Budući MVO nije knjižica. To je sloj prezentacije koji čuva privatnost.

Međunarodna vozačka dozvola (MVO) budućnosti ne bi trebala biti još jedan dokument koji nosimo sa sobom. Trebala bi biti upravljan, kriptografski provjerljiv način prezentiranja nacionalnih vozačkih privilegija preko granica — online i offline, uz minimalnu objavu podataka i bez pretvaranja svake provjere u nadzor.

Svi govore kako je budućnost međunarodne vozačke dozvole digitalna. To nije pogrešno — ali nije ni dovoljno konkretno.

PDF knjižica na telefonu nije budućnost. QR kod boljeg izgleda nije budućnost. Blockchain token s riječju “vožnja” u marketinškim materijalima nije budućnost.

Pravi problem seže dublje od formata. Sve se svodi na jedno središnje pitanje: kako zakonita vozačka privilegija, izdana od jednog tijela, postaje razumljiva, pouzdana i upotrebljiva na drugom mjestu, kod drugog preglednika, pod pritiskom, ponekad bez mreže, i bez otkrivanja više osobnih podataka nego što je nužno?

To je pitanje koje papirna MVO nikad nije u potpunosti riješila. I to je pitanje na koje sljedeća generacija sustava mora dati odgovor.

Zašto je papirna MVO riješila čitljivost, ali ne i povjerenje

Papirna MVO imala je smisla u svijetu u kojemu je papir bio primarni medij. Djelovala je kao sloj kompatibilnosti — ljudski čitljiva veza između jednog sustava izdavanja dozvola i drugog. To je bilo korisno, i u određenoj mjeri, još uvijek jest.

No teški dio suvremene prekogranične mobilnosti više nije samo čitljivost. To je povjerenje.

Današnji preglednici suočavaju se s nizom težih pitanja:

• Mogu li utvrditi je li vjerodajnica autentična?
• Mogu li potvrditi da je još uvijek važeća?
• Mogu li provjeriti samo ona specifična polja koja im stvarno trebaju?
• Mogu li to učiniti bez kontaktiranja tijela koje je izdalo dozvolu svaki put?
• Mogu li to verificirati online, osobno i uz cestu?
• Mogu li to učiniti bez pretvaranja putovanja u globalni sustav praćenja?

Zato se budući MVO ne bi trebao shvaćati kao projekt digitalne knjižice. Trebalo bi ga shvatiti kao problem arhitekture prezentacije.

Standardi koji već upućuju prema digitalnoj MVO

Ovo više nije teorijsko. Zajednica za standarde već se krenula u tom smjeru:

• ISO/IEC 18013-1:2018 uspostavio je model u kojemu jedna sigurna dozvola može služiti i za domaće i za međunarodno priznate svrhe, anticipirajući strojno čitljive tehnologije te integraciju biometrije, kriptografije i kompresije.
• ISO/IEC 18013-3 pokriva kontrolu pristupa, autentifikaciju i validaciju integriteta.
• ISO/IEC 18013-5 definira sučelja između mobilne vozačke dozvole, čitača i infrastrukture tijela koje je izdalo dozvolu, uključujući upotrebu od strane preglednika u drugim zemljama.
• ISO/IEC 18013-7 dodaje prezentaciju mobilne vozačke dozvole putem interneta.
• Rad UNECE-a na elektroničkim vozačkim dozvolama povezuje tehničke i sigurnosne zahtjeve s usklađenošću prema ISO/IEC 18013-5.

Pogrešan pristup digitalizaciji MVO-a

Pogrešan pristup jest uzeti trenutni MVO, pretvoriti ga u digitalni format i staviti u aplikaciju. To zvuči učinkovito, ali zadržava pogrešan fokus — sustav i dalje ostaje usredotočen na dokument kao fizički predmet.

Bolji pristup je tretirati međunarodnu vožnju kao kontroliranu prezentaciju nacionalno izdanih vozačkih prava.

Ta promjena je važna, jer kad počnete razmišljati o prezentaciji, pitanja dizajna postaju preciznija:

• Tko je izdao temeljno pravo na vožnju?
• Kako nositelj prima i pohranjuje vjerodajnicu?
• Kako preglednik zahtijeva samo one podatke koji su mu legitimno potrebni?
• Kako se distribuiraju i verificiraju ključevi izdavatelja?
• Kako se provjerava opoziv bez praćenja u stvarnom vremenu od strane izdavatelja?
• Što funkcionira offline, a što i dalje zahtijeva papir kao sigurnosnu kopiju?
• Koji preglednik smije vidjeti koje podatke, i zašto?

