Γιατί το Blockchain Είναι Προαιρετικό για το Μελλοντικό Διεθνές Δίπλωμα Οδήγησης (ΔΔΟ)

Ένα μελλοντικό Διεθνές Δίπλωμα Οδήγησης (ΔΔΟ) χρειάζεται διαφάνεια, αγκυρώσεις εμπιστοσύνης και δημόσια λογοδοσία. Αυτό που δεν χρειάζεται — εξ ορισμού — είναι η καταχώρηση των ίδιων των οδηγών σε ένα κατανεμημένο μητρώο.

Κάθε σοβαρή συζήτηση για ένα ψηφιακό, διασυνοριακό ΔΔΟ καταλήγει στην ίδια πρόταση: «Απλώς βάλτε το στο blockchain.» Η έλξη είναι κατανοητή. Τα blockchain προσφέρουν αδιαμφισβήτητα ίχνη αλλαγών, κοινή ορατότητα και ιστορικό μόνο προσθήκης. Αυτές είναι πραγματικές ιδιότητες. Όμως στο πλαίσιο της διασυνοριακής ταυτότητας οδηγών, εφαρμόζονται πολύ συχνά στο λάθος επίπεδο.

Αυτό το άρθρο εξηγεί τον λόγο, παρουσιάζει τι λένε πραγματικά τα πρότυπα και προτείνει ένα καλύτερο αρχιτεκτονικό μοντέλο.

Τι Λένε Πραγματικά τα Πρότυπα για το Blockchain

Το Μοντέλο Δεδομένων Επαληθεύσιμων Διαπιστευτηρίων του W3C είναι σαφές ότι ένα μητρώο επαληθεύσιμων δεδομένων μπορεί να λάβει πολλές μορφές, όπως:

• Αξιόπιστες βάσεις δεδομένων
• Αποκεντρωμένες βάσεις δεδομένων
• Κυβερνητικές βάσεις δεδομένων ταυτότητας
• Κατανεμημένα μητρώα

Το DID Core είναι εξίσου σαφές: πολλές μέθοδοι DID χρησιμοποιούν τεχνολογία κατανεμημένου μητρώου, αλλά όχι όλες. Με άλλα λόγια, τα πρότυπα ήδη απορρίπτουν την ιδέα ότι το blockchain είναι υποχρεωτική βάση για ψηφιακά διαπιστευτήρια.

Αυτό είναι το σωστό σημείο εκκίνησης για ένα μελλοντικό ΔΔΟ. Το χρήσιμο ερώτημα δεν είναι «blockchain ή όχι blockchain;» Είναι:

Ποιο επίπεδο χρειάζεται πραγματικά διαφάνεια, και ποιο επίπεδο δεν πρέπει σε καμία περίπτωση να γίνει εξ ορισμού δημόσια υποδομή;

Το Blockchain Είναι Σύνολο Ιδιοτήτων, Όχι Απαίτηση

Το πρώτο λάθος είναι να αντιμετωπίζουμε το «blockchain» ως μία ενιαία απαίτηση. Δεν είναι. Είναι ένα σύνολο πιθανών ιδιοτήτων, όπως:

• Κοινή δημοσίευση
• Ιστορικό μόνο προσθήκης
• Κατανεμημένη λειτουργία
• Παραγωγή αποδείξεων
• Ανθεκτικότητα σε μονομερείς αλλαγές

Ορισμένες από αυτές είναι χρήσιμες για ένα μελλοντικό ΔΔΟ. Άλλες είναι άσχετες. Και κάποιες είναι ενεργά επικίνδυνες όταν εφαρμόζονται σε ανθρώπους ως υποκείμενα διαπιστευτηρίων. Το μοντέλο μητρώου του W3C επιτρέπει σκόπιμα πολλαπλές υλοποιήσεις, διότι διαφορετικά οικοσυστήματα χρειάζονται διαφορετικούς συμβιβασμούς.

