Αστυνομία, Γραφεία Ενοικίασης, Εργοδότες, Ασφαλιστές: Γιατί Δεν Πρέπει να Βλέπουν τα Ίδια Δεδομένα

Το μεγαλύτερο σχεδιαστικό λάθος σε ένα μελλοντικό Διεθνές Δίπλωμα Οδήγησης (ΔΔΟ) θα ήταν να αντιμετωπίζουμε κάθε επαληθευτή ως τον ίδιο επαληθευτή. Ένας αστυνομικός, ένα γραφείο ενοικίασης αυτοκινήτων, ένας εργοδότης και ένας ασφαλιστής δεν κάνουν την ίδια ερώτηση — άρα δεν πρέπει να λαμβάνουν την ίδια απάντηση.

Ένας οδηγός. Ένα ενιαίο δικαίωμα οδήγησης. Ένα ψηφιακό πορτοφόλι. Αλλά τέσσερις εντελώς διαφορετικοί επαληθευτές:

• Ένας αστυνομικός στην άκρη του δρόμου
• Ένα γραφείο ενοικίασης αυτοκινήτων κατά την παραλαβή
• Ένας εργοδότης που ελέγχει την καταλληλότητα για εταιρικό στόλο
• Ένας ασφαλιστής που εξετάζει μια αξίωση αποζημίωσης

Αν το μελλοντικό ΔΔΟ εμφανίζει τα ίδια δεδομένα και στους τέσσερις, το σύστημα έχει ήδη αποτύχει. Όχι επειδή το διαπιστευτήριο είναι ανασφαλές, αλλά επειδή το μοντέλο γνωστοποίησης είναι υπερβολικά απλό.

Η κοινότητα των προτύπων απομακρύνεται ήδη από αυτό το απλό μοντέλο. Το έργο της W3C για επαληθεύσιμα διαπιστευτήρια περιγράφει το οικοσύστημα εκδοτών, κατόχων και επαληθευτών, χρησιμοποιώντας εργοδότες και ιστοτόπους ως παραδείγματα επαληθευτών. Το ευρωπαϊκό έργο για το ψηφιακό δίπλωμα οδήγησης (mDL) αντιμετωπίζει ήδη τους ελέγχους στην άκρη του δρόμου και τις ενοικιάσεις αυτοκινήτων ως ξεχωριστά σενάρια επαλήθευσης, συμπεριλαμβανομένης της απομακρυσμένης κοινοποίησης εκ των προτέρων για ενοικιάσεις και των φυσικών ελέγχων για την αστυνομία. Η αρχιτεκτονική έχει ήδη σχεδιαστεί για πολλούς τύπους επαληθευτών. Το λάθος θα ήταν να σχεδιάσουμε την εμπειρία χρήστη σαν να υπάρχει μόνο ένας τύπος.

Γιατί η Φυσική Κάρτα μας Δίδαξε να Σκεφτόμαστε Λανθασμένα

Ένα φυσικό δίπλωμα μας εκπαίδευσε σε μια προσέγγιση «εμφάνισε τα πάντα». Δίνεις την κάρτα. Ο άλλος βλέπει ό,τι αναγράφεται. Αυτή είναι η συνολική αλληλεπίδραση.

Αυτή η προσέγγιση είναι αποδεκτή σε έναν κόσμο χαρτιού επειδή δεν υπάρχει εναλλακτική. Γίνεται απαράδεκτη σε έναν ψηφιακό κόσμο.