To je daleko ozbiljniji način za dizajniranje zamjene za papirni MVO.

Bolja definicija budućeg MVO-a

Evo predložene definicije:

Budući MVO je standardizirana, izvedena prekogranična vjerodajnica koja pregleднику prezentira nacionalno izdane vozačke privilegije na kontekstualno prikladan način, pod kontrolom nositelja, s kriptografskom verifikacijom, objavljiwanjem podataka temeljenim na ulozi, tokovima prezentacije online i offline te provjerom statusa koja čuva privatnost.

Ta definicija je namjerno uska. Ona ne:

• Čini budući MVO samostalnim vozačkim pravom
• Pretvara ga u univerzalno spremište identitetnih podataka
• Zahtijeva živu vezu s izdavateljem za svaku transakciju
• Pretpostavlja da šalter za iznajmljivanje automobila, policijski službenik i osiguravatelj trebaju vidjeti ista polja
• Zahtijeva blockchain kao srž sustava

To je discipliniran odgovor na problem povjerenja.

Sedam komponenti funkcionalnog budućeg MVO-a

Bez marketinškog žargona, funkcionalan budući MVO treba sedam komponenti:

1. Mjerodavan nacionalni izvor istine. Zakonsko pravo na vožnju dolazi od domaćeg tijela za izdavanje dozvola. Međunarodni sloj nikada ne bi smio stvarati vozačka prava — samo ih prezentirati.
2. Izdavatelj. Pouzdano javno tijelo, ili strogo upravljani ovlašteni izdavatelj koji djeluje u njegovo ime, izdaje digitalnu vjerodajnicu koja odražava trenutnu vozačku privilegiju.
3. Novčanik nositelja. Vozač treba siguran novčanik koji pohranjuje vjerodajnicu, štiti privatne ključeve, autentificira nositelja i prezentira vjerodajnicu preglednicima.
4. Preglednik ili čitač. To može biti policijski uređaj, čitač na šalteru za iznajmljivanje automobila, online sustav ili drugi ovlašteni preglednik.
5. Registar povjerenja. Preglednicima je potreban pouzdan način za dobivanje javnih ključeva i metapodataka povjerenja legitimnih izdavatelja.
6. Statusni sloj. Mora postojati način koji čuva privatnost za izražavanje suspenzije, opoziva, isteka ili promjene statusa.
7. Fizička sigurnosna kopija. Ispražnjene baterije, loša povezivost, oštećeni uređaji, konzervativne jurisdikcije i prijelazna politička okruženja normalna su stvarnost — ne rubni slučajevi.

Otkrivanje podataka prema ulozi: jedna vjerodajnica, različite publike

Jedna od najvećih grešaka u dizajnu sustava identiteta jest pretpostavka da jedna vjerodajnica znači jednako otkrivanje podataka. To je suprotno od dobrog dizajna.

Policijski službenik na cestovnoj provjeri nema iste legitimne potrebe kao šalter za iznajmljivanje automobila. Šalter za iznajmljivanje automobila nema iste potrebe kao poslodavac. Poslodavac nema iste potrebe kao online sustav prethodne provjere.

Budući MVO trebao bi podržavati različite skupove otkrivanja podataka za različite kategorije preglednika:

• Cestovna provjera: Identitet, fotografija, kategorije i prava, ograničenja, status važenja. Podrazumijevano ništa više.
• Šalter za iznajmljivanje automobila: Identitet, fotografija, vozačke kategorije, datumi izdavanja i isteka, eventualno podaci o dobi — ali ne sva polja u vjerodajnici.
• Online prethodna provjera: Dokaz identiteta, dokaz relevantnog vozačkog prava, dokaz trenutne važnosti, eventualno potvrda vezana uz rezervaciju.
• Usklađenost poslodavca ili fleet menadžera: Odvojen, eksplicitno odobreni tijek rada, a ne isti profil otkrivanja kao za putnu verifikaciju.

Standardi već podržavaju ovaj model. Trenutni NIST-ov nacrt mDL-a opisuje upite koji preglednicima omogućuju da specificiraju koje atribute zahtijevaju. AAMVA-ine smjernice za implementaciju zahtijevaju da aplikacija jasno prikaže koji su podaci zatraženi i da nositelju da punu kontrolu nad tim koji se elementi podataka dijele.