Τρία Προβλήματα που Δεν Πρέπει να Συνδυαστούν

Το δεύτερο λάθος είναι η συγχώνευση τριών διαφορετικών προβλημάτων σε ένα σύστημα. Για ένα μελλοντικό ΔΔΟ, αυτά πρέπει να παραμείνουν χωριστά:

1. Πού κατοικεί η νομική αλήθεια. Το δικαίωμα οδήγησης ανήκει στα επίσημα εθνικά αρχεία αδειών οδήγησης.
2. Πώς διανέμεται το υλικό εμπιστοσύνης. Τα κλειδιά εκδοτών και τα πιστοποιητικά επαληθευτών ανήκουν σε ελεγχόμενα μητρώα εμπιστοσύνης.
3. Πώς ελέγχει τις αλλαγές το οικοσύστημα. Αυτό ανήκει σε ένα επίπεδο διαφάνειας.

Τα πραγματικά οικοσυστήματα λειτουργούν ήδη με αυτόν τον τρόπο. Η Υπηρεσία Ψηφιακής Εμπιστοσύνης της AAMVA διανέμει τα δημόσια κλειδιά εκδοτών σε μια λίστα προς λήψη πριν ένας επαληθευτής αλληλεπιδράσει με ένα mDL. Το εγχειρίδιο ψηφιακής άδειας οδήγησης της ΕΕ ορίζει ότι τα Κράτη Μέλη ενημερώνουν την Επιτροπή για τους εξουσιοδοτημένους εκδότες mDL, και η Επιτροπή δημοσιεύει λίστα επαλήθευσης αυτών των αρχών. Αυτή είναι διανομή εμπιστοσύνης χωρίς blockchain.

Τι Μας Διδάσκει η Διαφάνεια Πιστοποιητικών

Το πιο αποτελεσματικό μοντέλο διαφάνειας στο δημόσιο διαδίκτυο δεν είναι ένα blockchain καταναλωτικού επιπέδου. Είναι η Διαφάνεια Πιστοποιητικών (CT).

Το RFC 9162 περιγράφει το CT ως πρωτόκολλο δημόσιας καταγραφής πιστοποιητικών διακομιστή TLS, ώστε οποιοσδήποτε να μπορεί:

• Να ελέγχει τη δραστηριότητα αρχών πιστοποίησης
• Να εντοπίζει προβληματικά ή εσφαλμένα εκδοθέντα πιστοποιητικά
• Να ελέγχει τα ίδια τα αρχεία καταγραφής

Το βασικό σχεδιαστικό δίδαγμα από το CT: η διαφάνεια είναι πιο πολύτιμη όταν καταγράφει τη συμπεριφορά εκδοτών και υλικό εμπιστοσύνης — όχι τη δραστηριότητα τελικών χρηστών.

Εφαρμοσμένο σε ένα μελλοντικό ΔΔΟ, αυτό σημαίνει καταγραφή πραγμάτων όπως:

• Έκδοση και εναλλαγή κλειδιών εκδοτών
• Δημοσίευση αγκυρώσεων εμπιστοσύνης
• Εγγραφή κατηγοριών επαληθευτών
• Αλλαγές πολιτικής
• Δηλώσεις συμμόρφωσης
• Συμβάντα σχετικά με ασφάλεια

Αυτό που δεν σημαίνει είναι η δημιουργία δημόσιου ή ημι-δημόσιου μητρώου κατόχων, αναγνωριστικών διαπιστευτηρίων ή συμβάντων παρουσίασης. Αυτό δεν είναι διαφάνεια. Είναι υπερβολική συλλογή δεδομένων.

SCITT: Γιατί η Διαφάνεια Δεν Είναι το Ίδιο με την Αλήθεια

Το σχέδιο αρχιτεκτονικής SCITT του IETF επεκτείνει αυτή τη σκέψη. Το SCITT ορίζει μια Υπηρεσία Διαφάνειας που διατηρεί μια επαληθεύσιμη δομή δεδομένων και εκδίδει κρυπτογραφικές αποδείξεις που αποδεικνύουν τη συμπερίληψη υπογεγραμμένων δηλώσεων. Η ταυτότητα της Υπηρεσίας Διαφάνειας αποτυπώνεται από ένα δημόσιο κλειδί γνωστό στα εξαρτώμενα μέρη, και οι αγκυρώσεις εμπιστοσύνης και οι πολιτικές εγγραφής καθίστανται οι ίδιες διαφανείς.

