A jövőbeli IDP nem füzet. Hanem egy adatvédelmet megőrző prezentációs réteg.

A jövő nemzetközi gépjárművezetői engedélyének (IDP) nem szabad újabb hordozandó dokumentumnak lennie. Ehelyett egy irányított, kriptográfiailag ellenőrizhető módszernek kell lennie, amely határokon átnyúlóan teszi bemutathatóvá a nemzeti gépjárművezető jogosultságokat — online és offline, minimális adatközléssel, anélkül, hogy minden hitelesítési folyamat megfigyeléssé válna.

Mindenki azt mondja, hogy a nemzetközi gépjárművezetői engedély jövője a digitális. Ez nem téves — de nem is elég konkrét.

Egy PDF-füzet a telefonon nem a jövő. Egy szebb QR-kód nem a jövő. Egy blokklánc-token, amelynek marketinganyagában szerepel a „gépjárművezetés” szó, szintén nem a jövő.

A valódi probléma mélyebben gyökerezik a formátumnál. Egyetlen központi kérdésre vezethető vissza: hogyan válik egy törvényes gépjármuvezetési jogosultság — amelyet egy hatóság adott ki — érthetővé, megbízhatóvá és használhatóvá egy másik helyen, egy másik ellenőrző számára, nyomás alatt, esetenként hálózat nélkül, és anélkül, hogy a szükségesnél több személyes adatot kellene felfedni?

Ez az a kérdés, amelyet a papíralapú IDP sohasem oldott meg teljesen. És ez az a kérdés, amelyre a következő generációs rendszernek választ kell adnia.

Miért oldotta meg a papíralapú IDP az olvashatóságot, de nem a bizalmat?

A papíralapú IDP egy olyan világban volt ésszerű, amelyben a papír volt az elsődleges adathordozó. Kompatibilitási rétegként működött — emberileg olvasható kapcsolatként az egyik engedélyezési rendszer és a másik között. Ez hasznos volt, és bizonyos mértékig még mindig az.

A modern határon átnyúló mobilitás nehéz része azonban már nem csupán az olvashatóság. Hanem a bizalom.

A mai ellenőrzők egy sor nehezebb kérdéssel szembesülnek:

• Meg tudják-e állapítani, hogy a hitelesítő adat valódi?
• Meg tudják-e erősíteni, hogy még érvényes?
• Csak azokat a mezőket tudják-e ellenőrizni, amelyekre ténylegesen szükségük van?
• Meg tudják-e ezt tenni anélkül, hogy minden alkalommal kapcsolatba lépnének a kibocsátó hatósággal?
• Tudják-e ellenőrizni online, személyesen és az út szélén is?
• Meg tudják-e ezt tenni anélkül, hogy az utazást globális nyomkövetési rendszerré alakítanák?

Ezért a jövőbeli IDP-t nem digitális füzetprojektként kell értelmezni. Hanem prezentációs architektúra-problémként.

Szabványok, amelyek már a digitális IDP felé mutatnak

Ez már nem elméleti kérdés. A szabványügyi közösség már ebbe az irányba mozdult:

• Az ISO/IEC 18013-1:2018 egy olyan modellt hozott létre, amelyben egyetlen biztonságos engedély egyszerre szolgálhatja a hazai és a nemzetközileg elismert célokat, előre jelezve a géppel olvasható technológiák, a biometria, a kriptográfia és a tömörítés integrációját.
• Az ISO/IEC 18013-3 a hozzáférés-szabályozást, a hitelesítést és az integritás-ellenőrzést fedi le.
• Az ISO/IEC 18013-5 meghatározza a mobil gépjárművezetői engedély, az olvasó és a kibocsátó hatóság infrastruktúrája közötti interfészeket, beleértve más országokban lévő ellenőrzők általi felhasználást is.
• Az ISO/IEC 18013-7 az interneten keresztüli mobil gépjárművezetői engedély bemutatását egészíti ki.
• Az ENSZ Európai Gazdasági Bizottságának (UNECE) elektronikus gépjárművezetési engedélyekre vonatkozó munkája összeköti a műszaki és biztonsági követelményeket az ISO/IEC 18013-5 megfelelőséggel.

