ה-IDP של העתיד אינו חוברת. הוא שכבת הצגה לשמירת פרטיות.

היתר הנהיגה הבינלאומי (IDP) של העתיד לא אמור להיות מסמך נוסף לשאת. הוא אמור להיות דרך מוסדרת, ניתנת לאימות קריפטוגרפי, להצגת זכויות נהיגה לאומיות מעבר לגבולות — באינטרנט ומחוצה לו, עם גילוי מינימלי ומבלי להפוך כל אימות למעקב.

כולם אומרים שעתיד היתר הנהיגה הבינלאומי הוא דיגיטלי. זה לא שגוי — אבל זה גם לא מספיק ספציפי.

חוברת PDF בטלפון אינה העתיד. קוד QR עם עיצוב משופר אינו העתיד. אסימון בלוקצ’יין עם המילה “נהיגה” בחומרי השיווק אינו העתיד.

הבעיה האמיתית עמוקה יותר מהפורמט. היא מסתכמת בשאלה מרכזית אחת: כיצד הופכת זכות נהיגה חוקית, שהונפקה על ידי רשות אחת, למובנת, אמינה ושמישה במקום אחר, בפני מאמת אחר, תחת לחץ, לעיתים ללא רשת, ומבלי לחשוף יותר נתונים אישיים מהנדרש?

זו השאלה שה-IDP הנייר מעולם לא פתר במלואה. וזו השאלה שמערכת הדור הבא חייבת לענות עליה.

מדוע ה-IDP הנייר פתר קריאות אך לא אמון

ה-IDP הנייר היה הגיוני בעולם שבו הנייר היה המדיום העיקרי. הוא שימש כשכבת תאימות — חיבור קריא לאדם בין מערכת רישוי אחת לאחרת. זה היה שימושי, ובמידה מסוימת עדיין כך.

אבל החלק הקשה של ניידות חוצת גבולות מודרנית כבר אינו רק קריאות. זה אמון.

המאמתים של היום מתמודדים עם שורה של שאלות קשות יותר:

• האם ביכולתם לקבוע אם האישור אמיתי?
• האם ביכולתם לאשר שהוא עדיין בתוקף?
• האם ביכולתם לבדוק רק את השדות הספציפיים שהם באמת צריכים?
• האם ביכולתם לעשות זאת מבלי לפנות לרשות המנפיקה בכל פעם?
• האם ביכולתם לאמת זאת באינטרנט, פנים אל פנים, ובצד הדרך?
• האם ביכולתם לעשות זאת מבלי להפוך את הנסיעות למערכת מעקב גלובלית?

לכן ה-IDP של העתיד לא צריך להיות מובן כפרויקט של חוברת דיגיטלית. הוא צריך להיות מובן כבעיית ארכיטקטורת הצגה.

תקנים שכבר מצביעים לעבר IDP דיגיטלי

זה כבר לא תיאורטי. קהילת התקנים כבר נעה בכיוון הזה:

• ISO/IEC 18013-1:2018 קבע מודל שבו רישיון מאובטח יחיד יכול לשמש גם למטרות מקומיות וגם לצרכים בעלי הכרה בינלאומית, תוך צפייה לטכנולוגיות קריאת מכונה ולשילוב ביומטריקה, קריפטוגרפיה ודחיסה.
• ISO/IEC 18013-3 מכסה בקרת גישה, אימות ואימות שלמות.
• ISO/IEC 18013-5 מגדיר את הממשקים בין רישיון הנהיגה הנייד, הקורא ותשתית הרשות המנפיקה, כולל שימוש על ידי מאמתים במדינות אחרות.
• ISO/IEC 18013-7 מוסיף הצגת רישיון נהיגה נייד באינטרנט.
• עבודת UNECE על היתרי נהיגה אלקטרוניים מחברת דרישות טכניות ואבטחה לעמידה בתקן ISO/IEC 18013-5.

