Fremtidens IDP er ikke et hæfte. Det er et privatlivsbevarende præsentationslag.

Fremtidens internationale køretøjsbevis (IDP) bør ikke være endnu et dokument at have med sig. Det bør være en styret, kryptografisk verificerbar måde at præsentere nationale køretilladelser på tværs af grænser – online og offline, med minimal videregivelse af oplysninger og uden at gøre enhver kontrol til overvågning.

Alle siger, at fremtidens internationale køretøjsbevis er digitalt. Det er ikke forkert – men det er heller ikke præcist nok.

Et PDF-hæfte på en telefon er ikke fremtiden. En mere avanceret QR-kode er ikke fremtiden. Et blockchain-token med “kørsel” i markedsføringsmaterialet er ikke fremtiden.

Det reelle problem stikker dybere end formatet. Det handler om ét centralt spørgsmål: hvordan bliver en lovlig køretilladelse, udstedt af én myndighed, forståelig, troværdig og anvendelig et andet sted, over for en anden kontrolinstans, under pres, nogle gange uden netværk og uden at afsløre mere persondata end nødvendigt?

Det er det spørgsmål, papir-IDP’en aldrig fuldt ud løste. Og det er det spørgsmål, næste generations system skal besvare.

Hvorfor papir-IDP’en løste læsbarhed – men ikke tillid

Papir-IDP’en gav mening i en verden, hvor papir var det primære medium. Den fungerede som et kompatibilitetslag – en menneskelig læsbar forbindelse mellem ét licenssystem og et andet. Det var nyttigt, og i et vist omfang er det det stadig.

Men den vanskelige del af moderne grænseoverskridende mobilitet handler ikke længere blot om læsbarhed. Det handler om tillid.

Nutidens kontrolinstanser står over for en række sværere spørgsmål:

• Kan de afgøre, om legitimationsbeviset er ægte?
• Kan de bekræfte, at det stadig er gyldigt?
• Kan de kontrollere udelukkende de specifikke felter, de faktisk har brug for?
• Kan de gøre det uden at kontakte den udstedende myndighed hver gang?
• Kan de verificere det online, personligt og ved vejkanten?
• Kan de gøre det uden at gøre rejsen til et globalt sporingssystem?

Derfor bør fremtidens IDP ikke forstås som et digitalt hæfteprojekt. Det bør forstås som et præsentationsarkitekturproblem.

Standarder der allerede peger mod et digitalt IDP

Dette er ikke længere teoretisk. Standardiseringssamfundet har allerede bevæget sig i denne retning:

• ISO/IEC 18013-1:2018 etablerede en model, hvori en enkelt sikker køretilladelse kan tjene både nationale og internationalt anerkendte formål, med forudgribelse af maskinlæsbare teknologier og integration af biometri, kryptografi og komprimering.
• ISO/IEC 18013-3 dækker adgangskontrol, autentificering og integritetssikring.
• ISO/IEC 18013-5 definerer grænsefladerne mellem det mobile kørekort, læseren og den udstedende myndigheds infrastruktur, herunder brug af kontrolinstanser i andre lande.
• ISO/IEC 18013-7 tilføjer præsentation af et mobilt kørekort via internettet.
• UNECE’s arbejde med elektroniske køretilladelser forbinder tekniske og sikkerhedsmæssige krav til overensstemmelse med ISO/IEC 18013-5.

Den forkerte tilgang til digitalisering af IDP’en

Den forkerte tilgang er at tage den nuværende IDP, konvertere den til et digitalt format og lægge den ind i en applikation. Det lyder effektivt, men det bevarer det forkerte fokus – det fastholder systemet centreret om dokumentet som et fysisk objekt.

Den bedre tilgang er at betragte international kørsel som en kontrolleret præsentation af nationalt udstedte kørerettigheder.

Dette skift er vigtigt, fordi designspørgsmålene bliver mere præcise, når man tænker i præsentation:

• Hvem udstedte den grundlæggende ret til at køre?
• Hvordan modtager og opbevarer indehaveren legitimationsbeviset?
• Hvordan anmoder en kontrolinstans kun om de data, den legitimt har behov for?
• Hvordan distribueres og anerkendes udstederens nøgler?
• Hvordan kontrolleres tilbagekaldelse uden live-sporing af udstederen?
• Hvad fungerer offline, og hvad kræver stadig papir som sikkerhedskopiering?
• Hvilken kontrolinstans har adgang til hvilke data, og hvorfor?

