受制于单一 PDS 运营商的风险。这一案例也为其他去中心化身份（DID）系统提供了重要的反面教材：去中心化不能仅停留在数据存储层面，密钥管理和身份控制权的去中心化才是核心所在。