Το W3C VC Data Model 2.0 αναφέρει ρητά: ένα δίπλωμα οδήγησης μπορεί να περιέχει αριθμό ταυτότητας, ύψος, βάρος, ημερομηνία γέννησης και διεύθυνση κατοικίας — αλλά αυτό μπορεί να είναι πολύ περισσότερο από ό,τι είναι αναγκαίο για μια δεδομένη συναλλαγή. Βασικά σημεία από τα τρέχοντα πρότυπα:

• Βέλτιστη πρακτική W3C: υποστήριξη επιλεκτικής γνωστοποίησης και αίτημα μόνο για ό,τι είναι απολύτως αναγκαίο
• Κατευθύνσεις προστασίας δεδομένων της ΕΕ: η επεξεργασία πρέπει να περιορίζεται σε καθορισμένους σκοπούς και τα δεδομένα που υποβάλλονται σε επεξεργασία πρέπει να είναι αναγκαία και αναλογικά
• Η πρώτη αρχή ενός μελλοντικού ΔΔΟ: το ίδιο διαπιστευτήριο δεν σημαίνει το ίδιο δικαίωμα επιθεώρησης

Το Σωστό Μοντέλο Είναι η Γνωστοποίηση Βάσει Πολιτικής

Αν θέλουμε μια σοβαρή αρχιτεκτονική, το σωστό μοντέλο είναι πιο κοντά στον έλεγχο πρόσβασης βάσει χαρακτηριστικών παρά στην παρουσίαση ψηφιακής κάρτας.

Το NIST SP 800-205 ορίζει τις αποφάσεις ελέγχου πρόσβασης ως αξιολογήσεις χαρακτηριστικών που σχετίζονται με το υποκείμενο, το αντικείμενο, την αιτούμενη λειτουργία και τις συνθήκες περιβάλλοντος, σε σχέση με την πολιτική. Αυτή είναι ακριβώς η σωστή δομή για ένα μελλοντικό ΔΔΟ:

• Υποκείμενο: ο οδηγός
• Αντικείμενο: τα αιτούμενα πεδία δεδομένων
• Ενέργεια: όχι «εμφάνισε δίπλωμα» αφηρημένα, αλλά κάτι συγκεκριμένο όπως «επαλήθευσε δικαίωμα οδήγησης κατηγορίας Β στην άκρη του δρόμου» ή «επαλήθευσε καταλληλότητα ενοικίασης για μια κράτηση»
• Περιβάλλον: η άκρη του δρόμου, το γραφείο ενοικίασης, ο απομακρυσμένος προέλεγχος, η ένταξη σε εταιρικό στόλο και η εξέταση αξίωσης μετά από ζημία είναι διαφορετικά περιβάλλοντα και πρέπει να οδηγούν σε διαφορετικές αποφάσεις

Το NIST επισημαίνει επίσης ότι τα συστήματα χαρακτηριστικών χρειάζονται λεπτομέρεια, διακυβέρνηση και μηχανισμούς μείωσης, ομαδοποίησης και ελαχιστοποίησης χαρακτηριστικών.

Άρα το μελλοντικό ΔΔΟ δεν πρέπει να ρωτά: Μπορεί αυτός ο επαληθευτής να διαβάσει το δίπλωμα; Πρέπει να ρωτά: Ποιες ισχυρισμοί μπορεί να λάβει αυτός ο επαληθευτής, για ποια προβλεπόμενη χρήση, σε αυτό το περιβάλλον, με ποιους κανόνες διατήρησης;

Ένας Επαληθευτής Πρέπει να Αποδείξει την Ταυτότητά του Πριν Ζητήσει Οτιδήποτε

Το μελλοντικό ΔΔΟ δεν πρέπει να ξεκινά με το ψηφιακό πορτοφόλι να εμφανίζει δεδομένα. Πρέπει να ξεκινά με τον επαληθευτή να αποδεικνύει ποιος είναι.

Η αρχιτεκτονική EUDI είναι σαφής ως προς αυτό. Τα βασιζόμενα μέρη πρέπει να:

• Καταχωρίζουν ποια χαρακτηριστικά προτίθενται να ζητήσουν και για ποιον σκοπό
• Λαμβάνουν πιστοποιητικά πρόσβασης
• Πιστοποιούν την ταυτότητά τους στο ψηφιακό πορτοφόλι πριν από οποιαδήποτε γνωστοποίηση
• Ελέγχονται έναντι του καταχωρισμένου πεδίου εφαρμογής τους, όταν οι πληροφορίες καταχώρισης είναι διαθέσιμες

Ο χρήστης μπορεί στη συνέχεια να δει ποιος ρωτά, τι ζητείται και εάν το αίτημα εμπίπτει στο καταχωρισμένο πεδίο εφαρμογής.