A helytelen megközelítés az IDP digitalizálásához

A helytelen megközelítés az, ha a jelenlegi IDP-t digitális formátumba alakítják, és egy alkalmazásba helyezik. Ez hatékonynak hangzik, de a helytelen fókuszt tartja fenn — a rendszert a dokumentum mint fizikai tárgy köré összpontosítja.

A jobb megközelítés az, ha a nemzetközi gépjárművezetést a nemzeti szinten kiadott gépjármuvezetési jogosultságok kontrollált bemutatásaként kezelik.

Ez a váltás azért fontos, mert ha a bemutatásra gondolunk, a tervezési kérdések pontosabbá válnak:

• Ki adta ki az alapvető gépjármuvezetési jogosultságot?
• Hogyan kapja meg és tárolja a jogosult a hitelesítő adatot?
• Hogyan kér az ellenőrző csak a jogszerűen szükséges adatokat?
• Hogyan kerülnek terjesztésre és megbízhatóvá a kibocsátói kulcsok?
• Hogyan ellenőrizhető a visszavonás anélkül, hogy a kibocsátó élő nyomkövetést végezne?
• Mi működik offline, és mihez kell még papíralapú biztonsági mentés?
• Melyik ellenőrző láthatja melyik adatot, és miért?

Ez egy sokkal komolyabb módja a papíralapú IDP helyettesítőjének megtervezésére.

A jövőbeli IDP jobb meghatározása

Íme egy javasolt meghatározás:

A jövőbeli IDP egy szabványalapú, derivált, határon átnyúló hitelesítő adat, amely a nemzeti szinten kiadott gépjármuvezetési jogosultságokat kontextusnak megfelelő módon mutatja be az ellenőrzőnek, a jogosult ellenőrzése alatt, kriptográfiai hitelesítéssel, szerepkör-alapú adatközléssel, online és offline bemutatási folyamatokkal, valamint adatvédelmet megőrző állapot-ellenőrzéssel.

Ez a meghatározás szándékosan szűk. Nem:

• Teszi a jövőbeli IDP-t önálló gépjármuvezetési jogosultsággá
• Alakítja át univerzális személyazonossági adattárrá
• Követel meg élő kapcsolatot a kibocsátóval minden tranzakcióhoz
• Feltételezi, hogy egy autókölcsönző pult, egy rendőrtiszt és egy biztosító ugyanazokat a mezőket kell lássa
• Követeli meg a blokkláncot a rendszer alapjaként

Ez egy fegyelmezett válasz egy bizalmi problémára.

A működőképes jövőbeli IDP hét összetevője

Marketingnyelv nélkül, egy működőképes jövőbeli IDP-nek hét összetevőre van szüksége:

1. Hiteles nemzeti igazságforrás. A gépjármuvezetés törvényes joga a hazai engedélyező hatóságtól ered. A nemzetközi réteg soha nem hozhat létre gépjármuvezetési jogosultságot — csak bemutathatja azt.
2. Kibocsátó. Egy megbízható közhatóság, vagy egy szorosan irányított, meghatalmazott kibocsátó szerv, amely az aktuális gépjármuvezetési jogosultságot tükröző digitális hitelesítő adatot bocsát ki.
3. Jogosulti tárca. A sofőrnek szüksége van egy biztonságos tárcára, amely tárolja a hitelesítő adatot, védi a privát kulcsokat, hitelesíti a jogosultat, és bemutatja a hitelesítő adatot az ellenőrzőknek.
4. Ellenőrző eszköz vagy olvasó. Ez lehet rendőrségi eszköz, autókölcsönző pult olvasója, online rendszer vagy más jogosult ellenőrző.
5. Bizalmi nyilvántartás. Az ellenőrzőknek megbízható módra van szükségük a törvényes kibocsátók nyilvános kulcsainak és bizalmi metaadatainak megszerzéséhez.
6. Állapotréteg. Szükség van egy adatvédelmet megőrző módra a felfüggesztés, visszavonás, lejárat vagy állapotváltozás kifejezésére.
7. Fizikai biztonsági mentés. A lemerült akkumulátorok, gyenge hálózati lefedettség, sérült eszközök, konzervatív joghatóságok és átmeneti szakpolitikai környezetek normális valóság — nem szélsőséges esetek.