Det er en langt mere seriøs måde at designe erstatningen for papir-IDP’en på.

En bedre definition af fremtidens IDP

Her er en foreslået definition:

En fremtidig IDP er et standardbaseret, afledt grænseoverskridende legitimationsbevis, der præsenterer nationalt udstedte køretilladelser over for en kontrolinstans på en kontekstpassende måde, under indehaverens kontrol, med kryptografisk verificering, rollebaseret videregivelse, online og offline præsentationsflows samt privatlivsbevarende statuskontrol.

Denne definition er bevidst snæver. Den:

• gør ikke fremtidens IDP til en selvstændig køretilladelse
• gør den ikke til et universelt identitetsdatalager
• kræver ikke en live-forbindelse til udstederen ved hver transaktion
• antager ikke, at en udlejningsskranke, en politibetjent og et forsikringsselskab alle bør se de samme felter
• kræver ikke blockchain som systemets kerne

Det er et disciplineret svar på et tillids problem.

De syv komponenter i en anvendelig fremtidig IDP

Fjernet for markedsføringssprog har en anvendelig fremtidig IDP brug for syv komponenter:

1. En autoritativ national sandhedskilde. Den juridiske ret til at køre stammer fra den nationale licensmyndighed. Det internationale lag bør aldrig skabe kørerettigheder – kun præsentere dem.
2. En udsteder. En betroet offentlig myndighed, eller en tæt styret autoriseret udsteder, der handler på dens vegne, udsteder det digitale legitimationsbevis, der afspejler den aktuelle køretilladelse.
3. En indehaverlommebok. Føreren har brug for en sikker lommebok, der opbevarer legitimationsbeviset, beskytter private nøgler, autentificerer indehaveren og præsenterer legitimationsbeviset over for kontrolinstanser.
4. En kontrolinstans eller læser. Dette kan være en politienhed, en udlejningsskrankelæser, et onlinesystem eller en anden autoriseret kontrolinstans.
5. Et tillidregister. Kontrolinstanser har brug for en pålidelig måde at indhente de offentlige nøgler og tillidsmeta data fra legitime udstedere på.
6. Et statuslag. Der skal være en privatlivsbevarende måde at udtrykke suspension, tilbagekaldelse, udløb eller statusændring på.
7. En fysisk sikkerhedskopiering. Afladede batterier, dårlig forbindelse, beskadigede enheder, konservative jurisdiktioner og overgangspolitiske miljøer er normal virkelighed – ikke kanttilfælde.

Rollebaseret videregivelse: Ét legitimationsbevis, forskellige modtagere

En af de største designfejl i identitetssystemer er antagelsen om, at ét legitimationsbevis betyder én videregivelse. Det er det modsatte af god design.

En politibetjent ved en vejkontrol har ikke det samme legitime behov som en udlejningsskranke. En udlejningsskranke har ikke det samme behov som en arbejdsgiver. En arbejdsgiver har ikke det samme behov som et online forhåndsbekræftelsessystem.

En fremtidig IDP bør understøtte forskellige videregivelsessæt for forskellige kontrolinstantskategorier:

• Vejkontrol: Identitet, foto, kategorier og rettigheder, begrænsninger, gyldigheds status. Ikke mere som standard.
• Udlejningsskranke: Identitet, foto, kørekategorier, udstedelsesdato og udløbsdato, muligvis aldersoplysninger – men ikke hvert eneste felt i legitimationsbeviset.
• Online forhåndsbekræftelse: Bevis på identitet, bevis på relevant køretilladelse, bevis på aktuel gyldighed, muligvis en bookingkoblet bekræftelse.
• Arbejdsgiver eller flådeoverholdelse: Et særskilt, udtrykkeligt samtykkebasseret workflow, ikke den samme videregivelsesprofil som rejseverificering.

