Die Stapel Agter die Toekomstige IBP: Waarom 'n Gelaagde Standaardargitektuur Nodig Is om die Papierpermit te Vervang

Geen enkele standaard sal die papier Internasionale Bestuurspermit (IBP) vervang nie. Die werklike opvolger is ‘n stapel standaarde wat saamwerk — en om daardie stapel te verstaan, is die sleutel tot begrip van waar grensoverschrydende digitale bestuurskredensiale werklik heen beweeg.

Waarom Geen Enkele Standaard die Papier-IBP Sal Vervang Nie

Die meeste besprekings oor die toekomstige IBP begin met die verkeerde vraag: watter standaard sal die papierpermit vervang? Daardie uitleg veronderstel dat een spesifikasie die hele taak kan verrig. Dit kan nie.

NIST se mDL-werk (mobiele bestuurslisensie) meld uitdruklik dat nuwe digitale-kredensiale-standaarde oor aparte probleemareas na vore kom. Die ISO 18013-familie self is reeds verdeel oor verskeie dele wat fisiese ontwerp, sekuriteit, mobiele aanbieding en internetuitbreidings dek. ‘n Toekomstige grensoverschrydende bestuurskredensiale is dus nie een spesifikasie nie — dit is ‘n gekoördineerde stapel spesifikasies, elk wat ‘n afsonderlike bekommernis hanteer.

Die Toekomstige IBP-Stapel in ‘n Oogopslag

Hier is die agt lae wat saam bepaal hoe ‘n toekomstige IBP lyk:

Laag 0 — Fisiese en data-basislyn: ISO/IEC 18013-1
Laag 1 — Kredensiaalsekuriteit: ISO/IEC 18013-3
Laag 2 — Nabyheidsaanbieding (persoonlik): ISO/IEC 18013-5
Laag 3 — Afstands- / internetaanbieding: ISO/IEC 18013-7
Laag 4 — Kredensiaalsemantiek: W3C Verifiable Credentials Data Model 2.0
Laag 5 — Uitgifte-protokol: OpenID4VCI
Laag 6 — Versoek- en aanbiedingsprotokol: OpenID4VP
Laag 7 — Vertroueverspreiding en verifieerdermagtiging: Vertrouensregisters (AAMVA se VICAL-model, die EUDI-sertifikaat-gebaseerde vertrouende-party-model)

Elke laag is gegrond in huidige standaarde of aktiewe ekosisteemdokumentasie. Die afdelings hieronder verduidelik wat elke laag doen — en, net so belangrik, wat dit nie doen nie.

Laag 0 — ISO/IEC 18013-1: Die Fisiese en Semantiese Grondslag

Deel 1 is belangriker as wat meeste mense besef, omdat dit nie net oor kaartontwerp gaan nie.

ISO/IEC 18013-1 definieer die fisiese eienskappe en basiese datastel van ‘n ISO-voldoende bestuurslisensie, en skep ‘n gemeenskaplike basis vir internasionale gebruik en wedersydse erkenning. Dit is gebou rondom ‘n veilige ID-1-kaart gekoppel aan ‘n boekjie vir internasionale gebruik, wat die ouer papier-IBP-model vervang. ISO meld ook dat een kaart in baie gevalle die behoefte aan twee afsonderlike dokumente kan vervang.

Die praktiese implikasie is eenvoudig: die toekomstige IBP kan nie by die beursielaag begin nie. As die onderliggende dokumentstruktuur, datamodel en uitleg nie eers gestandaardiseer word nie, word elke digitale laag daarbowe ‘n versoenbaarheidspatch oor gefragmenteerde nasionale formate. Deel 1 is die grondslag waarvan die res van die stapel afhang.

Laag 1 — ISO/IEC 18013-3: Kredensiaalsekuriteit

Deel 3 is waar die kредensиaal oorgaan van data op ‘n dokument na ‘n sekuriteitsobjek. ISO beskryf 18013-3 as die deel wat meganismes spesifiseer vir:

Toegangsbeheer tot masjienlêsbare data
Dokumentverifikasie
Integriteitsvalidering

ISO is egter ook uitdruklik dat Deel 3 nie privaatheidskwessies rakende die latere gebruik van die data aanspreek nie — en daardie grens is belangrik.