Budući MVO ne bi trebao biti digitalna kartica. Trebao bi biti instrument kontroliranog otkrivanja podataka.

Trenutna verifikacija ne smije postati trenutni nadzor

Ovdje mnogi projekti digitalnog identiteta griješe. Opisuju “verifikaciju u stvarnom vremenu” kao da automatski znači napredak. Ne znači.

Preglednicima je potrebno pravovremeno povjerenje. No izdavatelj ne treba znati svako mjesto i svaki trenutak kada nositelj prezentira vjerodajnicu. Ta je razlika ključna.

Arhitektura i referentni okvir EU-a jasan je u ovoj točki. Instance oslanjajućih strana ne bi trebale zahtijevati relevantni popis statusa svaki put kada se vjerodajnica prezentira. Umjesto toga:

• Ažurirani popisi trebali bi se preuzimati odvojeno, u trenucima i s lokacija koje nisu vezane uz specifičnu prezentaciju korisnika.
• Pozicije u popisu statusa trebale bi biti nasumično raspoređene, s dovoljno unosa da se osigura kolektivna privatnost.
• Zahtjevi za popisom ne smiju postati signali praćenja za specifične nositelje.

Trenutni NIST-ov nacrt mDL-a opisuje validaciju preglednika temeljenu na potpisima izdavatelja i javnim ključevima bez potrebe za izravnim kontaktiranjem izdavatelja. AAMVA-ine smjernice zabranjuju dohvaćanje s poslužitelja u svojim smjernicama za implementaciju i umjesto toga usredotočuju se na dohvaćanje s uređaja i distribuciju javnih ključeva temeljenu na usluzi povjerenja.

Budući MVO trebao bi podržavati trenutnu verifikaciju — bez stvaranja globalnog zapisa o tome gdje i kada je vozač dokazao tko je.

Distribucija povjerenja: upravljanje u strojno čitljivom obliku

Mnogi ljudi raspravljaju o novčanicima i kriptografiji. Daleko manje ih raspravlja o infrastrukturi koja zapravo omogućuje povjerenje — ali infrastruktura je dio koji je bitan.

Preglednik može vjerovati vjerodajnici samo ako može pouzdano pronaći i vjerovati javnim ključevima i relevantnim metapodacima izdavatelja. Ekosustav budućeg MVO-a treba strojno čitljiv, upravljiv odgovor na pitanja kao što su:

• Koji su izdavatelji legitimni?
• Koji su javni ključevi trenutno važeći?
• Koji su izdavatelji ovlašteni za koje jurisdikcije?
• Koje su kategorije preglednika registrirane ili akreditirane?
• Što se događa kada izdavatelj rotira ključeve ili promijeni politiku?

AAMVA-ina Usluga digitalnog povjerenja jedan je konkretan primjer: jedinstven, siguran, otporan način za oslanjajuće strane da dobiju javne ključeve tijela za izdavanje, dostavljen putem verificiranog popisa certifikacijskih tijela izdavatelja. Priručnik EU-a za mDL opisuje kako države članice obavještavaju Komisiju o ovlaštenim izdavateljima mDL-a, Komisija objavljuje taj popis u svrhu verifikacije, a oslanjajuće strane registriraju se unutar okvira povjerenja novčanika.

To je smjer koji budući MVO treba — ne sustav u kojemu svi skeniraju QR kod i vjeruju rezultatu bez validacije, već onaj u kojemu je povjerenje distribuirano, verzijsko i strojno provjerljivo.

Online i cestovna upotreba moraju dijeliti jedan objedinjeni sustav

Ozbiljan budući MVO ne može se podijeliti na odvojene sustave: jedan za cestovne provjere, jedan za iznajmljivanje automobila, jedan za udaljeno uključivanje korisnika, jedan za verifikaciju identiteta i još jedan za verifikaciju vožnje. Ta fragmentacija točno je ono od čega korisnici već pate.

Tehnički standardi sada postoje kako bi se to izbjeglo:

• ISO/IEC 18013-5 definira sučelja za osobnu prezentaciju mobilne vozačke dozvole.
• ISO/IEC 18013-7 proširuje to na prezentaciju putem interneta.
• Priručnik EU-a za mobilnu vozačku dozvolu navodi i iznajmljivanje automobila i cestovne provjere kao scenarije verifikacije te opisuje udaljeno dijeljenje kao i provjere blizine pomoću QR tokova, Bluetootha, Wi-Fi Awarea i NFC-a.