הגישה השגויה לדיגיטציה של ה-IDP

הגישה השגויה היא לקחת את ה-IDP הנוכחי, להמיר אותו לפורמט דיגיטלי ולהכניס אותו לאפליקציה. זה נשמע יעיל, אך הוא שומר על ההתמקדות הלא נכונה — הוא מותיר את המערכת ממוקדת במסמך כאובייקט פיזי.

הגישה הטובה יותר היא להתייחס לנהיגה בינלאומית כהצגה מבוקרת של זכויות נהיגה שהונפקו לאומית.

השינוי הזה חשוב, כי ברגע שחושבים על הצגה, שאלות העיצוב הופכות מדויקות יותר:

• מי הנפיק את הזכות הבסיסית לנהוג?
• כיצד המחזיק מקבל ומאחסן את האישור?
• כיצד מאמת מבקש רק את הנתונים שהוא זקוק להם כחוק?
• כיצד מפתחות המנפיק מופצים ואמינים?
• כיצד נבדק הביטול מבלי מעקב חי על ידי המנפיק?
• מה עובד במצב לא מקוון, ומה עדיין זקוק לנייר כגיבוי?
• איזה מאמת רשאי לראות אילו נתונים, ומדוע?

זוהי דרך הרבה יותר רצינית לעצב את התחליף ל-IDP הנייר.

הגדרה טובה יותר ל-IDP של העתיד

הנה הגדרה מוצעת:

IDP של העתיד הוא אישור חוצה גבולות מבוסס תקנים ונגזר, המציג זכויות נהיגה שהונפקו לאומית בפני מאמת באופן המתאים להקשר, תחת שליטת המחזיק, עם אימות קריפטוגרפי, גילוי מבוסס תפקיד, זרימות הצגה מקוונות וחלא-מקוונות, ובדיקת סטטוס לשמירת פרטיות.

הגדרה זו מכוונת במתכוון. היא אינה:

• הופכת את ה-IDP של העתיד לזכות נהיגה עצמאית
• הופכת אותו למאגר נתוני זהות אוניברסלי
• דורשת חיבור חי למנפיק בכל עסקה
• מניחה שדלפק השכרה, שוטר ומבטח צריכים לראות את אותם שדות
• דורשת בלוקצ’יין כליבת המערכת

זוהי תשובה ממושמעת לבעיית אמון.

שבעת המרכיבים של IDP עתידי ישים

ללא שפת שיווק, IDP עתידי ישים זקוק לשבעה מרכיבים:

1. מקור אמת לאומי סמכותי. הזכות החוקית לנהוג מגיעה מרשות הרישוי המקומית. השכבה הבינלאומית לעולם לא אמורה ליצור זכויות נהיגה — רק להציג אותן.
2. מנפיק. רשות ציבורית אמינה, או מנפיק מורשה בעל ממשל הדוק הפועל בשמה, מנפיק את האישור הדיגיטלי המשקף את זכות הנהיגה הנוכחית.
3. ארנק מחזיק. הנהג זקוק לארנק מאובטח המאחסן את האישור, מגן על מפתחות פרטיים, מאמת את המחזיק ומציג את האישור בפני מאמתים.
4. מאמת או קורא. יכול להיות מכשיר משטרתי, קורא בדלפק השכרה, מערכת מקוונת, או מאמת מורשה אחר.
5. רשם אמון. מאמתים זקוקים לדרך אמינה לקבל את המפתחות הציבוריים ומטא-נתוני האמון של מנפיקים לגיטימיים.
6. שכבת סטטוס. חייבת להיות דרך לשמירת פרטיות לבטא השעיה, ביטול, פקיעה או שינוי סטטוס.
7. גיבוי פיזי. סוללות מרוקנות, קישוריות ירודה, מכשירים פגומים, תחומי שיפוט שמרניים וסביבות מדיניות מעבר הם מציאות רגילה — לא מקרי קצה.

גילוי מבוסס תפקיד: אישור אחד, קהלים שונים

אחת מכשלות העיצוב הגדולות ביותר במערכות זהות היא ההנחה שאישור אחד פירושו גילוי אחד. זה ההפך מעיצוב טוב.