Kortom lewer 18013-3 kредensиaalsekuriteit, nie volledige ekosisteembeheer nie. Dit help om vrae te beantwoord soos: Is hierdie kредensиaal deur die beweerde gesag uitgereik? Is die data verander? Dit beantwoord nie volledig nie: Behoort hierdie verifieerder selfs hierdie veld te versoek? Behoort hierdie versoek in hierdie konteks toegelaat te word?

Dit is ook ‘n aktiewe laag eerder as ‘n voltooide produk. ISO lys ‘n 2022-wysiging vir die PACE-protokol, ‘n 2023-wysiging vir passiewe verifikasie-opdaterings, en ‘n nuwe konsepweergawe van 18013-3 wat tans in ontwikkeling is.

Laag 2 — ISO/IEC 18013-5: Persoonlike Mobiele Aanbieding

As Deel 1 die dokument definieer en Deel 3 dit beveilig, verander Deel 5 die lisensie in ‘n mobiele kредensиaal.

ISO spesifiseer dat 18013-5 die koppelvlak tussen die mDL en die leser dek, asook tussen die leser en die uitreikende-gesag-infrastruktuur. Dit stel ook derde partye in staat — insluitend owerhede en verifieerders in ander lande — om:

mDL-data per masjien te verkry
Daardie data aan die houer te koppel
Die oorsprong daarvan te verifieer
Die integriteit daarvan te bevestig

Wat 18013-5 nie dek nie, is ewe belangrik. ISO lys uitdruklik buite-omvang-items, insluitend hoe houertoestemming om data te deel verkry word en die vereistes vir die stoor van mDL-data en private sleutels. Deel 5 is nie ‘n volledige beursieprodukte nie, nie ‘n volledige gebruikerinstemmingsmodel nie, en nie ‘n volledige beheerstelsel nie. Dit is die vervoer- en verifikasielaag vir mobiele aanbieding.

AAMVA se implementeringsleiding skerp dit verder toe deur onderskeid te tref tussen twee herwinningsmodelle:

Toestelherwinning, waar die data direk van die houer se toestel gelees word.
Bedienerherwinning, wat die uitreikende gesag in staat kan stel om waar te neem wanneer die mDL gebruik word, watter data gedeel word, en selfs fisiese ligging te skat deur IP-ontleding.

Daardie tweede punt is nie ‘n rede om die standaard te verwerp nie — dit is ‘n rede om presies te wees oor watter herwinningsmodel ‘n toekomstige IBP standaard moet gebruik. AAMVA vereis ook dat die beursie die houer volle beheer gee oor watter data-elemente gedeel word, wat baie beter by ‘n toekomstige IBP pas as die ouer “wys die hele dokument”-model.

Laag 3 — ISO/IEC 18013-7: Internetaanbieding

Deel 5 los die persoonlike probleem op. Deel 7 brei daardie model uit na afstandsgebruik.

ISO beskryf 18013-7:2025 as ‘n uitbreiding van 18013-5 met internetaanbieding van ‘n mDL aan ‘n leser. Die internet is nie ‘n sekondêre oorweging in hierdie argitektuur nie; dit is ‘n uitdruklike deel van die standaard.

Die EU se handleiding vir mobiele bestuurslisensies behandel internetaanbieding reeds as prakties eerder as teoreties, en beskryf scenario’s soos:

Motorverhuur-incheck, waar gebruikers hul mDL persoonlik of op afstand vooruit deel
Padkantkontroles deur polisie
‘n Algemene mDL-gebruiksprofiel gebou op ISO/IEC 18013-5 en 18013-7

Nietemin is AAMVA se huidige leiding eerlik oor die beperkings: mDL-gebruik oor die internet is hoogs gewens, maar sommige ondersteunende standaarde is nog aan die ontwikkel. Daar is werklike leemtes in huidige beursie-tot-blaaier-integrasie, en sonder ‘n lys van vertroude lesers het die mdoc-kant moontlik geen betroubare manier om sekere sekuriteitseienSkappe te bevestig nie. Afstandsaanbieding is werklik — en is nog steeds aan die ontwikkel.

