Zašto je Blockchain neobavezan za budući Međunarodni vozački ispit (IDP)

Buduća Međunarodna vozačka dozvola (IDP) zahtijeva transparentnost, sidra povjerenja i javnu odgovornost. Ono što joj po zadanim postavkama nije potrebno jest stavljanje samih vozača na distribuiranu knjigu zapisa.

Svaki ozbiljan razgovor o digitalnom, prekograničnom IDP-u na kraju privlači isti prijedlog: „Samo ga stavite na blockchain.” Privlačnost je razumljiva. Blockchainovi nude dokaze o neovlaštenom mijenjanju, zajedničku vidljivost i povijest samo za dodavanje. To su stvarna svojstva. Ali u kontekstu prekogranične identifikacije vozača, ona se vrlo često primjenjuju na pogrešni sloj.

Ovaj članak objašnjava zašto, prolazi kroz ono što standardi zapravo govore i iznosi bolji arhitekturalni obrazac.

Što standardi zapravo govore o Blockchainu

W3C model podataka provjerljivih vjerodajnica izričit je u tome da registar provjerljivih podataka može imati mnoge oblike, uključujući:

• Pouzdane baze podataka
• Decentralizirane baze podataka
• Vladine baze podataka o identitetu
• Distribuirane knjige zapisa

DID Core je jednako jasan: mnoge DID metode koriste tehnologiju distribuirane knjige zapisa, ali ne sve. Drugim riječima, standardi već odbacuju ideju da je blockchain obvezna osnova za digitalne vjerodajnice.

To je pravo polazište za budući IDP. Korisno pitanje nije „blockchain ili bez blockchaina?” Već:

Koji sloj zapravo treba transparentnost, a koji sloj apsolutno ne bi smio postati javna infrastruktura prema zadanim postavkama?

Blockchain je skup svojstava, a ne zahtjev

Prva pogreška je tretiranje „blockchaina” kao jedinstvenog zahtjeva. To nije tako. To je skup mogućih svojstava, uključujući:

• Zajednička objava
• Povijest samo za dodavanje
• Distribuirano upravljanje
• Generiranje potvrda
• Otpornost na jednostrane promjene

Neka od ovih svojstava korisna su za budući IDP. Neka su irelevantna. A neka su aktivno opasna kada se primijene na subjekte vjerodajnica koji su ljudi. W3C model registra namjerno dopušta višestruke implementacije jer različiti ekosustavi trebaju različite kompromise.

Tri problema koja ne bi trebalo kombinirati

Druga pogreška je spajanje triju različitih problema u jedan sustav. Za budući IDP, ovi problemi moraju ostati odvojeni:

1. Gdje živi pravna istina. Pravo na vožnju pripada autoritativnim nacionalnim evidencijama dozvola.
2. Kako se distribuira materijal povjerenja. Ključevi izdavatelja i certifikati verifikatora pripadaju kontroliranim registrima povjerenja.
3. Kako ekosustav revidira promjene. Ovo pripada transparentnom sloju.

Ekosustavi u stvarnom svijetu već rade na ovaj način. AAMVA-in Servis digitalnog povjerenja distribuira javne ključeve izdavatelja u preuzimljivom popisu prije nego što verifikator ikada stupi u interakciju s mDL-om. Priručnik Europske unije za mobilne vozačke dozvole navodi da Države članice obavješćuju Europsku komisiju o ovlaštenim izdavateljima mDL-a, a Komisija objavljuje popis za provjeru tih tijela. To je distribucija povjerenja bez blockchaina.

Što nas uči Transparentnost certifikata

Najučinkovitiji model transparentnosti na javnom internetu nije potrošački blockchain. To je Transparentnost certifikata (CT).

