Защо блокчейнът е незадължителен за бъдещото Международно разрешително за управление на МПС (МРУ)

Бъдещото Международно разрешително за управление на МПС (МРУ) се нуждае от прозрачност, точки за доверие и публична отчетност. Което не му е необходимо — по подразбиране — е поставянето на самите шофьори в разпределен регистър.

Всеки сериозен разговор за цифрово, трансгранично МРУ в крайна сметка привлича едно и също предложение: „Просто го сложете на блокчейн.” Привлекателността е разбираема. Блокчейните предлагат доказателства за неподправеност, споделена видимост и история само с добавяне. Това са реални свойства. Но в контекста на трансграничната идентичност на шофьорите те много често се прилагат към грешния слой.

Тази статия обяснява защо, разглежда какво всъщност казват стандартите и очертава по-добър архитектурен модел.

Какво всъщност казват стандартите за блокчейн

Моделът на данни за проверими удостоверения на W3C е изричен, че регистърът на проверими данни може да приема много форми, включително:

• Доверени бази данни
• Децентрализирани бази данни
• Държавни бази данни за идентичност
• Разпределени регистри

DID Core е също толкова ясен: много DID методи използват технология на разпределен регистър, но не всички от тях. С други думи, стандартите вече отхвърлят идеята, че блокчейнът е задължителна основа за цифровите удостоверения.

Това е правилната отправна точка за бъдещо МРУ. Полезният въпрос не е „блокчейн или не?” Той е:

Кой слой действително се нуждае от прозрачност и кой слой абсолютно не трябва да стане публична инфраструктура по подразбиране?

Блокчейнът е съвкупност от свойства, а не изискване

Първата грешка е третирането на „блокчейн” като единично изискване. Не е така. Той е пакет от възможни свойства, включително:

• Споделена публикация
• История само с добавяне
• Разпределена работа
• Генериране на разписки
• Устойчивост на едностранни промени

Някои от тях са полезни за бъдещо МРУ. Някои са без значение. А някои са активно опасни, когато се прилагат към субекти на човешки удостоверения. Моделът на регистър на W3C умишлено допуска множество реализации, защото различните екосистеми се нуждаят от различни компромиси.

Три проблема, които не трябва да се комбинират

Втората грешка е свеждането на три различни проблема в една система. За бъдещо МРУ те трябва да останат отделни:

1. Къде живее правната истина. Правото на управление на МПС принадлежи в авторитетните национални записи за свидетелства за управление.
2. Как се разпространява материалът за доверие. Ключовете на издателите и сертификатите на проверителите принадлежат в контролирани регистри за доверие.
3. Как екосистемата одитира промените. Това принадлежи в слоя за прозрачност.

Реалните екосистеми вече работят по този начин. Цифровата услуга за доверие на AAMVA разпространява публичните ключове на издателите в изтегляем списък, преди проверителят да взаимодейства с mDL. Ръководството на ЕС за мобилното свидетелство за управление на МПС посочва, че държавите членки уведомяват Комисията за упълномощените издатели на mDL, а Комисията публикува списък за проверка на тези органи. Това е разпространение на доверие без блокчейн.

Какво ни учи прозрачността на сертификатите

Най-ефективният модел за прозрачност в публичния интернет не е потребителски блокчейн. Това е Прозрачност на сертификатите (Certificate Transparency, CT).

RFC 9162 описва CT като протокол за публично регистриране на TLS сървърни сертификати, така че всеки да може да:

• Одитира дейността на сертифициращите органи
• Открива проблемни или неправилно издадени сертификати
• Одитира самите регистри

Ключовият урок по дизайн от CT: прозрачността е най-ценна, когато записва поведението на издателя и материала за доверие — а не дейността на крайния потребител.

Приложено към бъдещо МРУ, това означава регистриране на неща като:

• Издаване и ротация на ключове на издателя
• Публикуване на точки за доверие
• Регистрация на категории проверители
• Промени в политиката
• Изявления за съответствие
• Събития от значение за сигурността

Това не означава създаване на публичен или полупубличен регистър на притежатели, идентификатори на удостоверения или събития за представяне. Това не е прозрачност. Това е прекомерно събиране на данни.

SCITT: Защо прозрачността не е същото като истината

Проектът на архитектура SCITT на IETF разширява това мислене. SCITT дефинира Услуга за прозрачност, която поддържа проверима структура от данни и издава криптографски разписки, доказващи включването на подписани изявления. Идентичността на Услугата за прозрачност се улавя чрез публичен ключ, известен на разчитащите страни, а точките за доверие и политиките за регистрация сами по себе си се правят прозрачни.

