Mengapa Blockchain Bersifat Opsional untuk Izin Mengemudi Internasional (IDP) Masa Depan

Izin Mengemudi Internasional (IDP) masa depan membutuhkan transparansi, jangkar kepercayaan, dan akuntabilitas publik. Yang tidak dibutuhkan — secara bawaan — adalah menempatkan pengemudi itu sendiri di atas buku besar terdistribusi.

Setiap diskusi serius tentang IDP digital lintas batas pada akhirnya selalu memunculkan usulan yang sama: “Taruh saja di blockchain.” Daya tariknya bisa dipahami. Blockchain menawarkan bukti ketidakmodifikasian, visibilitas bersama, dan riwayat yang hanya bisa ditambahkan. Itu adalah properti nyata. Namun dalam konteks identitas pengemudi lintas batas, properti-properti tersebut sangat sering diterapkan pada lapisan yang salah.

Artikel ini menjelaskan alasannya, menelusuri apa yang sebenarnya dinyatakan oleh standar-standar yang ada, dan memaparkan pola arsitektur yang lebih baik.

Apa yang Sebenarnya Dikatakan Standar tentang Blockchain

Model Data Kredensial Terverifikasi W3C secara eksplisit menyatakan bahwa sebuah registri data yang dapat diverifikasi dapat mengambil berbagai bentuk, termasuk:

• Basis data tepercaya
• Basis data terdesentralisasi
• Basis data identitas pemerintah
• Buku besar terdistribusi

DID Core sama jelasnya: banyak metode DID menggunakan teknologi buku besar terdistribusi, tetapi tidak semuanya. Dengan kata lain, standar-standar yang ada sudah menolak gagasan bahwa blockchain adalah fondasi wajib untuk kredensial digital.

Itu adalah titik awal yang tepat untuk IDP masa depan. Pertanyaan yang berguna bukan “blockchain atau tidak?” Melainkan:

Lapisan mana yang benar-benar membutuhkan transparansi, dan lapisan mana yang sama sekali tidak boleh menjadi infrastruktur publik secara bawaan?

Blockchain adalah Kumpulan Properti, Bukan Sebuah Keharusan

Kesalahan pertama adalah memperlakukan “blockchain” sebagai satu persyaratan tunggal. Itu bukan. Ini adalah sekumpulan properti yang mungkin dimiliki, termasuk:

• Publikasi bersama
• Riwayat yang hanya bisa ditambahkan
• Operasi terdistribusi
• Pembuatan tanda terima
• Ketahanan terhadap perubahan sepihak

Beberapa di antaranya berguna untuk IDP masa depan. Beberapa tidak relevan. Dan beberapa bahkan berbahaya jika diterapkan pada subjek kredensial manusia. Model registri W3C dengan sengaja memungkinkan berbagai implementasi karena ekosistem yang berbeda membutuhkan pertukaran yang berbeda pula.

Tiga Masalah yang Tidak Boleh Digabungkan

Kesalahan kedua adalah menggabungkan tiga masalah berbeda ke dalam satu sistem. Untuk IDP masa depan, ketiga hal ini harus tetap terpisah:

1. Di mana kebenaran hukum berada. Hak untuk mengemudi harus tersimpan dalam catatan SIM nasional yang berwenang.
2. Bagaimana materi kepercayaan didistribusikan. Kunci penerbit dan sertifikat verifikator harus berada dalam registri kepercayaan yang terkelola.
3. Bagaimana ekosistem mengaudit perubahan. Ini harus berada dalam lapisan transparansi.

Ekosistem dunia nyata sudah bekerja dengan cara ini. Layanan Kepercayaan Digital AAMVA mendistribusikan kunci publik penerbit dalam daftar yang dapat diunduh sebelum verifikator berinteraksi dengan mDL. Panduan SIM mobile Uni Eropa menetapkan bahwa Negara Anggota memberitahukan kepada Komisi Eropa tentang penerbit mDL yang berwenang, dan Komisi Eropa menerbitkan daftar verifikasi otoritas-otoritas tersebut. Itulah distribusi kepercayaan tanpa blockchain.

Apa yang Diajarkan Transparansi Sertifikat kepada Kita

Model transparansi paling efektif di internet publik bukanlah blockchain konsumen. Itu adalah Transparansi Sertifikat (CT).