Selfs met daardie voorbehoude is 18013-7 die eerste ernstige antwoord op ‘n probleem wat die papier-IBP nooit eens probeer oplos het nie: die aanbieding van bestuursbevoegdhede op afstand, voordat die persoon die toonbank of kontrolepunt bereik.

Laag 4 — W3C VC Data Model 2.0: Die Semantieklaag

W3C se Verifiable Credentials Data Model 2.0 is nie ‘n bestuurslisensie-standaard nie — en dit is presies waarom dit saak maak.

Die Aanbeveling definieer ‘n uitbreibare datamodel vir verifieerbare kредensиale, verduidelik hoe dit teen verandering beskerm kan word, en beskryf die ekosisteem in terme van drie kernrolle: uitgewers, houers en verifieerders. ‘n Bestuurslisensie verskyn as een van die kernvoorbeelde.

Vir ‘n toekomstige IBP dra VC 2.0 ‘n algemene woordeskat by vir eise, aanbiedinge en verifieerbare dataregisters. W3C is uitdruklik dat sulke registers verskeie vorme kan aanneem, insluitend:

Vertroude databasisse
Staatsidentiteitsdatabasisse
Gedesentraliseerde databasisse
Verspreide grootboeke

Dit breek die valse tweekeusemodel tussen ‘n blockchain-enigste benadering en ‘n volledig eie benadering. Die datamodel is breër as enige van die twee.

VC 2.0 is ook duidelik oor selektiewe openbaarmaking. W3C merk op dat ‘n bestuurslisensie meer data kan bevat as wat vir ‘n gegewe gebruiksgeval nodig is, en beveel aan om inligting óf in kleiner stukke te verdeel óf meganismes te gebruik wat selektiewe openbaarmaking moontlik maak. Vir ‘n toekomstige IBP is dit nie ‘n opsionele privaatheidsverfraaiing nie — dit is die verskil tussen ‘n moderne kредensиaal en ‘n digitale fotokopie van ‘n plastiese kaart.

VC 2.0 is egter nie ‘n volledige vervanger vir ISO 18013 nie. W3C wys daarop dat die datamodel nie ‘n tradisionele sertifikaat-gesag-vertroueketting-model vereis nie. In die praktyk is VC 2.0 ‘n sterk semantieklaag, maar uitdruklike vertroueverspreiding en verifieerderbestuurslaag moet steeds daarbo geplaas word.

Laag 5 — OpenID4VCI: Die Uitgifte-protokol

‘n Toekomstige IBP benodig ‘n standaard manier om ‘n kредensиaal van ‘n uitgewer na ‘n beursie te verskuif. Dit is die rol van OpenID for Verifiable Credential Issuance (OpenID4VCI) 1.0.

Die spesifikasie definieer ‘n OAuth-beskermde API vir die uitreik van verifieerbare kредensиale, en dit is opsetlik formaatonafhanklik. Onder die kредensиaalformate wat dit ondersteun:

ISO mdoc
SD-JWT VC
W3C VCDM-kредensиale

Dit ondersteun ook houerbinding en latere aanbiedinge sonder verdere betrokkenheid van die uitgewer. OpenID4VCI 1.0 is in September 2025 as ‘n Finale Spesifikasie goedgekeur.

Dit maak OpenID4VCI strategies belangrik vir ‘n toekomstige IBP-ekosisteem. In plaas van die bou van pasgemaakte uitgewer-tot-beursie-pypelynte vir elke jurisdiksie of beursieverskaf, kan die ekosisteem ‘n beheerde uitgifteprofiel bo op ‘n standaard uitgifte-raamwerk definieer — terwyl dit steeds kan kies of die gevolglike kредensиaal as mdoc, VC of ‘n ander ondersteunde formaat gekodeer word. Daardie buigsaamheid is een van die sterkste argumente vir die modulêre hou van die toekomstige IBP-stapel.

Laag 6 — OpenID4VP: Die Versoek- en Aanbiedingsprotokol

As OpenID4VCI die kредensиaal in die beursie plaas, bring OpenID for Verifiable Presentations (OpenID4VP) dit op ‘n beheerde manier terug uit.