Το τρέχον έργο του ETSI για τα πιστοποιητικά βασιζόμενων μερών του ψηφιακού πορτοφολιού κάνει αυτό πιο συγκεκριμένο. Ένα πιστοποιητικό καταχώρισης βασιζόμενου μέρους μπορεί να περιγράφει την προβλεπόμενη χρήση του βασιζόμενου μέρους και τα χαρακτηριστικά που έχει καταχωρίσει για αίτημα. Το σχετικό πιστοποιητικό πρόσβασης υπάρχει για να διασφαλίζει ότι το αίτημα προέρχεται από νόμιμο, εξουσιοδοτημένο μέρος. Το ETSI περιλαμβάνει επίσης μεταδεδομένα βασιζόμενου μέρους όπως:

• Εμπορική επωνυμία
• URI υποστήριξης
• Προβλεπόμενη χρήση
• Δικαιώματα
• URI μητρώου
• Πληροφορίες εποπτικής αρχής

Η δεύτερη αρχή ενός μελλοντικού ΔΔΟ: χωρίς ταυτότητα επαληθευτή, δεν υπάρχει γνωστοποίηση.

Γιατί οι Οθόνες Συναίνεσης Δεν Είναι Επαρκείς

Υπάρχει κι ένα άλλο λάθος εδώ: η αντιμετώπιση της έγκρισης του χρήστη ως ισοδύναμης με τη νομική νομιμότητα.

Η αρχιτεκτονική EUDI αναφέρει ρητά ότι η έγκριση του χρήστη για παρουσίαση χαρακτηριστικών δεν πρέπει να θεωρείται νόμιμη βάση για την επεξεργασία προσωπικών δεδομένων από το βασιζόμενο μέρος. Το βασιζόμενο μέρος πρέπει να διαθέτει τη δική του νόμιμη βάση. Το EUDI απαιτεί επίσης έγκριση χρήστη σε όλες τις περιπτώσεις χρήσης, συμπεριλαμβανομένων περιπτώσεων όπου το βασιζόμενο μέρος μπορεί να ανήκει στις αρχές επιβολής του νόμου ή άλλη κυβερνητική υπηρεσία.

Μια καλή διεπαφή ψηφιακού πορτοφολιού μπορεί να βοηθήσει, αλλά δεν μπορεί να επιλύσει από μόνη της την υπέρβαση εξουσίας του επαληθευτή. Ο κανόνας πρέπει να υπάρχει πριν από τη διεπαφή.

Ένα μελλοντικό ΔΔΟ χρειάζεται επομένως και τα δύο:

• Κρυπτογραφική πιστοποίηση επαληθευτή για να επιβεβαιώνεται ποιος ρωτά
• Περιορισμοί πολιτικής για το τι μπορεί να ζητήσει αυτή η κατηγορία επαληθευτή

Χωρίς και τα δύο, η «επιλογή του χρήστη» γίνεται τρόπος μετακύλισης της αποτυχίας πολιτικής στο άτομο.

1. Αστυνομία: Επαλήθευση Δικαιώματος Οδήγησης, Όχι Ολόκληρης της Ταυτότητας

Το σενάριο αστυνομικού ελέγχου στην άκρη του δρόμου είναι το πιο εστιασμένο.

