Framtíðar alþjóðlegt ökuskírteini er ekki bæklingur. Það er friðhelgisvarið kynningarlag.

Alþjóðlegt ökuskírteini (IDP) framtíðarinnar ætti ekki að vera enn eitt skjalið sem þarf að bera með sér. Það ætti að vera stjórnað, dulritunarstaðfestanlegt kerfi til að kynna til sögunnar innlendar ökuréttindi yfir landamæri — á netinu og án nets, með lágmarks upplýsingagjöf og án þess að gera hverja staðfestingu að eftirlitsbúnaði.

Allir segja að framtíð alþjóðlegs ökuskírteinis sé stafræn. Það er ekki rangt — en það er heldur ekki nógu nákvæmt.

PDF-bæklingur í síma er ekki framtíðin. Betri QR-kóði er ekki framtíðin. Blokkaketjutákn með „ökuferð” í markaðsefninu er ekki framtíðin.

Raunverulega vandamálið er dýpra en snið. Það snýst um eina miðlæga spurningu: hvernig verður lögleg ökuréttindi, gefin út af einni yfirvöld, skiljanleg, trúverðug og nothæf á öðrum stað, hjá öðrum staðfestingaraðila, undir þrýstingi, stundum án nettengingar og án þess að afhjúpa fleiri persónuupplýsingar en nauðsynlegt er?

Þetta er spurningin sem pappírslegt IDP leyst aldrei að fullu. Og það er spurningin sem næstu kynslóðar kerfi verður að svara.

Hvers vegna pappírslegt IDP leyst lesanleika en ekki traust

Pappírslegt IDP var skynsamlegt í heimi þar sem pappír var aðalmiðillinn. Það virkaði sem samhæfingarlag — mannlesanlegt tengsl milli eins leyfiskerfi og annars. Það var gagnlegt, og að nokkru leyti er það enn.

En erfiði hlutinn við nútíma ferðir yfir landamæri er ekki lengur bara lesanleiki. Það er traust.

Staðfestingaraðilar nútímans standa frammi fyrir röð erfiðari spurninga:

• Geta þeir ákvarðað hvort skilríkið sé echt?
• Geta þeir staðfest að það sé enn gilt?
• Geta þeir skoðað aðeins þau tilteknu reit sem þeir þurfa í raun á?
• Geta þeir gert það án þess að hafa samband við útgáfuyfirvöld í hvert skipti?
• Geta þeir staðfest það á netinu, í eigin persónu og við vegkant?
• Geta þeir gert það án þess að breyta ferðalögum í alþjóðlegt eftirlitskerfi?

Þess vegna ætti framtíðar IDP ekki að skilja sem stafrænt bæklingaverkefni. Það ætti að skilja sem arkitektúrverkefni kynningarlags.

Staðlar sem þegar benda í átt að stafrænu IDP

Þetta er ekki lengur fræðilegt. Staðlasamfélagið hefur þegar farið í þessa átt:

• ISO/IEC 18013-1:2018 setti fram líkan þar sem eitt öruggt leyfi getur þjónað bæði innanlands og alþjóðlega viðurkenndum tilgangi, með hliðsjón af vélalesanlegri tækni og samþættingu lífmælingargagna, dulritunar og þjöppunar.
• ISO/IEC 18013-3 fjallar um aðgangsstýringu, auðkenningu og heildarfarsstaðfestingu.
• ISO/IEC 18013-5 skilgreinir viðmót milli farsímaökuskírteinis, lesara og innviða útgáfuyfirvalda, þar á meðal notkun staðfestingaraðila í öðrum löndum.
• ISO/IEC 18013-7 bætir við kynningu á farsímaökuskírteini yfir internetið.
• Starf UNECE um rafræn ökuleyfi tengir tæknilegar og öryggiskröfur við ISO/IEC 18013-5 samræmi.

Rangt nálægi við stafræna umbreytingu IDP

Ranga nálægðin er að taka núverandi IDP, umbreyta því í stafrænt snið og setja það í forrit. Það hljómar skilvirkt, en það varðveitir ranga fókusinn — það heldur kerfinu miðstýrt á skjalið sem líkamlegan hlut.

Betra nálægðin er að líta á alþjóðlegar ökuferðir sem stýrða kynningu á innlendum ökuréttindum.

