Budoucí Mezinárodní řidičský průkaz (MŘP) potřebuje transparentnost, kotvy důvěry a veřejnou odpovědnost. Co standardně nepotřebuje — je umísťování samotných řidičů do distribuované účetní knihy.
Každá vážná diskuse o digitálním přeshraničním MŘP dříve či později přitáhne stejný návrh: „Stačí to dát na blockchain.” Přitažlivost je pochopitelná. Blockchainy nabízejí důkaz o nefalzifikovatelnosti, sdílenou viditelnost a historii, do níž lze pouze přidávat záznamy. To jsou skutečné vlastnosti. V kontextu přeshraniční identity řidiče se však velmi často aplikují na špatnou vrstvu.
Tento článek vysvětluje proč, rozebírá, co standardy skutečně říkají, a předkládá lepší architektonický vzor.
Co standardy skutečně říkají o blockchainu
Datový model ověřitelných přihlašovacích údajů W3C výslovně uvádí, že registr ověřitelných dat může mít mnoho podob, včetně:
- Důvěryhodných databází
- Decentralizovaných databází
- Státních databází identit
- Distribuovaných účetních knih
Standard DID Core je stejně jasný: mnohé metody DID využívají technologii distribuované účetní knihy, ale ne všechny. Standardy tedy již odmítají myšlenku, že blockchain je povinným základem digitálních přihlašovacích údajů.
To je správný výchozí bod pro budoucí MŘP. Užitečná otázka nezní „blockchain, nebo ne?”, nýbrž:
Která vrstva skutečně potřebuje transparentnost a která vrstva by se standardně rozhodně neměla stát veřejnou infrastrukturou?
Blockchain je soubor vlastností, nikoli požadavek
První chybou je považovat „blockchain” za jediný požadavek. Není. Jde o soubor možných vlastností, včetně:
- Sdílené publikace
- Historie, do níž lze pouze přidávat záznamy
- Distribuovaného provozu
- Generování potvrzení
- Odolnosti vůči jednostranným změnám
Některé z těchto vlastností jsou pro budoucí MŘP užitečné. Jiné jsou irelevantní. A některé jsou při aplikaci na osoby jakožto subjekty přihlašovacích údajů přímo nebezpečné. Model registru W3C záměrně umožňuje více implementací, protože různé ekosystémy vyžadují různé kompromisy.
Tři problémy, které by se neměly kombinovat
Druhou chybou je slučování tří různých problémů do jednoho systému. Pro budoucí MŘP je nutné tyto problémy oddělovat:
- Kde sídlí právní pravda. Právo řídit patří do autoritativních národních registrů řidičských oprávnění.
- Jak se distribuuje důvěryhodný materiál. Klíče vydavatelů a certifikáty ověřovatelů patří do řízených registrů důvěry.
- Jak ekosystém audituje změny. To patří do transparentní vrstvy.
Reálné ekosystémy již takto fungují. Digitální služba důvěry sdružení AAMVA distribuuje veřejné klíče vydavatelů ve formě stahovatelného seznamu ještě před tím, než ověřovatel poprvé komunikuje s mobilním řidičským průkazem (mDL). Příručka Evropské unie pro mobilní řidičský průkaz stanoví, že členské státy oznamují Komisi autorizované vydavatele mDL a Komise zveřejňuje ověřovací seznam těchto orgánů. To je distribuce důvěry bez blockchainu.
Co nás učí transparentnost certifikátů
Nejúčinnějším modelem transparentnosti na veřejném internetu není spotřebitelský blockchain. Je jím transparentnost certifikátů (Certificate Transparency, CT).
RFC 9162 popisuje CT jako protokol pro veřejné zaznamenávání TLS serverových certifikátů, takže kdokoli může:
- Auditovat činnost certifikačních autorit
- Odhalovat problematické nebo chybně vydané certifikáty
- Auditovat samotné protokoly
Klíčové ponaučení z CT: transparentnost je nejcennější tehdy, když zaznamenává chování vydavatelů a důvěryhodný materiál — nikoli aktivity koncových uživatelů.
