Geen Tuis-Oproep-Verifikasie: Waarom die Toekomstige Digitale IRP Nie die Uitreiker by Elke Gebruik Moet Kontak Nie

Herroeping is die moeilikste probleem in enige toekomstige digitale Internasionale Rypermit (IRP). Die maklikste manier om dit op te los is ook die gevaarlikste: maak die uitreiker ‘n deelnemer aan elke enkele aanbieding. ‘n Moderne grensoorskrydende rybewysdokument moet hierdie kortpad by verstek weier.

Byna elke digitale-identiteitsvoorstel bevat dieselfde geruststellende sin:

“Die geloofsbrief kan onmiddellik geverifieer word.”

Soms beskryf dié sin werklike vordering. Soms beskryf dit toesig met ‘n vriendeliker gebruikerskoppelvlak.

Vandag se gepubliseerde standaarde maak reeds duidelik dat ‘n verifieerder die uitreiker nie elke keer hoef te kontak wanneer ‘n geloofsbrief getoon word nie:

• NIST se huidige mDL-argitektuur stel dat ‘n verifieerder egtheid en integriteit kan bevestig deur die uitreiker se handtekening en openbare sleutels te vertrou — sonder enige direkte kontak met die uitreiker.
• AAMVA bevestig dat ISO/IEC 18013-5 ondersteuning vir toestelherwinning vereis en slegs opsioneel bedienerherwinning toelaat.
• AAMVA waarsku ook dat onder bedienerherwinning die uitreikende gesag intydse betrokkenheid by elke gebruik het — wat beteken dit kan tegnies aanteken wanneer die geloofsbrief gebruik word, watter data gedeel word, en selfs ligging aflei uit IP-analise.

Dit is nie ‘n geringe voetnota nie. Dit is die sentrale ontwerpsvraag vir die volgende generasie grensoorskrydende rybewysdokumente.

Die Gevaarlike Kortpad: Vier Vrae in Een Netwerkopdrag Saamvou

Swak argitekture bundel vier baie verskillende vrae in ‘n enkele regstreekse oproep na die uitreiker:

1. Is hierdie geloofsbrief eg?
2. Is die persoon wat dit aanbied die regmatige houer?
3. Is die geloofsbrief self nog geldig?
4. Is die onderliggende nasionale ryreg nog van krag?

‘n Swak ontwerpte stelsel beantwoord al vier deur intydse tuisoproep. ‘n Goed ontwerpte stelsel skei hulle — want dit is nie dieselfde probleem nie en hulle behoort nie ‘n meganisme te deel nie.

Egtheid Behoort Plaaslik Geverifieer te Word, Nie Oor die Netwerk Nie

‘n Geloofsbrief kan kriptografies eg wees sonder dat die uitreiker ooit die transaksie waarneem.

• NIST se mDL-vertrouemodel sê egtheid en integriteit word bevestig uit die uitreiker se handtekening en openbare sleutels — geen regstreekse uitreikerkontak vereis nie.
• AAMVA se Digitale Vertrouediens bestaan juis om verifieerders toegang tot geldige uitreiker-openbare sleutels te gee sonder per-transaksie-terugoproepe.

Ontwerpbeginsel 1: Moenie regstreekse konnektiwiteit gebruik om ‘n probleem op te los wat handtekeninge reeds oplos nie.

As ‘n verifieerder vertroude uitreikersleutels het en ‘n standaardvoldoenende aanbieding ontvang, is egtheid ‘n plaaslike kriptografiese kontrole, nie ‘n netwerkafhanklikheid nie.

Houerverbinding Behoort Plaaslik Bewys te Word, Nie Globaal Gerapporteer Nie

Die tweede vraag — is dit die regmatige houer? — het ook ‘n nie-netwerk-antwoord.

Die huidige EUDI-argitektuur vereis toestelverbinding vir PID’s en ISO/IEC 18013-5-bevestigings. Die verifieerder vra die beursie om ‘n vars uitdaging te onderteken met die privaatsleutel wat ooreenstem met die openbare sleutel ingebed in die geloofsbrief:

• In ISO/IEC 18013-5 word dit mdoc-stawing genoem.
• In SD-JWT VC word dit sleutelverbinding genoem.