Sú breyting skiptir máli, því þegar þú hugsar um kynningu, verða hönnunarspurningarnar nákvæmari:

• Hver gaf út undirliggjandi rétt til að aka?
• Hvernig fær handhafinn og geymir skilríkið?
• Hvernig biður staðfestingaraðili aðeins um þær upplýsingar sem hann á löglega rétt á?
• Hvernig eru lyklar útgáfuyfirvalda dreifðir og treyst?
• Hvernig er afturköllun athugað án þess að útgáfuyfirvöld fylgist með í rauntíma?
• Hvað virkar án nets, og hvað þarf enn pappír sem varaúrræði?
• Hvaða staðfestingaraðili má sjá hvaða gögn, og af hverju?

Þetta er mun alvarlegri leið til að hanna staðgengilinn fyrir pappírslegt IDP.

Betri skilgreining á framtíðar IDP

Hér er tillaga að skilgreiningu:

Framtíðar IDP er staðlamiðað, afleidd þverlandamæraskilríki sem kynnir innlend ökuréttindi fyrir staðfestingaraðila á samhengisstilltum hátt, undir stjórn handhafa, með dulritunarstaðfestingu, hlutverkamiðaðri upplýsingagjöf, kynningunarflæði á netinu og án nets, og friðhelgisvarðri stöðuskoðun.

Sú skilgreining er vísvitandi þröng. Hún gerir ekki:

• Framtíðar IDP að sjálfstæðum ökuréttindum
• Breytir því í altækt geymslusvæði persónuupplýsinga
• Krefst tengingar við útgáfuyfirvöld í hvert skipti
• Gengur út frá því að bílaleiguborð, lögreglumaður og tryggingafélag eigi allir að sjá sömu reitina
• Krefst blokkaketlu sem kjarna kerfisins

Þetta er agaðið svar við traustsvandamáli.

Sjö þættir vinnandi framtíðar IDP

Laus við markaðsmál þarf vinnandi framtíðar IDP sjö þætti:

1. Yfirvaldleg innlend sannleikastoð. Löglegur réttur til að aka kemur frá innlendum leyfisyfirvöldum. Alþjóðlega lagið ætti aldrei að búa til ökuréttindi — aðeins kynna þau.
2. Útgefandi. Treystur opinber aðili, eða þétt stjórnað viðurkennt útgáfufyrirtæki sem starfar fyrir hans hönd, gefur út stafræna skilríkið sem endurspeglar núverandi ökuréttindi.
3. Veski handhafa. Ökumaðurinn þarf öruggt veski sem geymir skilríkið, verndar einkalykla, auðkennir handhafann og kynnir skilríkið fyrir staðfestingaraðilum.
4. Staðfestingaraðili eða lesari. Þetta getur verið lögregludæki, bílaleiguborðalesari, netkerfi eða annar viðurkenndur staðfestingaraðili.
5. Traustaskrá. Staðfestingaraðilar þurfa áreiðanlega leið til að fá opinbera lykla og traustagögn lögmætra útgefenda.
6. Stöðulag. Það verður að vera friðhelgisvarið kerfi til að tjá frestun, afturköllun, gildistíma eða stöðubreytingu.
7. Líkamleg varaafrit. Dauðir rafhlöður, slæm tengifæni, skemmd tæki, íhaldssamar lögsagnarumdæmar og umbreytingarstefnuumhverfi eru venjulegar aðstæður — ekki jaðartilfelli.

Hlutverkamiðuð upplýsingagjöf: Eitt skilríki, mismunandi markhópar

Einn stærsti hönnunargallinn í auðkenniskerfum er að gera ráð fyrir að eitt skilríki þýði eina upplýsingagjöf. Það er andstætt góðri hönnun.

Lögreglumaður við vegkant hefur ekki sömu lögmætu þörf og bílaleiguborð. Bílaleiguborð hefur ekki sömu þörf og vinnuveitandi. Vinnuveitandi hefur ekki sömu þörf og forprófarkerfi á netinu.

Framtíðar IDP ætti að styðja mismunandi upplýsingagjafarsett fyrir mismunandi flokka staðfestingaraðila:

• Vegkantstans: Auðkenni, ljósmynd, flokkar og réttindi, takmarkanir, gildisstaða. Ekkert meira að sjálfgefnu.
• Bílaleiguborð: Auðkenni, ljósmynd, ökuflokkar, útgáfu- og gildistímadagsetningar, hugsanlega aldursupplýsingar — en ekki sérhver reitur í skilríkinu.
• Forpróf á netinu: Sönnun á auðkenni, sönnun á viðeigandi ökuréttindum, sönnun á núverandi gildi, hugsanlega bókunartengd staðfesting.
• Vinnuveitandi eða flotasamræmi: Sér, sérstaklega samþykkt verkflæði, ekki sama upplýsingagjafarsniðið og ferðastaðfesting.