Αυτό είναι ένα ισχυρό μοντέλο για την υποδομή ΔΔΟ, διότι μετατρέπει τη διαφάνεια σε ελέγξιμη υπηρεσία γύρω από υλικό εμπιστοσύνης και πολιτική — όχι γύρω από προσωπικά ταξιδιωτικά συμβάντα.

Το SCITT είναι επίσης σαφές ως προς τα όρια της διαφάνειας:

• Μια καταχωρημένη δήλωση αποδεικνύει μόνο ότι ένας εκδότης την παρήγαγε και την κατέγραψε — όχι ότι η δήλωση είναι αόριστα ορθή.
• Μια μεταγενέστερη υπογεγραμμένη δήλωση μπορεί να αντικαταστήσει μια προηγούμενη.
• Η διαφάνεια δεν αποτρέπει ανέντιμους ή παραβιασμένους εκδότες· τους καθιστά υπόλογους.

Για την ταυτότητα οδηγών, αυτή η διάκριση έχει τεράστια σημασία: ένα αρχείο καταγραφής διαφάνειας είναι αποδεικτικό στοιχείο και ιστορικό ελέγχου, όχι η επίσημη νομική κατάσταση του δικαιώματος οδήγησης κάποιου.

Το SCITT επισημαίνει επίσης ότι μια υπηρεσία διαφάνειας μπορεί να προστατεύει την ακολουθία μόνο προσθήκης χρησιμοποιώντας συνδυασμό αξιόπιστου υλικού, πρωτοκόλλων συναίνεσης και κρυπτογραφικών αποδείξεων. Ακόμα και το επίπεδο διαφάνειας δεν απαιτεί έναν συγκεκριμένο σχεδιασμό blockchain. Η συναίνεση είναι μία επιλογή, όχι η μοναδική.

Η Σωστή Αρχιτεκτονική Διαχωρισμού για ένα Μελλοντικό ΔΔΟ

Ένα μελλοντικό ΔΔΟ θα πρέπει να διαχωρίζει τις ανησυχίες σε τέσσερα διακριτά επίπεδα:

1. Επίσημα αρχεία για το ποιος επιτρέπεται να οδηγεί (εθνικές αρχές αδειοδότησης)
2. Μητρώα εμπιστοσύνης για κλειδιά εκδοτών και επαληθευτών
3. Υποδομή κατάστασης για επικαιρότητα και ανάκληση
4. Προαιρετικό επίπεδο διαφάνειας για δημόσιο έλεγχο πολιτικών, αγκυρώσεων εμπιστοσύνης, αποδείξεων και δηλώσεων συμμόρφωσης

Μόλις διαχωρίσετε αυτά τα επίπεδα, το ερώτημα για το blockchain γίνεται πολύ πιο συγκεκριμένο. Δεν είναι πλέον «θα πρέπει το μελλοντικό ΔΔΟ να βασίζεται σε blockchain;» Γίνεται:

Ποιο επίπεδο, αν υπάρχει, ωφελείται πραγματικά από δημόσιο έλεγχο μόνο προσθήκης;

Πέντε Λόγοι για τους Οποίους η On-Chain Ταυτότητα Οδηγού Είναι η Λάθος Προεπιλογή

1. Δημιουργεί Μόνιμα Σήματα Παρακολούθησης

Η εργασία απορρήτου EUDI επεξηγεί ότι οι παρουσιάσεις βεβαίωσης μπορούν να περιέχουν μοναδικές τιμές, όπως:

• Τιμές salt
• Τιμές κατακερματισμού
• Αναγνωριστικά ανάκλησης
• Δημόσια κλειδιά δέσμευσης συσκευής
• Υπογραφές
• Χρονοσφραγίδες

Επειδή αυτές οι τιμές είναι σταθερές για την ίδια βεβαίωση, επιτρέπουν στα εξαρτώμενα μέρη να συνδέουν διαφορετικές συναλλαγές και να δομούν συμπεριφορικό προφίλ του χρήστη. Το EUDI προειδοποιεί ρητά ότι αυτό παραβιάζει την εύλογη προσδοκία ότι χωριστές δραστηριότητες πορτοφολιού δεν θα συνδυαστούν.

