Budući IDP nije knjižica. To je sloj prezentacije koji čuva privatnost.

Međunarodna vozačka dozvola (IDP) budućnosti ne bi trebala biti još jedan dokument koji nosite sa sobom. Trebala bi biti upravljan, kriptografski provjerljiv način prezentiranja nacionalnih vozačkih prava preko granica — online i offline, s minimalnim otkrivanjem podataka i bez pretvaranja svake provjere u nadzor.

Svi govore da je budućnost međunarodne vozačke dozvole digitalna. To nije pogrešno — ali nije ni dovoljno precizno.

PDF knjižica na telefonu nije budućnost. QR kod boljeg izgleda nije budućnost. Blockchain token s riječju “voznja” u marketinškim materijalima nije budućnost.

Pravi problem seže dublje od formata. Svodi se na jedno središnje pitanje: kako zakonsko pravo na vožnju, koje je izdalo jedno tijelo vlasti, postaje razumljivo, pouzdano i upotrebljivo na drugom mjestu, drugom provjeravatelju, pod pritiskom, ponekad bez mreže, i bez otkrivanja više osobnih podataka nego što je neophodno?

To je pitanje koje papirnata IDP nikada nije u potpunosti riješila. I to je pitanje na koje sistem sljedeće generacije mora dati odgovor.

Zašto je papirnata IDP riješila čitljivost, ali ne i povjerenje

Papirnata IDP imala je smisla u svijetu u kojem je papir bio primarni medij. Djelovala je kao sloj kompatibilnosti — čovjeku čitljiva veza između jednog sistema licenciranja i drugog. To je bilo korisno, i do određene mjere, još uvijek jest.

Ali teški dio moderne prekogranične mobilnosti više nije samo čitljivost. To je povjerenje.

Današnji provjeravatelji suočavaju se s nizom težih pitanja:

• Mogu li utvrditi je li vjerodajnica originalna?
• Mogu li potvrditi da je još uvijek važeća?
• Mogu li provjeriti samo ona konkretna polja koja im zaista trebaju?
• Mogu li to učiniti bez kontaktiranja tijela koje je izdalo dozvolu svaki put?
• Mogu li provjeriti online, lično i na cesti?
• Mogu li to učiniti bez pretvaranja putovanja u globalni sistem praćenja?

Zato se budući IDP ne bi trebao shvatati kao projekt digitalne knjižice. Treba ga shvatiti kao problem arhitekture prezentacije.

Standardi koji već ukazuju na digitalni IDP

Ovo više nije teorijsko. Zajednica za standardizaciju već se krenula u ovom smjeru:

• ISO/IEC 18013-1:2018 uspostavio je model u kojem jedna sigurna dozvola može služiti i domaćim i međunarodno priznatim svrhama, anticipirajući tehnologije čitljive mašinom i integraciju biometrije, kriptografije i kompresije.
• ISO/IEC 18013-3 pokriva kontrolu pristupa, autentifikaciju i validaciju integriteta.
• ISO/IEC 18013-5 definira sučelja između mobilne vozačke dozvole, čitača i infrastrukture tijela koje izdaje dozvolu, uključujući upotrebu od strane provjeravatelja u drugim zemljama.
• ISO/IEC 18013-7 dodaje prezentaciju mobilne vozačke dozvole putem interneta.
• Rad UNECE-a na elektroničkim vozačkim dozvolama tehničke i sigurnosne zahtjeve povezuje sa sukladnošću s ISO/IEC 18013-5.

Pogrešan pristup digitalizaciji IDP-a

Pogrešan pristup je uzeti trenutni IDP, pretvoriti ga u digitalni format i staviti u aplikaciju. To zvuči efikasno, ali zadržava pogrešan fokus — sistem i dalje drži dokument u središtu kao fizički objekt.

Bolji pristup je tretirati međunarodnu vožnju kao kontroliranu prezentaciju nacionalno izdanih prava na vožnju.

Ta promjena je važna, jer kada jednom razmišljate o prezentaciji, pitanja dizajna postaju preciznija:

• Ko je izdao osnovno pravo na vožnju?
• Kako imalac prima i pohranjuje vjerodajnicu?
• Kako provjeravatelj traži samo podatke koji su mu legitimno potrebni?
• Kako se distribuiraju i kojima se vjeruje ključevima izdavatelja?
• Kako se provjerava opoziv bez aktivnog praćenja od strane izdavatelja?
• Što funkcionira offline, a što još uvijek treba papir kao rezervu?
• Koji provjeravatelj smije vidjeti koje podatke, i zašto?