Budući sustav mora upravljati i online i osobnim scenarijima, jer putovanje uključuje oboje. Mobilnost uključuje oboje. Povjerenje zahtijeva oboje.

Mrežno izvorni protokolni sloj sada je zreo

Godinama je jedan od razloga zbog kojih su rasprave o identitetu djelovale neprecizno bio taj što protokolni sloj još nije bio potpun. To je sada daleko manje točno:

• OpenID za izdavanje provjerljivih vjerodajnica 1.0 definira API zaštićen OAuth-om za izdavanje vjerodajnica, eksplicitno podržavajući više formata vjerodajnica uključujući ISO mdoc, SD-JWT VC i W3C VCDM vjerodajnice.
• OpenID za provjerljive prezentacije 1.0 definira mehanizam za preglednike za traženje i primanje prezentacija vjerodajnica.
• W3C-ov model podataka provjerljivih vjerodajnica 2.0 formalizira ekosustav triju strana: izdavatelja, nositelja i preglednika.

To mijenja razgovor. Budući MVO više ne mora biti zamišljen kao jedinstvena vladina aplikacija s prilagođeno izgrađenim procesima. Može biti dizajniran kao upravljani profil vjerodajnice na vrhu šireg interoperabilnog ekosustava.

To ne uklanja potrebu za javnim upravljanjem. Uklanja izgovor da ne postoji moderan protokolni stog na kojemu se može graditi.

Zašto je blockchain neobavezan — ali prepoznavanje nije

Budući MVO ne treba blockchain kao temelj. To ne znači da je tehnologija distribuiranih knjiga beskorisna — može biti vrijedna u specifičnim ulogama transparentnosti ili registra — ali ne bi je trebalo tretirati kao središte sustava vozačkih vjerodajnica.

W3C VC Data Model 2.0 eksplicitan je u tome da registri provjerljivih podataka mogu imati mnoge oblike: pouzdane baze podataka, decentralizirane baze podataka, vladine baze podataka identiteta ili distribuirane knjige. DID Core jednako je eksplicitan u tome da mnoge, ali ne sve, DID metode koriste distribuirane knjige. Standardi ne nameću arhitekturu koja blockchain stavlja na prvo mjesto.

To je ispravna pozicija, jer najteži dio budućeg MVO-a nije tehnologija. Najteži dio je:

• Pravno prepoznavanje
• Upravljanje izdavateljem
• Implementacija čitača
• Akreditacija preglednika
• Operacije popisa povjerenja
• Logika opoziva
• Prekogranično usklađivanje politika

AAMVA je izgradila uslugu povjerenja. Priručnik EU-a uključuje objavu izdavatelja i registraciju oslanjajućih strana. Nacrti UNECE-a povezuju elektroničke dozvole s ISO/IEC 18013-5. Pravi izazov nije odsutnost kriptografije — to je izazov upravljane interoperabilnosti.

Realistični tok budućeg MVO-a u praksi

Budući MVO trebao bi biti jednostavan u praksi. Evo kako funkcionira u tri uobičajena scenarija:

1. Izdavanje ili obnavljanje

Nacionalno tijelo verificira temeljni zapis o dozvoli i izdaje vjerodajnicu u nositeljev novčanik. Novčanik je pohranjuje sigurno, štiti ključeve i može naknadno osvježiti status ili primiti ažurirane potvrde putem upravljanog toka izdavanja. OpenID4VCI pruža mogući mrežno izvorni sloj za izdavanje, dok AAMVA-ine smjernice zahtijevaju enkripciju u mirovanju, sigurno pohranivanje ključeva i autentifikaciju nositelja pri pristupu podacima ili njihovom objavljivanju.

2. Udaljjena prethodna provjera za iznajmljivanje automobila

Platforma za iznajmljivanje šalje autentificirani zahtjev za minimalnim skupom vozačkih prava. Novčanik prikazuje zahtjev nositelju, koji ga odobrava. Preglednik prima prezentaciju putem toka s internetskom sposobnošću, validira potpis izdavatelja i materijal ključa, provjerava lokalno dostupne informacije o povjerenju i statusu te prethodno odobrava rezervaciju. Priručnik EU-a za mDL već opisuje udaljeno dijeljenje za iznajmljivanje automobila; NIST-ov nacrt opisuje zahtjeve za atribute vođene upitima; OpenID4VP i ISO/IEC 18013-7 pružaju široki smjer prezentacije za tokove temeljene na internetu.