Αν δημοσιεύσετε σταθερά αναγνωριστικά κατόχων, σταθερά αναγνωριστικά διαπιστευτηρίων, επαναχρησιμοποιούμενες τιμές κατακερματισμού ή ατομικά ανιχνεύσιμα συμβάντα ανάκλησης σε δημόσιο μητρώο, δεν επιλύετε το πρόβλημα παρακολούθησης — το καθιστάτε μόνιμο.

2. Εκθέτει Συμβάντα Ανάκλησης και Επικαιρότητας

Η Σύσταση Λίστας Κατάστασης Bitstring του W3C περιγράφει το πρόβλημα με σαφήνεια: αν υπάρχει αντιστοιχία ένας-προς-έναν μεταξύ ενός διαπιστευτηρίου και της διεύθυνσης URL όπου δημοσιεύεται η κατάστασή του, ο εκδότης μπορεί να συνδέσει τον κάτοχο, τον επαληθευτή και την ώρα του ελέγχου. Η προδιαγραφή χρησιμοποιεί παράδειγμα άδειας οδήγησης για να επεξηγήσει γιατί η παρακολούθηση από τον εκδότη κατά την είσοδο σε ένα κατάστημα παραβιάζει μια κοινή προσδοκία απορρήτου.

Η καλύτερη προεπιλογή που προτείνει η Λίστα Κατάστασης Bitstring:

• Μεγάλες, συμπιέσιμες λίστες κατάστασης όπου πολλά διαπιστευτήρια μοιράζονται έναν πόρο κατάστασης
• Προεπιλεγμένο μήκος λίστας 131.072 εγγραφών
• Τα εξαρτώμενα μέρη κατεβάζουν νέες εκδόσεις χωριστά, χωρίς να αυθεντικοποιούν τον εαυτό τους
• Τυχαιοποιημένοι δείκτες και εγγυήσεις απορρήτου ομάδας

Αυτό είναι το αντίθετο των εξατομικευμένων, on-chain ιχνών ανάκλησης.

3. Συγχέει την Κατάσταση Διαπιστευτηρίου με τη Νομική Κατάσταση Οδήγησης

Ένα ψηφιακό διαπιστευτήριο μπορεί να ανακληθεί επειδή ο μηχανισμός υπογραφής του παραβιάστηκε — ακόμα και όταν το πραγματικό δικαίωμα οδήγησης παραμένει έγκυρο. Ένα δημόσιο μητρώο συμβάντων διαπιστευτηρίων δεν αποτελεί καθαρό υποκατάστατο της επίσημης κατάστασης ενός εθνικού αρχείου αδειών οδήγησης.

Το SCITT ενισχύει το επιχείρημα: μια καταχωρημένη δήλωση μπορεί αργότερα να αντικατασταθεί από μια νέα, και τα εξαρτώμενα μέρη αποφασίζουν τι να εμπιστευτούν βάσει πολιτικής και ιστορικού. Το αρχείο καταγραφής δεν είναι μόνιμη αλήθεια. Είναι αποδεικτικό στοιχείο για το ποιος είπε τι, πότε, υπό ποια πολιτική. Η εθνική αρχή αδειοδότησης παραμένει η ρίζα της νομικής αλήθειας.

4. Στοχεύει το Λάθος Πρόβλημα Διακυβέρνησης

Η διασυνοριακή ταυτότητα οδηγών δεν είναι κυρίως πρόβλημα συναίνεσης. Είναι πρόβλημα διακυβέρνησης:

• Ποιος επιτρέπεται να εκδίδει;
• Ποια δημόσια κλειδιά είναι τρέχοντα;
• Ποιοι επαληθευτές είναι εξουσιοδοτημένοι;
• Ποια αιτήματα δεδομένων ανταποκρίνονται στον δηλωμένο σκοπό τους;
• Ποια έκδοση πολιτικής ίσχυε τη συγκεκριμένη στιγμή;

Τα πραγματικά οικοσυστήματα απαντούν ήδη σε αυτά μέσω διεπόμενης υποδομής εμπιστοσύνης, όχι αποκεντρωμένης συναίνεσης:

• Η Υπηρεσία Ψηφιακής Εμπιστοσύνης της AAMVA δημοσιεύει τα δημόσια κλειδιά αρχών έκδοσης σε λίστα προς λήψη.
• Το εγχειρίδιο ψηφιακής άδειας οδήγησης της ΕΕ αναφέρει ότι η Επιτροπή δημοσιεύει τη λίστα εξουσιοδοτημένων εκδοτών mDL.
• Η εργασία πιστοποιητικού εξαρτώμενου μέρους πορτοφολιού του ETSI παρέχει αναγνώσιμη από μηχανή αυθεντικοποίηση επαληθευτή με προβλεπόμενη χρήση και εγγεγραμμένα ζητούμενα χαρακτηριστικά.