To je mnogo ozbiljniji način dizajniranja zamjene za papirnatu IDP.

Bolja definicija budućeg IDP-a

Evo predložene definicije:

Budući IDP je prekogranična vjerodajnica zasnovana na standardima koja prezentira nacionalno izdana vozačka prava provjeravatelju na kontekstualno primjeren način, pod kontrolom imaoca, s kriptografskom verifikacijom, otkrivanjem podataka na osnovu uloge, tokovima prezentacije online i offline, te provjerom statusa koja čuva privatnost.

Ta definicija je namjerno uska. Ne:

• čini budući IDP samostalnim pravom na vožnju
• pretvara ga u univerzalno skladište identifikacijskih podataka
• zahtijeva živu vezu s izdavateljem za svaku transakciju
• pretpostavlja da šalter za iznajmljivanje vozila, policijski službenik i osiguravatelj trebaju vidjeti ista polja
• zahtijeva blockchain kao srž sistema

To je discipliniran odgovor na problem povjerenja.

Sedam komponenti funkcionalnog budućeg IDP-a

Oslobođen marketinškog govora, funkcionalan budući IDP treba sedam komponenti:

1. Autoritativni nacionalni izvor istine. Zakonsko pravo na vožnju dolazi od domaćeg tijela za licenciranje. Međunarodni sloj nikada ne bi trebao stvarati prava na vožnju — samo ih prezentirati.
2. Izdavatelj. Pouzdano javno tijelo, ili usko upravljan ovlašteni izdavatelj koji djeluje u njegovo ime, izdaje digitalnu vjerodajnicu koja odražava trenutno vozačko pravo.
3. Novčanik imaoca. Vozaču je potreban siguran novčanik koji pohranjuje vjerodajnicu, štiti privatne ključeve, autentificira imaoca i prezentira vjerodajnicu provjeravateljima.
4. Provjeravatelj ili čitač. To može biti policijski uređaj, čitač na šalteru za iznajmljivanje vozila, online sistem ili drugi ovlašteni provjeravatelj.
5. Registar povjerenja. Provjeravatelji trebaju pouzdan način za dobivanje javnih ključeva i metapodataka povjerenja legitimnih izdavatelja.
6. Sloj statusa. Mora postojati način koji čuva privatnost za izražavanje suspenzije, opoziva, isteka ili promjene statusa.
7. Fizička rezerva. Prazne baterije, slaba povezanost, oštećeni uređaji, konzervativne jurisdikcije i prijelazna politička okruženja su normalna stvarnost — ne rubni slučajevi.

Otkrivanje podataka prema ulozi: jedna vjerodajnica, različite publike

Jedan od najvećih propusta u dizajnu identifikacijskih sistema je pretpostavka da jedna vjerodajnica znači jedno otkrivanje podataka. To je suprotno od dobrog dizajna.

Policijski službenik na cesti nema iste legitimne potrebe kao šalter za iznajmljivanje vozila. Šalter za iznajmljivanje vozila nema iste potrebe kao poslodavac. Poslodavac nema iste potrebe kao online sistem prethodne provjere.

Budući IDP trebao bi podržavati različite skupove otkrivanja podataka za različite kategorije provjeravatelja:

• Zaustavljanje na cesti: Identitet, fotografija, kategorije i ovlaštenja, ograničenja, status važenja. Ništa više po zadanoj postavci.
• Šalter za iznajmljivanje vozila: Identitet, fotografija, kategorije vožnje, datumi izdavanja i isteka, eventualno informacije o dobi — ali ne svako polje u vjerodajnici.
• Online prethodna provjera: Dokaz identiteta, dokaz relevantnog vozačkog ovlaštenja, dokaz trenutne važnosti, eventualno potvrda vezana za rezervaciju.
• Poslodavac ili usklađenost voznog parka: Zasebni, eksplicitno pristanak dati tok rada, a ne isti profil otkrivanja podataka kao za provjeru pri putovanju.

Standardi već podržavaju ovaj model. Trenutni NIST nacrt mDL-a opisuje upite koji provjeravateljima omogućuju da specificiraju koje atribute traže. AAMVA smjernice za implementaciju zahtijevaju da aplikacija jasno prikaže koji su podaci zatraženi i da imaocu daje potpunu kontrolu nad tim koji se elementi podataka dijele.

