Tulevase IDP-i alusarhitektuur: miks on paberloaga asendamiseks vaja kihilist standardite arhitektuuri

Ükski üksik standard ei asenda paber-rahvusvahelist juhiluba (IDP). Tegelik järglane on koos töötavate standardite kihtarhitektuur — ja selle mõistmine on võti selleks, et mõista, kuhu piiriülesed digitaalsed juhiload tegelikult suunduvad.

Miks ükski üksik standard ei asenda paber-IDP-i

Enamik arutelusid tulevase IDP üle algab vale küsimusega: milline standard asendab paberloа? See lähenemine eeldab, et üks spetsifikatsioon suudab kogu töö ära teha. See ei suuda.

NIST-i mDL (mobiilne juhiluba) töö märgib sõnaselgelt, et uued digitaalsete volikirjade standardid arenevad eraldi probleemivaldkondades. ISO 18013 perekond ise on juba jagatud mitmeks osaks, mis hõlmavad füüsilist kujundust, turvalisust, mobiilset esitust ja internetilaiendusi. Tulevane piiriülene juhi volikiri ei ole seega üks spetsifikatsioon — see on koordineeritud spetsifikatsioonide kihtarhitektuur, millest igaüks käsitleb eraldi probleemi.

Tulevase IDP-i kihtarhitektuur lühidalt

Siin on kaheksa kihti, mis koos määratlevad, milline tulevane IDP välja näeb:

Kiht 0 — Füüsiline ja andmete alus: ISO/IEC 18013-1
Kiht 1 — Volikirja turvalisus: ISO/IEC 18013-3
Kiht 2 — Lähedusesitus (isiklik): ISO/IEC 18013-5
Kiht 3 — Kaug-/internetiesitus: ISO/IEC 18013-7
Kiht 4 — Volikirja semantika: W3C Verifiable Credentials Data Model 2.0
Kiht 5 — Väljaandmisprotokoll: OpenID4VCI
Kiht 6 — Päringu- ja esitusprotokoll: OpenID4VP
Kiht 7 — Usalduse jaotamine ja kontrollija autoriseerimine: Usalduregistrid (AAMVA VICAL-mudel, EUDI sertifikaadipõhine tugineva poole mudel)

Iga kiht põhineb kehtivaтel standarditel või aktiivsel ökosüsteemi dokumentatsioonil. Alljärgnevad jaotised selgitavad, mida iga kiht teeb — ja sama oluline on, mida see ei tee.

Kiht 0 — ISO/IEC 18013-1: füüsiline ja semantiline alus

1. osa on olulisem, kui enamik inimesi arvab, sest see ei puuduta ainult kaardi kujundust.

ISO/IEC 18013-1 määratleb ISO-nõuetele vastava juhiloa füüsilised omadused ja põhiandmekogumi, luues ühise aluse rahvusvaheliseks kasutamiseks ja vastastikuseks tunnustamiseks. See põhineb turvaليsel ID-1 kaardil koos vihikuga rahvusvaheliseks kasutamiseks, asendades vanema paber-IDP mudeli. ISO märgib ka, et paljudel juhtudel võib üks kaart asendada kahe eraldi dokumendi vajaduse.

Praktiline mõju on lihtne: tulevane IDP ei saa alata rahakoti kihist. Kui alusdokumendi struktuur, andmemudel ja paigutus ei ole esmalt standarditud, muutub iga ülalolev digitaalne kiht killustunud riiklike formaatide ühilduvuspaigaks. 1. osa on alus, millest ülejäänud kihtarhitektuur sõltub.

Kiht 1 — ISO/IEC 18013-3: volikirja turvalisus

3. osas muutub volikiri dokumendil olevast andmest turvaоbjektiks. ISO kirjeldab 18013-3 kui osa, mis täpsustab mehhanisme järgmiseks:

Juurdepääsu kontroll masinloetavatele andmetele
Dokumendi autentimine
Terviklikkuse valideerimine

ISO on siiski selge, et 3. osa ei käsitle andmete hilisema kasutamisega seotud privaatsusküsimusi — ja see piir on oluline.

Lühidalt öeldes tagab 18013-3 volikirja turvalisuse, mitte täieliku ökosüsteemi halduse. See aitab vastata küsimustele nagu: Kas selle volikirja väljastas väidetud asutus? Kas andmeid on muudetud? See ei vasta täielikult küsimusele: Kas sellel kontrollijal peaks üldse olema õigus seda välja nõuda? Kas see päring peaks selles kontekstis olema lubatud?

See on ka aktiivne kiht, mitte lõpetatud toode. ISO loetleb 2022. aasta muudatuse PACE-protokolli kohta, 2023. aasta muudatuse passiivse autentimise uuenduste kohta ning uue 18013-3 mustandversiooni, mis on praegu väljatöötamisel.

Kiht 2 — ISO/IEC 18013-5: isiklik mobiilne esitus

Kui 1. osa määratleb dokumendi ja 3. osa kaitseb seda, muudab 5. osa loa mobiilseks volikirjaks.

ISO täpsustab, et 18013-5 hõlmab liidest mDL-i ja lugeja vahel ning lugeja ja väljaandva asutuse infrastruktuuri vahel. See võimaldab ka kolmandatel osapooltel — sealhulgas teiste riikide asutustel ja kontrollijatel —:

Saada mDL-andmeid masina abil
Siduda need andmed omanikuga
Autentida nende päritolu
Kontrollida nende terviklikkust

Sama oluline on see, mida 18013-5 ei hõlma. ISO loetleb sõnaselgelt väljaspool ulatust olevad punktid, sealhulgas selle, kuidas saadakse omaniku nõusolek andmete jagamiseks, ning nõuded mDL-andmete ja privaatvõtmete salvestamiseks. 5. osa ei ole täielik rahakotitoode, täielik kasutaja nõusoleku mudel ega täielik haldussüsteem. See on mobiilse esituse transport- ja kontrollimiskiht.

AAMVA rakendamisjuhend teravdab seda veelgi, eristades kahte andmete toomise mudelit:

Seadme toomine, kus andmed loetakse otse omaniku seadmest.
Serveri toomine, mis võib võimaldada väljaandval asutusel jälgida, millal mDL-i kasutatakse, milliseid andmeid jagatakse, ja isegi hinnata füüsilist asukohta IP-analüüsi kaudu.

Teine punkt ei ole põhjus standardit tagasi lükata — see on põhjus olla täpne selle osas, millist toomise mudelit tulevane IDP peaks vaikimisi kasutama. AAMVA nõuab ka, et rahakott annaks omanikule täieliku kontrolli selle üle, milliseid andmeelemente jagatakse, mis sobib tulevase IDP-ga palju paremini kui vanem mudel „näita kogu dokumenti”.

Kiht 3 — ISO/IEC 18013-7: internetiesitus

5. osa lahendab isikliku kontakti probleemi. 7. osa laiendab seda mudelit kaugkasutusele.

ISO kirjeldab 18013-7:2025 kui 18013-5 laiendust mDL-i internetiesitusega lugerile. Internet ei ole selles arhitektuuris teisejärguline kaalutlus — see on standardi selgesõnaline osa.

EL-i mobiilse juhiloa käsiraamat käsitleb juba internetiesitust praktilisena, mitte teoreetilisena, kirjeldades selliseid stsenaariume nagu:

Autorendiregistreerimine, kus kasutajad jagavad oma mDL-i kas isiklikult või eelnevalt kaugelt
Politsei teeäärsed kontrollid
Üldine mDL-i kasutusprofiil, mis põhineb ISO/IEC 18013-5 ja 18013-7

Sellest hoolimata on AAMVA praegune juhend piirangute osas aus: mDL-i kasutamine interneti kaudu on väga soovitav, kuid mõned toetavad standardid on endiselt küpsemas. Praeguses rahakoti ja brauseri integreerimises on tegelikud lüngad ning ilma usaldusväärsete lugejate nimekirjata ei pruugi mdoc-i poolel olla usaldusväärset võimalust teatud turvaomadusi kinnitada. Kaupresentatsioon on reaalne — ja endiselt arenev.

Isegi nende reservatsioonidega on 18013-7 esimene tõsine vastus probleemile, mida paber-IDP ei üritanudki lahendada: juhi õiguste kaugpresenteerimine enne, kui isik jõuab letile või kontrollpunkti.

Kiht 4 — W3C VC andmemudel 2.0: semantikakiht

W3C Verifiable Credentials Data Model 2.0 ei ole juhiloa standard — ja just sellepärast on see oluline.

Soovitus määratleb laiendatava andmemudeli kontrollitavatele volikirjadele, selgitab, kuidas neid saab kaitsta muutmise eest, ning kirjeldab ökosüsteemi kolme põhirolli kaudu: väljaandjad, omanikud ja kontrollijad. Juhiluba ilmub ühena selle põhinäidetest.

Tulevase IDP jaoks annab VC 2.0 üldise sõnavara nõuete, presentatsioonide ja kontrollitavate andmeregistrite jaoks. W3C täpsustab, et sellised registrid võivad olla mitmel kujul, sealhulgas:

Usaldusväärsed andmebaasid
Valitsuse identiteediandmebaasid
Detsentraliseeritud andmebaasid
Hajutatud registrid

See lõhub vale vastanduse ainult plokiahela põhise lähenemise ja täielikult patenteeritud lähenemise vahel. Andmemudel on mõlemast laiem.

VC 2.0 on selge ka selektiivse avaldamise osas. W3C märgib, et juhiluba võib sisaldada rohkem andmeid, kui on konkreetse kasutusjuhtumi jaoks vaja, ja soovitab kas teabe jagamist väiksemateks osadeks või mehhanismide kasutamist, mis võimaldavad selektiivset avaldamist. Tulevase IDP jaoks ei ole see valikuline privaatsuse mugavus — see on vahe kaasaegse volikirja ja plastkaarti digitaalse fotokoopia vahel.

VC 2.0 ei ole aga ISO 18013 täielik asendaja. W3C osutab, et andmemudel ei nõua traditsioonilist sertifitseerimisasutuse usaldusaketi mudelit. Praktikas on VC 2.0 tugev semantikakiht, kuid selgesõnalised usalduse jaotamise ja kontrollija haldamise kihid peavad siiski peal asuma.

Kiht 5 — OpenID4VCI: väljaandmisprotokoll

Tulevane IDP vajab standardset viisi volikirja liigutamiseks väljaandjalt rahakotti. See on OpenID for Verifiable Credential Issuance (OpenID4VCI) 1.0 roll.

Spetsifikatsioon määratleb OAuth-kaitstud API kontrollitavate volikirjade väljaandmiseks ning see on tahtlikult formaadist sõltumatu. Toetatud volikirjaformaatide hulgas:

ISO mdoc
SD-JWT VC
W3C VCDM volikirjad

See toetab ka omaniku sidumist ja hilisemaid presentatsioone ilma väljaandja edaspidise osaluseta. OpenID4VCI 1.0 kinnitati lõpliku spetsifikatsioonina septembris 2025.

See muudab OpenID4VCI strateegiliselt oluliseks tulevase IDP ökosüsteemi jaoks. Selle asemel, et ehitada iga jurisdiktsiooni või rahakotiteenuse pakkuja jaoks spetsiaalsed väljaandja-rahakoti torujuhtmed, saab ökosüsteem määratleda hallatud väljaandmisprofili standardse väljaandmisraamistiku peale — valides samal ajal, kas saadud volikiri kodeeritakse mdoc-ina, VC-na või mõnes muus toetatud formaadis. See paindlikkus on üks tugevamaid argumente tulevase IDP kihtarhitektuuri modulaarsuse säilitamiseks.

Kiht 6 — OpenID4VP: päringu- ja esitusprotokoll

Kui OpenID4VCI viib volikirja rahakotti, viib OpenID for Verifiable Presentations (OpenID4VP) selle kontrollitud viisil tagasi välja.

Spetsifikatsioon määratleb mehhanismi volikirjade pärimiseks ja presenteerimiseks. Selle alus kasutab HTTPS-sõnumeid ja ümbersuunamisi, kuid toetab ka kasutamist W3C Digital Credentials API kaudu ümbersuunamisvoogude asemel. OpenID4VP 1.0 saavutas lõpliku spetsifikatsiooni staatuse juulis 2025.

See on oluline, sest annab tulevase IDP kihtarhitektuurile veebipõhise presentatsioonikihi, mida veebisaidid, rakendused ja veebikontrollijad saavad otse rakendada. Mitu hiljutist arengut kinnitab seda:

2025. aasta augustis teatas OpenID Sihtasutus Digital Credentials API kaudu kasutatavas OpenID4VP ametlikust turvaanalüüsist, milles kontrollitud protokollimudelis ei leitud uusi haavatavusi.
NIST-i praegune mDL mustand ehitab oma ohumudeli ümber mDL-ide pärimise ja presenteerimise OpenID4VP kaudu W3C Digital Credentials API üle, kasutades FIDO CTAP-i läheduse jõustamiseks ja andmepüügile vastupaneks asjakohastes voogudes.

Veebipoolne arhitektuur ja mDL-i poolne arhitektuur lähenevad. OpenID4VP-d ei tohiks lugeda ISO 18013-7 konkurendiks — see on veebiprotokolli kiht, mis muudab internetiesituse praktiliseks tegelikes brauseri, rahakoti ja kontrollija keskkondades.

Kiht 7 — usalduregistrid: kus kihtarhitektuur saab ökosüsteemiks

See on kiht, mida paljud arutelud vahele jätavad — ja kiht, mis määrab, kas kogu süsteem tegelikult toimib.

Kontrollija ei saa allkirjastatud volikirjaga palju peale hakata, kui ta ei tea kolme asja:

Millised väljaandjad on legitiimsed
Millised avalikud võtmed on kehtivad
Kas päringut esitav pool on ise volitatud

Väljaandja poolel pakub AAMVA Digital Trust Service konkreetse vastuse. See pakub ühtset, turvalist ja vastupidavat viisi, kuidas tuginevad osapooled saavad väljaandva asutuse avalikke võtmeid, mida levitatakse Verified Issuer Certificate Authority List (VICAL) kaudu. AAMVA juhend kirjeldab VICAL-i pakkuja rolli praktiliselt: koguda avalikke võtmeid legitiimsetelt väljaandvatelt asutustelt, kontrollida, et need asutused haldavad oma võtmeid turvaliselt, kombineerida võtmed üheks VICAL-iks ja edastada see kontrollijatele.

Kontrollija poolel läheneb Euroopa usaldusproblеemile teisest suunast. EUDI arhitektuuri ja viiteraamistiku kohaselt registreeruvad tuginevad osapooled, saavad juurdepääsusertifikaadid ja kasutavad neid sertifikaate, et autentida end rahakotirakenduste ees atribuutide taotlemisel. Rahakott kontrollib seejärel sertifikaadiahelat, kontrollib tühistamise olekut, esitab päringu kasutajale ja vabastab ainult heakskiidetud atribuudid.

W3C VC mudel aitab siin samuti, käsitledes kontrollitavaid andmeregistreid eraldi ökosüsteemi rollina. Nagu varem märgitud, võivad need registrid olla usaldusväärsed andmebaasid, valitsuse identiteediandmebaasid, detsentraliseeritud andmebaasid või hajutatud registrid. Tulevane IDP usalduregister ei pea olema ehitatud plokiahelale. See peab olema hallatud, auditeeritav ja masinloetav.

Kui ISO 18013 määratleb, kuidas volikiri välja näeb ja liigub, otsustavad usalduregistrid, kas keegi peaks sellesse uskuma.

Tulevane IDP on kihtarhitektuur, mitte üks spetsifikatsioon

Kuidas tulevane IDP-tehing toimib algusest lõpuni

Siin on kihtarhitektuur töös, jagatuna volikirja elutsükli neljaks põhihetkeks.