Ο οδηγός χειροκίνητος της ΕΕ για το mDL το περιγράφει άμεσα: η αστυνομία ή άλλοι αρμόδιοι υπάλληλοι ελέγχουν το δίπλωμα όταν απαιτείται, συμπεριλαμβανομένης της εγκυρότητας διπλώματος και των δικαιωμάτων οχήματος. Στο ταξίδι χρήστη, ο αξιωματικός επαληθεύει το δίπλωμα μέσω ροής που ενεργοποιείται με QR, Bluetooth, Wi-Fi Aware ή NFC. Αυτή είναι μια εστιασμένη εργασία επαλήθευσης:

• Είναι αυτό το πρόσωπο ο κάτοχος;
• Είναι το διαπιστευτήριο έγκυρο;
• Ποια δικαιώματα οχήματος και ποιοι περιορισμοί ισχύουν;

Επιτρεπόμενα από προεπιλογή:

• Ονοματεπώνυμο
• Φωτογραφία
• Κατάσταση διπλώματος
• Ημερομηνίες έκδοσης και λήξης
• Κατηγορίες
• Περιορισμοί σχετικοί με την οδήγηση
• Εκδότης και δικαιοδοσία
• Αποτέλεσμα επικαιρότητας/κατάστασης

Μη επιτρεπόμενα από προεπιλογή:

• Διεύθυνση κατοικίας
• Εσωτερικά αναγνωριστικά που δεν χρειάζονται για χρήση στην άκρη του δρόμου
• Άσχετα χαρακτηριστικά από άλλες βεβαιώσεις
• Ιστορικά αρχεία παρουσίασης
• Εμπορικά μεταδεδομένα

Η κατευθυντήρια οδηγία υλοποίησης της AAMVA ενισχύει το σημείο σχετικά με τη φωτογραφία: εάν ζητηθεί η φωτογραφία και αποδεσμευτεί οποιοδήποτε άλλο στοιχείο, η φωτογραφία πρέπει να κοινοποιηθεί ώστε ο επαληθευτής να μπορεί να συνδέσει τα δεδομένα με το πρόσωπο που τα παρουσιάζει. Η ίδια οδηγία αναφέρει επίσης ότι τα ενδιαφερόμενα μέρη δεν πρέπει να παρακολουθούν τους κατόχους mDL ή τη χρήση mDL, εκτός εάν απαιτείται από το νόμο.

Η περίπτωση αστυνομίας δεν αφορά το κράτος που λαμβάνει τα πάντα. Αφορά το κράτος που λαμβάνει τα δεδομένα που σχετίζονται με την οδήγηση και είναι αναγκαία για την επιβολή στην άκρη του δρόμου. Αυτή είναι μια σημαντική διαφορά.

2. Γραφεία Ενοικίασης: Καταλληλότητα, Ταύτιση Ταυτότητας και Τίποτα Περιττό

Η περίπτωση ενοικίασης είναι πιο λεπτομερής επειδή υπάρχουν στην πραγματικότητα δύο στιγμές: ο απομακρυσμένος προέλεγχος πριν την άφιξη και η παραλαβή όταν κάποιος ή ένα kiosk παραδίδει τα κλειδιά.

Ο οδηγός χειροκίνητος της ΕΕ για το mDL έχει ήδη θέσει μοντέλα και για τα δύο. Μια υπηρεσία ενοικίασης αυτοκινήτων μπορεί να ζητήσει το mDL μαζί με απόδειξη ταυτότητας κατά την κράτηση, να επαληθεύσει τις βεβαιώσεις και αργότερα να επαληθεύσει τον πελάτη αυτοπροσώπως κατά την παραλαβή πριν από την παράδοση του οχήματος. Οι χρήστες μπορούν να μοιράζονται τα mDL τους με εταιρείες ενοικίασης αυτοκινήτων είτε αυτοπροσώπως είτε εξ αποστάσεως εκ των προτέρων.