Budući IDP ne bi trebao biti digitalna kartica. Trebao bi biti instrument kontroliranog otkrivanja podataka.

Trenutna verifikacija ne smije postati trenutni nadzor

Upravo ovdje mnogi projekti digitalnog identiteta griješe. Opisuju “verifikaciju u realnom vremenu” kao da to automatski znači napredak. Ne znači.

Provjeravatelju je potrebno pravovremeno povjerenje. Ali izdavatelju nije potrebno da zna svako mjesto i svaki trenutak kada imalac prezentira vjerodajnicu. Ta razlika je ključna.

Okvir arhitekture i referentni okvir EU-a jasan je po ovom pitanju. Instance oslonačkih strana ne bi trebale tražiti relevantnu listu statusa svaki put kada se vjerodajnica prezentira. Umjesto toga:

• Ažurirane liste trebaju se preuzimati zasebno, u vremenima i s lokacija koje nisu povezane s konkretnom prezentacijom korisnika.
• Pozicije na listi statusa trebaju biti nasumično raspoređene, s dovoljno unosa da se osigura kolektivna privatnost.
• Zahtjevi za listom ne smiju postati signali praćenja za konkretne imaoce.

Trenutni NIST nacrt mDL-a opisuje validaciju provjeravatelja zasnovanu na potpisima izdavatelja i javnim ključevima bez potrebe za direktnim kontaktiranjem izdavatelja. AAMVA smjernice zabranjuju preuzimanje s poslužitelja u smjernicama za implementaciju i umjesto toga centriraju preuzimanje s uređaja uz distribuciju javnih ključeva zasnovanu na usluzi povjerenja.

Budući IDP trebao bi podržavati trenutnu verifikaciju — bez stvaranja globalnog zapisa o tome gdje i kada je vozač dokazao ko je.

Distribucija povjerenja: upravljanje u mašinski čitljivom obliku

Mnogi ljudi govore o novčanicima i kriptografiji. Mnogo manje njih govori o infrastrukturi koja zapravo čini povjerenje mogućim — ali infrastruktura je dio koji je važan.

Provjeravatelj može vjerovati vjerodajnici samo ako može pouzdano otkriti i vjerovati javnim ključevima izdavatelja i povezanim metapodacima. Ekosistem budućeg IDP-a treba mašinski čitljiv, upravljiv odgovor na pitanja poput:

• Koji su izdavatelji legitimni?
• Koji su javni ključevi trenutni?
• Koji su izdavatelji ovlašteni za koje jurisdikcije?
• Koje kategorije provjeravatelja su registrirane ili akreditirane?
• Što se događa kada izdavatelj rotira ključeve ili promijeni politiku?

AAMVA-ina usluga digitalnog povjerenja jedan je konkretan primjer: jedinstven, siguran, otporan način za oslonačke strane da dobiju javne ključeve tijela koja izdaju dozvole, isporučen putem verificirane liste certifikatnih tijela izdavatelja. EU-ov priručnik za mDL opisuje kako države članice obavještavaju Komisiju o ovlaštenim izdavateljima mDL-a, Komisija objavljuje tu listu u svrhe verifikacije, a oslonačke strane se registriraju unutar okvira povjerenja novčanika.

To je smjer koji budući IDP treba — ne sistem u kojem svi skeniraju QR kod i vjeruju rezultatu bez validacije, već onaj u kojem je povjerenje distribuirano, verzijonirano i mašinski provjerljivo.

Online i cestovna upotreba moraju dijeliti jedan objedinjeni sistem

Ozbiljni budući IDP ne može se podijeliti u zasebne sisteme: jedan za cestovne provjere, jedan za iznajmljivanje automobila, jedan za udaljeno uključivanje, jedan za provjeru identiteta i još jedan za provjeru vozačkih prava. Ta fragmentacija je upravo ono od čega korisnici već pate.

Tehnički standardi sada postoje da se to izbjegne:

• ISO/IEC 18013-5 definira sučelja za prezentaciju mobilne vozačke dozvole lično.
• ISO/IEC 18013-7 to proširuje na prezentaciju putem interneta.
• EU-ov priručnik za mobilnu vozačku dozvolu navodi i iznajmljivanje automobila i cestovne provjere kao scenarije verifikacije, te opisuje udaljeno dijeljenje kao i provjere blizine koristeći tokove pokrenute QR kodom, Bluetooth, Wi-Fi Aware i NFC.