Staðlarnir styðja þegar þetta líkan. Núverandi mDL-drög NIST lýsa fyrirspurnum sem leyfa staðfestingaraðilum að tilgreina hvaða eiginleika þeir biðja um. Útfærslumargleiðbeiningar AAMVA krefjast þess að forritið sýni skýrt hvaða gögn voru umbeðin og gefi handhafanum fulla stjórn yfir því hvaða gagnalyklar eru deildir.

Framtíðar IDP ætti ekki að vera stafrænt kort. Það ætti að vera stjórnað upplýsingagjafartæki.

Augnabliksstaðfesting má ekki verða augnablikseftirlit

Hér fara mörg stafræn auðkennisverkefni úrskeiðis. Þau lýsa „rauntímastaðfestingu” eins og það þýði sjálfkrafa framfarir. Það gerir það ekki.

Staðfestingaraðili þarf tímanlegt traust. En útgáfuyfirvöldina þarf ekki að vita um hvern stað og hvern augnablik sem handhafinn kynnir skilríkið. Sú greinarmunur er nauðsynleg.

Arkitektúr- og viðmiðunarramminn hjá Evrópusambandinu er skýr um þetta. Tilvik trúnaðaraðila ættu ekki að biðja um viðkomandi stöðulista í hvert skipti sem skilríki er kynnt. Þess í stað:

• Uppfærðar listar ættu að vera niðurhaladdar sérstaklega, á tímum og frá stöðum sem eru óskyld tiltekinni kynningu notanda.
• Stöðulistastöður ættu að vera slembraðar, með nógu mörgum færslum til að veita sameiginlegt friðhelgi.
• Listabeiðnir mega ekki verða rekningarmerkir fyrir tiltekna handhafa.

Núverandi mDL-drög NIST lýsa staðfestingu staðfestingaraðila byggðri á undirskriftum útgefenda og opinberum lyklum án þess að þurfa að hafa beint samband við útgefandann. Leiðbeiningar AAMVA banna netupplæstir í útfærslumarkgleiðbeiningum sínum og miðstýra tækjaupplæstir ásamt traustsþjónustumiðaðri dreifingu opinberra lykla í staðinn.

Framtíðar IDP ætti að styðja augnabliksstaðfestingu — án þess að búa til alþjóðlegar skrár yfir hvar og hvenær ökumaður sannaði hvern hann er.

Traustsdreifingin: Stjórnun á vélalesanlegu formi

Margir ræða veski og dulritun. Mun færri ræða innviðina sem láta traust virka í raun — en innviðirnir eru hlutinn sem skiptir máli.

Staðfestingaraðili getur aðeins treyst skilríki ef hann getur með áreiðanlegum hætti uppgötvað og treyst opinberum lyklum og tengdum lýsigögnum útgefandans. Vistukerfi framtíðar IDP þarf vélalesanlegt, stjórnanlegt svar við spurningum eins og:

• Hvaða útgefendur eru lögmætir?
• Hvaða opinberir lyklar eru í gildi?
• Hvaða útgefendur eru heimilaðir fyrir hvaða lögsagnarumdæmar?
• Hvaða flokkar staðfestingaraðila eru skráðir eða viðurkenndir?
• Hvað gerist þegar útgefandi skiptir um lykla eða breytir stefnu?

Stafræn traustsþjónusta AAMVA er eitt áþreifanlegt dæmi: ein, örugg, seigläg leið fyrir trúnaðaraðila til að fá opinbera lykla útgáfuyfirvalda, afhent í gegnum staðfesta útgáfuvottorðayfirvaldslista. mDL-handbók ESB lýsir aðildarríkjum sem tilkynna framkvæmdastjórninni um heimilaða mDL-útgefendur, framkvæmdastjórnin birtir þann lista í staðfestingarskyni, og trúnaðaraðilaskráning innan traustsskerðis veskisins.

Þetta er stefnan sem framtíðar IDP þarf — ekki kerfi þar sem allir skanna QR-kóða og treysta niðurstöðunni án staðfestingar, heldur eitt þar sem traust er dreift, útgáfustýrt og vélarlegt.

Nettengt og vegkant verður að deila einu sameinuðu kerfi

Alvarlegt framtíðar IDP getur ekki skipt sér í aðskilin kerfi: eitt fyrir vegkantskannanir, eitt fyrir bílaleigu, eitt fyrir fjarskráningu, eitt fyrir auðkenni og annað fyrir ökustaðfestingu. Einmitt þetta sundurliðun er það sem notendur þjást þegar af.