RFC 9162 opisuje CT kao protokol za javno bilježenje TLS serverskih certifikata kako bi itko mogao:

• Revidirati aktivnost certifikacijskih tijela
• Otkriti problematične ili pogrešno izdane certifikate
• Revidirati same zapisnike

Ključna dizajnerska pouka iz CT-a: transparentnost je najvrjednija kada bilježi ponašanje izdavatelja i materijal povjerenja — a ne aktivnost krajnjeg korisnika.

Primijenjeno na budući IDP, to znači bilježenje stvari poput:

• Izdavanje i rotacija ključeva izdavatelja
• Objava sidra povjerenja
• Registracija kategorija verifikatora
• Izmjene politike
• Izjave o usklađenosti
• Sigurnosno relevantni događaji

Ono što to ne znači jest stvaranje javne ili polu-javne knjige zapisa nositelja, identifikatora vjerodajnica ili događaja prezentacije. To nije transparentnost. To je prekomjerno prikupljanje podataka.

SCITT: Zašto transparentnost nije isto što i istina

Nacrt IETF SCITT arhitekture proširuje ovo razmišljanje. SCITT definira Servis transparentnosti koji održava provjerljivu strukturu podataka i izdaje kriptografske potvrde koje dokazuju uključivanje potpisanih izjava. Identitet Servisa transparentnosti zabilježen je javnim ključem poznatim oslanjajućim stranama, a sidra povjerenja i politike registracije same su učinjene transparentnima.

Ovo je snažan model za IDP infrastrukturu jer transparentnost pretvara u revizorski servis oko materijala povjerenja i politike — a ne oko osobnih putnih događaja.

SCITT je također jasan o granicama transparentnosti:

• Registrirana izjava samo dokazuje da ju je izdavatelj izradio i registrirao — a ne da je izjava ispravna na neodređeno vrijeme.
• Kasnija potpisana izjava može zamijeniti raniju.
• Transparentnost ne sprječava nepoštene ili kompromitirane izdavatelje; ona ih čini odgovornima.

Za identitet vozača, ta razlika je iznimno važna: zapisnik transparentnosti je dokaz i revizijska povijest, a ne autoritativno pravno stanje prava na vožnju neke osobe.

SCITT također napominje da servis transparentnosti može zaštititi svoj slijed samo za dodavanje koristeći kombinaciju pouzdanog hardvera, protokola konsenzusa i kriptografskih dokaza. Čak ni transparentni sloj ne zahtijeva jedan specifičan dizajn blockchaina. Konsenzus je jedna opcija, a ne jedina opcija.

Ispravna arhitekturna razdvojenost za budući IDP

Budući IDP trebao bi odvojiti probleme u četiri različita sloja:

1. Autoritativni zapisi o tome tko smije voziti (nacionalna tijela za izdavanje dozvola)
2. Registri povjerenja za ključeve izdavatelja i verifikatora
3. Statusna infrastruktura za svježinu i opoziv
4. Neobavezni transparentni sloj za javnu reviziju politika, sidra povjerenja, potvrda i izjava o usklađenosti

Kada odvojite ove slojeve, pitanje blockchaina postaje mnogo oštrije. Više nije „treba li budući IDP biti na blockchainu?” Ono postaje:

Koji sloj, ako postoji, zapravo ima koristi od javne revizije samo za dodavanje?

Pet razloga zašto je identitet vozača na lancu pogrešna zadana postavka

1. Stvara trajne signale praćenja

Rad na privatnosti EUDI-ja objašnjava da prezentacije atestacija mogu sadržavati jedinstvene vrijednosti poput:

• Soli
• Hash vrijednosti
• Identifikatori opoziva
• Javni ključevi vezani za uređaj
• Potpisi
• Vremenske oznake

Budući da su te vrijednosti fiksne za istu atestaciju, one oslanjajućim stranama omogućavaju povezivanje različitih transakcija i izgradnju profila ponašanja korisnika. EUDI izričito upozorava da to krši razumno očekivanje da zasebne aktivnosti novčanika neće biti kombinirane.