RFC 9162 mendeskripsikan CT sebagai protokol untuk mencatat secara publik sertifikat server TLS sehingga siapa pun dapat:

• Mengaudit aktivitas otoritas sertifikasi
• Mendeteksi sertifikat yang bermasalah atau diterbitkan secara keliru
• Mengaudit log itu sendiri

Pelajaran desain utama dari CT: transparansi paling bernilai ketika mencatat perilaku penerbit dan materi kepercayaan — bukan aktivitas pengguna akhir.

Diterapkan pada IDP masa depan, itu berarti mencatat hal-hal seperti:

• Penerbitan dan rotasi kunci penerbit
• Publikasi jangkar kepercayaan
• Pendaftaran kategori verifikator
• Perubahan kebijakan
• Pernyataan kesesuaian
• Kejadian yang berkaitan dengan keamanan

Yang tidak dimaksudkan adalah membuat buku besar publik atau semi-publik tentang pemegang, pengidentifikasi kredensial, atau peristiwa presentasi. Itu bukan transparansi. Itu adalah pengumpulan data yang berlebihan.

SCITT: Mengapa Transparansi Tidak Sama dengan Kebenaran

Draf arsitektur SCITT dari IETF memperluas pemikiran ini. SCITT mendefinisikan sebuah Layanan Transparansi yang memelihara struktur data yang dapat diverifikasi dan menerbitkan tanda terima kriptografis yang membuktikan penyertaan pernyataan yang ditandatangani. Identitas Layanan Transparansi ditangkap oleh kunci publik yang diketahui oleh pihak-pihak yang mengandalkannya, dan jangkar kepercayaan serta kebijakan pendaftaran itu sendiri dibuat transparan.

Ini adalah model yang kuat untuk infrastruktur IDP karena mengubah transparansi menjadi sebuah layanan yang dapat diaudit seputar materi kepercayaan dan kebijakan — bukan seputar peristiwa perjalanan pribadi.

SCITT juga menegaskan batas-batas transparansi:

• Sebuah pernyataan yang terdaftar hanya membuktikan bahwa penerbit memproduksi dan mendaftarkannya — bukan bahwa pernyataan tersebut benar selamanya.
• Sebuah pernyataan yang ditandatangani kemudian dapat menggantikan pernyataan sebelumnya.
• Transparansi tidak mencegah penerbit yang tidak jujur atau telah dikompromikan; transparansi membuat mereka bertanggung jawab.

Untuk identitas pengemudi, perbedaan itu sangat penting: log transparansi adalah bukti dan riwayat audit, bukan status hukum yang berwenang atas hak mengemudi seseorang.

SCITT juga mencatat bahwa layanan transparansi dapat melindungi urutan hanya-tambah miliknya menggunakan kombinasi perangkat keras tepercaya, protokol konsensus, dan bukti kriptografis. Bahkan lapisan transparansi pun tidak memerlukan satu desain blockchain tertentu. Konsensus adalah salah satu pilihan, bukan satu-satunya pilihan.

Pemisahan Arsitektur yang Tepat untuk IDP Masa Depan

IDP masa depan harus memisahkan kepentingan ke dalam empat lapisan yang berbeda:

1. Catatan berwenang tentang siapa yang boleh mengemudi (otoritas lisensi nasional)
2. Registri kepercayaan untuk kunci penerbit dan verifikator
3. Infrastruktur status untuk kesegaran data dan pencabutan
4. Lapisan transparansi opsional untuk audit publik atas kebijakan, jangkar kepercayaan, tanda terima, dan pernyataan kesesuaian

Setelah Anda memisahkan lapisan-lapisan ini, pertanyaan tentang blockchain menjadi jauh lebih tajam. Pertanyaannya bukan lagi “haruskah IDP masa depan berada di blockchain?” Melainkan:

Lapisan mana, jika ada, yang benar-benar mendapat manfaat dari audit publik yang hanya bisa ditambahkan?

Lima Alasan Mengapa Identitas Pengemudi On-Chain adalah Default yang Salah

1. Ini Menciptakan Sinyal Pelacakan yang Tahan Lama

Kajian privasi EUDI menjelaskan bahwa presentasi atestasi dapat mengandung nilai-nilai unik seperti:

• Salt
• Nilai hash
• Pengidentifikasi pencabutan
• Kunci publik pengikatan perangkat
• Tanda tangan
• Stempel waktu

Karena nilai-nilai tersebut tetap untuk atestasi yang sama, nilai-nilai itu memungkinkan pihak yang mengandalkan untuk menghubungkan berbagai transaksi dan membangun profil perilaku pengguna. EUDI secara eksplisit memperingatkan bahwa hal ini melanggar ekspektasi wajar bahwa aktivitas dompet yang terpisah tidak akan digabungkan.