Това е мощен модел за инфраструктурата на МРУ, тъй като превръща прозрачността в одитируема услуга около материала за доверие и политиката — а не около лични пътни събития.

SCITT е също ясен относно ограниченията на прозрачността:

• Регистрираното изявление само доказва, че даден издател го е изготвил и регистрирал — а не, че изявлението е вярно за неопределено време.
• По-късно подписано изявление може да замени по-ранно.
• Прозрачността не предотвратява нечестни или компрометирани издатели; тя ги държи отговорни.

За идентичността на шофьора това разграничение има огромно значение: регистърът за прозрачност е доказателство и история на одита, а не авторитетното правно състояние на правото на управление на някого.

SCITT също отбелязва, че услугата за прозрачност може да защити своята последователност само с добавяне, използвайки комбинация от доверен хардуер, протоколи за консенсус и криптографски доказателства. Дори слоят за прозрачност не изисква конкретен блокчейн дизайн. Консенсусът е една опция, а не единствената.

Правилното архитектурно разделение за бъдещо МРУ

Бъдещото МРУ трябва да разделя проблемите на четири отделни слоя:

1. Авторитетни записи за това кой може да управлява МПС (национални органи за лицензиране)
2. Регистри за доверие за ключове на издатели и проверители
3. Инфраструктура за статус за актуалност и отмяна
4. Незадължителен слой за прозрачност за публичен одит на политики, точки за доверие, разписки и изявления за съответствие

След като разделите тези слоеве, въпросът за блокчейна става много по-конкретен. Той вече не е „трябва ли бъдещото МРУ да е на блокчейн?” Той става:

Кой слой, ако изобщо някой, действително се възползва от публичен одит само с добавяне?

Пет причини, поради които идентичността на шофьора в блокчейн е грешният подход по подразбиране

1. Създава трайни сигнали за проследяване

Работата по поверителност на EUDI обяснява, че представянията на атестации могат да съдържат уникални стойности като:

• Соли
• Хеш стойности
• Идентификатори за отмяна
• Публични ключове за свързване с устройство
• Подписи
• Времеви печати

Тъй като тези стойности са фиксирани за едно и също удостоверение, те позволяват на разчитащите страни да свързват различни транзакции и да изграждат поведенчески профил на потребителя. EUDI изрично предупреждава, че това нарушава разумното очакване, че отделните дейности на портфейла няма да бъдат комбинирани.

Ако публикувате стабилни идентификатори на притежатели, стабилни идентификатори на удостоверения, многократно използвани хешове или индивидуално проследими събития за отмяна в публичен регистър, вие не решавате проблема с проследяването — вие го правите постоянен.

2. Излага събития за отмяна и актуалност

Препоръката на W3C за списък с битов низ за статус описва проблема ясно: ако има съответствие едно към едно между дадено удостоверение и URL адреса, където се публикува неговият статус, издателят може да свърже притежателя, проверителя и времето на проверката. Спецификацията използва пример със свидетелство за управление на МПС, за да илюстрира защо проследяването от издателя при влизане в заведение нарушава общото очакване за поверителност.

По-добрият подход по подразбиране, предложен от списъка с битов низ за статус:

• Големи, компресируеми списъци за статус, при които много удостоверения споделят един ресурс за статус
• Дължина на списъка по подразбиране от 131 072 записа
• Разчитащите страни изтеглят нови версии поотделно, без да се удостоверяват
• Произволни индекси и гаранции за групова поверителност

Това е противоположното на индивидуализираните следи за отмяна в блокчейн.

3. Бърка статуса на удостоверението с правния статус на управление на МПС

Цифровото удостоверение може да бъде отменено, тъй като механизмът му за подписване е бил компрометиран — дори когато реалното право на управление на МПС остава валидно. Публичен регистър на събитията с удостоверения не е чист заместител на авторитетното състояние на националния запис за управление на МПС.

SCITT подкрепя тази точка: регистрирано изявление може по-късно да бъде заменено от ново, а разчитащите страни решават какво да се доверят въз основа на политика и история. Регистърът не е вечна истина. Той е доказателство за това кой какво е казал, кога, при каква политика. Националният орган за лицензиране остава коренът на правната истина.

4. Насочен е към грешния проблем на управлението

Трансграничната идентичност на шофьора не е предимно проблем на консенсуса. Това е проблем на управлението:

• Кой има право да издава?
• Кои публични ключове са актуални?
• Кои проверители са упълномощени?
• Кои заявки за данни съответстват на декларираната им цел?
• Коя версия на политиката е действала по това време?