Ένα γραφείο ενοικίασης δεν χρειάζεται κυρίως να διερευνήσει ένα περιστατικό. Χρειάζεται να αποφασίσει: Μπορώ να νοικιάσω αυτό το όχημα σε αυτόν τον πελάτη βάσει αυτής της κράτησης και πολιτικής;

Ο απομακρυσμένος προέλεγχος πρέπει να περιλαμβάνει:

• Σύνδεση ταυτότητας
• Φωτογραφία ή ισοδύναμο στοιχείο δέσμευσης ταυτότητας
• Σχετική κατηγορία οχήματος
• Ημερομηνίες έκδοσης και λήξης
• Τρέχουσα ισχύς
• Ενδεχομένως ένα κατώτατο όριο ηλικίας ή εύρος ηλικίας

Η παραλαβή πρέπει να επιβεβαιώνει:

• Ότι ο κάτοχος είναι το ίδιο πρόσωπο που ολοκλήρωσε τον προέλεγχο
• Τρέχουσα ισχύς
• Σχετικά δικαιώματα

Δεν χρειάζεται από προεπιλογή:

• Πλήρης διεύθυνση κατοικίας όταν ένα προφίλ κράτησης περιέχει ήδη στοιχεία επικοινωνίας
• Πλήρης ημερομηνία γέννησης όταν αρκεί η ηλικία άνω ορίου ή εύρος ηλικίας
• Άσχετα χαρακτηριστικά ταυτότητας
• Επαναλαμβανόμενη επανα-παρουσίαση του πλήρους διαπιστευτηρίου εάν υπάρχει ήδη βεβαίωση κράτησης

Η τρέχουσα αρχιτεκτονική mDL του NIST δείχνει το βασιζόμενο μέρος να χρησιμοποιεί DCQL για να ζητά μόνο τα αναγκαία χαρακτηριστικά, και αναφέρει ρητά ότι αυτό υποστηρίζει την ελαχιστοποίηση δεδομένων και τη συναίνεση κατόχου δομώντας το αίτημα αντί να αντιμετωπίζει το διαπιστευτήριο ως ενιαία μονάδα. Η AAMVA προσθέτει ότι η εφαρμογή πρέπει να εμφανίζει ξεκάθαρα ποια δεδομένα ζητήθηκαν και εάν ο επαληθευτής προτίθεται να διατηρήσει τις πληροφορίες.

3. Εργοδότες: Μια Κατηγορία Επαληθευτή, Όχι Άνοιγμα στην Πλήρη Ταυτότητα

Η επισκόπηση του W3C χρησιμοποιεί ως παράδειγμα επαληθευτή το ψηφιακό σύστημα ενός εργοδότη που ελέγχει ένα πανεπιστημιακό πτυχίο. Αυτό μας υπενθυμίζει ότι η επαλήθευση από εργοδότη είναι ήδη ένα αναγνωρισμένο μοτίβο στα οικοσυστήματα διαπιστευτηρίων.

Ένας εργοδότης ή διαχειριστής στόλου μπορεί νόμιμα να χρειάζεται να γνωρίζει:

• Εάν ένας εργαζόμενος δικαιούται τρέχοντος να οδηγεί ορισμένες κατηγορίες οχημάτων
• Εάν υπάρχουν βασικοί περιορισμοί
• Εάν το δικαίωμα παραμένει έγκυρο

Αυτή είναι μια πραγματική επιχειρηματική ανάγκη. Αλλά δεν δικαιολογεί αυτόματα μόνιμη πρόσβαση σε ολόκληρο το διαπιστευτήριο οδήγησης, στα πλήρη δεδομένα ταυτότητας ή σε μια συνεχή ροή επαναλαμβανόμενων παρουσιάσεων.

Το NIST προειδοποιεί ότι η συχνή μετάδοση επαναχρησιμοποιούμενου αναγνωριστικού και η εξαρτοποίηση των χρηστών σε επαναλαμβανόμενη παρουσίαση διαπιστευτηρίου που φέρει ταυτότητα είναι ανεπιθύμητη, και ότι ο καθημερινός έλεγχος ταυτότητας πρέπει να βασίζεται σε τεχνολογίες σχεδιασμένες για έλεγχο ταυτότητας, όπως passkeys. Το NIST προτιμά τον τοπικό έλεγχο ταυτότητας συσκευής έναντι της βιομετρικής αντιστοίχισης από διακομιστή, επειδή προστατεύει καλύτερα την ιδιωτικότητα.