Jika Anda menerbitkan pengidentifikasi pemegang yang stabil, pengidentifikasi kredensial yang stabil, hash yang dapat digunakan ulang, atau peristiwa pencabutan yang dapat dilacak secara individual di buku besar publik, Anda tidak memecahkan masalah pelacakan — Anda membuatnya permanen.

2. Ini Mengekspos Peristiwa Pencabutan dan Kesegaran Data

Rekomendasi Daftar Status Bitstring W3C mendeskripsikan masalah ini dengan jelas: jika ada pemetaan satu-ke-satu antara sebuah kredensial dan URL tempat statusnya diterbitkan, penerbit dapat menghubungkan pemegang, verifikator, dan waktu pemeriksaan. Spesifikasi tersebut menggunakan contoh SIM untuk mengilustrasikan mengapa dilacak oleh penerbit saat memasuki sebuah tempat melanggar ekspektasi privasi yang umum.

Default yang lebih baik yang diusulkan oleh Daftar Status Bitstring:

• Daftar status besar yang dapat dikompresi di mana banyak kredensial berbagi satu sumber daya status
• Panjang daftar default sebesar 131.072 entri
• Pihak yang mengandalkan mengunduh versi baru secara terpisah, tanpa mengautentikasi diri mereka sendiri
• Indeks yang diacak dan jaminan privasi kelompok

Itu adalah kebalikan dari jejak pencabutan individual di on-chain.

3. Ini Mencampuradukkan Status Kredensial dengan Status Mengemudi yang Sah

Kredensial digital dapat dicabut karena mekanisme penandatanganannya telah dikompromikan — bahkan ketika hak mengemudi di dunia nyata tetap berlaku. Buku besar publik tentang peristiwa kredensial bukanlah pengganti yang tepat untuk status berwenang dari catatan mengemudi nasional.

SCITT memperkuat poin ini: sebuah pernyataan yang terdaftar mungkin kemudian digantikan oleh pernyataan baru, dan pihak yang mengandalkan memutuskan apa yang dipercaya berdasarkan kebijakan dan riwayat. Log bukanlah kebenaran permanen. Itu adalah bukti tentang siapa yang mengatakan apa, kapan, dan di bawah kebijakan apa. Otoritas lisensi nasional tetap menjadi akar kebenaran hukum.

4. Ini Menargetkan Masalah Tata Kelola yang Salah

Identitas pengemudi lintas batas pada dasarnya bukan masalah konsensus. Ini adalah masalah tata kelola:

• Siapa yang diizinkan untuk menerbitkan?
• Kunci publik mana yang sedang berlaku?
• Verifikator mana yang berwenang?
• Permintaan data mana yang sesuai dengan tujuan yang dinyatakan?
• Versi kebijakan mana yang berlaku pada saat itu?

Ekosistem nyata sudah menjawab pertanyaan-pertanyaan ini melalui infrastruktur kepercayaan yang terkelola, bukan konsensus terdesentralisasi:

• Layanan Kepercayaan Digital AAMVA menerbitkan kunci publik otoritas penerbit dalam daftar yang dapat diunduh.
• Panduan SIM mobile Uni Eropa menyatakan bahwa Komisi Eropa menerbitkan daftar penerbit mDL yang berwenang.
• Pekerjaan sertifikat relying-party dompet dari ETSI menyediakan autentikasi verifikator yang dapat dibaca mesin dengan penggunaan yang dimaksudkan dan atribut yang diminta yang telah terdaftar.

Itulah administrasi kepercayaan publik yang eksplisit — bukan tata kelola terdesentralisasi.

5. Ini Tidak Memecahkan Realitas di Pinggir Jalan

Banyak proposal blockchain secara diam-diam mengasumsikan bahwa akses jaringan langsung adalah sebuah keunggulan. Untuk kredensial pengemudi — terutama di pinggir jalan atau saat bepergian — seringkali hal itu justru bukan keunggulan.

Panduan implementasi AAMVA menentukan bahwa:

• Pengambilan perangkat bekerja tanpa konektivitas luar untuk pemegang maupun pembaca pada saat transaksi.
• ISO/IEC 18013-5 mengharuskan dukungan untuk pengambilan perangkat.
• Akses verifikator ke kunci publik penerbit tidak perlu terjadi pada saat transaksi. Kunci dapat diunduh terlebih dahulu.