In beide gevalle word besit plaaslik en kriptografies bewys. Geen persoonlike data hoef ooit die uitreiker te bereik nie.

Ontwerpbeginsel 2: Bewys besit plaaslik. Moenie identiteit globaal bewys nie.

‘n Toekomstige IRP behoort toestelverbinding, plaaslike houerstawing en verifieerder-uitdaging-antwoord te uitput voordat dit enige uitreikerkantmeganisme oorweeg.

Geloofsbrief-Status en Ryreg-Status is Twee Verskillende Dinge

Baie digitale-identiteitsontwerpe verwar hierdie onderskeid, en dit is waar hulle verkeerd gaan.

W3C se Bitstring Statuslys-spesifikasie maak die punt duidelik: statusinligting wat aan ‘n verifieerbare geloofsbrief gekoppel is, is van toepassing op die verifieerbare geloofsbrief self — nie noodwendig op die onderliggende werklike-wêreld-aanspraak nie. ‘n Digitale geloofsbrief kan herroep word omdat sy ondertekenmeganisme gekompromitteer is, terwyl die onderliggende ryreg volkome geldig bly.

‘n Toekomstige IRP benodig dus twee afsonderlike statuslae:

• Geloofsbrief-statuslaag — vir die digitale geloofsbrief of aanbiedingskanaal self.
• Ryreg-laag — vir die onderliggende nasionale aanspraak om te ry.

Soms verander hierdie saam. Dikwels nie. ‘n Stelsel wat hulle verwar sal oorreageer, meer data as nodig blootstel, of albei.

Beursie-Kompromittering Behoort Deur Status te Vloei — Nie Verifieerder-Terugoproepe te Trigger Nie

‘n Toekomstige IRP benodig ook ‘n duidelike antwoord vir wat gebeur wanneer ‘n beursie gekompromitteer word.

Die EUDI-argitektuur verskaf een:

• Die beursieverskaffer reik Beursie-Eenheidsbevestigings uit wat herroepingsinligting bevat.
• Beursie-integriteit word oor tyd herverifieer; as ‘n beursie nie meer veilig is nie, word sy bevestiging herroep.
• PID-verskaffers moet gereeld kontroleer of die beursie herroep is. As dit is, herroep hulle die PID.
• Deur PID-status te verifieer, verifieer die vertrouende party implisiet beursiestatus.

Dit is die lae wat ‘n toekomstige IRP behoort aan te neem. Moenie elke verifieerder vra om die beursieverskaffer onafhanklik te kontroleer nie. Laat beursie-kompromittering deur die bestaande geloofsbrief-status-pyplyn vloei, en laat verifieerders daardie enkele privaatheidsbewarende kanaal raadpleeg.

Drie Werkbare Herroepingspatrone (Geen Terugoproepe Vereis Nie)

EUDI vereis dat verskaffers een van drie herroepingsmetodes gebruik:

• Korttydige bevestigings — geldig vir 24 uur of minder, sodat herroeping onnodig word.
• Bevestigingstatusys — ‘n gepubliseerde lys wat verifieerders kan raadpleeg.
• Bevestigingsherroepingslys — ‘n eksplisiete lys van herroepde geloofsbriewe.

Vir bevestigings wat langer as 24 uur geldig is, vereis EUDI die inbed van herroepingsinligting wat insluit:

• ‘n URL waar vertrouende partye die statuslys kan ophaal.
• ‘n Identifiseerder wat die geloofsbrief binne daardie lys opspoor.

As betroubare herroepingsinligting nie beskikbaar is nie — byvoorbeeld wanneer die vertrouende party vanlyn is — rig EUDI die vertrouende party om ‘n risikoanalise uit te voer voordat die geloofsbrief aanvaar of geweier word.

Die gevolgtrekking: herroeping is nie ‘n enkele meganisme nie, en beslis nie ‘n regverdiging vir verpligte uitreiker-terugoproepe nie.