Ένα μελλοντικό ΔΔΟ δεν πρέπει να μετατραπεί σε κάρτα πρόσβασης εργασιακού χώρου.

Για χρήση από εργοδότες και στόλους, το σωστό μοτίβο είναι συνήθως:

• Έλεγχος δικαιωμάτων σχετικών με τη θέση εργασίας
• Ίσως μια περιοδική βεβαίωση συμμόρφωσης
• Ίσως ένας ισχυρισμός ότι ο κάτοχος παραμένει έγκυρος για καθορισμένες κατηγορίες
• Αλλά όχι μια προεπιλεγμένη μεταφορά όλων των δεδομένων διπλώματος κάθε φορά που ο εργαζόμενος συνδέεται σε ένα σύστημα ή ξεκινά βάρδια

Η συμμόρφωση στόλου είναι μια ξεχωριστή κατηγορία βασιζόμενου μέρους, με ξεχωριστή προβλεπόμενη χρήση και ξεχωριστό προφίλ γνωστοποίησης.

4. Ασφαλιστές: Οι Αξιώσεις Δεν Αποτελούν Άδεια για Συνεχή Ορατότητα

Η ασφαλιστική περίπτωση είναι συχνά πραγματική. Στο υλικό περιπτώσεων χρήσης mDL της ΕΕ, οι ασφαλιστές εμφανίζονται έμμεσα στο σενάριο ενοικίασης: οι ασφαλιστικές εταιρείες απαιτούν από τις εταιρείες ενοικίασης αυτοκινήτων να ελέγχουν εάν το πρόσωπο που νοικιάζει το αυτοκίνητο έχει δικαίωμα οδήγησης. Η ασφάλεια επηρεάζει ήδη τη ροή επαλήθευσης οδήγησης.

Αλλά αυτό δεν σημαίνει ότι ένας ασφαλιστής πρέπει να λαμβάνει τα ίδια δεδομένα με την αστυνομία ή μόνιμο δικαίωμα πρόσβασης στο διαπιστευτήριο.

Ένα μελλοντικό ΔΔΟ πρέπει να αντιμετωπίζει τους ασφαλιστές ως ξεχωριστή κατηγορία επαληθευτή με ξεχωριστές προβλεπόμενες χρήσεις:

• Ασφαλιστική αξιολόγηση κινδύνου
• Επαλήθευση κινδύνου ενοικίασης
• Διαχείριση αξίωσης μετά από ζημία
• Έλεγχος απάτης

Αυτοί δεν είναι ο ίδιος σκοπός. Βάσει των αρχών προστασίας δεδομένων της ΕΕ, τα προσωπικά δεδομένα πρέπει να συλλέγονται για καθορισμένους σκοπούς και να περιορίζονται σε ό,τι είναι αναγκαίο και αναλογικό για τον σκοπό αυτό. Η κατεύθυνση W3C VC καταλήγει στο ίδιο συμπέρασμα τεχνικά: οι επαληθευτές πρέπει να ζητούν μόνο ό,τι είναι απολύτως αναγκαίο.

Νόμιμα, ανά συμβάν παραδείγματα:

• Απόδειξη ότι το δίπλωμα ήταν έγκυρο τη σχετική στιγμή
• Απόδειξη σχετικού δικαιώματος οχήματος
• Απόδειξη σύνδεσης ταυτότητας όπου αναγκαίο για μια αξίωση
• Γνωστοποίηση ειδική για την αξίωση

Μη επιτρεπόμενα από προεπιλογή:

• Μόνιμη πρόσβαση στο υποκείμενο διαπιστευτήριο
• Επαναλαμβανόμενη γενική επαλήθευση κάθε φορά που ο πελάτης αλληλεπιδρά με τον ασφαλιστή
• Χρήση του διαπιστευτηρίου οδήγησης ως token σύνδεσης
• Συλλογή άσχετων χαρακτηριστικών

Ένα διαπιστευτήριο οδήγησης δεν είναι συνδρομή παρακολούθησης. Και δεν πρέπει σιωπηλά να γίνει ένα.