לשוטר בעצירה בצד הדרך אין את אותה צורך לגיטימית כמו לדלפק השכרה. לדלפק השכרה אין את אותה צורך כמו למעסיק. למעסיק אין את אותה צורך כמו למערכת בדיקה מקדימה מקוונת.

IDP של העתיד צריך לתמוך בסטים שונים של גילוי לקטגוריות מאמתים שונות:

• עצירה בצד הדרך: זהות, תמונה, קטגוריות והרשאות, הגבלות, סטטוס תוקף. כלום נוסף כברירת מחדל.
• דלפק השכרה: זהות, תמונה, קטגוריות נהיגה, תאריכי הנפקה ופקיעה, ייתכן מידע על גיל — אך לא כל שדה באישור.
• בדיקה מקדימה מקוונת: הוכחת זהות, הוכחת הרשאת נהיגה רלוונטית, הוכחת תוקף נוכחי, ייתכן אישור מקושר להזמנה.
• ציות מעסיק או צי: תהליך עבודה נפרד עם הסכמה מפורשת, לא אותו פרופיל גילוי כמו אימות נסיעות.

התקנים כבר תומכים במודל זה. טיוטת ה-mDL הנוכחית של NIST מתארת שאילתות המאפשרות למאמתים לציין אילו תכונות הם מבקשים. הנחיות היישום של AAMVA מחייבות את האפליקציה להציג בבירור אילו נתונים התבקשו ולתת למחזיק שליטה מלאה על אילו אלמנטי נתונים משותפים.

IDP של העתיד לא אמור להיות כרטיס דיגיטלי. הוא צריך להיות מכשיר גילוי מבוקר.

אימות מיידי לא חייב להפוך למעקב מיידי

כאן פרויקטים רבים של זהות דיגיטלית טועים. הם מתארים “אימות בזמן אמת” כאילו הוא אוטומטית מסמל התקדמות. זה לא נכון.

מאמת זקוק לאמון בזמן. אבל המנפיק לא צריך ללמוד כל מקום וכל רגע שבו המחזיק מציג את האישור. ההבחנה הזו היא חיונית.

מסגרת הארכיטקטורה והייחוס של האיחוד האירופי ברורה בנקודה זו. מופעי הצד הנסמך לא צריכים לבקש את רשימת הסטטוס הרלוונטית בכל פעם שמוצג אישור. במקום זאת:

• רשימות מעודכנות צריכות להוריד בנפרד, בזמנים וממיקומים שאינם קשורים להצגה ספציפית של משתמש.
• מיקומי רשימת סטטוס צריכים להיות אקראיים, עם מספיק ערכים לספק פרטיות קולקטיבית.
• בקשות רשימה לא חייבות להפוך לאותות מעקב עבור מחזיקים ספציפיים.

טיוטת ה-mDL הנוכחית של NIST מתארת אימות מאמת המבוסס על חתימות מנפיק ומפתחות ציבוריים ללא צורך לפנות למנפיק ישירות. הנחיות AAMVA אוסרות אחזור שרת בהנחיות היישום שלה ומתמקדות באחזור מכשיר ובהפצת מפתח ציבורי מבוסס שירות אמון.

IDP של העתיד צריך לתמוך באימות מיידי — מבלי ליצור רשומה גלובלית של היכן ומתי נהג הוכיח את זהותו.

הפצת אמון: ממשל בצורה קריאת מכונה

אנשים רבים דנים בארנקים ובקריפטוגרפיה. הרבה פחות דנים בתשתית שבאמת גורמת לאמון לעבוד — אך התשתית היא החלק שחשוב.