Die spesifikasie definieer ‘n meganisme om kредensиale te versoek en aan te bied. Die basislyn gebruik HTTPS-boodskappe en omstuurings, maar dit ondersteun ook gebruik oor die W3C Digital Credentials API in plaas van omstuurvloei. OpenID4VP 1.0 het in Julie 2025 Finale Spesifikasie-status bereik.

Dit maak saak omdat dit die toekomstige IBP-stapel ‘n webnasionale aanbiedingslaag gee wat webwerwe, toepassings en aanlyn-verifieerders direk kan implementeer. Verskeie onlangse ontwikkelinge bevestig dit:

In Augustus 2025 het die OpenID-stigting ‘n formele sekuriteitsanalise van OpenID4VP wat oor die Digital Credentials API gebruik word, aangekondig, en geen nuwe kwesbaarhede is in die geverifieerde protokolmodel gevind nie.
NIST se huidige mDL-konsep bou sy bedreigingsmodel rondom die versoek en aanbieding van mDL’s via OpenID4VP oor die W3C Digital Credentials API, met FIDO CTAP wat gebruik word om nabyheid af te dwing en uitvissing in relevante vloei te weerstaan.

Die webkant van die stapel en die mDL-kant konvergeer. OpenID4VP moet nie gelees word as ‘n mededinger tot ISO 18013-7 nie — dit is die webprotokollaag wat internetaanbieding prakties maak oor werklike blaaier-, beursie- en verifieerderomgewings.

Laag 7 — Vertrouensregisters: Waar die Stapel ‘n Ekosisteem Word

Dit is die laag wat baie besprekings oorslaan — en die laag wat bepaal of die hele stelsel werklik funksioneer.

‘n Verifieerder kan nie veel doen met ‘n ondertekende kредensиaal nie, tensy dit drie dinge weet:

Watter uitgewers is wettig
Watter publieke sleutels is aktueel
Of die versoekende party self gemagtig is

Aan die uitgewerkant bied AAMVA se Digital Trust Service ‘n konkrete antwoord. Dit bied ‘n enkele, veilige, veerkragtige manier vir vertrouende partye om openbare sleutels van uitreikende owerhede te verkry, wat versprei word deur die Verified Issuer Certificate Authority List (VICAL). AAMVA se leiding beskryf die VICAL-verskafferrol in praktiese terme: versamel publieke sleutels van wettige uitreikende owerhede, verifieer dat daardie owerhede hul sleutels veilig bestuur, kombineer die sleutels in ‘n enkele VICAL, en lewer dit aan verifieerders.

Aan die verifieeerderkant benader Europa die vertrouensprobleem vanuit ‘n ander rigting. In die EUDI-argitektuur en -verwysingsraamwerk registreer vertrouende partye, verkry toegangssertifikate, en gebruik daardie sertifikate om hulself aan beursietoepassings te verifieer wanneer hulle attribute versoek. Die beursie verifieer dan die sertifikaat-ketting, kontroleer herroepingstatus, bied die versoek aan die gebruiker aan, en stel slegs die goedgekeurde attribute vry.

W3C se VC-model dra hier ook by, deur verifieerbare dataregisters as ‘n afsonderlike ekosisteem-rol te behandel. Soos vroeër vermeld, kan daardie registers vertroude databasisse, staatsidentiteitsdatabasisse, gedesentraliseerde databasisse of verspreide grootboeke wees. ‘n Toekomstige IBP-vertrouensregister hoef nie op blockchain gebou te word nie. Dit moet bestuur, ouditeerbaar en masjienlêsbaar wees.

As ISO 18013 bepaal hoe die kредensиaal lyk en beweeg, besluit vertrouensregisters of enigiemand dit behoort te glo.

‘n Toekomstige IBP is ‘n stapel, nie ‘n enkele spesifikasie nie

Hoe ‘n Toekomstige IBP-Transaksie van Begin tot Einde Werk

Hier is die stapel in werking, opgedeel in die vier sleutelmomente van ‘n kредensиaal se lewensiklus.