Γιατί οι Μεσάζοντες Πρέπει να Είναι Ορατοί

Οι πραγματικές αγορές περιλαμβάνουν μεσάζοντες. Πλατφόρμες ενοικίασης, προμηθευτές στόλων, συστήματα HR εργοδοτών και επεξεργαστές ασφαλιστικών αξιώσεων συχνά ενεργούν μέσω τρίτων.

Η αρχιτεκτονική EUDI χειρίζεται αυτό:

• Αντιμετωπίζοντας τους μεσάζοντες ως βασιζόμενα μέρη
• Απαιτώντας την καταχώρισή τους
• Απαιτώντας να καταχωρίζονται τα χαρακτηριστικά που ζητούνται για λογαριασμό του τελικού βασιζόμενου μέρους
• Εμφανίζοντας στον χρήστη τόσο τον μεσάζοντα όσο και το τελικό βασιζόμενο μέρος
• Απαγορεύοντας στους μεσάζοντες να αποθηκεύουν δεδομένα σχετικά με το περιεχόμενο της συναλλαγής

Ένα μελλοντικό ΔΔΟ δεν πρέπει ποτέ να επιτρέπει ένα μοτίβο όπου ο χρήστης πιστεύει ότι γνωστοποιεί στην εταιρεία ενοικίασης, αλλά στην πραγματικότητα γνωστοποιεί σε έναν αόρατο μεσίτη επαλήθευσης, επεξεργαστή αναλυτικών στοιχείων και αλυσίδα πωλητή αξιώσεων.

Το ETSI βοηθά εδώ. Το μοντέλο πιστοποιητικού βασιζόμενου μέρους του ψηφιακού πορτοφολιού περιλαμβάνει URI υποστήριξης, προβλεπόμενη χρήση, URI μητρώου και μεταδεδομένα εποπτικής αρχής. Αυτός είναι ο τύπος υποδομής αναγνώσιμης από μηχανή που χρειάζονται οι χρήστες για να κατανοήσουν ποιος βρίσκεται πραγματικά στην άλλη άκρη του αιτήματος και πού να απευθυνθούν όταν θέλουν διαγραφή ή διόρθωση.

Η Διατήρηση Είναι Μέρος του Ελέγχου Πρόσβασης

Οι περισσότερες συζητήσεις για την επιλεκτική γνωστοποίηση τελειώνουν πολύ νωρίς. Εστιάζουν σε αυτό που γνωστοποιείται. Δεν εστιάζουν αρκετά στο πόσο καιρό παραμένει αυτό στη συνέχεια.

Οι τρέχουσες κατευθύνσεις συγκλίνουν ήδη:

• AAMVA: το ψηφιακό πορτοφόλι πρέπει να ενημερώνει ξεκάθαρα τον κάτοχο για τα δεδομένα που ζητήθηκαν και εάν ο επαληθευτής προτίθεται να τα διατηρήσει· τα ενδιαφερόμενα μέρη δεν πρέπει να παρακολουθούν κατόχους ή χρήση mDL εκτός εάν απαιτείται από το νόμο
• W3C: το λογισμικό κατόχου πρέπει να παρέχει αρχεία καταγραφής πληροφοριών που κοινοποιήθηκαν σε επαληθευτές, ώστε να μπορούν να εντοπίζονται υπερβολικά αιτήματα
• EUDI: οι χρήστες πρέπει να μπορούν να έχουν πρόσβαση σε αρχεία καταγραφής συναλλαγών, να αναφέρουν ύποπτα αιτήματα και να ζητούν διαγραφή

Η κατηγορία διατήρησης πρέπει να αποτελεί μέρος της ίδιας της πολιτικής γνωστοποίησης:

• Αστυνομικός έλεγχος στην άκρη του δρόμου: χωρίς διατήρηση από προεπιλογή πέραν του νόμιμου επιχειρησιακού αρχείου
• Απομακρυσμένος προέλεγχος ενοικίασης: αρχείο συναλλαγής δεμένο με την κράτηση, όχι αντίγραφο ταυτότητας επαναχρησιμοποιήσιμο
• Συμμόρφωση εταιρικού στόλου εργοδότη: αρχείο συμμόρφωσης ή αποτέλεσμα βεβαίωσης, όχι ακατέργαστα δεδομένα διαπιστευτηρίου
• Ασφαλιστική αξίωση: αρχείο αξίωσης περιορισμένο στην αξίωση, όχι μόνιμη πρόσβαση

Ένα μελλοντικό ΔΔΟ που αγνοεί τη διατήρηση διαφυλάσσει την ιδιωτικότητα μόνο εν μέρει.

Τι Πρέπει Πραγματικά να Αποφασίζει το Ψηφιακό Πορτοφόλι

Αν έπρεπε να συμπυκνώσω ολόκληρο αυτό το άρθρο σε έναν κανόνα υλοποίησης, αυτός θα ήταν:

Το ψηφιακό πορτοφόλι δεν πρέπει να απαντά στο «Μπορώ να παρουσιάσω αυτό το διαπιστευτήριο;» Πρέπει να απαντά στο «Μπορώ να παρουσιάσω αυτό το σύνολο ισχυρισμών σε αυτόν τον πιστοποιημένο επαληθευτή, για αυτή την προβλεπόμενη χρήση, σε αυτό το πλαίσιο, υπό αυτή την κατηγορία διατήρησης;»

Αυτή η απόφαση πρέπει να βασίζεται τουλάχιστον στις εξής εισροές:

• Ταυτότητα επαληθευτή
• Κατηγορία επαληθευτή
• Προβλεπόμενη χρήση
• Καταχωρισμένο πεδίο εφαρμογής χαρακτηριστικών
• Πολιτική γνωστοποίησης από τον εκδότη, εάν υπάρχει
• Περιβάλλον (άκρη δρόμου, παραλαβή, απομακρυσμένο, στόλος, αξίωση)
• Έγκριση κατόχου
• Εφαρμοστέα πολιτική διατήρησης

Τα πρότυπα περιέχουν ήδη μεγάλο μέρος του μηχανισμού για αυτό: επιλεκτική γνωστοποίηση, πιστοποίηση βασιζόμενου μέρους, καταχωρισμένη προβλεπόμενη χρήση, πιστοποιητικά πρόσβασης, αξιολόγηση πολιτικής γνωστοποίησης και αιτήματα δεσμευμένα σε σκοπό. Αυτό που λείπει ακόμη είναι η πειθαρχία να αντιμετωπίζουμε αυτά τα κομμάτια ως μια συνεκτική αρχιτεκτονική γνωστοποίησης.

Το Κεντρικό Επιχείρημα

Το μελλοντικό ΔΔΟ δεν πρέπει να ρωτά εάν τα δεδομένα μπορούν να γνωστοποιηθούν. Πρέπει να ρωτά:

• Ποιος ρωτά;
• Για ποιον σκοπό;
• Υπό ποια εξουσία;
• Σε ποιο πλαίσιο;
• Με ποιες συνέπειες διατήρησης;

Η αστυνομία, τα γραφεία ενοικίασης, οι εργοδότες και οι ασφαλιστές δεν είναι τέσσερα λογότυπα στην άλλη άκρη ενός αιτήματος. Είναι τέσσερα διαφορετικά μοντέλα κινδύνου, τέσσερα διαφορετικά νομικά πλαίσια, τέσσερεις διαφορετικοί λόγοι να ρωτούν — και πρέπει να παράγουν τέσσερα διαφορετικά σύνολα γνωστοποίησης.

Αυτό δεν είναι περιττή πολυπλοκότητα. Αυτή είναι η εικόνα ενός σύγχρονου διαπιστευτηρίου οδήγησης όταν σταματά να αντιμετωπίζει κάθε επαληθευτή ως τον ίδιο επαληθευτή.