Standarderne understøtter allerede denne model. NIST’s nuværende mDL-udkast beskriver forespørgsler, der lader kontrolinstanser angive, hvilke attributter de anmoder om. AAMVA’s implementeringsvejledninger kræver, at applikationen tydeligt viser, hvilke data der er anmodet om, og giver indehaveren fuld kontrol over, hvilke dataelementer der deles.

En fremtidig IDP bør ikke være et digitalt kort. Det bør være et kontrolleret videregivelsesredskab.

Øjeblikkelig verificering må ikke blive til øjeblikkelig overvågning

Det er her, mange digitale identitetsprojekter går galt. De beskriver “realtidsverificering”, som om det automatisk betyder fremskridt. Det gør det ikke.

En kontrolinstans har brug for rettidig tillid. Men udstederen behøver ikke at få kendskab til hvert sted og hvert øjeblik, hvor indehaveren præsenterer legitimationsbeviset. Denne sondring er afgørende.

EU’s Arkitektur- og Referencerammeværk er klar på dette punkt. Afhængige parters instanser bør ikke anmode om den relevante statusliste, hver gang et legitimationsbevis præsenteres. I stedet bør:

• Opdaterede lister downloades separat, på tidspunkter og fra steder, der er uden forbindelse til en specifik brugerpræsentation.
• Statuslistepositioner randomiseres med tilstrækkeligt mange poster til at sikre kollektivt privatlivs.
• Listeanmodninger må ikke blive sporingssignaler for specifikke indehavere.

NIST’s nuværende mDL-udkast beskriver validering af kontrolinstanser baseret på udstedersignaturer og offentlige nøgler uden behov for direkte kontakt med udstederen. AAMVA’s vejledning forbyder serverhentning i sine implementeringsvejledninger og centrerer enhedshentning samt tillidstjenestebaseret distribution af offentlige nøgler i stedet.

En fremtidig IDP bør understøtte øjeblikkelig verificering – uden at skabe et globalt register over, hvor og hvornår en fører beviste, hvem de er.

Tillidsdistribution: Styring i maskinlæsbar form

Mange diskuterer lommebøger og kryptografi. Langt færre diskuterer den infrastruktur, der faktisk får tillid til at fungere – men infrastrukturen er den del, der er afgørende.

En kontrolinstans kan kun stole på et legitimationsbevis, hvis den pålideligt kan opdage og stole på udstederens offentlige nøgler og relaterede metadata. Et fremtidigt IDP-økosystem har brug for et maskinlæsbart, styrbart svar på spørgsmål som:

• Hvilke udstedere er legitime?
• Hvilke offentlige nøgler er aktuelle?
• Hvilke udstedere er autoriseret for hvilke jurisdiktioner?
• Hvilke kontrolinstantskategorier er registrerede eller akkrediterede?
• Hvad sker der, når en udsteder roterer nøgler eller ændrer politik?

AAMVA’s Digital Trust Service er ét konkret eksempel: en enkelt, sikker og robust måde for afhængige parter at indhente de offentlige nøgler fra udstedende myndigheder på, leveret via en verificeret liste over udstedercertifikatmyndigheder. EU’s mDL-manual beskriver, hvordan medlemsstaterne underretter Kommissionen om autoriserede mDL-udstedere, Kommissionen offentliggør denne liste til verificeringsformål, og afhængige parter registreres inden for tillids rammeværket for lommebøger.

Det er den retning, en fremtidig IDP har brug for – ikke et system, hvor alle scanner en QR-kode og stoler på resultatet uden validering, men et system, hvor tillid er distribueret, versioneret og maskinlæsbar verificerbar.

Online og ved vejkanten skal dele ét samlet system

En seriøs fremtidig IDP kan ikke opdele sig i separate systemer: ét til vejkontroller, ét til biludlejning, ét til fjernonboarding, ét til identitetsverificering og et andet til kørselsveri ficering. Denne fragmentering er præcis, hvad brugerne allerede lider under.

De tekniske standarder eksisterer nu for at undgå det:

• ISO/IEC 18013-5 definerer grænsefladerne for præsentation af mobile kørekort personligt.
• ISO/IEC 18013-7 udvider dette til præsentation via internettet.
• EU’s manual for mobile kørekort opregner både biludlejning og vejkontroller som verificeringsscenarier og beskriver fjerndeling såvel som nærhedskontroller via QR-udløste flows, Bluetooth, Wi-Fi Aware og NFC.