Αυτή είναι ρητή δημόσια διαχείριση εμπιστοσύνης — όχι αποκεντρωμένη διακυβέρνηση.

5. Δεν Επιλύει την Πραγματικότητα στον Δρόμο

Πολλές προτάσεις blockchain αθόρυβα υποθέτουν ότι η ζωντανή πρόσβαση στο δίκτυο αποτελεί πλεονέκτημα. Για διαπιστευτήρια οδηγών — ιδιαίτερα στον δρόμο ή κατά τη διάρκεια ταξιδιού — συχνά δεν είναι.

Οι οδηγίες υλοποίησης της AAMVA ορίζουν ότι:

• Η ανάκτηση από συσκευή λειτουργεί χωρίς εξωτερική συνδεσιμότητα τόσο για τον κάτοχο όσο και για τον αναγνώστη κατά τη στιγμή της συναλλαγής.
• Το ISO/IEC 18013-5 απαιτεί υποστήριξη ανάκτησης από συσκευή.
• Η πρόσβαση του επαληθευτή στα δημόσια κλειδιά εκδότη δεν χρειάζεται να γίνεται κατά τη στιγμή της συναλλαγής. Τα κλειδιά μπορούν να κατεβαστούν εκ των προτέρων.

Αν ένας επαληθευτής μπορεί ήδη να επικυρώσει τοπικά χρησιμοποιώντας αποθηκευμένο υλικό εμπιστοσύνης, η άμεση εξάρτηση από blockchain δεν είναι απαραίτητη. Στην καλύτερη περίπτωση, είναι επιλογή υλοποίησης για κάποια λειτουργία ελέγχου στο παρασκήνιο.

Τι Πρέπει να Είναι Διαφανές σε ένα Μελλοντικό ΔΔΟ

Ένα μελλοντικό ΔΔΟ χρειάζεται οπωσδήποτε διαφάνεια — στο σωστό μέρος.

Κάντε αυτά διαφανή εξ ορισμού:

• Δημόσια κλειδιά εκδοτών και συμβάντα εναλλαγής κλειδιών
• Αγκυρώσεις εμπιστοσύνης και λίστες εξουσιοδοτημένων εκδοτών
• Πιστοποιητικά πρόσβασης επαληθευτών και μεταδεδομένα εγγεγραμμένου σκοπού
• Εκδόσεις πολιτικής και κανόνες εγγραφής
• Δηλώσεις συμμόρφωσης και αξιώσεις κυκλοφορίας λογισμικού σχετικές με ασφάλεια
• Ελέγξιμες αποδείξεις που αποδεικνύουν ότι αυτές οι δηλώσεις καταχωρήθηκαν

Μην κάνετε αυτά δημόσια εξ ορισμού:

• Αναγνωριστικά κατόχων σε δημόσιο μητρώο
• Σταθερά αναγνωριστικά διαπιστευτηρίων επαναχρησιμοποιούμενα σε πολλούς επαληθευτές
• Συμβάντα ανά παρουσίαση
• Ακατέργαστες εγγραφές ανάκλησης που απομονώνουν ένα άτομο
• Πλήρεις υπογεγραμμένες δηλώσεις που περιέχουν προσωπικά δεδομένα, όταν θα αρκούσαν τιμές κατακερματισμού ή μεταδεδομένα

Το SCITT προειδοποιεί ρητά τους εκδότες να εξετάζουν τη συμπερίληψη ιδιωτικών, εμπιστευτικών ή προσωπικά αναγνωρίσιμων πληροφοριών πριν υποβάλουν δηλώσεις σε υπηρεσία διαφάνειας. Σημειώνει επίσης ότι οι υπηρεσίες διαφάνειας μπορούν να διατηρούν μόνο κρυπτογραφικά μεταδεδομένα, όπως τιμές κατακερματισμού — όχι πλήρεις υπογεγραμμένες δηλώσεις.