V kontextu budoucího MŘP to znamená zaznamenávat například:
- Vydávání a obměnu klíčů vydavatelů
- Zveřejňování kotev důvěry
- Registraci kategorií ověřovatelů
- Změny zásad
- Prohlášení o shodě
- Bezpečnostně relevantní události
To neznamená vytvářet veřejnou nebo polosoukromou účetní knihu držitelů, identifikátorů přihlašovacích údajů ani událostí předkládání. To není transparentnost. To je nadměrný sběr dat.
SCITT: Proč transparentnost neznamená totéž co pravda
Architektonický návrh IETF SCITT toto myšlení dále rozvíjí. SCITT definuje transparentní službu, která udržuje ověřitelnou datovou strukturu a vydává kryptografická potvrzení prokazující zahrnutí podepsaných prohlášení. Identita transparentní služby je zachycena veřejným klíčem, který je znám spoléhajícím stranám, a samotné kotvy důvěry a registrační zásady jsou zpřístupněny transparentně.
Jde o silný model pro infrastrukturu MŘP, protože transparentnost přeměňuje v auditovatelnou službu kolem důvěryhodného materiálu a zásad — nikoli kolem osobních cestovních událostí.
SCITT také jasně vymezuje hranice transparentnosti:
- Registrované prohlášení pouze prokazuje, že vydavatel jej vytvořil a zaregistroval — nikoli že prohlášení je trvale správné.
- Pozdější podepsané prohlášení může nahradit dřívější.
- Transparentnost nebrání nečestným ani kompromitovaným vydavatelům; činí je odpovědnými.
Pro identitu řidiče je tento rozdíl zásadní: protokol transparentnosti je důkazem a historií auditů, nikoli autoritativním právním stavem řidičského oprávnění dané osoby.
SCITT také poznamenává, že transparentní služba může chránit svou sekvenci s možností pouze přidávání záznamů kombinací důvěryhodného hardwaru, protokolů konsenzu a kryptografických důkazů. Ani transparentní vrstva nevyžaduje jedno konkrétní blockchainové řešení. Konsenzus je jednou z možností, nikoli jedinou.
Správné architektonické oddělení pro budoucí MŘP
Budoucí MŘP by měl rozdělit zodpovědnosti do čtyř samostatných vrstev:
- Autoritativní záznamy o tom, kdo smí řídit (národní orgány pro udělování řidičských oprávnění)
- Registry důvěry pro klíče vydavatelů a ověřovatelů
- Stavová infrastruktura pro aktuálnost a odvolávání
- Volitelná transparentní vrstva pro veřejný audit zásad, kotev důvěry, potvrzení a prohlášení o shodě
Jakmile tyto vrstvy oddělíte, otázka ohledně blockchainu se výrazně zostří. Nezní již „má být budoucí MŘP na blockchainu?”, ale:
Která vrstva, pokud vůbec nějaká, skutečně těží z veřejného auditu s možností pouze přidávání záznamů?
Pět důvodů, proč je identita řidiče na blockchainu špatným výchozím nastavením
1. Vytváří trvalé sledovací signály
Práce EUDI v oblasti ochrany soukromí vysvětluje, že předložení atestací může obsahovat jedinečné hodnoty, například:
- Soli
- Hodnoty hash
- Identifikátory odvolání
- Veřejné klíče vázané na zařízení
- Podpisy
- Časová razítka
Protože tyto hodnoty jsou pro tutéž atestaci neměnné, umožňují spoléhajícím stranám propojovat různé transakce a sestavovat behaviorální profil uživatele. EUDI výslovně upozorňuje, že tím dochází k porušení rozumného očekávání, že oddělené aktivity peněženky nebudou vzájemně propojovány.