1. Uitgifte. ‘n Nasionale owerheid — of ‘n streng beheerde gemagtigde uitgewer — verifieer die onderliggende lisensierekord en reik ‘n kредensиaal uit in die houer se beursie. OpenID4VCI is die mees praktiese uitgifte-laag wat vandag beskikbaar is, omdat dit reeds ISO mdoc, SD-JWT VC en W3C VCDM-formate ondersteun. ISO 18013-5 self laat instemmingsinvordering en privaat-sleutelopberging buite omvang, wat presies is waarom uitgifte en beursiebestuur bo die basiese ISO-vervoerlaag moet funksioneer.

2. Persoonlike aanbieding. By ‘n padkantstop of verhuurtoonbank bied die beursie die kредensиaal aan deur gebruik te maak van ‘n nabyheidsvloei gebaseer op 18013-5. Die leser valideer oorsprong en integriteit deur gebruik te maak van uitgewersleutels wat van ‘n vertrouensregister verkry is — eerder as om vertroue-besluite op sy eie te neem. Die houer keur slegs die velde goed wat vir daardie spesifieke situasie benodig word.

3. Afstandsaanbieding. Vir voor-verhuur-kontroles of ander aanlyn-prosesse versoek die verifieerder ‘n minimale stel attribute oor ‘n internetgeskikte vloei deur gebruik te maak van 18013-7 en/of OpenID4VP. Die beursie toon watter attribute versoek word, die houer keur dit goed, en die verifieerder ontvang ‘n gestruktureerde aanbieding eerder as ‘n skandering of PDF-oplaai. NIST se huidige argitektuur, gebou rondom OpenID4VP plus die Digital Credentials API, toon aan dat dit nou ‘n praktiese ingenieurpad is.

4. Vertroue en verifieerdermagtiging. Die beursie vertrou nie elke versoeker blindelings nie. ‘n Volwasse ekosisteem verifieer die vertrouende party, valideer sertifikaat-kettings, kontroleer herroepingstatus, en gee die gebruiker sigbaarheid in wie vir watter data vra. Die EUDI-model is hier veral sterk, deurdat verifieerderregistrasie en toegangssertifikate as noodsaaklike dele van die stelsel behandel word eerder as opsionele toevoegings.

Hierdie volledige vloei is presies waarom ‘n toekomstige IBP ‘n stapel moet wees. Geen enkele laag kan dit lewer nie. Nie ISO alleen nie. Nie VC alleen nie. Nie OpenID alleen nie. En beslis nie ‘n PDF aangeheg aan ‘n vorm nie.

Wat Nog Ontbreek uit die Toekomstige IBP-Stapel

Die moeilikste oorblywende probleem is nie meer die skep van nuwe kriptografie nie — dit is die bereiking van beheerde interoperabiliteit.

Oorweeg waar die ekosisteem vandag staan:

NIST het die huidige standaardelandskap beskryf as ontwikkelend oor aparte areas.
AAMVA het ‘n streekvertrouensdiens vir Noord-Amerika gebou.
Europa bou sertifikaat-gebaseerde vertrouende-party-vertroue in sy beursieargitektuur in.
OpenID het uitgifte- en aanbiedingspesifikasies gefinaliseer en brei voldoeningsinfrastruktuur uit.

Dit is steeds ekosisteem-spesifieke antwoorde. Daar is nog nie een globale grensoverschrydende vertrouenslaag vir bestuurskредensиale nie. Die oorblywende werk is om te definieer:

Watter dele van die stapel verpligtend is
Watter kредensиaalformate aanvaarbaar is
Hoe uitgewer- en verifieerdervertroue versprei word
Hoe voldoening getoets word
Hoe grensoverschrydende erkenning bestuur word sonder om privaatheid in te boet

Gevolgtrekking: Die Toekomstige IBP Is ‘n Stapel, Nie ‘n Dokument Nie

‘n Toekomstige IBP sal nie verskyn omdat een standaardorganisasie een dokument skryf nie. Dit sal na vore kom wanneer ‘n samehangende stapel gedefinieer, bestuur en oor jurisdiksies heen aangeneem word. Daardie stapel het reeds identifiseerbare lae: