Tuleviku RJL ei ole vihik. See on privaatsust säilitav esitluskiht.

Tuleviku rahvusvaheline juhiluba (RJL) ei peaks olema veel üks kaasaskantav dokument. See peaks olema juhitud, krüptograafiliselt kontrollitav viis esitada riiklikke juhtimisõigusi üle piiride — nii võrgus kui ka võrguühenduseta, minimaalse andmeedastusega ja muutmata iga kontrollimist ülemaailmseks jälgimissüsteemiks.

Kõik ütlevad, et rahvusvahelise juhiloa tulevik on digitaalne. See pole vale — aga pole ka piisavalt täpne.

PDF-vihik telefonis ei ole tulevik. Ilusam QR-kood ei ole tulevik. Plokiahela märgis sõnaga „juhtimine” turundusmaterjalides ei ole tulevik.

Tegelik probleem on sügavam kui formaat. Kõik taandub ühele kesksele küsimusele: kuidas muutub ühe asutuse väljastatud seaduslik juhtimisõigus teises kohas, teisele kontrollisikule arusaadavaks, usaldusväärseks ja kasutatavaks — surve all, mõnikord ilma võrguühenduseta ja ilma vajalikust rohkem isikuandmeid avaldamata?

See on küsimus, millele paberdokumendina RJL kunagi täielikku vastust ei andnud. Ja see on küsimus, millele järgmise põlvkonna süsteem peab vastuse leidma.

Miks paber-RJL lahendas loetavuse, kuid mitte usalduse

Paber-RJL oli mõttekas maailmas, kus paber oli peamine meedium. See toimis ühilduvuskihina — inimloetava sillana ühe litsentsisüsteemi ja teise vahel. See oli kasulik ja mingil määral on see siiani.

Kuid kaasaegse piiriülese liikuvuse keeruline osa ei ole enam pelgalt loetavus. See on usaldus.

Tänapäeva kontrollisikud seisavad silmitsi rea keerulisemate küsimustega:

• Kas nad suudavad tuvastada, kas volikiri on ehtne?
• Kas nad suudavad kinnitada, et see on endiselt kehtiv?
• Kas nad saavad kontrollida ainult neid konkreetseid välju, mida nad tegelikult vajavad?
• Kas nad saavad seda teha ilma, et peaksid iga kord väljastava asutusega ühendust võtma?
• Kas nad saavad seda kontrollida veebis, isiklikult ja teeääres?
• Kas nad saavad seda teha muutmata reisimist ülemaailmseks jälgimissüsteemiks?

Seepärast ei peaks tuleviku RJL-i mõistma kui digitaalse vihiku projekti. Seda tuleks mõista kui esitlusarhitektuuri probleemi.

Standardid, mis juba osutavad digitaalsele RJL-ile

See ei ole enam teoreetiline. Standardikogukond on juba selles suunas liikunud:

• ISO/IEC 18013-1:2018 lõi mudeli, milles üks turvaline litsents suudab täita nii siseriiklikke kui ka rahvusvaheliselt tunnustatud eesmärke, nähes ette masinloetavad tehnoloogiad ning biomeetria, krüptograafia ja tihenduse integreerimise.
• ISO/IEC 18013-3 käsitleb juurdepääsu kontrolli, autentimist ja terviklikkuse valideerimist.
• ISO/IEC 18013-5 määratleb liidesed mobiilse juhiloa, lugeja ja väljastava asutuse infrastruktuuri vahel, sealhulgas teiste riikide kontrollisikute poolt kasutamise.
• ISO/IEC 18013-7 lisab mobiilse juhiloa esitamise interneti kaudu.
• ÜRO Euroopa Majanduskomisjoni (UNECE) töö elektrooniliste juhilubade valdkonnas ühendab tehnilised ja turvanõuded ISO/IEC 18013-5 vastavusnõuetega.

Vale lähenemine RJL-i digitaliseerimisel

Vale lähenemine on võtta praegune RJL, teisendada see digitaalformaati ja panna see rakendusse. See tundub tõhus, kuid säilitab vale fookuse — see hoiab süsteemi keskel dokumendi kui füüsilise objekti.

Parem lähenemine on käsitleda rahvusvahelist juhtimist kui riiklikult väljastatud juhtimisõiguste kontrollitud esitlust.