Szerepkör-alapú adatközlés: egy hitelesítő adat, különböző célközönségek

A személyazonossági rendszerek egyik legnagyobb tervezési hibája az a feltételezés, hogy egy hitelesítő adat egyetlen adatközlést jelent. Ez pontosan az ellenkezője a jó tervezésnek.

Egy útszéli megállónál lévő rendőrtisztnek nem ugyanolyan jogos szükséglete van, mint egy autókölcsönző pultnak. Egy autókölcsönző pultnak nem ugyanolyan szükséglete van, mint egy munkáltatónak. Egy munkáltatónak nem ugyanolyan szükséglete van, mint egy online előzetes ellenőrző rendszernek.

A jövőbeli IDP-nek különböző adatközlési készleteket kell támogatnia különböző ellenőrző kategóriák számára:

• Útszéli megálló: Személyazonosság, fénykép, kategóriák és jogosultságok, korlátozások, érvényességi állapot. Alapértelmezés szerint semmi más.
• Autókölcsönző pult: Személyazonosság, fénykép, gépjármuvezetési kategóriák, kiállítási és lejárati dátumok, esetleg korhatár-információ — de nem a hitelesítő adat minden mezője.
• Online előzetes ellenőrzés: Személyazonosság igazolása, releváns gépjármuvezetési jogosultság igazolása, aktuális érvényesség igazolása, esetleg foglaláshoz kapcsolt visszaigazolás.
• Munkáltató vagy flottamegfelelőség: Különálló, kifejezetten beleegyezésen alapuló munkafolyamat, nem ugyanolyan adatközlési profil, mint az utazás-ellenőrzés.

A szabványok már támogatják ezt a modellt. A NIST jelenlegi mDL-tervezete olyan lekérdezéseket ír le, amelyek lehetővé teszik az ellenőrzők számára, hogy meghatározzák, mely attribútumokat kérik. Az AAMVA megvalósítási iránymutatásai megkövetelik, hogy az alkalmazás egyértelműen megmutassa, milyen adatot kértek, és teljes körű ellenőrzést adjon a jogosultnak arra, hogy milyen adatelemeket oszt meg.

A jövőbeli IDP nem lehet digitális kártya. Hanem kontrollált adatközlési eszköz kell legyen.

Az azonnali hitelesítés nem válhat azonnali megfigyeléssé

Sok digitális személyazonossági projekt itt tér le a helyes útról. A „valós idejű hitelesítést” úgy írják le, mintha automatikusan haladást jelentene. Nem jelent.

Az ellenőrzőnek időszerű bizalomra van szüksége. De a kibocsátónak nem kell megtudnia minden helyet és minden pillanatot, amikor a jogosult bemutatja a hitelesítő adatot. Ez a megkülönböztetés alapvető.

Az EU Architektúra és Referencia Keretrendszer egyértelműen fogalmaz ebben a kérdésben. A függő fél példányainak nem szabad minden alkalommal lekérdezniük a vonatkozó állapotlistát, amikor egy hitelesítő adatot bemutatnak. Ehelyett:

• A frissített listákat külön kell letölteni, egy adott felhasználói bemutatáshoz nem kapcsolódó időpontokban és helyekről.
• Az állapotlista pozícióit véletlenszerűsíteni kell, elegendő bejegyzéssel a kollektív adatvédelem biztosításához.
• A listakérések nem válhatnak nyomkövetési jelekké az egyes jogosultak számára.

A NIST jelenlegi mDL-tervezete olyan ellenőrző érvényesítést ír le, amely a kibocsátói aláírásokon és nyilvános kulcsokon alapul, anélkül, hogy közvetlenül kapcsolatba kellene lépni a kibocsátóval. Az AAMVA iránymutatása tiltja a szerverlekérést a megvalósítási iránymutatásokban, és az eszközlekérést, valamint a megbízhatósági szolgáltatáson alapuló nyilvános kulcsterjesztést helyezi középpontba.

A jövőbeli IDP-nek támogatnia kell az azonnali hitelesítést — anélkül, hogy globális nyilvántartást hozna létre arról, hol és mikor igazolta egy sofőr a személyazonosságát.

Bizalomterjesztés: irányítás géppel olvasható formában

Sokan tárgyalnak tárcákról és kriptográfiáról. Sokkal kevesebben tárgyalnak arról az infrastruktúráról, amely valójában működővé teszi a bizalmat — holott az infrastruktúra az, ami igazán számít.