Det fremtidige system skal håndtere både online og personlige scenarier, fordi rejse omfatter begge. Mobilitet omfatter begge. Tillid kræver begge.

Det webbaserede protokollag er nu modent

I årevis var én grund til, at identitetsdiskussioner føltes upræcise, at protokollaget stadig var ufuldstændigt. Det er i langt mindre grad tilfældet nu:

• OpenID for Verifiable Credential Issuance 1.0 definerer en OAuth-beskyttet API til udstedelse af legitimationsbevis, der udtrykkeligt understøtter flere legitimationsbevisformater, herunder ISO mdoc, SD-JWT VC og W3C VCDM-legitimationsbeviser.
• OpenID for Verifiable Presentations 1.0 definerer en mekanisme, hvormed kontrolinstanser kan anmode om og modtage præsentationer af legitimationsbeviser.
• W3C’s Verifiable Credentials Data Model 2.0 formaliserer treparters-økosystemet bestående af udstedere, indehavere og kontrolinstanser.

Det ændrer samtalen. Den fremtidige IDP behøver ikke længere at forestilles som en enkelt regeringsapplikation med skræddersyede processer. Den kan designes som en styret legitimationsbevisesprofil oven på et bredere, interoperabelt økosystem.

Det fjerner ikke behovet for offentlig styring. Det fjerner undskyldningen for, at der ikke findes en moderne protokolstak at bygge på.

Hvorfor blockchain er valgfrit – men anerkendelse ikke er det

En fremtidig IDP behøver ikke blockchain som sit fundament. Det betyder ikke, at distribueret-register-teknologi er ubrugelig – den kan være værdifuld i specifikke transparens- eller registerroller – men den bør ikke behandles som centrum for køretilladelsessystemet.

W3C VC Data Model 2.0 er eksplicit om, at verificerbare dataregistre kan antage mange former: betroede databaser, decentraliserede databaser, offentlige identitetsdatabaser eller distribuerede registre. DID Core er ligeledes eksplicit om, at mange, men ikke alle, DID-metoder anvender distribuerede registre. Standarderne tvinger ikke en blockchain-første arkitektur.

Det er den rigtige position, fordi den sværeste del af en fremtidig IDP ikke er teknologien. Den sværeste del er:

• Juridisk anerkendelse
• Udstederstyring
• Læserudrulning
• Akkreditering af kontrolinstanser
• Drift af tillidslister
• Tilbagekaldelseslogik
• Grænseoverskridende politikal ignment

AAMVA byggede en tillidstjeneste. EU’s manual inkluderer udstederoffentliggørelse og registrering af afhængige parter. UNECE’s udkast forbinder elektroniske tilladelser til ISO/IEC 18013-5. Den reelle udfordring er ikke fraværet af kryptografi – det er udfordringen ved styret interoperabilitet.

Et realistisk fremtidigt IDP-flow i praksis

En fremtidig IDP bør i praksis være enkel. Sådan fungerer det på tværs af tre almindelige scenarier:

1. Udstedelse eller fornyelse

Den nationale myndighed verificerer den underliggende kørekortregistrering og udsteder et legitimationsbevis til indehaverens lommebok. Lommeboken opbevarer det sikkert, beskytter nøgler og kan efterfølgende forny status eller modtage opdaterede attesteringer via et styret udstedelsesflow. OpenID4VCI leverer et levedygtigt webbaseret udstedningslag, mens AAMVA’s vejledning kræver kryptering i hvile, sikker nøgleopbevaring og indehaverautentificering, når data tilgås eller frigives.

2. Fjerntjek inden biludlejning

En udlejningsplatform sender en autentificeret anmodning om et minimalt sæt af kørerettigheder. Lommeboken viser anmodningen til indehaveren, der godkender den. Kontrolinstansen modtager præsentationen via et internetkompatibelt flow, validerer udstedersignaturen og nøglematerialet, kontrollerer lokalt tilgængelige tillids- og statusoplysninger og forhåndsgodkender bookingen. EU’s mDL-manual beskriver allerede fjerndeling ved biludlejning; NIST’s udkast beskriver forespørgselsdrevne attributanmodninger; OpenID4VP og ISO/IEC 18013-7 angiver den overordnede præsentationsretning for internetbaserede flows.