Korttydige by Verstek, Langtydige Slegs Waar Nodig

Een van die doeltreffendste privaatheidsmaatreëls in die hele stapel is ook die eenvoudigste: hou wat aangebied word korttydige.

• EUDI sê bevestigings geldig vir 24 uur of minder benodig nie herroepingsinfrastruktuur nie — hulle verval voordat herroeping saak sou maak.
• W3C sê verifieerbare aanbiedinge is tipies korttydige en nie ontwerp vir langtermyn-berging nie.
• NIST waarsku eksplisiet teen die herhalende oordra van herbruikbare identifiseerders vir alledaagse gebruik. Dag-tot-dag-stawing behoort op tegnologieë gebou vir dié doel te steun, soos wagsleutels, nie die herhaalde aanbieding van ‘n identiteitsryke geloofsbrief nie.
• NIST het ook plaaslike toestelstawing bo bediener-kant biometriese passing gekies juis omdat plaaslike stawing privaatheid bewaar en bedryfsmatig meer doeltreffend is.

Ontwerpbeginsel 3: Die basisgeloofsbrief kan ‘n medium geldigheidstydperk hê, maar die aanbieding self behoort korttydige, verifieerder-spesifiek en nie-herbruikbaar te wees.

Statuslyste is die Regte Verstekmeganisme

Wanneer jy nie alles korttydige kan maak nie, benodig jy statusinfrastruktuur — en die statuslys is die regte verstek.

W3C se Bitstring Statuslys v1.0 beskryf ‘n privaatheidsbewarende, ruimte-doeltreffende, hoëprestasie-meganisme vir die publisering van statusdata soos opskorting of herroeping. Sleuteleiendomme sluit in:

• Elke uitreiker bestuur ‘n lys vir die geloofsbriewe wat hy uitgereik het.
• Die formaat komprimeer goed, aangesien die meeste geloofsbriewe onherroep bly.
• Die versteklysgroot is 131 072 inskrywings, wat W3C sê voldoende groepsprivaatheid in die gemiddelde geval bied.
• Groter lyste kan gebruik word waar sterker groepsprivaatheid benodig word.

Dit verskuif die vraag van:

“Kan ek die uitreiker nou oor hierdie gebruiker vra?”

na:

“Het ek reeds ‘n onlangs genoeg privaatheidsbewarende statuslys om plaaslik te besluit?”

Dit is ‘n baie beter vraag — beide tegnies en polities.

“Geen Tuisoproep” is ‘n Aflaaipatroon, Nie ‘n Slagspreuk Nie

Die belangrikste reël in EUDI se privaatheidsleiding is prosedureel, nie filosofies nie.

Vertrouende partye moet nie die statuslys elke keer versoek wanneer ‘n geloofsbrief aangebied word nie. In plaas daarvan moet hulle:

• Elke nuwe weergawe van die lys een keer aflaai.
• Dit doen op ‘n tyd en vanaf ‘n plek sonder verband met enige gebruikersaanbieding.
• Die lys intern binne die vertrouende party-organisasie versprei.
• Die lys ophaal sonder om die vertrouende party te staaf.

Dit is die bedryfskern van geen-tuisoproep-verifikasie: hernu status afsonderlik van gebruikersaanbiedinge — nooit per persoon, nooit per transaksie nie.

Hierdie enkele ontwerpkeuse verhinder dat die uitreiker of statusverskaffer leer watter verifieerder watter geloofsbrief op watter oomblik gekontroleer het.

Groepsprivaatheid: Die Vereiste wat die Meeste Ontwerpe Vergeet

Baie stelsels maak reklame vir selektiewe openbaarmaking binne die aanbieding self, maar ignoreer dan stilswyend die privaatheid van statusopsoeke. Dit is ‘n beduidende leemte.