Budući sistem mora obrađivati i online i osobne scenarije, jer putovanje uključuje i jedno i drugo. Mobilnost uključuje i jedno i drugo. Povjerenje zahtijeva i jedno i drugo.

Sloj web-nativnog protokola je sada zreo

Godinama je jedan razlog zašto su rasprave o identitetu djelovale neprecizno bio taj što je sloj protokola bio nepotpun. To je sada mnogo manje istinito:

• OpenID za izdavanje provjerljivih vjerodajnica 1.0 definira OAuth-zaštićeni API za izdavanje vjerodajnica, eksplicitno podržavajući više formata vjerodajnica uključujući ISO mdoc, SD-JWT VC i W3C VCDM vjerodajnice.
• OpenID za provjerljive prezentacije 1.0 definira mehanizam za provjeravatelje da traže i primaju prezentacije vjerodajnica.
• W3C-ov model podataka provjerljivih vjerodajnica 2.0 formalizira ekosistem triju strana: izdavatelja, imalaca i provjeravatelja.

To mijenja razgovor. Budući IDP više ne mora biti zamišljen kao jedna vladina aplikacija s prilagođeno izgrađenim procesima. Može biti dizajniran kao upravljani profil vjerodajnice na vrhu šireg interoperabilnog ekosistema.

To ne uklanja potrebu za javnim upravljanjem. Uklanja izgovor da ne postoji moderni skup protokola na kojima se može graditi.

Zašto je blockchain opcionalan — ali prepoznavanje nije

Budući IDP ne treba blockchain kao temelj. To ne znači da je tehnologija distribuiranih knjiga beskorisna — može biti vrijedna u specifičnim ulogama transparentnosti ili registra — ali ne bi trebala biti tretirana kao središte sistema vozačkih vjerodajnica.

W3C VC Model podataka 2.0 eksplicitno navodi da registri provjerljivih podataka mogu poprimiti mnoge oblike: pouzdane baze podataka, decentralizirane baze podataka, vladine baze podataka identiteta ili distribuirane knjige. DID Core jednako eksplicitno navodi da mnoge, ali ne sve, DID metode koriste distribuirane knjige. Standardi ne nameću arhitekturu zasnovanu na blockchainu.

To je ispravna pozicija, jer najteži dio budućeg IDP-a nije tehnologija. Najteži dio je:

• Pravno prepoznavanje
• Upravljanje izdavateljem
• Implementacija čitača
• Akreditacija provjeravatelja
• Operacije liste povjerenja
• Logika opoziva
• Usklađivanje prekogranične politike

AAMVA je izgradila uslugu povjerenja. EU-ov priručnik uključuje objavljivanje izdavatelja i registraciju oslonačkih strana. Nacrti UNECE-a elektroničke dozvole povezuju s ISO/IEC 18013-5. Pravi izazov nije odsustvo kriptografije — to je izazov upravljane interoperabilnosti.

Realistični tok budućeg IDP-a u praksi

Budući IDP trebao bi biti jednostavan u praksi. Evo kako funkcionira u tri uobičajena scenarija:

1. Izdavanje ili obnova

Nacionalno tijelo provjerava temeljni zapis o dozvoli i izdaje vjerodajnicu u novčanik imaoca. Novčanik je pohranjuje sigurno, štiti ključeve i može kasnije osvježiti status ili primiti ažurirane ateste putem upravljanog toka izdavanja. OpenID4VCI pruža održivi web-nativni sloj za izdavanje, dok AAMVA smjernice zahtijevaju enkripciju u mirovanju, sigurno pohranjivanje ključeva i autentifikaciju imaoca kada se podaci pristupaju ili objavljuju.

2. Udaljena prethodna provjera za iznajmljivanje automobila

Platforma za iznajmljivanje šalje autentificirani zahtjev za minimalnim skupom vozačkih ovlaštenja. Novčanik prikazuje zahtjev imaocu, koji ga odobrava. Provjeravatelj prima prezentaciju putem toka sposobnog za internet, validira potpis izdavatelja i ključni materijal, provjerava lokalno dostupne informacije o povjerenju i statusu, te unaprijed odobrava rezervaciju. EU-ov priručnik za mDL već opisuje udaljeno dijeljenje za iznajmljivanje automobila; NIST-ov nacrt opisuje zahtjeve za atribute vođene upitima; OpenID4VP i ISO/IEC 18013-7 pružaju široki smjer prezentacije za tokove zasnovane na internetu.