Tæknilegar staðlar eru til staðar núna til að forðast þetta:

• ISO/IEC 18013-5 skilgreinir viðmót fyrir kynningu farsímaökuskírteinis í eigin persónu.
• ISO/IEC 18013-7 framlengi þetta yfir á kynningu á netinu.
• mDL-handbók ESB telur bílaleigur og vegkantskannanir upp sem staðfestingaraðstæður og lýsir fjarstýrðri deilingu sem og nándarkannanir með QR-kveiktu flæði, Bluetooth, Wi-Fi Aware og NFC.

Framtíðarkerfið verður að takast á við bæði nettengd og persónuleg aðstæður, því ferðir fela í sér bæði. Hreyfigeta felur í sér bæði. Traust krefst beggja.

Vefþjónustulag er nú þroskað

Í mörg ár var ein ástæðan fyrir því að auðkennisumræður leyndust óljósar sú að samskiptalagsmiðun var enn ófullkominn. Það á mun síður við núna:

• OpenID for Verifiable Credential Issuance 1.0 skilgreinir OAuth-verndað API fyrir útgáfu skilríkja, með skýrum stuðningi við mörg skilríkissnið þar á meðal ISO mdoc, SD-JWT VC og W3C VCDM skilríki.
• OpenID for Verifiable Presentations 1.0 skilgreinir mekanisma fyrir staðfestingaraðila til að biðja um og taka á móti kynningum skilríkja.
• Gagnalíkan W3C Verifiable Credentials 2.0 formfestar þríhliðavistarkerfi útgefenda, handhafa og staðfestingaraðila.

Það breytir samræðunum. Framtíðar IDP þarf ekki lengur að ímynda sér sem eitt stjórnvaldsforrit með sérhannað ferli. Það getur verið hannað sem stjórnað skilríkissniðmát ofan á víðara samvirknivistar.

Það fjarlægir ekki þörfina á opinberri stjórnun. Það fjarlægir afsakið um að það sé engin nútímaleg samskiptstafla til að byggja á.

Hvers vegna blokkaketla er valkvæð — en viðurkenning er það ekki

Framtíðar IDP þarf ekki blokkaketlu sem grunn sinn. Það þýðir ekki að dreifð bókhaldstækni sé gagnslaus — hún gæti verið dýrmæt í tilteknum gagnsæi- eða skráningarhlutverkum — en hún ætti ekki að meðhöndla sem miðju ökuskilríkjakerfisins.

W3C VC Data Model 2.0 er skýr um að staðfestar gagnaskrár geta tekið margar myndir: treystar gagnagrunnar, dreifðar gagnagrunnar, stjórnvaldsauðkenningsgagnagrunnar eða dreifðar bókhaldslegar. DID Core er jafn skýr um að margar en ekki allar DID-aðferðir nota dreifðar bókhaldslegar. Staðlarnir þvinga ekki blokkaketlumiðaða arkitektúr.

Þetta er rétt staðan, því erfiðasti hluti framtíðar IDP er ekki tæknin. Erfiðasti hlutinn er:

• Lagaleg viðurkenning
• Stjórnun útgefenda
• Útbreiðsla lesara
• Viðurkenning staðfestingaraðila
• Rekstur traustalista
• Afturkallunarrök
• Stefnusamræming yfir landamæri

AAMVA byggði traustsþjónustu. Handbók ESB inniheldur birtingu útgefenda og skráningu trúnaðaraðila. Drög UNECE tengja rafræn leyfi við ISO/IEC 18013-5. Raunverulega áskorunin er ekki skortur á dulritun — það er áskorunin um stjórnað samvirkni.

Raunhæft framtíðar IDP-flæði í framkvæmd

Framtíðar IDP ætti að vera einfalt í framkvæmd. Hér er hvernig það virkar í þremur algengum aðstæðum:

1. Útgáfa eða endurnýjun

Þjóðlegar yfirvöld staðfesta undirliggjandi leyfisfærsluna og gefa út skilríki í veski handhafans. Veskið geymir það örugglega, verndar lykla, auðkennir handhafann og getur síðar endurnýjað stöðu eða tekið við uppfærðum vottorðum í gegnum stjórnað útgáfuflæði. OpenID4VCI veitir hæft vefþjónustuútgáfulag, á meðan leiðbeiningar AAMVA krefjast dulritunar í hvíld, öruggrar lykilgeymslu og auðkenningar handhafa þegar gögn eru sótt eða send.

2. Forpróf bílaleigu á netinu

Bílaleigukerfi sendir auðkennda beiðni um lágmarks ökuréttindarsett. Veskið sýnir handhafanum beiðnina, sem samþykkir hana. Staðfestingaraðilinn fær kynninguna í gegnum internetfært flæði, staðfestir undirskrift útgefanda og lykilefni, skoðar staðbundnar tiltækar trausts- og stöðuupplýsingar og forsamþykkir bókunina. mDL-handbók ESB lýsir þegar fjarstýrðri deilingu bílaleigu; drög NIST lýsa fyrirspurnardrifnum eiginleikabeiðnum; OpenID4VP og ISO/IEC 18013-7 veita víðan kynningarstefnu fyrir internetmiðað flæði.