Pokud zveřejníte stabilní identifikátory držitelů, stabilní identifikátory přihlašovacích údajů, opakovaně použitelné hashe nebo individuálně sledovatelné události odvolání ve veřejné účetní knize, problém sledování neřešíte — činíte jej trvalým.
2. Odhaluje události odvolání a aktualizace
Doporučení W3C pro seznam stavů bitových řetězců popisuje problém jasně: pokud existuje přímé mapování mezi přihlašovacím údajem a URL adresou, kde je zveřejněn jeho stav, může vydavatel propojit držitele, ověřovatele a čas kontroly. Specifikace uvádí příklad řidičského průkazu, aby ilustrovala, proč je sledování vydavatelem při vstupu do provozovny v rozporu s běžným očekáváním ochrany soukromí.
Lepší výchozí nastavení, které navrhuje seznam stavů bitových řetězců:
- Rozsáhlé, komprimovatelné seznamy stavů, kde mnoho přihlašovacích údajů sdílí jeden stavový zdroj
- Výchozí délka seznamu 131 072 záznamů
- Spoléhající strany stahují nové verze samostatně, bez nutnosti ověřování totožnosti
- Náhodné indexy a záruky skupinového soukromí
To je pravý opak individualizovaných, na blockchainu zaznamenávaných stop odvolání.
3. Zaměňuje stav přihlašovacího údaje s právním stavem řidičského oprávnění
Digitální přihlašovací údaj může být odvolán z důvodu kompromitace jeho podpisového mechanismu — a to i tehdy, když reálné právo řídit zůstává v platnosti. Veřejná účetní kniha událostí přihlašovacích údajů není čistou náhradou za autoritativní stav národního záznamu o řidičském oprávnění.
SCITT tento bod potvrzuje: registrované prohlášení může být později nahrazeno novým a spoléhající strany rozhodují, čemu důvěřují, na základě zásad a historie. Protokol není trvalou pravdou. Je to důkaz o tom, kdo co řekl, kdy a na základě jaké zásady. Národní orgán pro udělování řidičských oprávnění zůstává kořenem právní pravdy.
4. Zaměřuje se na špatný problém správy
Přeshraniční identita řidiče není primárně problémem konsenzu. Je to problém správy:
- Kdo smí vydávat přihlašovací údaje?
- Které veřejné klíče jsou aktuální?
- Kteří ověřovatelé jsou autorizováni?
- Které žádosti o data odpovídají jejich deklarovanému účelu?
- Která verze zásad byla platná v daném okamžiku?
Reálné ekosystémy na tyto otázky již odpovídají prostřednictvím řízené důvěryhodné infrastruktury, nikoli decentralizovaného konsenzu:
- Digitální služba důvěry sdružení AAMVA zveřejňuje veřejné klíče vydávajících orgánů ve formě stahovatelného seznamu.
- Příručka EU pro mobilní řidičský průkaz stanoví, že Komise zveřejňuje seznam autorizovaných vydavatelů mDL.
- Práce ETSI na certifikátech spoléhajících stran peněženky zajišťuje strojově čitelné ověřování ověřovatelů se zamýšleným použitím a registrovanými požadovanými atributy.
Jde o explicitní veřejnou správu důvěry — nikoli o decentralizovanou správu.
5. Neřeší realitu u silnice
Mnohé blockchainové návrhy tiše předpokládají, že živý přístup k síti je výhodou. Pro přihlašovací údaje řidiče — zejména u silnice nebo při cestování — to však často neplatí.
Implementační pokyny sdružení AAMVA stanoví, že:
- Načítání dat ze zařízení funguje bez připojení k vnější síti pro držitele i čtečku v době transakce.
- Norma ISO/IEC 18013-5 vyžaduje podporu načítání dat ze zařízení.
- Přístup ověřovatele k veřejným klíčům vydavatele nemusí probíhat v době transakce. Klíče lze stáhnout předem.
Pokud ověřovatel již může ověřovat lokálně pomocí uložených důvěryhodných materiálů, živá závislost na blockchainu není nezbytná. V nejlepším případě jde o implementační volbu pro určitou funkci auditu na pozadí.
