Waarom Blokketting Opsioneel Is vir die Toekomstige Internasionale Bestuurspermit (IBP)

‘n Toekomstige Internasionale Bestuurspermit (IBP) benodig deursigtigheid, vertroue-ankers en openbare aanspreeklikheid. Wat dit nie by verstek benodig nie, is om bestuurders self op ‘n verspreide lêer te plaas.

Elke ernstige gesprek oor ‘n digitale, grensoorskrydende IBP lok uiteindelik dieselfde voorstel: “Sit dit net op blokketting.” Die aantrekkingskrag is verstaanbaar. Blokkettings bied manipulasie-bewys, gedeelde sigbaarheid en ‘n slegs-toevoeging-geskiedenis. Dit is werklike eienskappe. Maar in die konteks van grensoorskrydende bestuurderidentiteit word hulle dikwels op die verkeerde laag toegepas.

Hierdie artikel verduidelik hoekom, bespreek wat die standaarde werklik sê, en stel ‘n beter argitektuurpatroon voor.

Wat die Standaarde Werklik oor Blokketting Sê

Die W3C Verifieerbare Geloofsbriewe-datamodel is uitdruklik dat ‘n verifieerbare dataregister baie vorme kan aanneem, insluitend:

• Betroubare databasisse
• Gedesentraliseerde databasisse
• Staatsidentiteitsdatabasisse
• Verspreide lêers

DID Core is ewe duidelik: baie DID-metodes gebruik verspreide lêertegnologie, maar nie almal nie. Met ander woorde, die standaarde verwerp reeds die idee dat blokketting ‘n verpligte grondslag vir digitale geloofsbriewe is.

Dit is die regte beginpunt vir ‘n toekomstige IBP. Die nuttige vraag is nie “blokketting of geen blokketting nie?” Dit is:

Watter laag benodig werklik deursigtigheid, en watter laag behoort absoluut nie by verstek openbare infrastruktuur te word nie?

Blokketting Is ‘n Versameling Eienskappe, Nie ‘n Vereiste Nie

Die eerste fout is om “blokketting” as ‘n enkele vereiste te behandel. Dit is dit nie. Dit is ‘n bondel moontlike eienskappe, insluitend:

• Gedeelde publikasie
• Slegs-toevoeging-geskiedenis
• Verspreide werking
• Kwiteransieproduksie
• Weerstand teen eensydige veranderinge

Sommige hiervan is nuttig vir ‘n toekomstige IBP. Sommige is irrelevant. En sommige is aktief gevaarlik wanneer dit op menslike geloofsbrief-subjekte toegepas word. Die W3C-registermodel laat doelbewus verskeie implementerings toe omdat verskillende ekostelsels verskillende afwegings benodig.

Drie Probleme Wat Nie Saamgevoeg Moet Word Nie

Die tweede fout is om drie verskillende probleme in een stelsel saam te vou. Vir ‘n toekomstige IBP moet hierdie apart bly:

1. Waar regswaarhied woon. Die reg om te bestuur behoort in gesaghebbende nasionale rybewysrekords.
2. Hoe vertroue-materiaal versprei word. Uitreikerssleutels en verifieerder-sertifikate behoort in beheerde vertrouensregisters.
3. Hoe die ekostelsel veranderinge ouditeer. Dit behoort in ‘n deursigtigheidslaag.

Werklike wêreld-ekostelsels werk reeds so. AAMVA se Digitale Vertroue-diens versprei uitreiker-openbare sleutels in ‘n aflaaibare lys voordat ‘n verifieerder ooit met ‘n mDL in wisselwerking tree. Die EU-handleiding vir mobiele rybewys spesifiseer dat Lidstate die Kommissie in kennis stel van gemagtigde mDL-uitreikers, en die Kommissie publiseer ‘n verifikasielys van daardie owerhede. Dit is vertrouensverspreiding sonder blokketting.

Wat Sertifikaatdeursigtigheid Ons Leer

Die mees doeltreffende deursigtigheidsmodel op die openbare internet is nie ‘n verbruikersblokketting nie. Dit is Sertifikaatdeursigtigheid (CT).