Egy ellenőrző csak akkor bízhat meg egy hitelesítő adatban, ha megbízhatóan felfedezheti és megbízhatóvá teheti a kibocsátó nyilvános kulcsait és kapcsolódó metaadatait. A jövőbeli IDP-ökoszisztémának géppel olvasható, irányítható választ kell adnia az olyan kérdésekre, mint:

• Melyek a törvényes kibocsátók?
• Melyek az aktuális nyilvános kulcsok?
• Mely kibocsátók mely joghatóságokra jogosultak?
• Mely ellenőrző kategóriák vannak regisztrálva vagy akkreditálva?
• Mi történik, ha egy kibocsátó kulcsot rotál vagy megváltoztatja a szabályzatát?

Az AAMVA Digitális Megbízhatósági Szolgáltatása egy konkrét példa: egyetlen, biztonságos, rugalmas módszer a függő felek számára a kibocsátó hatóságok nyilvános kulcsainak megszerzésére, hitelesített kibocsátói tanúsítványhatóság-listán keresztül. Az EU mDL-kézikönyve leírja, hogy a tagállamok értesítik a Bizottságot az engedélyezett mDL-kibocsátókról, a Bizottság közzéteszi ezt a listát ellenőrzési célokra, és a függő felek regisztrációja a tárca-bizalmi keretrendszerben történik.

Ez az irány, amelyre a jövőbeli IDP-nek szüksége van — nem egy olyan rendszer, ahol mindenki beolvas egy QR-kódot és ellenőrzés nélkül megbízik az eredményben, hanem egy olyan, ahol a bizalom elosztott, verziókezelt és géppel ellenőrizhető.

Az online és az útszéli ellenőrzésnek egy egységes rendszert kell alkotnia

Egy komoly jövőbeli IDP nem oszthatja fel magát különálló rendszerekre: egyet útszéli ellenőrzésekhez, egyet autókölcsönzéshez, egyet távoli regisztrációhoz, egyet személyazonosság-hitelesítéshez és egyet gépjármuvezetési hitelesítéshez. Ez a széttagoltság pontosan az, amitől a felhasználók már most szenvednek.

A műszaki szabványok már léteznek ennek elkerülésére:

• Az ISO/IEC 18013-5 meghatározza a személyes mobil gépjárművezetői engedély bemutatásának interfészeit.
• Az ISO/IEC 18013-7 ezt az interneten keresztüli bemutatásra terjeszti ki.
• Az EU mobil gépjárművezetői engedély kézikönyve az autókölcsönzést és az útszéli ellenőrzéseket is ellenőrzési forgatókönyvként sorolja fel, és leírja a távoli megosztást, valamint a QR-kód által indított folyamatokat, Bluetooth, Wi-Fi Aware és NFC technológiákat alkalmazó közelségi ellenőrzéseket.

A jövőbeli rendszernek kezelnie kell az online és a személyes forgatókönyveket egyaránt, mert az utazás mindkettőt magában foglalja. A mobilitás mindkettőt magában foglalja. A bizalom mindkettőt megköveteli.

A webalapú protokollréteg mostanra éretté vált

Évekig az egyik oka annak, hogy a személyazonossági viták pontatlannak tűntek, az volt, hogy a protokollréteg még nem volt teljes. Ez ma már sokkal kevésbé igaz:

• Az OpenID for Verifiable Credential Issuance 1.0 egy OAuth-védett API-t határoz meg a hitelesítő adatok kibocsátásához, kifejezetten támogatva több hitelesítő adat-formátumot, köztük az ISO mdoc, SD-JWT VC és W3C VCDM hitelesítő adatokat.
• Az OpenID for Verifiable Presentations 1.0 egy mechanizmust határoz meg az ellenőrzők számára a hitelesítő adat-bemutatások kérésére és fogadására.
• A W3C Verifiable Credentials Data Model 2.0 formalizálja a kibocsátókból, jogosultakból és ellenőrzőkből álló háromszereplős ökoszisztémát.