Ako na javnoj knjizi zapisa objavljujete stabilne identifikatore nositelja, stabilne identifikatore vjerodajnica, višestruko upotrebljive hasheve ili pojedinačno sljedive događaje opoziva, ne rješavate problem praćenja — vi ga činite trajnim.

2. Otkriva događaje opoziva i svježine

Preporuka W3C Bitstring Status List jasno opisuje problem: ako postoji mapiranje jedan-na-jedan između vjerodajnice i URL-a na kojem je objavljen njezin status, izdavatelj može povezati nositelja, verifikatora i vrijeme provjere. Specifikacija koristi primjer vozačke dozvole kako bi ilustrirala zašto praćenje od strane izdavatelja pri ulasku u objekt krši uobičajeno očekivanje privatnosti.

Bolja zadana postavka koju predlaže Bitstring Status List:

• Veliki, komprimabilni popisi statusa u kojima mnoge vjerodajnice dijele jedan statusni resurs
• Zadana duljina popisa od 131.072 unosa
• Oslanjajuće strane koje preuzimaju nove verzije zasebno, bez autentifikacije
• Randomizirani indeksi i grupna jamstva privatnosti

To je suprotnost individualiziranim, on-chain tragovima opoziva.

3. Miješa status vjerodajnice s pravnim statusom vožnje

Digitalna vjerodajnica može biti opozvana jer je njezin mehanizam potpisivanja bio kompromitiran — čak i dok pravo na vožnju u stvarnom svijetu ostaje valjano. Javna knjiga zapisa o događajima vjerodajnice nije čista zamjena za autoritativno stanje nacionalne evidencije o vožnji.

SCITT pojačava ovu točku: registrirana izjava može biti naknadno zamijenjena novom, a oslanjajuće strane odlučuju što vjerovati na temelju politike i povijesti. Zapisnik nije trajna istina. To je dokaz o tome tko je što rekao, kada, prema kojoj politici. Nacionalno tijelo za izdavanje dozvola ostaje korijen pravne istine.

4. Cilja na pogrešan problem upravljanja

Prekogranični identitet vozača primarno nije problem konsenzusa. To je problem upravljanja:

• Tko smije izdavati?
• Koji javni ključevi su trenutni?
• Koji su verifikatori ovlašteni?
• Koji zahtjevi za podacima odgovaraju njihovoj deklariranoj svrsi?
• Koja verzija politike je bila na snazi u to vrijeme?

Stvarni ekosustavi već odgovaraju na ova pitanja kroz upravljanu infrastrukturu povjerenja, a ne kroz decentralizirani konsenzus:

• AAMVA-in Servis digitalnog povjerenja objavljuje javne ključeve tijela za izdavanje u preuzimljivom popisu.
• Priručnik Europske unije za mobilne vozačke dozvole navodi da Komisija objavljuje popis ovlaštenih izdavatelja mDL-a.
• Rad ETSI-ja na certifikatima oslanjajućih strana novčanika pruža strojno čitljivu autentifikaciju verifikatora s namjeravanom upotrebom i registriranim zatraženim atributima.

To je eksplicitna javna administracija povjerenja — a ne decentralizirano upravljanje.

5. Ne rješava stvarnost na cesti

Mnogi prijedlozi blockchaina tiho pretpostavljaju da je pristup živoj mreži prednost. Za vjerodajnice vozača — posebno na cesti ili tijekom putovanja — to često nije slučaj.

AAMVA-ine smjernice za implementaciju navode da:

• Dohvaćanje s uređaja funkcionira bez vanjske povezanosti za nositelja i čitača u trenutku transakcije.
• ISO/IEC 18013-5 zahtijeva podršku za dohvaćanje s uređaja.
• Pristup verifikatora javnim ključevima izdavatelja ne mora se odvijati u trenutku transakcije. Ključevi se mogu preuzeti unaprijed.