מאמת יכול לסמוך על אישור רק אם הוא יכול לגלות ולסמוך בצורה אמינה על המפתחות הציבוריים של המנפיק ומטא-נתונים קשורים. מערכת אקולוגית של IDP עתידי זקוקה לתשובה קריאת מכונה וניתנת לממשל לשאלות כמו:

• אילו מנפיקים הם לגיטימיים?
• אילו מפתחות ציבוריים הם נוכחיים?
• אילו מנפיקים מורשים לאילו תחומי שיפוט?
• אילו קטגוריות מאמתים רשומות או מוסמכות?
• מה קורה כאשר מנפיק מחליף מפתחות או משנה מדיניות?

שירות האמון הדיגיטלי של AAMVA הוא דוגמה קונקרטית אחת: דרך יחידה, מאובטחת וגמישה לצדדים הנסמכים לקבל את המפתחות הציבוריים של רשויות ההנפקה, שמועברת דרך רשימת רשות אישורים מאומתת של מנפיק. המדריך ל-mDL של האיחוד האירופי מתאר מדינות חברות המודיעות לנציבות על מנפיקי mDL מורשים, הנציבות מפרסמת את הרשימה לצרכי אימות, ורישום צד נסמך במסגרת אמון הארנק.

זה הכיוון שה-IDP של העתיד זקוק לו — לא מערכת שבה כולם סורקים קוד QR וסומכים על התוצאה ללא אימות, אלא מערכת שבה האמון מופץ, מוגרס ובר-בדיקה על ידי מכונה.

מקוון ובצד הדרך חייבים לחלוק מערכת מאוחדת אחת

IDP עתידי רציני לא יכול לפצל את עצמו למערכות נפרדות: אחת לבדיקות בצד הדרך, אחת להשכרת רכב, אחת לקליטה מרחוק, אחת לאימות זהות, ואחרת לאימות נהיגה. הפיצול הזה הוא בדיוק מה שהמשתמשים כבר סובלים ממנו.

התקנים הטכניים קיימים כעת כדי להימנע מכך:

• ISO/IEC 18013-5 מגדיר את הממשקים להצגת רישיון נהיגה נייד פנים אל פנים.
• ISO/IEC 18013-7 מרחיב זאת להצגה באינטרנט.
• המדריך ל-mDL הנייד של האיחוד האירופי מפרט גם השכרת רכב וגם בדיקות בצד הדרך כתרחישי אימות, ומתאר שיתוף מרחוק כמו גם בדיקות קרבה באמצעות זרימות המופעלות על ידי QR, Bluetooth, Wi-Fi Aware ו-NFC.

המערכת העתידית חייבת לטפל הן בתרחישים מקוונים והן בתרחישים פנים אל פנים, כי נסיעות כוללות את שניהם. ניידות כוללת את שניהם. אמון דורש את שניהם.

שכבת הפרוטוקול הנטיבית לאינטרנט כעת בשלה

במשך שנים, אחת הסיבות שדיוני זהות הרגישו לא מדויקים הייתה ששכבת הפרוטוקול עדיין לא הייתה שלמה. זה הרבה פחות נכון כיום:

• OpenID לצורך הנפקת אישורים ניתנים לאימות 1.0 מגדיר ממשק API מוגן OAuth להנפקת אישורים, התומך במפורש בפורמטים מרובים של אישורים כולל ISO mdoc, SD-JWT VC ואישורי W3C VCDM.
• OpenID לצורך הצגות ניתנות לאימות 1.0 מגדיר מנגנון למאמתים לבקש ולקבל הצגות אישורים.
• מודל נתוני אישורים ניתנים לאימות 2.0 של W3C מפורמל את המערכת האקולוגית של שלושה צדדים: מנפיקים, מחזיקים ומאמתים.

זה משנה את השיחה. ה-IDP של העתיד כבר לא צריך להיות מדומיין כאפליקציה ממשלתית יחידה עם תהליכים בנויים בהתאמה אישית. ניתן לעצב אותו כפרופיל אישורים מוסדר על גבי מערכת אקולוגית רחבה יותר ובין-תפעולית.

זה לא מבטל את הצורך בממשל ציבורי. זה מבטל את התירוץ שאין מחסנית פרוטוקולים מודרנית לבנות עליה.