RFC 9162 beskryf CT as ‘n protokol vir die openbare aantekenin van TLS-bediener-sertifikate sodat enigiemand kan:

• Sertifiseringsowerheid-aktiwiteit ouditeer
• Problematiese of verkeerd-uitgereikte sertifikate opspoor
• Die logs self ouditeer

Die sleutel-ontwerplesing van CT: deursigtigheid is die waardevolste wanneer dit uitreiker-gedrag en vertroue-materiaal aanteken — nie eindgebruiker-aktiwiteit nie.

Toegepas op ‘n toekomstige IBP beteken dit die aanteken van dinge soos:

• Uitreiking en rotasie van uitreikerssleutels
• Publikasie van vertrouens-ankers
• Registrasie van verifieerder-kategorieë
• Beleidsveranderinge
• Konformansieverklarings
• Sekuriteitsrelevante gebeure

Wat dit nie beteken nie, is die skep van ‘n openbare of semi-openbare lêer van houers, geloofsbrief-identifiseerders of aanbiedings-gebeure. Dit is nie deursigtigheid nie. Dit is oormatige data-insameling.

SCITT: Waarom Deursigtigheid Nie Dieselfde Is as Waarheid Nie

Die IETF SCITT-argitektuurkonsep brei hierdie denke uit. SCITT definieer ‘n Deursigtheidsdiens wat ‘n verifieerbare datastruktuur handhaaf en kriptografiese kwitansies uitreik wat insluiting van ondertekende verklarings bewys. Die identiteit van die Deursigtheidsdiens word vasgevang deur ‘n openbare sleutel wat aan vertrouende partye bekend is, en vertrouens-ankers en registrasiebeleide word self deursigtig gemaak.

Dit is ‘n kragtige model vir IBP-infrastruktuur omdat dit deursigtigheid omskep in ‘n ouditeerbare diens rondom vertroue-materiaal en beleid — nie rondom persoonlike reisgebeure nie.

SCITT is ook duidelik oor die grense van deursigtigheid:

• ‘n Geregistreerde verklaring bewys slegs dat ‘n uitreiker dit geproduseer en geregistreer het — nie dat die verklaring onbepaald korrek is nie.
• ‘n Later ondertekende verklaring kan ‘n vroeëre een vervang.
• Deursigtigheid verhoed nie oneerlike of gekompromitteerde uitreikers nie; dit hou hulle aanspreeklik.

Vir bestuurderidentiteit maak daardie onderskeid baie saak: ‘n deursigtigheidslog is bewys en ouditgeskiedenis, nie die gesaghebbende regstoestand van iemand se bestuurdereg nie.

SCITT merk ook op dat ‘n deursigtheidsdiens sy slegs-toevoeging-volgorde kan beskerm deur ‘n kombinasie van betroubare hardeware, konsensus-protokolle en kriptografiese bewys. Selfs die deursigtigheidslaag vereis nie een spesifieke blokketting-ontwerp nie. Konsensus is een opsie, nie die enigste opsie nie.

Die Korrekte Argitektuurscheiding vir ‘n Toekomstige IBP

‘n Toekomstige IBP behoort bekommernisse in vier afsonderlike lae te skei:

1. Gesaghebbende rekords van wie mag bestuur (nasionale lisensie-owerhede)
2. Vertrouensregisters vir uitreiker- en verifieerder-sleutels
3. Statusinfrastruktuur vir varsheid en herroeping
4. ‘n Opsionele deursigtigheidslaag vir openbare oudit van beleide, vertrouens-ankers, kwitansies en konformansieverklarings

Sodra u hierdie lae skei, word die blokketting-vraag baie skerper. Dit is nie meer “moet die toekomstige IBP op ‘n blokketting wees nie?” Dit word:

Watter laag, indien enige, baat werklik by slegs-toevoeging openbare oudit?

Vyf Redes Waarom Op-Ketting Bestuurderidentiteit die Verkeerde Verstek Is

1. Dit Skep Duursame Opsporingseine

Die EUDI-privaatheidwerk verduidelik dat attestasie-aanbiedings unieke waardes kan bevat soos:

• Soute
• Hash-waardes
• Herroeping-identifiseerders
• Toestel-bindende openbare sleutels
• Handtekeninge
• Tydstempels

Omdat daardie waardes vasgepen is vir dieselfde attestasie, laat dit vertrouende partye toe om verskillende transaksies te koppel en ‘n gedragsprofiel van die gebruiker op te bou. EUDI waarsku uitdruklik dat dit die redelike verwagting skend dat afsonderlike beursie-aktiwiteite nie gekombineer sal word nie.