Ako verifikator već može lokalno validirati koristeći predmemorirani materijal povjerenja, ovisnost o živom blockchainu nije neophodna. U najboljem slučaju, to je izbor implementacije za neku pozadinsku revizijsku funkciju.

Što bi trebalo biti transparentno u budućem IDP-u

Budući IDP apsolutno treba transparentnost — na pravom mjestu.

Učinite ove transparentnima prema zadanim postavkama:

• Javni ključevi izdavatelja i događaji rotacije ključeva
• Sidra povjerenja i popisi ovlaštenih izdavatelja
• Certifikati pristupa verifikatora i metapodaci registrirane svrhe
• Verzije politika i pravila registracije
• Izjave o usklađenosti i tvrdnje o sigurnosno relevantnim objavama softvera
• Revizorske potvrde koje dokazuju da su ove izjave registrirane

Ne činite ove javnima prema zadanim postavkama:

• Identifikatori nositelja na javnoj knjizi zapisa
• Stabilni identifikatori vjerodajnica koji se ponovo koriste kod različitih verifikatora
• Događaji po prezentaciji
• Neobrađeni unosi opoziva koji izoliraju jednu osobu
• Potpune potpisane izjave koje sadrže osobne podatke kada bi hashevi ili metapodaci bili dovoljni

SCITT izričito upozorava izdavatelje da pregledaju uključivanje privatnih, povjerljivih ili osobno prepoznatljivih informacija prije podnošenja izjava servisu transparentnosti. Također napominje da servisi transparentnosti mogu zadržati samo kriptografske metapodatke poput hasheva — a ne potpune potpisane izjave.

Bolji obrazac: Transparentnost oko ekosustava, a ne kroz osobu

Čista arhitektura za budući IDP izgleda ovako:

• Autoritativni nacionalni registar — ostaje zakonski izvor istine za pravo na vožnju.
• Sloj vjerodajnica — prenosi strojno provjerljiva prava vožnje u novčanik nositelja.
• Sloj registra povjerenja — distribuira ključeve izdavatelja, certifikate verifikatora i popise ovlaštenih izdavatelja.
• Statusni sloj — koristi kratkotrajna atestiranja ili popise statusa koji čuvaju privatnost, a osvježavaju se zasebno.
• Transparentni sloj — može ili ne mora interno koristiti konsenzus, te bilježi sidra povjerenja, promjene ključeva, ažuriranja politike, potvrde i izjave ekosustava koje imaju koristi od javne revizije samo za dodavanje.

Ova arhitektura obuhvaća korisne dijelove blockchain razmišljanja — revizorska sposobnost samo za dodavanje, javni nadzor, dokazi o neovlaštenom mijenjanju, potvrde — bez pretvaranja vozača u javni subjekt sustava. Također odgovara onome što standardi već opisuju: registri mogu imati različite oblike, DID-ovi ne zahtijevaju distribuirane knjige zapisa, registri povjerenja već postoje, a mehanizmi statusa koji čuvaju privatnost već su standardizirani.

Temeljni argument

Budući IDP trebao bi usvojiti najbolju ideju iz blockchaina — javna odgovornost za infrastrukturu — bez usvajanja njegovog najgoreg zadanog stanja za ljude: trajno, globalno vidljivo praćenje.

U praksi, to znači:

• Transparentnost za izdavatelje, a ne izloženost nositelja
• Revizorska sidra povjerenja, a ne javni putni zapisi
• Potvrde za politike i registracije, a ne trajne vremenske crte korištenja vjerodajnica
• Dokazi samo za dodavanje za upravljanje ekosustavom, a ne identitet vozača na lancu kao zadana postavka

Ovo nije argument protiv blockchaina. To je argument protiv primjene blockchaina na pogrešni sloj.

Budući IDP možda će koristiti servise transparentnosti podržane konsenzusom negdje u ekosustavu. Ali ako dizajn počne postavljanjem vozača, vjerodajnice ili traga prezentacije na knjigu zapisa, već je odabrao pogrešnu zadanu postavku.