מדוע הבלוקצ’יין הוא אופציונלי — אך הכרה אינה

IDP של העתיד לא צריך בלוקצ’יין כבסיסו. זה לא אומר שטכנולוגיית ספר חשבונות מבוזר היא חסרת תועלת — היא עשויה להיות בעלת ערך בתפקידי שקיפות או רישום ספציפיים — אך לא צריכה להיחשב כמרכז מערכת אישור הנהיגה.

מודל נתוני VC 2.0 של W3C מפורש בכך שרשמי נתונים ניתנים לאימות יכולים לקחת צורות רבות: מסדי נתונים אמינים, מסדי נתונים מבוזרים, מסדי נתונים של זהות ממשלתית, או ספרי חשבונות מבוזרים. DID Core מפורש באותה מידה שמתודות DID רבות, אך לא כולן, משתמשות בספרי חשבונות מבוזרים. התקנים לא כופים ארכיטקטורה הנותנת עדיפות לבלוקצ’יין.

זוהי העמדה הנכונה, משום שהחלק הקשה ביותר של IDP עתידי אינו הטכנולוגיה. החלק הקשה ביותר הוא:

• הכרה משפטית
• ממשל מנפיק
• פריסת קוראים
• הסמכת מאמתים
• פעולות רשימת אמון
• לוגיקת ביטול
• יישור מדיניות חוצה גבולות

AAMVA בנתה שירות אמון. המדריך של האיחוד האירופי כולל פרסום מנפיק ורישום צד נסמך. טיוטות UNECE מחברות היתרים אלקטרוניים ל-ISO/IEC 18013-5. האתגר האמיתי אינו היעדר קריפטוגרפיה — הוא האתגר של אינטרופרביליות מוסדרת.

זרימת IDP עתידית ריאליסטית בפועל

IDP של העתיד צריך להיות פשוט בפועל. הנה כיצד הוא עובד בשלושה תרחישים נפוצים:

1. הנפקה או רענון

הרשות הלאומית מאמתת את רשומת הרישיון הבסיסית ומנפיקה אישור לארנק המחזיק. הארנק מאחסן אותו בצורה מאובטחת, מגן על מפתחות, ויכול לאחר מכן לרענן סטטוס או לקבל אישורים מעודכנים דרך זרימת הנפקה מוסדרת. OpenID4VCI מספק שכבת הנפקה נטיבית לאינטרנט ישימה, בעוד הנחיות AAMVA מחייבות הצפנה במנוחה, אחסון מפתחות מאובטח ואימות מחזיק בעת גישה לנתונים או שחרורם.

2. בדיקה מקדימה מרחוק להשכרת רכב

פלטפורמת השכרה שולחת בקשה מאומתת לסט מינימלי של הרשאות נהיגה. הארנק מציג את הבקשה למחזיק, המאשר אותה. המאמת מקבל את ההצגה דרך זרימה מסוגלת לאינטרנט, מאמת את חתימת המנפיק וחומר המפתח, בודק מידע אמון וסטטוס זמין מקומית, ומאשר מראש את ההזמנה. המדריך ל-mDL של האיחוד האירופי כבר מתאר שיתוף השכרת רכב מרחוק; טיוטת NIST מתארת בקשות תכונה מונעות שאילתות; OpenID4VP ו-ISO/IEC 18013-7 מספקים את כיוון ההצגה הרחב לזרימות מבוססות אינטרנט.

3. עצירה בצד הדרך

שוטר מבקש את סט הגילוי לצד הדרך. המחזיק מציג דרך זרימת קרבה. הקורא מאמת את האישור מקומית, בודק את הרשאות הנהיגה ותקפותן, ואינו רואה יותר מהנדרש. המנפיק אינו מיידע כברירת מחדל. המדריך של האיחוד האירופי מתאר אימות בצד הדרך מבוסס QR, Bluetooth, Wi-Fi Aware ו-NFC, בעוד ISO/IEC 18013-5 והנחיות AAMVA מתמקדות בקרבה ובאחזור מכשיר ולא בפנייה למנפיק בזמן אמת.