See nihe on oluline, sest kui mõtlete esitlusele, muutuvad disainiküsimused täpsemaks:

• Kes väljastas põhilise juhtimisõiguse?
• Kuidas saab hoidja volikirja vastu ja salvestab selle?
• Kuidas taotleb kontrollisik ainult neid andmeid, mida tal on seaduslik õigus vajada?
• Kuidas levitatakse ja usaldatakse väljastaja võtmeid?
• Kuidas kontrollitakse tühistamist ilma, et väljastaja saaks toimuvat reaalajas jälgida?
• Mis töötab võrguühenduseta ja mis vajab endiselt paberit varundusena?
• Millisel kontrollisikul on lubatud näha milliseid andmeid ja miks?

See on palju tõsisem viis disainida paber-RJL-i asendust.

Tuleviku RJL-i parem definitsioon

Siin on pakutud definitsioon:

Tuleviku RJL on standardipõhine, tuletatud piiriülene volikiri, mis esitleb riiklikult väljastatud juhtimisõigusi kontrollisikule kontekstile sobival viisil, hoidja kontrolli all, krüptograafilise kontrollimisega, rollipõhise avaldamisega, võrgu- ja võrguühenduseta esitlusvoogudega ning privaatsust säilitava staatuse kontrollimisega.

See definitsioon on tahtlikult kitsas. See ei:

• muuda tuleviku RJL-i iseseisvaks juhtimisõiguseks;
• muuda seda universaalseks identiteediandmete hoidlaks;
• nõua iga tehingu puhul otseühendust väljastajaga;
• eelda, et autorendilaud, politseinik ja kindlustusandja peaksid nägema samu välju;
• nõua plokiahelat süsteemi tuumikuna.

See on distsiplineeritud vastus usaldusprobleemile.

Toimiva tuleviku RJL-i seitse komponenti

Turundusliku keelekasutuseta vajab toimiv tuleviku RJL seitset komponenti:

1. Autoriteetne riiklik tõeallikas. Seaduslik juhtimisõigus pärineb riiklikult litsentseerivalt asutuselt. Rahvusvaheline kiht ei tohiks kunagi luua juhtimisõigusi — ainult esitleda neid.
2. Väljastaja. Usaldusväärne avaliku sektori asutus või tema nimel tegutsev tihedalt juhitud volitatud väljastaja annab välja digitaalse volikirja, mis kajastab praegust juhtimisõigust.
3. Hoidja rahakott. Juhil on vaja turvalist rahakotti, mis salvestab volikirja, kaitseb privaatvõtmeid, autendib hoidja ning esitleb volikirja kontrollisikutele.
4. Kontrollisik või lugeja. See võib olla politseiseade, autorendilaua lugeja, veebisüsteem või mõni muu volitatud kontrollisik.
5. Usaldusnimekiri. Kontrollisikutel on vaja usaldusväärset viisi hankida seaduslike väljastajate avalikud võtmed ja usaldusmeta-andmed.
6. Staatusekiht. Peab olema privaatsust säilitav viis väljendada peatamist, tühistamist, aegumist või staatuse muutust.
7. Füüsiline varundus. Tühjad akud, nõrk ühenduvus, kahjustatud seadmed, konservatiivsed jurisdiktsioonid ja üleminekuperioodid on tavareaalsus — mitte äärejuhtumid.

Rollipõhine avaldamine: üks volikiri, erinevad sihtgrupid

Üks suurimaid disainipuudusi identiteedisüsteemides on eeldus, et üks volikiri tähendab üht avaldamist. See on hea disaini vastand.

Teeäärsel peatusel kontrollival politseinikul pole sama seaduslik vajadus kui autorendilaua töötajal. Autorendilaua töötajal pole sama vajadus kui tööandjal. Tööandjal pole sama vajadus kui veebipõhisel eelkontrollisüsteemil.

Tuleviku RJL peaks toetama erinevaid avaldamiskogumeid erinevate kontrollisikute kategooriate jaoks:

• Teeäärne peatus: isik, foto, kategooriad ja õigused, piirangud, kehtivusstaatus. Vaikimisi mitte midagi enamat.
• Autorendilaud: isik, foto, juhtimiskategooriad, väljastamise ja aegumise kuupäevad, võimalik vanuseteave — kuid mitte iga väli volikirjas.
• Veebipõhine eelkontroll: identiteedi tõend, asjakohase juhtimisõiguse tõend, praeguse kehtivuse tõend, võimalik broneeringuga seotud kinnitus.
• Tööandja või autopargi vastavuskontroll: eraldi, selgesõnaliselt nõusolekupõhine töövoog, mitte sama avaldamisprofiil kui reisikontrollil.

Standardid toetavad juba seda mudelit. NIST-i praegune mDL-i eelnõu kirjeldab päringuid, mis võimaldavad kontrollisikutel täpsustada, milliseid atribuute nad taotlevad. AAMVA rakendusjuhised nõuavad, et rakendus näitaks selgelt, milliseid andmeid taotleti, ja annaks hoidjale täieliku kontrolli selle üle, milliseid andmevälju jagatakse.