3. Vejkontrol

En betjent anmoder om videregivelsessættet til vejkontrol. Indehaveren præsenterer via et nærhedsflow. Læseren validerer legitimationsbeviset lokalt, kontrollerer kørerettigheder og gyldighed og ser ikke mere end nødvendigt. Udstederen kontaktes ikke som standard. EU’s manual beskriver QR-udløste, Bluetooth-, Wi-Fi Aware- og NFC-baserede vejverificerings metoder, mens ISO/IEC 18013-5 og AAMVA’s vejledning centrerer nærhed og enhedshentning frem for realtidskontakt med udstederen.

Det er den rigtige brugeroplevelse: hurtig, verificerbar, minimalt invasiv og enkel.

Hvad fremtidens IDP ikke er

For at være klar er fremtidens IDP ikke:

• Et selvstændigt kørekort
• Et billede af et kort
• En universel samling af identitetsdata
• En kontrolinstansstyret overvågningskanal
• Papir i et digitalt format
• Et blockchain-afhængigt tillids system

Det er et omhyggeligt styret præsentationslag over nationalt udstedte køretilladelser. Det er mindre dramatisk – og langt mere sandsynligt til at virke.

Hvorfor migrationsstien er lige så vigtig som arkitekturen

Den bedste arkitektur er ubrugelig, hvis migrationsstien ikke er realistisk. Regeringer vil ikke erstatte alle papirbaserede workflows fra den ene dag til den anden – og det bør de heller ikke.

En realistisk sti ser sådan ud:

1. Fase 1: Behold papir. Tilføj et sikkert digitalt ledsagedokument.
2. Fase 2: Standardiser udstedertillidslister og kontrolinstantskategorier.
3. Fase 3: Understøt både nærhed og fjernpræsentation.
4. Fase 4: Flyt rutinekontroller og udlejninger til digitale-første flows.
5. Fase 5: Reducer papirhæftet til sikkerhedskopieringsstatus frem for primær status.

Denne sti stemmer overens med, hvor standarderne og det officielle økosystemarbejde allerede er på vej hen: ISO’s ét-dokument-logik, AAMVA’s tillidstjenesteinfrastruktur, EUDI’s lommebok-baserede mDL-anvendelsestilfælde og UNECE’s bevægelse mod elektroniske tilladelsesmodeller, der er afstemt med ISO/IEC 18013-5.

Kerneargumentet i én sætning

Her er argumentet destilleret: Fremtidens IDP er ikke et digitalt hæfte. Det er et styret svar på et grænseoverskridende tillids problem.

Ikke en pænere version af det gamle dokument – et bedre system. Et system, hvor:

• Den juridiske ret stadig stammer fra den nationale myndighed
• Indehaveren kontrollerer præsentationen
• Kontrolinstansen kun får, hvad den har brug for
• Tillid kan kontrolleres uden standard overvågning
• Fjern- og personlig brug deler én arkitektur
• Papir overlever kun, hvor det stadig har praktisk værdi

Det er den standard, der bør stræbes efter.

Når man ser problemet på den måde, er det interessante spørgsmål ikke længere, om IDP’en bør blive digital. Det interessante spørgsmål bliver: hvem er villig til at designe det grænseoverskridende føreridentitetslag seriøst nok til at erstatte papir uden at reproducere dets svagheder – eller tilføje nye?

Intet af dette er spekulativt. NIST’s nuværende mDL-arbejde beskriver en lommebok kontrolleret af brugeren, en kontrolinstans, der validerer ægthed uden at behøve at kontakte udstederen direkte, og et legitimationsbevisøkosystem bygget omkring udstedere, lommebøger og kontrolinstanser. AAMVA’s Digital Trust Service eksisterer allerede til distribution af de udstedende myndigheders offentlige nøgler. EU’s manual for mobile kørekort beskriver autoriserede udstederlister og registrering af afhængige parter inden for et bredere tillids rammeværk.