3. Cestovna provjera

Službenik zahtijeva skup za cestovno otkrivanje podataka. Nositelj prezentira putem toka blizine. Čitač lokalno validira vjerodajnicu, provjerava vozačka prava i važnost te ne vidi više nego što je potrebno. Izdavatelj se podrazumijevano ne kontaktira. Priručnik EU-a opisuje QR-pokrenuto, Bluetooth, Wi-Fi Aware i NFC-temeljenu cestovnu verifikaciju, dok ISO/IEC 18013-5 i AAMVA-ine smjernice stavljaju težište na blizinu i dohvaćanje s uređaja, a ne na kontakt s izdavateljem u stvarnom vremenu.

To je ispravno korisničko iskustvo: brzo, provjerljivo, minimalno invazivno i jednostavno.

Što budući MVO nije

Da bude jasno, budući MVO nije:

• Samostalna vozačka dozvola
• Slika kartice
• Univerzalna zbirka identitetnih podataka
• Kanal nadzora pod kontrolom preglednika
• Papir u digitalnom formatu
• Sustav povjerenja ovisan o blockchainu

To je pažljivo upravljani prezentacijski sloj nad nacionalno izdanim vozačkim privilegijama. To je manje dramatično — i daleko vjerojatnije da će funkcionirati.

Zašto je put migracije jednako važan kao i arhitektura

Najbolja arhitektura je beskorisna ako put migracije nije realistična. Vlade neće zamijeniti sve papirne tokove rada preko noći — i ne bi trebale.

Realistični put izgleda ovako:

1. Faza 1: Zadržati papir. Dodati sigurnog digitalnog pratioca.
2. Faza 2: Standardizirati popise povjerenja izdavatelja i kategorije preglednika.
3. Faza 3: Podržati i prezentaciju blizinom i udaljenu prezentaciju.
4. Faza 4: Premjestiti rutinske provjere i iznajmljivanja na tokove koji daju prednost digitalnom.
5. Faza 5: Smanjiti papirnu knjižicu na status sigurnosne kopije umjesto primarnog statusa.

Taj put odgovara smjeru u kojemu standardi i službeni ekosustav već idu: ISO-ova logika jednog dokumenta, AAMVA-ina infrastruktura usluge povjerenja, EUDI-jevi slučajevi upotrebe mDL-a temeljeni na novčaniku i UNECE-ov pomak prema modelima elektroničkih dozvola usklađenima s ISO/IEC 18013-5.

Ključni argument u jednoj rečenici

Evo sažetog argumenta: Budući MVO nije digitalna knjižica. To je upravljani odgovor na prekogranični problem povjerenja.

Ne bolja verzija starog dokumenta — bolji sustav. Sustav u kojemu:

• Zakonsko pravo i dalje dolazi od nacionalnog tijela
• Nositelj kontrolira prezentaciju
• Preglednik dobiva samo ono što mu treba
• Povjerenje se može provjeriti bez podrazumijevanog nadzora
• Udaljenu i osobnu upotrebu dijeli jedna arhitektura
• Papir preživljava samo tamo gdje još uvijek ima praktičnu vrijednost

To je standard kojemu treba težiti.

Jednom kada problem vidite na taj način, zanimljivo pitanje više nije treba li MVO postati digitalan. Zanimljivo pitanje postaje: tko je spreman ozbiljno dizajnirati prekogranični sloj identiteta vozača dovoljno ozbiljno da zamijeni papir bez reproduciranja njegovih slabosti — ili dodavanja novih?

Ništa od ovoga nije spekulativno. NIST-ov trenutni rad na mDL-u opisuje novčanik pod kontrolom korisnika, preglednik koji validira autentičnost bez potrebe za izravnim kontaktiranjem izdavatelja te ekosustav vjerodajnica izgrađen oko izdavatelja, novčanika i preglednika. AAMVA-ina Usluga digitalnog povjerenja već postoji za distribuciju javnih ključeva tijela za izdavanje. Priručnik EU-a za mobilnu vozačku dozvolu opisuje popise ovlaštenih izdavatelja i registraciju oslanjajućih strana unutar šireg okvira povjerenja.