EUDI se privaatheidsveresites spesifiseer dat:

• Indekse in statuslyste willekeurig toegewys moet word, sodat die indeks self nooit ‘n opsporingssein word nie.
• Elke lys ‘n voldoende groot aantal geloofsbriewe moet dek om groepsprivaatheid te verseker.
• As ‘n lys andersins te klein sou wees, behoort verskaffers ongebruikte inskrywings by te voeg om die werklike geloofsbrief-aantal te verdoesel.

‘n Toekomstige IRP kan nie aanspraak maak op privaatheidsbeskerming op grond van selektiewe openbaarmaking alleen nie. As die herroepingsmeganisme die aanbiedingsgebeurtenis uitlek, is die privaatheidsontwerp onvolledig.

Vanlynwerking is Nie ‘n Randgeval Nie — Dit is ‘n Kernvereiste

Enige reisstelsel wat volmaakte konnektiwiteit veronderstel, is swak ontwerp.

• AAMVA bevestig dat toestelherwinning werk sonder buite-konnektiwiteit vir beide die houertoestel en die leser, en dat ISO/IEC 18013-5 vereis dat mDL’s toestelherwinning moet ondersteun.
• EUDI aanvaar dat vertrouende partye vanlyn mag wees en nie ‘n gekasjeerde statuslys het nie, in welke geval dit ‘n risikoanalise aanbeveel voor besluitneming.

Aanvaar hierdie kompromis vroeg:

Jy kan nie terselfdertyd volmaakte vanlynwerking en volmaakte intydse varsheid hê nie.

Enige argitektuur wat albei beloof sonder kompromis is óf onpresies óf hervestig stilswyend toesig. Die regte reaksie is om varsheid ‘n beleidsinset te maak, nie ‘n universele netwerkafhanklikheid nie.

Aantekeninge is Waar Privaatheid Stil Misluk

Selfs ‘n uitstekende statusargitektuur kan deur sorgelose aantekeninge ondermyn word.

• EUDI vereis dat vertrouende party-instansies unieke elemente en tydstempels weggooi sodra hulle nie meer benodig word nie, en verbied die aanstuur daarvan.
• AAMVA verbied dat belanghebbendes mDL-houers of mDL-gebruik opspoor behalwe waar die wet dit vereis, vereis dat uitreikende gesagte die deel van statiese of langlewendige metadata minimaliseer, en beperk toegang tot aktiwiteitslognoteerings tot die houer.
• AAMVA vereis ook dat op-toestel-verwydering lognoteerings en metadata wat gebruiksgeskiedenis kan openbaar verwyder — en dat hierdie verwydering vanlynmoontlik moet wees.

Dit is protokolgedrag, nie administratiewe huishouding nie. ‘n Toekomstige IRP moet langlewendige identifiseerders, tydstempels en aantekeninge as moontlike opsporingsinstrumente behandel tensy eksplisiet anders bewys.

‘n Konkrete Geen-Tuisoproep-Argitektuur vir die Toekomstige IRP

Die beginsels saamgebring, hier is wat die stelsel eintlik behoort te doen:

1. Reik ‘n toestelgebonde basisgeloofsbrief uit. Bind die geloofsbrief aan sleutels wat in die beursie se veilige omgewing beskerm word — verpligtend onder EUDI vir PID’s en ISO/IEC 18013-5-bevestigings.
2. Versoek slegs wat benodig word, met ‘n vars uitdaging. In ‘n OpenID4VP-transaksie laat ‘n DCQL-navraag die beursie toe om die houer te wys watter eienskappe versoek word, en die verifieerder reik ‘n uitdaging uit om herhaling te voorkom (per NIST se huidige mDL-argitektuur).
3. Genereer ‘n korttydige aanbieding, nie ‘n herbruikbare identifiseerder nie. Elke aanbieding behoort spesifiek te wees aan die verifieerder, die versoek en die oomblik.
4. Verifieer egtheid plaaslik. Bevestig uitreiker-handtekeninge en openbare sleutels vanlyn; AAMVA se vertrouediens is juis hiervoor gebou.
5. Kontroleer status uit gekasjeerde, afsonderlik hernude lyste. Waar geloofsbriewe te langtydige is om herroeping oor te slaan, gebruik plaaslik gekasjeerde statuslyste wat op ‘n skedule hernu word sonder verband met gebruikersaanbiedinge.
6. Pas ‘n risikobeleid toe wanneer varsheid nie beskikbaar is nie. Maak vanlynbesluite eksplisiete verifieerder-beleid, nie ongestruktureerde raaiwerk nie.
7. Verwyder opsporingsdata agressief. Gooi transaksie-unieke elemente en tydstempels weg wanneer dit nie meer benodig word nie; behou nie aantekeninge wat bewegingsgeskiedenis kan rekonstrueer nie.