Co by mělo být transparentní v budoucím MŘP
Budoucí MŘP transparentnost bezpochyby potřebuje — na správném místě.
Toto zveřejňujte standardně:
- Veřejné klíče vydavatelů a události obměny klíčů
- Kotvy důvěry a seznamy autorizovaných vydavatelů
- Přístupové certifikáty ověřovatelů a metadata registrovaného účelu
- Verze zásad a pravidla registrace
- Prohlášení o shodě a tvrzení o vydání bezpečnostně relevantního softwaru
- Auditovatelná potvrzení prokazující registraci těchto prohlášení
Toto standardně nezveřejňujte:
- Identifikátory držitelů ve veřejné účetní knize
- Stabilní identifikátory přihlašovacích údajů opakovaně používané u různých ověřovatelů
- Události jednotlivých předložení
- Záznamy o odvolání izolující jednu osobu
- Úplná podepsaná prohlášení obsahující osobní údaje, pokud by postačily hashe nebo metadata
SCITT výslovně vyzývá vydavatele, aby před předložením prohlášení transparentní službě posoudili, zda neobsahují soukromé, důvěrné nebo osobně identifikovatelné informace. Zároveň uvádí, že transparentní služby mohou uchovávat pouze kryptografická metadata, například hashe — nikoli úplná podepsaná prohlášení.
Lepší vzor: transparentnost kolem ekosystému, nikoli skrze osobu
Čistá architektura budoucího MŘP vypadá takto:
- Autoritativní národní registr — zůstává právním zdrojem pravdy o právu řídit.
- Vrstva přihlašovacích údajů — přenáší strojově ověřitelná oprávnění k řízení do peněženky držitele.
- Vrstva registru důvěry — distribuuje klíče vydavatelů, certifikáty ověřovatelů a seznamy autorizovaných vydavatelů.
- Stavová vrstva — využívá krátkodobé atestace nebo soukromí chránící seznamy stavů, které jsou obnovované samostatně.
- Transparentní vrstva — může, ale nemusí interně využívat konsenzus a zaznamenává kotvy důvěry, změny klíčů, aktualizace zásad, potvrzení a prohlášení ekosystému, která těží z veřejného auditu s možností pouze přidávání záznamů.
Tato architektura zachycuje užitečné části blockchainového myšlení — auditovatelnost s možností pouze přidávání záznamů, veřejný dohled, odolnost vůči manipulaci, potvrzení — aniž by z řidiče činila veřejný subjekt systému. Zároveň odpovídá tomu, co standardy již popisují: registry mohou mít různé podoby, DID nevyžadují distribuované účetní knihy, registry důvěry již existují a mechanismy stavů chránící soukromí jsou již standardizovány.
Hlavní argument
Budoucí MŘP by měl převzít nejlepší myšlenku z blockchainu — veřejnou odpovědnost za infrastrukturu — aniž by přijal jeho nejhorší výchozí nastavení pro lidi: trvalé, globálně viditelné sledování.
V praxi to znamená:
- Transparentnost pro vydavatele, nikoli odhalování držitelů
- Auditovatelné kotvy důvěry, nikoli veřejné záznamy o cestování
- Potvrzení pro zásady a registrace, nikoli trvalé časové osy používání přihlašovacích údajů
- Záznamy s možností pouze přidávání pro správu ekosystému, nikoli identita řidiče na blockchainu jako výchozí nastavení
Toto není argument proti blockchainu. Je to argument proti aplikaci blockchainu na špatnou vrstvu.
Budoucí MŘP může konsenzem podložené transparentní služby někde v ekosystému klidně využívat. Pokud však návrh začne umísťováním řidiče, přihlašovacího údaje nebo stopy předkládání do účetní knihy, zvolil již špatné výchozí nastavení.
Publikováno Květen 18, 2026 • 10m ke čtení