Ez megváltoztatja a vitát. A jövőbeli IDP-t többé nem kell egyetlen, egyedi folyamatokkal rendelkező kormányzati alkalmazásként elképzelni. Megtervezhető egy tágabb, interoperábilis ökoszisztéma feletti, irányított hitelesítő adat-profilként.

Ez nem szünteti meg a közirányítás szükségességét. Megszünteti azt a kifogást, hogy nincs modern protokollkészlet, amelyre építeni lehetne.

Miért opcionális a blokklánc — de az elismerés nem az

A jövőbeli IDP-nek nincs szüksége blokkláncra alapként. Ez nem jelenti azt, hogy az elosztott főkönyvi technológia haszontalan — értékes lehet bizonyos átláthatósági vagy nyilvántartási szerepekben —, de nem szabad a gépjármuvezetési hitelesítő adat rendszerének középpontjaként kezelni.

A W3C VC Data Model 2.0 egyértelműen kimondja, hogy az ellenőrizhető adatnyilvántartások sokféle formát ölthetnek: megbízható adatbázisok, decentralizált adatbázisok, kormányzati személyazonossági adatbázisok vagy elosztott főkönyvek. A DID Core ugyanilyen egyértelműen kimondja, hogy sok, de nem minden DID-módszer használ elosztott főkönyveket. A szabványok nem erőltetnek blokklánc-első architektúrát.

Ez a helyes álláspont, mert a jövőbeli IDP legnehezebb része nem a technológia. A legnehezebb rész:

• Jogi elismerés
• Kibocsátói irányítás
• Olvasó-telepítés
• Ellenőrzői akkreditáció
• Megbízhatósági lista működtetése
• Visszavonási logika
• Határon átnyúló szakpolitikai összehangolás

Az AAMVA megbízhatósági szolgáltatást épített ki. Az EU-kézikönyv tartalmaz kibocsátói közzétételt és függő fél regisztrációt. Az UNECE-tervezetek az elektronikus engedélyeket az ISO/IEC 18013-5-höz igazítják. A valódi kihívás nem a kriptográfia hiánya — hanem az irányított interoperabilitás kihívása.

Egy reális jövőbeli IDP-folyamat a gyakorlatban

A jövőbeli IDP-nek egyszerűnek kell lennie a gyakorlatban. Íme, hogyan működik három általános forgatókönyvben:

1. Kibocsátás vagy megújítás

A nemzeti hatóság ellenőrzi az alapul szolgáló engedély-nyilvántartást, és hitelesítő adatot bocsát ki a jogosult tárcájába. A tárca biztonságosan tárolja azt, védi a kulcsokat, hitelesíti a jogosultat, és később egy irányított kibocsátási folyamaton keresztül frissítheti az állapotot vagy fogadhat frissített igazolásokat. Az OpenID4VCI életképes webalapú kibocsátási réteget biztosít, miközben az AAMVA iránymutatása megköveteli a titkosítást tároláskor, a biztonságos kulcstárolást és a jogosult hitelesítését adatok elérésekor vagy kiadásakor.

2. Távoli autókölcsönzési előzetes ellenőrzés

A kölcsönző platform hitelesített kérelmet küld egy minimális gépjármuvezetési jogosultsági készletért. A tárca megmutatja a kérelmet a jogosultnak, aki jóváhagyja azt. Az ellenőrző internetes képességű folyamaton keresztül fogadja a bemutatást, ellenőrzi a kibocsátói aláírást és kulcsanyagot, ellenőrzi a helyileg elérhető megbízhatósági és állapotinformációkat, és előzetesen jóváhagyja a foglalást. Az EU mDL-kézikönyve már leírja a távoli autókölcsönzési megosztást; a NIST-tervezet leírja a lekérdezés-vezérelt attribútumkéréseket; az OpenID4VP és az ISO/IEC 18013-7 az internetes folyamatokhoz szükséges széles körű bemutatási irányt biztosítja.

3. Útszéli megálló

A tiszt kéri az útszéli adatközlési készletet. A jogosult közelségi folyamaton keresztül mutatja be. Az olvasó helyileg ellenőrzi a hitelesítő adatot, ellenőrzi a gépjármuvezetési jogosultságokat és érvényességet, és csak a szükségesnél többet nem lát. A kibocsátót alapértelmezés szerint nem keresik meg. Az EU-kézikönyv leírja a QR-kód által indított, Bluetooth, Wi-Fi Aware és NFC-alapú útszéli ellenőrzést, miközben az ISO/IEC 18013-5 és az AAMVA iránymutatása a közelségi és eszközlekérést helyezi középpontba a valós idejű kibocsátói kapcsolat helyett.