As u stabiele houer-identifiseerders, stabiele geloofsbrief-identifiseerders, herbruikbare hashes of individueel naspoorbare herroepings-gebeure op ‘n openbare lêer publiseer, los u nie die opsporingsprobleem op nie — u maak dit permanent.

2. Dit Stel Herroepings- en Varsheidgebeure Bloot

Die W3C Bitstring-statuslys-aanbeveling beskryf die probleem duidelik: as daar ‘n een-tot-een-kartering is tussen ‘n geloofsbrief en die URL waar sy status gepubliseer word, kan die uitgewer die houer, die verifieerder en die tyd van die tjek verbind. Die spesifikasie gebruik ‘n rybewys-voorbeeld om te illustreer waarom die nasporing deur die uitreiker by die betreding van ‘n instelling ‘n algemene privaatheidsvererwagting skend.

Die beter verstek wat Bitstring-statuslys voorstel:

• Groot, saamdrukbare statuslyste waar baie geloofsbriewe een statusbron deel
• ‘n Verstek lyslengte van 131 072 inskrywings
• Vertrouende partye wat nuwe weergawes afsonderlik aflaai sonder om hulself te verifieer
• Ewekansige indekse en groepsprivaatheidswaarborge

Dit is die teenoorgestelde van geïndividualiseerde, op-ketting herroepings-spore.

3. Dit Verwar Geloofsbrief-Status met Wetlike Bestuurstatus

‘n Digitale geloofsbrief kan herroep word omdat sy ondertekeningsmeganisme gekompromitteer is — selfs terwyl die werklike bestuurdereg geldig bly. ‘n Openbare lêer van geloofsbrief-gebeure is nie ‘n skoon plaasvervanger vir die gesaghebbende toestand van ‘n nasionale bestuurrekord nie.

SCITT versterk die punt: ‘n geregistreerde verklaring kan later deur ‘n nuwe een vervang word, en vertrouende partye besluit wat om te vertrou op grond van beleid en geskiedenis. Die log is nie permanente waarheid nie. Dit is bewys van wie wat gesê het, wanneer, onder watter beleid. Die nasionale lisensie-owerheid bly die wortel van regswaarheid.

4. Dit Teiken die Verkeerde Bestuurs-probleem

Grensoorskrydende bestuurderidentiteit is nie hoofsaaklik ‘n konsensus-probleem nie. Dit is ‘n bestuursprobleem:

• Wie mag uitreik?
• Watter openbare sleutels is huidig?
• Watter verifieerders is gemagtig?
• Watter dataversoeke stem ooreen met hul verklaarde doel?
• Watter beleidsweergawe was van krag ten tye?

Werklike ekostelsels beantwoord dit reeds deur bestuurde vertrouensinfrastruktuur, nie gedesentraliseerde konsensus nie:

• AAMVA se Digitale Vertroue-diens publiseer uitreikende-owerheid-openbare sleutels in ‘n aflaaibare lys.
• Die EU-handleiding vir mobiele rybewys sê die Kommissie publiseer die lys van gemagtigde mDL-uitreikers.
• ETSI se beursie-vertrouende-party-sertifikaatwerk bied masjienleesbareVerifieerder-verifikasie met beoogde gebruik en geregistreerde versoekte eienskappe.

Dit is uitdruklike openbare vertroue-administrasie — nie gedesentraliseerde bestuur nie.

5. Dit Los nie die Padbaan-werklikheid Op Nie

Baie blokketting-voorstelle aanvaar stil dat lewendige netwerktoegang ‘n voordeel is. Vir bestuurders-geloofsbriewe — veral langs die pad of tydens reis — is dit dikwels nie so nie.

AAMVA se implementeringsgids spesifiseer dat:

• Toestel-herwinning werk sonder buite-konnektiwiteit vir beide houer en leser ten tye van die transaksie.
• ISO/IEC 18013-5 vereis ondersteuning vir toestel-herwinning.
• Verifieerder-toegang tot uitreiker-openbare sleutels hoef nie ten tye van die transaksie plaas te vind nie. Sleutels kan vooraf afgelaai word.