3. Vegkantstans

Lögreglumaður biður um vegkantssett upplýsingagjafar. Handhafinn kynnir í gegnum nándarsflæði. Lesarinn staðfestir skilríkið staðbundið, athugar ökuréttindi og gildi, og sér ekki meira en þarf. Útgáfuyfirvöld eru ekki sjálfkrafa kontaktuð. mDL-handbók ESB lýsir QR-kveiktu, Bluetooth-, Wi-Fi Aware- og NFC-miðaðri vegkantsstaðfestingu, á meðan ISO/IEC 18013-5 og leiðbeiningar AAMVA miðstýra nándar- og tækjaupplæstri frekar en samband við útgáfuyfirvöld í rauntíma.

Þetta er rétta notendaupplifunin: hröð, staðfestanleg, lítið ífarandi og einföld.

Hvað framtíðar IDP er ekki

Til að vera skýr: framtíðar IDP er ekki:

• Sjálfstætt ökuskírteini
• Mynd af korti
• Altæk safn persónuauðkennigagna
• Eftirlitsgangur í höndum staðfestingaraðila
• Pappír á stafrænu sniði
• Blokkaketjuháð traustskerfi

Það er vandlega stjórnað kynningarlagi ofan á innlend ökuréttindi. Það er minna dramatískt — og mun líklegra til að virka.

Hvers vegna flutningsleiðin skiptir jafn miklu máli og arkitektúrinn

Besti arkitektúrinn er gagnslaus ef flutningsleiðin er ekki raunhæf. Ríkisstjórnir munu ekki skipta um hvert pappírsverkflæði yfir nótt — og þær ættu ekki að gera það.

Raunhæf leið lítur svona út:

1. Stig 1: Halda pappír. Bæta við öruggum stafrænum fylgifélaga.
2. Stig 2: Staðfesta traustalista útgefenda og flokka staðfestingaraðila.
3. Stig 3: Styðja bæði nándar- og fjarskynningu.
4. Stig 4: Færa reglulegar kannanir og bílaleigur yfir á stafrænar-fyrstu flæði.
5. Stig 5: Minnka pappírsbæklinginn niður í varastöðu frekar en aðalstöðu.

Sú leið samræmist þar sem staðlarstarf og opinbert vistukerfisstarf eru þegar að fara: einskjalsrök ISO, innviðir traustsþjónustu AAMVA, veskimiðaðar mDL-notkunartilvik EUDI og hreyfing UNECE í átt að rafrænum leyfislíkönum samræmdum ISO/IEC 18013-5.

Kjarnariðið í einni setningu

Hér er rökstuðningurinn einþjappað: Framtíðar IDP er ekki stafrænn bæklingur. Það er stjórnað svar við þverlandamæratrustsvandamáli.

Ekki betri útlit á gamla skjalinu — betra kerfi. Kerfi þar sem:

• Lagalegur réttur kemur enn frá þjóðlegu yfirvaldi
• Handhafinn stjórnar kynningu
• Staðfestingaraðilinn fær aðeins það sem hann þarf
• Traust er hægt að athuga án sjálfgefins eftirlits
• Notkun á netinu og í eigin persónu deila einni arkitektúr
• Pappír lifir aðeins þar sem hann hefur enn verklegt gildi

Þetta er staðallinn sem miða á að.

Þegar þú sérð vandamálið á þennan hátt, er áhugaverða spurningin ekki lengur hvort IDP eigi að verða stafrænt. Áhugaverða spurningin verður: hverjir eru tilbúnir að hanna þverlegar ökumannsauðkennislagið með nógri alvöru til að skipta um pappír án þess að endurskapa veikleika hans — eða bæta við nýjum?

Ekkert af þessu er tilgáta. Núverandi mDL-starf NIST lýsir veski í stjórn notandans, staðfestingaraðila sem staðfestir áreiðanleika án þess að þurfa að hafa beint samband við útgefandann, og skilríkivistukerfi byggt upp í kringum útgefendur, veski og staðfestingaraðila. Stafræn traustsþjónusta AAMVA er þegar til staðar til að dreifa opinberum lyklum útgáfuyfirvalda. mDL-handbók ESB lýsir heimiluðum útgefendalista og skráningu trúnaðaraðila innan víðara traustsskerðis.