Tuleviku RJL ei tohiks olla digitaalne kaart. See peaks olema kontrollitud avaldamisvahend.

Kiirest kontrollimisest ei tohi saada kiire jälgimine

Siin lähevad paljud digitaalse identiteedi projektid valesti. Nad kirjeldavad „reaalajas kontrollimist” justkui see tähendaks automaatselt edasiminekut. Ei tähenda.

Kontrollisik vajab õigeaegset usaldust. Kuid väljastaja ei pea teadma iga kohta ja hetke, kus hoidja volikirja esitleb. See eristus on hädavajalik.

Euroopa Liidu arhitektuuri- ja viiteraamistik on selles punktis selge. Tugineva osapoole instantsid ei peaks iga kord, kui volikirja esitatakse, taotlema asjakohast olekute nimekirja. Selle asemel:

• Uuendatud nimekirjad tuleks alla laadida eraldi, aegadel ja asukohtadest, mis ei ole seotud konkreetse kasutaja esitlusega.
• Olekute nimekirja positsioonid tuleks juhuslikustada, piisavalt kirjetega kollektiivse privaatsuse tagamiseks.
• Nimekirja taotlused ei tohi muutuda konkreetsete hoidjate jälgimissignaalideks.

NIST-i praegune mDL-i eelnõu kirjeldab kontrollisiku valideerimist väljastaja allkirjade ja avalike võtmete põhjal ilma vajaduseta väljastajaga otse ühendust võtta. AAMVA juhised keelavad serveripõhise andmehankimise ja seavad keskmesse seadmepõhise andmehankimise ning usalduseteenusepõhise avaliku võtme levitamise.

Tuleviku RJL peaks toetama kiiret kontrollimist — loomata ülemaailmset arvestust selle kohta, kus ja millal juht oma isiku tõendas.

Usaldusdistributsioon: juhtimine masinloetaval kujul

Paljud arutavad rahakotte ja krüptograafiat. Palju vähem arutletakse infrastruktuuri üle, mis tegelikult usalduse toimima paneb — kuid just infrastruktuur on see osa, mis loeb.

Kontrollisik saab volikirja usaldada ainult siis, kui ta suudab usaldusväärselt leida ja usaldada väljastaja avalikke võtmeid ja seonduvaid meta-andmeid. Tuleviku RJL-i ökosüsteem vajab masinloetavat ja juhitavat vastust sellistele küsimustele nagu:

• Millised väljastajad on seaduslikud?
• Millised avalikud võtmed on praegu kehtivad?
• Millised väljastajad on volitatud milliste jurisdiktsioonide jaoks?
• Millised kontrollisikute kategooriad on registreeritud või akrediteeritud?
• Mis juhtub, kui väljastaja vahetab võtmeid või muudab poliitikat?

AAMVA digitaalne usaldusteenus on üks konkreetne näide: ühtne, turvaline ja vastupidav viis tuginevate osapoolte jaoks hankida väljastajate avalikke võtmeid, mida levitatakse kontrollitud väljastajate sertifikaatide asutuse nimekirja kaudu. EL-i mDL-i käsiraamat kirjeldab, kuidas liikmesriigid teavitavad Euroopa Komisjoni volitatud mDL-i väljastajate kohta, komisjon avaldab selle nimekirja kontrollimise eesmärgil ning tugineva osapoole registreerimine toimub rahakoti usaldusnaamistiku raames.

See on suund, mida tuleviku RJL vajab — mitte süsteem, kus kõik skaneerivad QR-koodi ja usaldavad tulemust ilma valideerimiseta, vaid üks, kus usaldus on jaotatud, versioonitud ja masinlikult kontrollitav.

Veebipõhine ja teeäärne kasutus peavad jagama üht ühtset süsteemi

Tõsine tuleviku RJL ei saa jaguneda eraldi süsteemideks: üks teeäärseteks kontrollideks, teine autorendiks, kolmas kaugjuurdeloogikaks, neljas isikutuvastuseks ja viies juhtimise kontrollimiseks. Just see killustatus on see, mida kasutajad juba praegu kannatavad.

Tehnilised standardid selle vältimiseks on nüüd olemas:

• ISO/IEC 18013-5 määratleb liidesed mobiilse juhiloa isiklikuks esitlemiseks.
• ISO/IEC 18013-7 laiendab seda interneti kaudu esitlemisele.
• EL-i mobiilse juhiloa käsiraamat loetleb nii autorenditehingud kui ka teeäärse kontrolli kontrollstsenaariumitena ning kirjeldab kaugjagatavust ning lähedusepõhiseid kontrolle QR-käivitusega voogude, Bluetoothi, Wi-Fi Aware’i ja NFC kaudu.