זהו חוויית המשתמש הנכונה: מהיר, ניתן לאימות, פולשני במינימום, ופשוט.

מה ה-IDP של העתיד אינו

כדי להיות ברורים, ה-IDP של העתיד אינו:

• רישיון נהיגה עצמאי
• תמונה של כרטיס
• אוסף אוניברסלי של נתוני זהות
• ערוץ מעקב בשליטת מאמת
• נייר בפורמט דיגיטלי
• מערכת אמון תלוית בלוקצ’יין

הוא שכבת הצגה מוסדרת בקפידה על גבי זכויות נהיגה שהונפקו לאומית. זה פחות דרמטי — וסביר הרבה יותר לעבוד.

מדוע נתיב ההגירה חשוב לא פחות מהארכיטקטורה

הארכיטקטורה הטובה ביותר חסרת תועלת אם נתיב ההגירה אינו ריאליסטי. ממשלות לא יחליפו כל תהליך נייר בן לילה — ולא צריכות.

נתיב ריאליסטי נראה כך:

1. שלב 1: שמירת הנייר. הוספת לוויין דיגיטלי מאובטח.
2. שלב 2: סטנדרטיזציה של רשימות אמון מנפיק וקטגוריות מאמתים.
3. שלב 3: תמיכה הן בהצגת קרבה והן בהצגת מרחוק.
4. שלב 4: העברת בדיקות שגרתיות והשכרות לזרימות דיגיטליות-ראשונות.
5. שלב 5: הפחתת חוברת הנייר לסטטוס גיבוי ולא סטטוס ראשי.

נתיב זה תואם לאן שעבודת התקנים והמערכת האקולוגית הרשמית כבר מועדת: לוגיקת המסמך היחיד של ISO, תשתית שירות האמון של AAMVA, מקרי השימוש של mDL מבוסס ארנק של EUDI, ותנועת UNECE לכיוון מודלי היתרים אלקטרוניים מותאמים ל-ISO/IEC 18013-5.

הטיעון המרכזי במשפט אחד

הנה הטיעון בתמצית: ה-IDP של העתיד אינו חוברת דיגיטלית. הוא תשובה מוסדרת לבעיית אמון חוצת גבולות.

לא גרסה משופרת של המסמך הישן — מערכת טובה יותר. מערכת שבה:

• הזכות החוקית עדיין מגיעה מהרשות הלאומית
• המחזיק שולט בהצגה
• המאמת מקבל רק מה שהוא צריך
• ניתן לבדוק אמון ללא מעקב כברירת מחדל
• שימוש מרחוק ופנים אל פנים חולקים ארכיטקטורה אחת
• הנייר שורד רק היכן שיש לו עדיין ערך מעשי

זה הסטנדרט לשאוף אליו.

ברגע שרואים את הבעיה כך, השאלה המעניינת כבר אינה האם ה-IDP צריך להפוך דיגיטלי. השאלה המעניינת הופכת להיות: מי מוכן לעצב את שכבת זהות הנהג החוצת גבולות ברצינות מספקת כדי להחליף את הנייר מבלי לשכפל את חולשותיו — או להוסיף חדשות?

אין בזה ספקולציה. עבודת ה-mDL הנוכחית של NIST מתארת ארנק בשליטת המשתמש, מאמת המאמת אותנטיות מבלי לפנות ישירות למנפיק, ומערכת אקולוגית של אישורים הבנויה סביב מנפיקים, ארנקים ומאמתים. שירות האמון הדיגיטלי של AAMVA כבר קיים להפצת מפתחות ציבוריים של רשויות הנפקה. המדריך ל-רישיון הנהיגה הנייד של האיחוד האירופי מתאר רשימות מנפיק מורשות ורישום צד נסמך בתוך מסגרת אמון רחבה יותר.