Jika verifikator sudah dapat melakukan validasi secara lokal menggunakan materi kepercayaan yang di-cache, ketergantungan blockchain langsung tidaklah esensial. Paling-paling, itu adalah pilihan implementasi untuk beberapa fungsi audit backend.

Apa yang Harus Transparan dalam IDP Masa Depan

IDP masa depan memang mutlak membutuhkan transparansi — di tempat yang tepat.

Jadikan hal-hal ini transparan secara bawaan:

• Kunci publik penerbit dan peristiwa rotasi kunci
• Jangkar kepercayaan dan daftar penerbit yang berwenang
• Sertifikat akses verifikator dan metadata tujuan yang terdaftar
• Versi kebijakan dan aturan pendaftaran
• Pernyataan kesesuaian dan klaim rilis perangkat lunak yang relevan dengan keamanan
• Tanda terima yang dapat diaudit yang membuktikan pernyataan-pernyataan ini telah terdaftar

Jangan jadikan hal-hal ini publik secara bawaan:

• Pengidentifikasi pemegang di buku besar publik
• Pengidentifikasi kredensial stabil yang digunakan ulang di berbagai verifikator
• Peristiwa per-presentasi
• Entri pencabutan mentah yang mengisolasi satu orang
• Pernyataan yang ditandatangani secara lengkap yang mengandung data pribadi ketika hash atau metadata sudah mencukupi

SCITT secara eksplisit memperingatkan penerbit untuk meninjau penyertaan informasi pribadi, rahasia, atau yang dapat mengidentifikasi individu sebelum mengirimkan pernyataan ke layanan transparansi. SCITT juga mencatat bahwa layanan transparansi dapat menyimpan hanya metadata kriptografis seperti hash — bukan pernyataan yang ditandatangani secara lengkap.

Pola yang Lebih Baik: Transparansi di Seputar Ekosistem, Bukan Melalui Pribadi Seseorang

Arsitektur yang bersih untuk IDP masa depan terlihat seperti ini:

• Registri nasional yang berwenang — tetap menjadi sumber kebenaran hukum untuk hak mengemudi.
• Lapisan kredensial — membawa hak mengemudi yang dapat diverifikasi mesin ke dompet pemegang.
• Lapisan registri kepercayaan — mendistribusikan kunci penerbit, sertifikat verifikator, dan daftar penerbit yang berwenang.
• Lapisan status — menggunakan atestasi berumur pendek atau daftar status yang menjaga privasi yang diperbarui secara terpisah.
• Lapisan transparansi — mungkin atau mungkin tidak menggunakan konsensus secara internal, dan mencatat jangkar kepercayaan, perubahan kunci, pembaruan kebijakan, tanda terima, serta pernyataan ekosistem yang mendapat manfaat dari audit publik yang hanya bisa ditambahkan.

Arsitektur ini menangkap bagian-bagian yang berguna dari pemikiran blockchain — kemampuan audit hanya-tambah, pengawasan publik, bukti ketidakmodifikasian, tanda terima — tanpa menjadikan pengemudi sebagai subjek publik dari sistem. Arsitektur ini juga sesuai dengan apa yang sudah dijelaskan oleh standar-standar yang ada: registri dapat mengambil berbagai bentuk, DID tidak memerlukan buku besar terdistribusi, registri kepercayaan sudah ada, dan mekanisme status yang menjaga privasi sudah distandarisasi.

Argumen Inti

IDP masa depan harus mengadopsi ide terbaik dari blockchain — akuntabilitas publik untuk infrastruktur — tanpa mengadopsi default terburuknya bagi manusia: pelacakan yang tahan lama dan terlihat secara global.

Dalam praktiknya, itu berarti:

• Transparansi untuk penerbit, bukan paparan pemegang
• Jangkar kepercayaan yang dapat diaudit, bukan catatan perjalanan publik
• Tanda terima untuk kebijakan dan pendaftaran, bukan linimasa penggunaan kredensial yang permanen
• Bukti hanya-tambah untuk tata kelola ekosistem, bukan identitas pengemudi on-chain sebagai default

Ini bukan argumen menentang blockchain. Ini adalah argumen menentang penerapan blockchain pada lapisan yang salah.

IDP masa depan mungkin saja menggunakan layanan transparansi berbasis konsensus di suatu tempat dalam ekosistem. Namun jika desainnya dimulai dengan menempatkan pengemudi, kredensial, atau jejak presentasi di buku besar, maka desain tersebut sudah memilih default yang salah.