Tuleviku süsteem peab toime tulema nii veebipõhiste kui ka isiklikul kohaloekul põhinevate stsenaariumitega, sest reisimine hõlmab mõlemat. Liikuvus hõlmab mõlemat. Usaldus nõuab mõlemat.

Veebipõhine protokollikiht on nüüd küps

Aastaid tundusid identiteediarutelud ebatäpsed osaliselt seetõttu, et protokollikiht oli veel poolik. See on praegu palju vähem nii:

• OpenID for Verifiable Credential Issuance 1.0 määratleb OAuth-kaitstud API volikirjade väljastamiseks, toetades selgesõnaliselt mitut volikirjavormingut, sealhulgas ISO mdoc, SD-JWT VC ja W3C VCDM volikirjad.
• OpenID for Verifiable Presentations 1.0 määratleb mehhanismi kontrollisikutele volikirja esitluste taotlemiseks ja vastuvõtmiseks.
• W3C kontrollitavate volikirjade andmemudel 2.0 formaliseerib väljastajate, hoidjate ja kontrollisikute kolmeosalise ökosüsteemi.

See muudab arutelu. Tuleviku RJL-i ei pea enam kujutlema ühe valitsuse rakendusena kohandatud protsessidega. Seda saab disainida juhitud volikirjaprofiilina laiema koostalitusvõimelise ökosüsteemi peal.

See ei kõrvalda avaliku juhtimise vajadust. See kõrvaldab vabanduse, et pole kaasaegset protokollistakki, millele ehitada.

Miks plokiahel on valikuline — kuid tunnustus mitte

Tuleviku RJL ei vaja plokiahelat oma alusena. See ei tähenda, et hajusraamatupidamise tehnoloogia on kasutu — see võib olla väärtuslik teatud läbipaistvuse või registri rollides — kuid seda ei tohiks käsitleda juhtimisvolikirja süsteemi keskmena.

W3C VC andmemudel 2.0 on selge selles, et kontrollitavad andmeregistrid võivad võtta palju vorme: usaldusväärsed andmebaasid, detsentraliseeritud andmebaasid, valitsuse identiteediandmebaasid või hajusraamatupidamise süsteemid. DID Core on samavõrd selge, et paljud, kuid mitte kõik DID-meetodid kasutavad hajusraamatupidamise süsteeme. Standardid ei sunni kasutama plokiahela-keskseid arhitektuure.

See on õige seisukoht, sest tuleviku RJL-i kõige raskem osa pole tehnoloogia. Kõige raskem osa on:

• õiguslik tunnustus;
• väljastaja juhtimine;
• lugerite kasutuselevõtt;
• kontrollisiku akrediteerimine;
• usaldusnimekirja haldamine;
• tühistamisloogika;
• piiriülene poliitika ühtlustamine.

AAMVA lõi usaldusterviisi. EL-i käsiraamat hõlmab väljastajate avaldamist ja tugineva osapoole registreerimist. UNECE eelnõud seovad elektroonilised load ISO/IEC 18013-5-ga. Tegelik väljakutse pole krüptograafia puudumine — see on juhitud koostalitusvõime väljakutse.

Realistlik tuleviku RJL-i voog praktikas

Tuleviku RJL peaks olema praktikas lihtne. Siin on, kuidas see toimib kolme levinud stsenaariumi puhul:

1. Väljastamine või uuendamine

Riiklik asutus kontrollib aluseks olevat litsentsiarvestust ja väljastab volikirja hoidja rahakotti. Rahakott salvestab selle turvaliselt, kaitseb võtmeid ning suudab hiljem staatust värskendada või uuendatud atesteerimisi vastu võtta juhitud väljastamisvoo kaudu. OpenID4VCI pakub elujõulise veebipõhise väljastamiskihi, samas kui AAMVA juhised nõuavad krüpteerimist puhkeolekus, turvalist võtmehoidlat ja hoidja autentimist andmetele juurdepääsul või nende edastamisel.

2. Autorentniku kaugpõhine eelkontroll

Rendiplat­vorm saadab autenditud taotluse minimaalse juhtimisõiguse kogumi kohta. Rahakott näitab taotlust hoidjale, kes kinnitab selle. Kontrollisik saab esitluse interneti-võimekusega voo kaudu, valideerib väljastaja allkirja ja võtmematerjali, kontrollib kohalikult kättesaadavat usaldus- ja staatuseteavet ning kinnitab broneeringu eelnevalt. EL-i mDL-i käsiraamat kirjeldab juba kaugautorendi jagamist; NIST-i eelnõu kirjeldab päringupõhiseid atribuutide taotlusi; OpenID4VP ja ISO/IEC 18013-7 pakuvad laia esitlussuuna interneti-põhistele voogudele.