Реалните екосистеми вече отговарят на тези въпроси чрез управлявана инфраструктура за доверие, а не децентрализиран консенсус:

• Цифровата услуга за доверие на AAMVA публикува публичните ключове на издаващите органи в изтегляем списък.
• Ръководството на ЕС за мобилното свидетелство за управление на МПС посочва, че Комисията публикува списъка на упълномощените издатели на mDL.
• Работата на ETSI по сертификатите на разчитащите страни на портфейла предоставя машинночитаемо удостоверяване на проверителя с предназначение и регистрирани заявени атрибути.

Това е изрично публично администриране на доверие — а не децентрализирано управление.

5. Не решава реалността на пътя

Много блокчейн предложения тихо приемат, че достъпът до живи мрежи е предимство. За удостоверения на шофьора — особено на пътя или по време на пътуване — това често не е така.

Указанията за изпълнение на AAMVA посочват, че:

• Извличането от устройство работи без външна свързаност и за двете страни — притежателя и четеца — по време на транзакцията.
• ISO/IEC 18013-5 изисква поддръжка на извличане от устройство.
• Достъпът на проверителя до публичните ключове на издателя не трябва да се случва по времето на транзакцията. Ключовете могат да бъдат изтеглени предварително.

Ако проверителят вече може да валидира локално, използвайки кеширан материал за доверие, зависимостта от жив блокчейн не е от съществено значение. В най-добрия случай тя е избор на реализация за някаква функция за одит в задния слой.

Какво трябва да бъде прозрачно в бъдещото МРУ

Бъдещото МРУ абсолютно се нуждае от прозрачност — на правилното място.

Направете тези неща прозрачни по подразбиране:

• Публични ключове на издателя и събития за ротация на ключове
• Точки за доверие и списъци с упълномощени издатели
• Сертификати за достъп на проверители и метаданни за регистрирана цел
• Версии на политики и правила за регистрация
• Изявления за съответствие и претенции за версии на софтуер, свързани със сигурността
• Одитируеми разписки, доказващи, че тези изявления са регистрирани

Не правете тези неща публични по подразбиране:

• Идентификатори на притежатели в публичен регистър
• Стабилни идентификатори на удостоверения, използвани повторно при различни проверители
• Събития за всяко представяне
• Необработени записи за отмяна, изолиращи един човек
• Пълни подписани изявления, съдържащи лични данни, когато хешове или метаданни биха свършили работа

SCITT изрично предупреждава издателите да прегледат включването на частна, поверителна или лично идентифицираща информация, преди да подават изявления към услуга за прозрачност. Той също отбелязва, че услугите за прозрачност могат да запазват само криптографски метаданни като хешове — а не пълни подписани изявления.

По-добър модел: прозрачност около екосистемата, а не през личността

Чистата архитектура за бъдещо МРУ изглежда така:

• Авторитетен национален регистър — остава правният източник на истина за правото на управление на МПС.
• Слой на удостоверенията — пренася машинно-проверими права за управление на МПС до портфейла на притежателя.
• Слой на регистъра за доверие — разпространява ключовете на издателите, сертификатите на проверителите и списъците с упълномощени издатели.
• Слой за статус — използва краткосрочни атестации или списъци за статус с опазване на поверителността, обновявани поотделно.
• Слой за прозрачност — може или не може да използва консенсус вътрешно и регистрира точки за доверие, промени на ключове, актуализации на политики, разписки и изявления за екосистемата, които се възползват от публичен одит само с добавяне.

Тази архитектура улавя полезните части на блокчейн мисленето — одитируемост само с добавяне, публично наблюдение, доказателства за неподправеност, разписки — без да превръща шофьора в публичен субект на системата. Тя също съответства на това, което стандартите вече описват: регистрите могат да приемат различни форми, DID-овете не изискват разпределени регистри, регистрите за доверие вече съществуват и механизмите за статус с опазване на поверителността вече са стандартизирани.

Основният аргумент

Бъдещото МРУ трябва да възприеме най-добрата идея от блокчейна — публична отчетност за инфраструктурата — без да приема неговия най-лош подход по подразбиране за хората: трайно, глобално видимо проследяване.

На практика това означава:

• Прозрачност за издателите, а не излагане на притежателите
• Одитируеми точки за доверие, а не публични пътни записи
• Разписки за политики и регистрации, а не постоянни хронологии на използване на удостоверения
• Доказателства само с добавяне за управлението на екосистемата, а не идентичност на шофьора в блокчейн като подход по подразбиране

Това не е аргумент срещу блокчейна. Това е аргумент срещу прилагането на блокчейн към грешния слой.

Бъдещото МРУ може да използва услуги за прозрачност, базирани на консенсус, някъде в екосистемата. Но ако дизайнът започне с поставянето на шофьора, удостоверението или следата от представяния в регистър, той вече е избрал грешния подход по подразбиране.