Ένα Καλύτερο Μοντέλο: Διαφάνεια Γύρω από το Οικοσύστημα, Όχι Μέσω του Ατόμου

Μια καθαρή αρχιτεκτονική για ένα μελλοντικό ΔΔΟ μοιάζει ως εξής:

• Επίσημο εθνικό μητρώο — παραμένει η νομική πηγή αλήθειας για το δικαίωμα οδήγησης.
• Επίπεδο διαπιστευτηρίου — μεταφέρει μηχανικά επαληθεύσιμα δικαιώματα οδήγησης στο πορτοφόλι του κατόχου.
• Επίπεδο μητρώου εμπιστοσύνης — διανέμει κλειδιά εκδοτών, πιστοποιητικά επαληθευτών και λίστες εξουσιοδοτημένων εκδοτών.
• Επίπεδο κατάστασης — χρησιμοποιεί βραχύβιες βεβαιώσεις ή λίστες κατάστασης που διαφυλάσσουν το απόρρητο και ανανεώνονται χωριστά.
• Επίπεδο διαφάνειας — μπορεί ή δεν μπορεί να χρησιμοποιεί συναίνεση εσωτερικά, και καταγράφει αγκυρώσεις εμπιστοσύνης, αλλαγές κλειδιών, ενημερώσεις πολιτικής, αποδείξεις και δηλώσεις οικοσυστήματος που ωφελούνται από δημόσιο έλεγχο μόνο προσθήκης.

Αυτή η αρχιτεκτονική αποτυπώνει τα χρήσιμα στοιχεία της σκέψης blockchain — ελεγξιμότητα μόνο προσθήκης, δημόσιος έλεγχος, αδιαμφισβήτητα ίχνη αλλαγών, αποδείξεις — χωρίς να καθιστά τον οδηγό τον δημόσιο υποκείμενο του συστήματος. Αντιστοιχεί επίσης σε αυτό που τα πρότυπα ήδη περιγράφουν: τα μητρώα μπορούν να λάβουν διαφορετικές μορφές, τα DID δεν απαιτούν κατανεμημένα μητρώα, τα μητρώα εμπιστοσύνης ήδη υπάρχουν, και οι μηχανισμοί κατάστασης που διαφυλάσσουν το απόρρητο είναι ήδη τυποποιημένοι.

Το Βασικό Επιχείρημα

Το μελλοντικό ΔΔΟ θα πρέπει να υιοθετήσει την καλύτερη ιδέα του blockchain — δημόσια λογοδοσία για την υποδομή — χωρίς να υιοθετεί τη χειρότερη προεπιλογή του για τους ανθρώπους: μόνιμη, παγκοσμίως ορατή παρακολούθηση.

Στην πράξη, αυτό σημαίνει:

• Διαφάνεια για τους εκδότες, όχι έκθεση των κατόχων
• Ελέγξιμες αγκυρώσεις εμπιστοσύνης, όχι δημόσια ταξιδιωτικά αρχεία
• Αποδείξεις για πολιτικές και εγγραφές, όχι μόνιμα χρονολόγια χρήσης διαπιστευτηρίων
• Αποδεικτικά στοιχεία μόνο προσθήκης για τη διακυβέρνηση του οικοσυστήματος, όχι on-chain ταυτότητα οδηγού ως προεπιλογή

Αυτό δεν είναι επιχείρημα κατά του blockchain. Είναι επιχείρημα κατά της εφαρμογής του blockchain στο λάθος επίπεδο.

Ένα μελλοντικό ΔΔΟ μπορεί κάλλιστα να χρησιμοποιεί υπηρεσίες διαφάνειας υποστηριζόμενες από συναίνεση κάπου στο οικοσύστημα. Αλλά αν ο σχεδιασμός ξεκινά τοποθετώντας τον οδηγό, το διαπιστευτήριο ή το ίχνος παρουσίασης σε ένα μητρώο, έχει ήδη επιλέξει τη λάθος προεπιλογή.