3. Teeäärne peatus

Ametnik taotleb teeäärse peatuse avaldamiskogumit. Hoidja esitleb läheduspõhise voo kaudu. Lugeja valideerib volikirja lokaalselt, kontrollib juhtimisõigusi ja kehtivust ning näeb ainult vajalikku. Väljastajaga ei võeta vaikimisi ühendust. EL-i käsiraamat kirjeldab QR-käivitusega, Bluetoothi, Wi-Fi Aware’i ja NFC-põhist teeäärset kontrollimist, samas kui ISO/IEC 18013-5 ja AAMVA juhised seavad keskmesse läheduspõhise ja seadmepõhise andmehankimise, mitte reaalajas väljastajaga kontakteerumise.

See on õige kasutajakogemus: kiire, kontrollitav, minimaalselt pealetükkiv ja lihtne.

Mida tuleviku RJL ei ole

Selguse huvides: tuleviku RJL ei ole:

• iseseisev juhiluba;
• kaardi pilt;
• universaalne identiteediandmete kogum;
• kontrollisija kontrollitav jälgimiskanal;
• paber digitaalses formaadis;
• plokiahelast sõltuv usaldustsüsteem.

See on hoolikalt juhitud esitluskiht riiklikult väljastatud juhtimisõiguste kohal. See on vähem dramaatiline — ja palju tõenäolisemalt toimiv.

Miks üleminekutee on sama oluline kui arhitektuur

Parim arhitektuur on kasutu, kui üleminekutee pole realistlik. Valitsused ei asenda kõiki paberprotsesse üleöö — ja ei peakski.

Realistlik tee näeb välja selline:

1. 1. etapp: Säilitage paber. Lisage turvaline digitaalne kaaslane.
2. 2. etapp: Standardige väljastajate usaldusnimekirjad ja kontrollisikute kategooriad.
3. 3. etapp: Toetage nii läheduspõhist kui ka kaugesesitlust.
4. 4. etapp: Viige rutiinsed kontrollid ja rendid digitaalselt esmasele voole.
5. 5. etapp: Vähendage paberivihiku staatus primaarselt seisundilt varundusseisundile.

See tee ühtib suunaga, kuhu standardid ja ametliku ökosüsteemi töö juba liiguvad: ISO ühedokumendiloogika, AAMVA usaldusteenus­infrastruktuur, EUDI rahakotipõhised mDL-i kasutusjuhud ja UNECE liikumine elektrooniliste loamude­lite suunas, mis on kooskõlas ISO/IEC 18013-5-ga.

Põhiargument ühes lauses

Siin on argumendi destillaat: Tuleviku RJL ei ole digitaalne vihik. See on juhitud vastus piiriülesele usaldusprobleemile.

Mitte vana dokumendi ilusam versioon — parem süsteem. Süsteem, kus:

• seaduslik õigus pärineb endiselt riiklikult asutuselt;
• hoidja kontrollib esitlust;
• kontrollisik saab ainult seda, mida ta vajab;
• usaldust saab kontrollida ilma vaikimisi jälgimiseta;
• kaugjuurdepääs ja isiklik kasutus jagavad üht arhitektuuri;
• paber jääb alles ainult seal, kus sellel on praktiline väärtus.

See on standard, mille poole püüelda.

Kui näete probleemi sel viisil, pole huvitav küsimus enam see, kas RJL peaks muutuma digitaalseks. Huvitav küsimus on: kes on valmis disainima piiriülese juhi isikutuvastuse kihi piisavalt tõsiselt, et asendada paber ilma selle nõrkusi reprodutseerimata — või uusi lisandumata?

Miski sellest pole spekulatiivne. NIST-i praegune mDL-i töö kirjeldab kasutaja kontrollitavat rahakotti, kontrollisikut, kes valideerib autentsust ilma vajaduseta väljastajaga otse ühendust võtta, ning volikirjaökosüsteemi, mis on üles ehitatud väljastajate, rahakottide ja kontrollisikute ümber. AAMVA digitaalne usaldusteenus on juba olemas, et levitada väljastajate asutuste avalikke võtmeid. EL-i mobiilse juhiloa käsiraamat kirjeldab volitatud väljastajate nimekirju ja tugineva osapoole registreerimist laiema usaldusnaamistiku raames.