Ez a helyes felhasználói élmény: gyors, ellenőrizhető, minimálisan beavatkozó és egyszerű.

Mi nem a jövőbeli IDP

Egyértelműen, a jövőbeli IDP nem:

• Önálló gépjármuvezetői engedély
• Egy kártya képe
• Személyazonossági adatok univerzális gyűjteménye
• Ellenőrző által irányított megfigyelési csatorna
• Digitális formátumba öntött papír
• Blokkláncfüggő bizalmi rendszer

Hanem egy gondosan irányított prezentációs réteg a nemzeti szinten kiadott gépjármuvezetési jogosultságok felett. Ez kevésbé hangzatos — és sokkal valószínűbb, hogy működni fog.

Miért ugyanolyan fontos az átállási út, mint az architektúra

A legjobb architektúra haszontalan, ha az átállási út nem reális. A kormányok nem fogják egyik napról a másikra lecserélni az összes papíralapú munkafolyamatot — és nem is kellene.

Egy reális út így néz ki:

1. 1. fázis: Megtartjuk a papírt. Hozzáadunk egy biztonságos digitális kísérőt.
2. 2. fázis: Szabványosítjuk a kibocsátói megbízhatósági listákat és az ellenőrzői kategóriákat.
3. 3. fázis: Támogatjuk a közelségi és a távoli bemutatást egyaránt.
4. 4. fázis: A rutinellenőrzéseket és a kölcsönzéseket digitális-első folyamatokra helyezzük át.
5. 5. fázis: A papírfüzetet az elsődleges státuszból biztonsági mentés státuszává csökkentjük.

Ez az út megfelel annak, amerre a szabványok és a hivatalos ökoszisztéma-munka már haladnak: az ISO egy dokumentumos logikája, az AAMVA megbízhatósági szolgáltatási infrastruktúrája, az EUDI tárca-alapú mDL-felhasználási esetei, és az UNECE mozgása az ISO/IEC 18013-5-höz igazított elektronikus engedélymodellek felé.

Az alapérv egyetlen mondatban

Íme az érv lecsupaszítva: A jövőbeli IDP nem digitális füzet. Hanem egy irányított válasz egy határon átnyúló bizalmi problémára.

Nem a régi dokumentum szebb változata — hanem jobb rendszer. Egy olyan rendszer, amelyben:

• A jogszabályi jog továbbra is a nemzeti hatóságtól ered
• A jogosult irányítja a bemutatást
• Az ellenőrző csak azt kapja meg, amire szüksége van
• A bizalom alapértelmezett megfigyelés nélkül ellenőrizhető
• A távoli és a személyes felhasználás közös architektúrát oszt meg
• A papír csak ott marad meg, ahol még mindig van gyakorlati értéke

Ez az a mérce, amelyre törekedni kell.

Ha így látjuk a problémát, az érdekes kérdés többé nem az, hogy az IDP-nek digitálissá kell-e válnia. Az érdekes kérdés ez lesz: ki hajlandó elég komolyan megtervezni a határon átnyúló gépjármuvezetői személyazonosság-réteget ahhoz, hogy a papírt a gyengeségei reprodukálása — vagy újak hozzáadása — nélkül helyettesítse?

Mindez nem spekulatív. A NIST jelenlegi mDL-munkája olyan tárcát ír le, amelyet a felhasználó irányít, olyan ellenőrzőt, amely a kibocsátóval való közvetlen kapcsolatfelvétel nélkül hitelesíti a hitelességet, és olyan hitelesítő adat-ökoszisztémát, amely kibocsátók, tárcák és ellenőrzők köré épül. Az AAMVA Digitális Megbízhatósági Szolgáltatása már létezik a kibocsátó hatóságok nyilvános kulcsainak terjesztésére. Az EU mobil gépjárművezetői engedély kézikönyve leírja az engedélyezett kibocsátói listákat és a függő fél regisztrációját egy szélesebb megbízhatósági keretrendszeren belül.