Dit is hoe ‘n ernstige geen-tuisoproep-argitektuur lyk — gelaag, privaatheidsbewarend, kriptografies plaaslik en bedryfsmatig eerlik oor vanlynrealiteit.

Drie Patrone wat deur Ontwerp Verbied Behoort te Word

‘n Volwasse toekomstige IRP-ekostelsel behoort hierdie as argitektoniese mislukkings te beskou, nie optimiseringskeuses nie:

• Verpligte uitreiker-terugoproepe by elke aanbieding. AAMVA se eie privaatheidsleiding verduidelik waarom dit skadelik is.
• Die rybewysdokument as roetine-aanmelding gebruik. NIST waarsku eksplisiet teen die herhaalde aanbieding van identiteitsdraende geloofsbriewe vir daaglikse stawing.
• Identifiseerders, tydstempels en aantekeninge behou wat aanbiedingsgeskiedenis kan rekonstrueer. Beide EUDI en AAMVA vereis die teenoorgestelde.

Die Kernargument in Een Sin

Onmiddellike verifikasie mag nie toestemming vir uitreiker-kant-toesig word nie.

‘n Toekomstige IRP behoort in staat te wees om:

• Egtheid plaaslik te bewys.
• Besit plaaslik te bewys.
• Varsheid privaat na te gaan.
• Vanlynrealiteit te verdra.
• Behendig te funksioneer wanneer volmaakte inligting nie beskikbaar is nie.

Niks hiervan maak die stelsel swakker nie. Dit maak dit die moeite werd om op skaal in te stel.

Die oomblik waarop ‘n rybewysdokument ‘n instrument word om te rekordeer wie wat gewys het, waar en wanneer, hou dit op om ‘n veiliger weergawe van papier te wees. Dit word infrastruktuur vir waarneming.

Dit is presies wat die toekomstige IRP behoort te weier om te word.

Gereeld Gestelde Vrae

Wat is “tuisoproep-verifikasie”?
Dit is enige ontwerp waarin ‘n verifieerder die uitreiker intydse kontak om ‘n geloofsbrief te bevestig. Terwyl dit egtheid en herroeping gelyktydig oplos, laat dit ook die uitreiker toe om elke aanbiedingsgebeurtenis waar te neem.

Vereis ISO/IEC 18013-5 aanlyn uitreikerkontak?
Nee. AAMVA bevestig dat ISO/IEC 18013-5 ondersteuning vir toestelherwinning vereis en slegs opsioneel bedienerherwinning toelaat.

Hoe kan herroeping werk sonder om die uitreiker te kontak?
Deur korttydige geloofsbriewe, bevestigingstatuslyste of bevestigingsherroepingslyste — ideaal met die vertrouende party wat statusdata afsonderlik van gebruikersaanbiedinge aflaai.

Waarom is “groepsprivaatheid” belangrik vir statuslyste?
As ‘n statuslys te klein is of die indekse voorspelbaar is, kan ‘n statusversoek uitlek watter spesifieke geloofsbrief pas aangebied is. Willekeurige indekse en groot lyste voorkom dit.

Is vanlynverifikasie werklik prakties?
Ja — en standaardeliggame insluitend AAMVA en EUDI vereis dit eksplisiet. Die kompromis is dat volmaakte intydse varsheid onversoenbaar is met volmaakte vanlynwerking, sodat varsheid ‘n beleidsbeslissing moet word, nie ‘n harde afhanklikheid nie.