As ‘n verifieerder reeds plaaslik kan valideer met gebruik van gekaggeerde vertroue-materiaal, is ‘n lewendige blokketting-afhanklikheid nie noodsaaklik nie. Op sy beste is dit ‘n implementeringkeuse vir ‘n agtergrond-oudit-funksie.

Wat Deursigtig Moet Wees in ‘n Toekomstige IBP

‘n Toekomstige IBP benodig absoluut deursigtigheid — op die regte plek.

Maak hierdie by verstek deursigtig:

• Uitreiker-openbare sleutels en sleutel-rotasie-gebeure
• Vertrouens-ankers en gemagtigde uitreikerslyste
• Verifieerder-toegangssertifikate en geregistreerde-doel-metadata
• Beleidsweergawes en registrasiereëls
• Konformansieverklarings en sekuriteitsrelevante sagteware-vrystellingseise
• Ouditeerbare kwitansies wat bewys dat hierdie verklarings geregistreer is

Maak hierdie nie by verstek openbaar nie:

• Houer-identifiseerders op ‘n openbare lêer
• Stabiele geloofsbrief-identifiseerders wat oor verifieerders hergebruik word
• Per-aanbiedings-gebeure
• Rou herroepings-inskrywings wat een persoon isoleer
• Volledige ondertekende verklarings wat persoonlike data bevat wanneer hashes of metadata voldoende sou wees

SCITT waarsku uitdruklik uitreikers om die insluiting van private, vertroulike of persoonlik identifiseerbare inligting te hersien voordat verklarings aan ‘n deursigtheidsdiens voorgelê word. Dit merk ook op dat deursigtheidsdienste slegs kriptografiese metadata soos hashes kan behou — nie volledige ondertekende verklarings nie.

‘n Beter Patroon: Deursigtigheid Rondom die Ekostelsel, Nie Deur die Persoon Nie

‘n Skoon argitektuur vir ‘n toekomstige IBP lyk soos volg:

• Gesaghebbende nasionale register — bly die regsbron van waarheid vir die reg om te bestuur.
• Geloofsbrief-laag — dra masjienlees-bestuurderregte na die houer se beursie.
• Vertrouensregister-laag — versprei uitreikerssleutels, verifieerder-sertifikate en gemagtigde-uitreikerslyste.
• Statuslaag — gebruik kortlewende attestasies of privaatheidsbeskermende statuslyste wat afsonderlik verfris word.
• Deursigtigheidslaag — kan al dan nie konsensus intern gebruik en teken vertrouens-ankers, sleutelveranderinge, beleidsopdaterings, kwitansies en ekoseltelselverklarings aan wat baat by slegs-toevoeging openbare oudit.

Hierdie argitektuur vang die nuttige dele van blokketting-denke — slegs-toevoeging-ouditbaarheid, openbare ondersoek, manipulasie-bewys, kwitansies — sonder om die bestuurder die openbare subjek van die stelsel te maak. Dit pas ook by wat die standaarde reeds beskryf: registers kan verskillende vorme aanneem, DID’s vereis nie verspreide lêers nie, vertrouensregisters bestaan reeds, en privaatheidsbeskermende statusmeganismes is reeds gestandardiseer.

Die Kernargument

Die toekomstige IBP behoort die beste idee van blokketting te aanvaar — openbare aanspreeklikheid vir infrastruktuur — sonder om sy ergste verstek vir mense aan te neem: duursame, wêreldwyd sigbare nasporing.

In die praktyk beteken dit:

• Deursigtigheid vir uitreikers, nie blootstelling van houers nie
• Ouditeerbare vertrouens-ankers, nie openbare reisrekords nie
• Kwitansies vir beleide en registrasies, nie permanente tydlyne van geloofsbrief-gebruik nie
• Slegs-toevoeging-bewys vir ekostellsel-bestuur, nie op-ketting bestuurderidentiteit as ‘n verstek nie

Dit is nie ‘n argument teen blokketting nie. Dit is ‘n argument teen die toepassing van blokketting op die verkeerde laag.

‘n Toekomstige IBP kan wel konsensus-ondersteunde deursigtheidsdienste êrens in die ekostelsel gebruik. Maar as die ontwerp begin deur die bestuurder, die geloofsbrief of die aanbiedings-spoor op ‘n lêer te plaas, het dit reeds die verkeerde verstek gekies.