3. Zaustavljanje na cesti

Službenik traži skup otkrivanja podataka za cestu. Imalac prezentira putem toka blizine. Čitač lokalno validira vjerodajnicu, provjerava vozačka ovlaštenja i važnost, i vidi samo ono što je potrebno. Izdavatelj se po zadanoj postavci ne kontaktira. EU-ov priručnik opisuje cestovnu verifikaciju pokretanu QR kodom, Bluetoothom, Wi-Fi Aware i NFC-om, dok ISO/IEC 18013-5 i AAMVA smjernice centriraju blizinu i preuzimanje s uređaja umjesto kontakta s izdavateljem u realnom vremenu.

To je pravo korisničko iskustvo: brzo, provjerljivo, minimalno invazivno i jednostavno.

Što budući IDP nije

Da bude jasno, budući IDP nije:

• Samostalna vozačka dozvola
• Slika kartice
• Univerzalna kolekcija identifikacijskih podataka
• Kanal nadzora koji kontrolira provjeravatelj
• Papir u digitalnom formatu
• Sistem povjerenja ovisan o blockchainu

To je pažljivo upravljani sloj prezentacije nad nacionalno izdanim vozačkim pravima. To je manje dramatično — i mnogo vjerojatnije da će funkcionirati.

Zašto je put migracije jednako važan kao i arhitektura

Najbolja arhitektura je beskorisna ako put migracije nije realistican. Vlade neće zamijeniti svaki papirni tok rada preko noći — i ne bi trebale.

Realistični put izgleda ovako:

1. Faza 1: Zadržati papir. Dodati sigurni digitalni pratilac.
2. Faza 2: Standardizirati liste povjerenja izdavatelja i kategorije provjeravatelja.
3. Faza 3: Podržati i prezentaciju blizine i udaljenu prezentaciju.
4. Faza 4: Premjestiti rutinske provjere i iznajmljivanje na tokove u kojima je digitalno primarno.
5. Faza 5: Smanjiti papirnu knjižicu na status rezerve umjesto primarnog statusa.

Taj put odgovara smjeru u koji standardizacijski i zvanični ekosistemski rad već idu: ISO-ova logika jednog dokumenta, AAMVA-ina infrastruktura usluge povjerenja, slučajevi upotrebe mDL-a zasnovani na EUDI novčaniku, i kretanje UNECE-a prema modelima elektroničkih dozvola usklađenim s ISO/IEC 18013-5.

Osnovna argumentacija u jednoj rečenici

Evo argumentacije u sažetku: Budući IDP nije digitalna knjižica. To je upravljani odgovor na problem prekograničnog povjerenja.

Ne bolje izgledajuća verzija starog dokumenta — bolji sistem. Sistem u kojem:

• Zakonsko pravo i dalje dolazi od nacionalnog tijela
• Imalac kontrolira prezentaciju
• Provjeravatelj dobiva samo ono što mu treba
• Povjerenje se može provjeriti bez zadanog nadzora
• Udaljeni i osobni slučajevi upotrebe dijele jednu arhitekturu
• Papir opstaje samo tamo gdje još uvijek ima praktičnu vrijednost

To je standard kojemu treba težiti.

Jednom kada problem vidite na taj način, zanimljivo pitanje više nije treba li IDP postati digitalan. Zanimljivo pitanje postaje: ko je spreman ozbiljno dizajnirati sloj identiteta prekograničnog vozača dovoljno ozbiljno da zamijeni papir bez reproduciranja njegovih slabosti — ili dodavanja novih?

Ništa od ovoga nije spekulativno. Trenutni NIST-ov mDL rad opisuje novčanik kojim kontrolira korisnik, provjeravatelja koji validira autentičnost bez potrebe za direktnim kontaktiranjem izdavatelja, te ekosistem vjerodajnica izgrađen oko izdavatelja, novčanika i provjeravatelja. AAMVA-ina usluga digitalnog povjerenja već postoji za distribuciju javnih ključeva tijela koja izdaju dozvole. EU-ov priručnik za mobilnu vozačku dozvolu opisuje liste ovlaštenih izdavatelja i registraciju oslonačkih strana unutar šireg okvira povjerenja.