1. Väljaandmine. Riiklik asutus — või tihedalt hallatud volitatud väljaandja — kontrollib aluseks olevat loaandmeid ja annab volikirja omaniku rahakotti. OpenID4VCI on tänapäeval praktikaim väljaandmiskiht, kuna see toetab juba ISO mdoc, SD-JWT VC ja W3C VCDM formaate. ISO 18013-5 ise jätab nõusoleku kogumise ja privaatvõtme salvestuse ulatusest välja, mis on täpselt põhjus, miks väljaandmine ja rahakoti haldamine peavad toimima põhilise ISO transpordikihi kohal.

2. Isiklik esitus. Teeäärseis peatusel või rendilетis esitab rahakott volikirja 18013-5 põhise lähedusevoo abil. Lugeja kinnitab päritolu ja terviklikkuse, kasutades väljaandja võtmeid, mis on saadud usalduregistrist — mitte tehes usalduse otsuseid iseseisvalt. Omanik kinnitab ainult selleks konkreetseks olukorraks vajalikud väljad.

3. Kaugesitus. Eelrendi kontrollide või muude veebiprotsesside jaoks nõuab kontrollija minimaalset atribuutide kogumit internetivõimelise voo kaudu, kasutades 18013-7 ja/või OpenID4VP. Rahakott näitab, milliseid atribuute taotletakse, omanik kinnitab ja kontrollija saab struktureeritud presentatsiooni, mitte skänni või PDF-üleslaadimise. NIST-i praegune arhitektuur, mis on ehitatud OpenID4VP ja Digital Credentials API ümber, näitab, et see on nüüd praktiline inseneriteaduse tee.

4. Usaldus ja kontrollija autoriseerimine. Rahakott ei usalda iga pärijat pimesi. Küps ökosüsteem autendib tugineva poole, valideerib sertifikaadiаhelaid, kontrollib tühistamise olekut ja annab kasutajale nähtavuse selle osas, kes mis andmeid küsib. EUDI mudel on siin eriti tugev, käsitledes kontrollija registreerimist ja juurdepääsusertifikaate süsteemi oluliste osadena, mitte valikuliste lisanditena.

See täielik voog on täpselt see, miks tulevane IDP peab olema kihtarhitektuur. Ükski üksik kiht ei suuda seda pakkuda. Mitte ISO üksi. Mitte VC üksi. Mitte OpenID üksi. Ja kindlasti mitte PDF, mis on lisatud vormile.

Mida tulevase IDP-i kihtarhitektuurist veel puudu on

Kõige raskem järelejäänud probleem ei ole enam uue krüptograafia loomine — see on hallatud koostalitlusvõime saavutamine.

Vaatleme, kus ökosüsteem tänapäeval seisab:

NIST on kirjeldanud praegust standardite maastikku eraldi valdkondades arenevana.
AAMVA on ehitanud piirkondliku usaldusteenuse Põhja-Ameerika jaoks.
Euroopa integreerib sertifikaadipõhise tugineva poole usalduse oma rahakoti arhitektuuri.
OpenID on viimistlenud väljaandmise ja presentatsiooni spetsifikatsioone ning laiendab vastavuse infrastruktuuri.

Need on endiselt ökosüsteemispetsiifilised vastused. Juhi volikirjadele ei ole veel ühtset ülemaailmset piiriülest usalduskihti. Järelejäänud töö on määratleda:

Millised kihtarhitektuuri osad on kohustuslikud
Millised volikirjaformaadid on vastuvõetavad
Kuidas levitatakse väljaandja ja kontrollija usaldust
Kuidas testitakse vastavust
Kuidas hallata piiriülest tunnustamist, kahjustamata privaatsust

Kokkuvõte: tulevane IDP on kihtarhitektuur, mitte dokument

Tulevane IDP ei ilmu sellepärast, et üks standardiorganisatsioon kirjutab ühe dokumendi. See ilmub siis, kui ühtne kihtarhitektuur on määratletud, hallatud ja jurisdiktsioonides omaks võetud. Sellel kihtarhitektuuril on juba tuvastatavad kihid: