პოლიცია, გამქირავებლის სტენდი, დამსაქმებელი, დამზღვევი: რატომ არ უნდა ნახონ ერთი და იგივე მონაცემები

მომავლის საერთაშორისო სამძღოლო მოწმობის (სსმ) ყველაზე დიდი სადიზაინო შეცდომა იქნებოდა ყველა ვერიფიკატორის ერთნაირ ვერიფიკატორად მიჩნევა. საგზაო პოლიციელი, მანქანის გამქირავებლის სტენდი, დამსაქმებელი და დამზღვევი არ სვამენ ერთსა და იმავე კითხვას — ამიტომ მათ არ უნდა მივაწოდოთ ერთი და იგივე პასუხი.

ერთი მძღოლი. ერთი ძირეული სამძღოლო უფლება. ერთი საფულე. მაგრამ ოთხი სრულიად განსხვავებული ვერიფიკატორი:

• საგზაო პოლიციელი გზის პირას
• მანქანის გამქირავებლის სტენდი გატანის დროს
• დამსაქმებელი, რომელიც ამოწმებს სატრანსპორტო პარკის გამოყენების უფლებამოსილებას
• დამზღვევი, რომელიც განიხილავს სადაზღვევო სარჩელს

თუ მომავლის სსმ ოთხივეს ერთსა და იმავე მონაცემებს უჩვენებს, სისტემამ უკვე ჩაიგდო. არა იმიტომ, რომ სერთიფიკატი არასაიმედოა, არამედ იმიტომ, რომ გამჟღავნების მოდელი ზედმეტად მარტივია.

სტანდარტების საზოგადოება უკვე გადადის ამ მარტივი მოდელიდან. W3C-ის verifiable-credentials სამუშაო აღწერს ეკოსისტემას გამცემების, მფლობელების და ვერიფიკატორების გარშემო, სადაც დამსაქმებლები და ვებსაიტები მოყვანილია ვერიფიკატორების მაგალითებად. ევროკავშირის მობილური სამძღოლო მოწმობის (mDL) სამუშაო უკვე განიხილავს საგზაო შემოწმებებსა და მანქანების გაქირავებას ვერიფიკაციის ცალ-ცალკე სცენარებად, მათ შორის გაქირავებისთვის დისტანციური წინასწარი გაზიარება და პოლიციისთვის პირადი შემოწმება. არქიტექტურა უკვე შექმნილია მრავალი ტიპის ვერიფიკატორისთვის. შეცდომა იქნება მომხმარებლის გამოცდილების ისე შემუშავება, თითქოს მხოლოდ ერთი ტიპი არსებობდეს.

რატომ გვასწავლა ფიზიკურმა ბარათმა არასწორად ფიქრი

ფიზიკურმა სამძღოლო მოწმობამ გვასწავლა ყველაფრის ჩვენების მიდგომა. გადასცემ ბარათს. მეორე პირი ხედავს, რაც ბარათზეა. ეს მთელი ურთიერთქმედებაა.

ეს მიდგომა მისაღებია ქაღალდის სამყაროში, რადგან სხვა ვარიანტი არ არსებობს. ის მიუღებელი ხდება ციფრულ სამყაროში.

W3C VC Data Model 2.0 პირდაპირ განაცხადებს: სამძღოლო მოწმობა შეიძლება შეიცავდეს პირადობის ნომერს, სიმაღლეს, წონას, დაბადების თარიღს და საცხოვრებელ მისამართს — მაგრამ ეს მაინც შეიძლება გაცილებით მეტი იყოს, ვიდრე საჭიროა კონკრეტული ტრანზაქციისთვის. ძირითადი პუნქტები მიმდინარე სტანდარტებიდან:

• W3C-ის საუკეთესო პრაქტიკა: მხარდაჭერა სელექციური გამჟღავნებისთვის და მხოლოდ მკაცრად საჭიროს მოთხოვნა
• ევროკავშირის მონაცემთა დაცვის სახელმძღვანელო: დამუშავება შეზღუდული უნდა იყოს კონკრეტული მიზნებით, ხოლო დამუშავებული მონაცემები საჭირო და პროპორციული უნდა იყოს
• მომავლის სსმ-ის პირველი პრინციპი: ერთი სერთიფიკატი არ ნიშნავს შემოწმების ერთსა და იმავე უფლებას

სწორი მოდელი არის პოლიტიკაზე დაფუძნებული გამჟღავნება

სერიოზული არქიტექტურის სასურველი მოდელი უფრო ახლოს არის ატრიბუტებზე დაფუძნებულ წვდომის კონტროლთან, ვიდრე ციფრული ბარათის წარდგენასთან.

NIST SP 800-205 განსაზღვრავს წვდომის კონტროლის გადაწყვეტილებებს, როგორც სუბიექტთან, ობიექტთან, მოთხოვნილ ოპერაციასთან და გარემო პირობებთან დაკავშირებული ატრიბუტების შეფასებას პოლიტიკის მიხედვით. ეს ზუსტად სწორი სტრუქტურაა მომავლის სსმ-ისთვის:

• სუბიექტი: მძღოლი
• ობიექტი: მოთხოვნილი მონაცემთა ველები
• მოქმედება: არა “სამძღოლო მოწმობის ნახვა” აბსტრაქტულად, არამედ კონკრეტული რამ, მაგალითად “B კატეგორიის მართვის უფლების გზის პირას დადასტურება” ან “ჯავშნისთვის გაქირავების უფლებამოსილების დადასტურება”
• გარემო: გზის პირა, გამქირავებლის სტენდი, დისტანციური წინასწარი შემოწმება, სატრანსპორტო პარკის ჩარიცხვა და ზარალის შემდგომი სარჩელის განხილვა სხვადასხვა გარემოა და უნდა იწვევდეს სხვადასხვა გადაწყვეტილებებს

NIST ასევე აღნიშნავს, რომ ატრიბუტების სისტემებს სჭირდება დეტალურობა, მართვა და ატრიბუტების შემცირების, დაჯგუფებისა და მინიმიზაციის მექანიზმები.

ამიტომ მომავლის სსმ-მა არ უნდა ჰკითხოს: შეუძლია თუ არა ამ ვერიფიკატორს სამძღოლო მოწმობის წაკითხვა? უნდა ჰკითხოს: რომელი მტკიცებები შეიძლება მიიღოს ამ ვერიფიკატორმა, რომელი განსაზღვრული გამოყენებისთვის, ამ გარემოში, რა შენახვის წესებით?

ვერიფიკატორმა თავი უნდა გააცნოს რაიმეს მოთხოვნამდე

მომავლის სსმ არ უნდა დაიწყოს საფულის მიერ მონაცემების ჩვენებით. ის უნდა დაიწყოს ვერიფიკატორის მიერ საკუთარი ვინაობის დამტკიცებით.

EUDI-ს არქიტექტურა ამის შესახებ ნათელია. დამოკიდებულ მხარეებს მოეთხოვებათ:

• დაარეგისტრირონ, რომელი ატრიბუტების მოთხოვნა აქვთ განზრახული და რა მიზნით
• მიიღონ წვდომის სერთიფიკატები
• დაადასტურონ თავი საფულესთან ნებისმიერი გამჟღავნებამდე
• შეამოწმონ თავიანთი დარეგისტრირებული სფერო, სადაც რეგისტრაციის ინფორმაცია ხელმისაწვდომია

მომხმარებელს შემდეგ შეუძლია დაინახოს, ვინ ითხოვს, რა ითხოვება და არის თუ არა მოთხოვნა დარეგისტრირებული სფეროს ფარგლებში.

ETSI-ის მიმდინარე სამუშაო საფულე-დამოკიდებული მხარის სერთიფიკატებზე ამას უფრო კონკრეტულს ხდის. საფულე-დამოკიდებული მხარის რეგისტრაციის სერთიფიკატს შეუძლია აღწეროს დამოკიდებული მხარის განსაზღვრული გამოყენება და ატრიბუტები, რომლებიც მან დაარეგისტრირა მოთხოვნისთვის. დაკავშირებული წვდომის სერთიფიკატი არსებობს იმის უზრუნველსაყოფად, რომ მოთხოვნა მოდის ლეგიტიმური, უფლებამოსილი მხარისგან. ETSI ასევე მოიცავს დამოკიდებული მხარის მეტამონაცემებს, მათ შორის:

• სავაჭრო სახელი
• მხარდაჭერის URI
• განსაზღვრული გამოყენება
• უფლებები
• რეესტრის URI
• საზედამხედველო ორგანოს ინფორმაცია

მომავლის სსმ-ის მეორე პრინციპი: ვერიფიკატორის ვინაობის გარეშე — გამჟღავნება არ ხდება.

რატომ არ არის საკმარისი თანხმობის ეკრანები

კიდევ ერთი შეცდომაა: მომხმარებლის დამტკიცების გაიგივება სამართლებრივ ლეგიტიმურობასთან.

EUDI-ს არქიტექტურა პირდაპირ ამბობს, რომ ატრიბუტების წარდგენაზე მომხმარებლის დამტკიცება არ უნდა ჩაითვალოს დამოკიდებული მხარის მიერ პერსონალური მონაცემების დამუშავების კანონიერ საფუძვლად. დამოკიდებულ მხარეს მაინც უნდა ჰქონდეს საკუთარი კანონიერი საფუძველი. EUDI ასევე მოითხოვს მომხმარებლის დამტკიცებას ყველა გამოყენების შემთხვევაში, მათ შორის შემთხვევებში, სადაც დამოკიდებული მხარე შეიძლება სამართალდამცავი ან სხვა სამთავრობო უწყების ნაწილი იყოს.

კარგი საფულის ინტერფეისი შეიძლება დაეხმაროს, მაგრამ მას თავისთავად არ შეუძლია ვერიფიკატორის გადამეტების გადაჭრა. წესი ინტერფეისამდე უნდა არსებობდეს.

ამიტომ მომავლის სსმ-ს ორივე სჭირდება:

• კრიპტოგრაფიული ვერიფიკატორის ავთენტიფიკაცია იმის დასადასტურებლად, ვინ ითხოვს
• პოლიტიკის შეზღუდვები იმაზე, თუ რას შეიძლება ითხოვდეს ამ ვერიფიკატორის კატეგორია

ორივეს გარეშე, “მომხმარებლის არჩევანი” ხდება პოლიტიკური წარუმატებლობის ინდივიდზე გადაბრალების გზა.

1. პოლიცია: მართვის უფლების დადასტურება, არა მთელი პიროვნების

საგზაო პოლიციის სცენარი ყველაზე კონცენტრირებულია.

ევროკავშირის mDL სახელმძღვანელო ამას პირდაპირ აღწერს: პოლიცია ან სხვა მოხელეები ამოწმებენ სამძღოლო მოწმობას სავალდებულო შემთხვევებში, მათ შორის მოწმობის მოქმედებასა და სატრანსპორტო საშუალების უფლებებს. მომხმარებლის გზავნილში ოფიცერი ამოწმებს სამძღოლო მოწმობას QR-კოდით გამოწვეული ნაკადის, Bluetooth-ის, Wi-Fi Aware-ის ან NFC-ის მეშვეობით. ეს კონცენტრირებული ვერიფიკაციის ამოცანაა:

• არის თუ არა ეს პირი სერთიფიკატის მფლობელი?
• მოქმედია თუ არა სერთიფიკატი?
• რა სატრანსპორტო საშუალების უფლებები და შეზღუდვები გამოიყენება?

ნაგულისხმევად დაშვებული:

• სახელი
• პორტრეტი
• სამძღოლო მოწმობის სტატუსი
• გაცემისა და ვადის გასვლის თარიღები
• კატეგორიები
• მართვასთან დაკავშირებული შეზღუდვები
• გამცემი და იურისდიქცია
• სიახლე/სტატუსის შედეგი

ნაგულისხმევად არ არის დაშვებული:

• საცხოვრებელი მისამართი
• შიდა იდენტიფიკატორები, რომლებიც საჭირო არ არის გზის პირად გამოყენებისთვის
• სხვა ატესტაციებიდან დაუკავშირებელი ატრიბუტები
• ისტორიული წარდგენის ჟურნალები
• კომერციული მეტამონაცემები

AAMVA-ს განხორციელების სახელმძღვანელო ამტკიცებს პორტრეტის პუნქტს: თუ პორტრეტი მოთხოვნილია და ნებისმიერი სხვა ელემენტი გასაცემია, პორტრეტი უნდა გაზიარდეს, რათა ვერიფიკატორმა მონაცემები მის წარმომდგენ პირს დაუკავშიროს. იგივე სახელმძღვანელო ასევე ამბობს, რომ დაინტერესებულ მხარეებს არ შეუძლიათ mDL მფლობელების ან mDL გამოყენების თვალყურის დევნება, გარდა კანონმდებლობით მოთხოვნილი შემთხვევებისა.

პოლიციის შემთხვევა არ ეხება სახელმწიფოს ყველაფრის მიღებას. ის ეხება სახელმწიფოს მიერ საგზაო აღსრულებისთვის საჭირო მართვის სპეციფიკური მონაცემების მიღებას. ეს მნიშვნელოვანი განსხვავებაა.

2. გამქირავებლის სტენდი: უფლებამოსილება, ვინაობის შესაბამისობა და არაფერი ზედმეტი

გაქირავების შემთხვევა უფრო დეტალურია, რადგან სინამდვილეში ორი მომენტია: დისტანციური წინასწარი შემოწმება ჩასვლამდე და ავტომობილის გატანა, როდესაც პირი ან კიოსკი გადასცემს გასაღებებს.

ევროკავშირის mDL სახელმძღვანელო ორივეს მოდელავს. მანქანის გაქირავების სერვისმა შეიძლება მოითხოვოს mDL პირადობის დამადასტურებელ მოწმობასთან ერთად ჯავშნის დროს, დაადასტუროს ატესტაციები და მოგვიანებით პირადად გადაამოწმოს მომხმარებელი გატანისას სატრანსპორტო საშუალების გაშვებამდე. მომხმარებლებს შეუძლიათ გაუზიარონ თავიანთი mDL-ები მანქანის გამქირავებელ კომპანიებს პირადად ან დისტანციურად წინასწარ.

გამქირავებლის სტენდს ძირითადად ინციდენტის გამოძიება არ სჭირდება. მას სჭირდება გადაწყვეტილება: შემიძლია თუ არა ამ მომხმარებელს ამ ჯავშნისა და პოლიტიკის ფარგლებში ეს სატრანსპორტო საშუალება გავქირავო?

დისტანციური წინასწარი შემოწმება უნდა მოიცავდეს:

• ვინაობის კავშირს
• პორტრეტს ან ვინაობის შესაბამის ელემენტს
• შესაბამის სატრანსპორტო საშუალების კატეგორიას
• გაცემისა და ვადის გასვლის თარიღებს
• მიმდინარე მოქმედებას
• შესაძლოა ასაკის ზღვარს ან ასაკობრივ ჯგუფს

გატანისას დასტური:

• მფლობელი იგივე პირია, ვინც წინასწარი შემოწმება გაიარა
• მიმდინარე მოქმედება
• შესაბამისი უფლებები

ნაგულისხმევად არ არის საჭირო:

• სრული საცხოვრებელი მისამართი, სადაც ჯავშნის პროფილი უკვე შეიცავს საკონტაქტო მონაცემებს
• სრული დაბადების თარიღი, სადაც ასაკის ზღვარი ან ასაკობრივი ჯგუფი საკმარისია
• დაუკავშირებელი ვინაობის ატრიბუტები
• სრული სერთიფიკატის განმეორებითი წარდგენა, თუ ჯავშნის ატესტაცია უკვე არსებობს

NIST-ის მიმდინარე mDL არქიტექტურა აჩვენებს დამოკიდებულ მხარეს, რომელიც DCQL-ს იყენებს მხოლოდ საჭირო ატრიბუტების მოთხოვნისთვის, და პირდაპირ ამბობს, რომ ეს მხარს უჭერს მონაცემთა მინიმიზაციას და მფლობელის თანხმობას მოთხოვნის სტრუქტურირებით, ვიდრე სერთიფიკატის ერთ ერთეულად მიჩნევას. AAMVA დასძენს, რომ აპლიკაცია მკაფიოდ უნდა აჩვენებდეს, რა მონაცემები მოითხოვა და აპირებს თუ არა ვერიფიკატორი ინფორმაციის შენახვას.

3. დამსაქმებლები: ვერიფიკატორის კატეგორია, არა სრულ ვინაობაზე წვდომის გახსნა

W3C-ის მიმოხილვა იყენებს დამსაქმებლის ციფრული სისტემის მაგალითს, რომელიც ამოწმებს უნივერსიტეტის ხარისხს, როგორც ვერიფიკატორის მაგალითს. ეს გვახსენებს, რომ დამსაქმებლის ვერიფიკაცია სერთიფიკატის ეკოსისტემებში უკვე აღიარებული ნიმუშია.

დამსაქმებელს ან სატრანსპორტო პარკის ოპერატორს შეიძლება კანონიერად სჭირდებოდეს ცოდნა:

• არის თუ არა მუშაკი ამჟამად უფლებამოსილი გარკვეული სატრანსპორტო საშუალების კატეგორიების მართვაზე
• არსებობს თუ არა ძირითადი შეზღუდვები
• რჩება თუ არა მოქმედი უფლება

ეს რეალური ბიზნეს საჭიროებაა. მაგრამ ის ავტომატურად არ ამართლებს მუდმივ წვდომას სრულ სამძღოლო სერთიფიკატზე, სრულ ვინაობის მონაცემებზე ან განმეორებითი წარდგენების უწყვეტ ნაკადზე.

NIST გვაფრთხილებს, რომ ხელახალი გამოყენებადი იდენტიფიკატორის ხშირი გადაცემა და მომხმარებლების ვინაობის მატარებელი სერთიფიკატის განმეორებით წარდგენაზე პირობის დადება არასასურველია, და ამბობს, რომ ყოველდღიური ავთენტიფიკაცია უნდა ეყრდნობოდეს ავთენტიფიკაციისთვის შემუშავებულ ტექნოლოგიებს, მაგალითად passkeys-ებს. NIST ამჯობინებს ადგილობრივ მოწყობილობის ავთენტიფიკაციას სერვერის მხარის ბიომეტრიულ შედარებასთან, რადგან ის უკეთ იცავს კონფიდენციალურობას.

მომავლის სსმ არ უნდა გახდეს სამუშაო ადგილის სავიზიტო ბარათი.

დამსაქმებლისა და სატრანსპორტო პარკის გამოყენებისთვის, სწორი ნიმუში ჩვეულებრივ არის:

• სამუშაოსთვის რელევანტური უფლებამოსილების შემოწმება
• შესაძლოა პერიოდული შესაბამისობის ატესტაცია
• შესაძლოა მტკიცება, რომ მფლობელი მოქმედი რჩება კონკრეტული კატეგორიებისთვის
• მაგრამ არა ყველა სამძღოლო მოწმობის მონაცემის ნაგულისხმევი გადარიცხვა ყოველ ჯერზე, როდესაც თანამშრომელი შედის სისტემაში ან იწყებს ცვლას

სატრანსპორტო პარკის შესაბამისობა ცალკე დამოკიდებული მხარის კატეგორიაა, ცალ-ცალკე განსაზღვრული გამოყენებით და ცალ-ცალკე გამჟღავნების პროფილით.

4. დამზღვევები: სარჩელები არ არის მუდმივი ხილვადობის ნებართვა

სადაზღვევო შემთხვევა ხშირად რეალურია. ევროკავშირის mDL გამოყენების შემთხვევის მასალაში, დამზღვევები ირიბად ჩნდებიან გაქირავების სცენარში: სადაზღვევო კომპანიები ავალდებულებენ მანქანის გამქირავებელ კომპანიებს შეამოწმონ, აქვს თუ არა მანქანის მოქირავნეს მართვის უფლება. სადაზღვევო მომსახურება უკვე მოქმედებს სამძღოლო ვერიფიკაციის ნაკადზე.

მაგრამ ეს არ ნიშნავს, რომ დამზღვევმა უნდა მიიღოს ისეთივე მონაცემები, როგორც პოლიციამ, ან მუდმივი უფლება სერთიფიკატზე წვდომაზე.

მომავლის სსმ-მა დამზღვევები ცალ-ცალკე ვერიფიკატორის კატეგორიად უნდა განიხილოს ცალ-ცალკე განსაზღვრული გამოყენებებით:

• ანდერრაიტინგი
• გაქირავების რისკის ვერიფიკაცია
• ზარალის შემდგომი სარჩელის განხილვა
• თაღლითობის შემოწმება

ეს არ არის ერთი და იგივე მიზანი. ევროკავშირის მონაცემთა დაცვის პრინციპების მიხედვით, პერსონალური მონაცემები უნდა შეგროვდეს კონკრეტული მიზნებისთვის და შეზღუდული იყოს იმით, რაც საჭირო და პროპორციულია ამ მიზნისთვის. W3C-ის VC სახელმძღვანელო ტექნიკურად იმავე დასკვნამდე მიდის: ვერიფიკატორებმა უნდა მოითხოვონ მხოლოდ მკაცრად საჭირო.

ლეგიტიმური, მოვლენის სპეციფიკური მაგალითები:

• დასტური, რომ სამძღოლო მოწმობა მოქმედი იყო შესაბამის მომენტში
• შესაბამისი სატრანსპორტო საშუალების უფლებამოსილების დასტური
• ვინაობის კავშირის დასტური, სადაც საჭიროა სარჩელისთვის
• სარჩელის სპეციფიკური გამჟღავნება

ნაგულისხმევად არ არის დაშვებული:

• მუდმივი წვდომა ძირეულ სერთიფიკატზე
• განმეორებითი ზოგადი ვერიფიკაცია ყოველ ჯერზე, როდესაც მომხმარებელი ურთიერთობს დამზღვევთან
• სამძღოლო სერთიფიკატის გამოყენება შესვლის ნიშნად
• დაუკავშირებელი ატრიბუტების შეგროვება

სამძღოლო სერთიფიკატი არ არის მონიტორინგის გამოწერა. და ის ჩუმად ასეთი არ უნდა გახდეს.

რატომ უნდა იყოს შუამავლები ხილული

რეალური ბაზრები მოიცავს შუამავლებს. გაქირავების პლატფორმები, სატრანსპორტო პარკის მომწოდებლები, დამსაქმებლის HR სისტემები და სადაზღვევო სარჩელების პროცესორები ხშირად მოქმედებენ მესამე მხარეების მეშვეობით.

EUDI-ს არქიტექტურა ამას ასე უმკლავდება:

• შუამავლების განხილვა დამოკიდებულ მხარეებად
• მათი დარეგისტრირების მოთხოვნა
• შუამავლებული დამოკიდებული მხარისთვის მოთხოვნილი ატრიბუტების დარეგისტრირების მოთხოვნა
• შუამავლისა და საბოლოო დამოკიდებული მხარის ჩვენება მომხმარებელს
• შუამავლებს ეკრძალებათ ტრანზაქციის შინაარსის შესახებ მონაცემების შენახვა

მომავლის სსმ-მა არასოდეს უნდა დაუშვას ნიმუში, სადაც მომხმარებელს ეგონება, რომ ინფორმაციას ავლენს გამქირავებელ კომპანიაზე, მაგრამ სინამდვილეში ავლენს უხილავ ვერიფიკაციის ბროკერზე, ანალიტიკის პროცესორსა და სარჩელების მომწოდებელ ჯაჭვზე.

ETSI ამაში ეხმარება. მისი საფულე-დამოკიდებული მხარის სერთიფიკატის მოდელი მოიცავს მხარდაჭერის URI-ებს, განსაზღვრულ გამოყენებას, რეესტრის URI-ებს და საზედამხედველო ორგანოს მეტამონაცემებს. ეს ტიპის მანქანასაკითხავი ინფრასტრუქტურაა, რომელიც მომხმარებლებს სჭირდებათ, რათა გაიგონ, ვინ სინამდვილეში მოთხოვნის მეორე ბოლოშია და სად მიმართონ, როდესაც სურვილი აქვთ მონაცემების წაშლა ან გასწორება.

შენახვა წვდომის კონტროლის ნაწილია

სელექციური გამჟღავნების შესახებ უმეტეს დისკუსიებს ადრე მთავრდება. ისინი ყურადღებას ამახვილებენ იმაზე, რაც ვლინდება. ისინი არ ამახვილებენ საკმარის ყურადღებას იმაზე, რამდენ ხანს რჩება ეს შემდგომ.

მიმდინარე სახელმძღვანელო უკვე კონვერგდება:

• AAMVA: საფულემ მფლობელს მკაფიოდ უნდა უთხრას, რა მონაცემები მოითხოვა და აპირებს თუ არა ვერიფიკატორი ინფორმაციის შენახვას; დაინტერესებულ მხარეებს არ შეუძლიათ მფლობელების ან mDL გამოყენების თვალყურის დევნება, გარდა კანონმდებლობით მოთხოვნილი შემთხვევებისა
• W3C: მფლობელის პროგრამა უნდა უზრუნველყოფდეს ვერიფიკატორებთან გაზიარებული ინფორმაციის ჟურნალებს, რათა გამოვლინდეს ზედმეტი მოთხოვნები
• EUDI: მომხმარებლებს უნდა შეეძლოთ ტრანზაქციის ჟურნალებზე წვდომა, საეჭვო მოთხოვნების შეტყობინება და წაშლის მოთხოვნა

შენახვის კლასი გამჟღავნების პოლიტიკის ნაწილი უნდა იყოს:

• საგზაო პოლიციის შემოწმება: ნაგულისხმევად შენახვა არ ხდება კანონიერი ოპერაციული ჩანაწერის გარდა
• გაქირავების წინასწარი შემოწმება: ჯავშანთან დაკავშირებული ტრანზაქციის ჩანაწერი, არა ხელახლა გამოყენებადი ვინაობის ასლი
• დამსაქმებლის სატრანსპორტო პარკის შესაბამისობა: შესაბამისობის ჩანაწერი ან ატესტაციის შედეგი, არა ნედლი სერთიფიკატის მონაცემები
• დამზღვევის სარჩელი: სარჩელის ჩანაწერი, შეზღუდული სარჩელის ფარგლებში, არა მუდმივი წვდომა

მომავლის სსმ, რომელიც შენახვას უგულებელყოფს, მხოლოდ ნაწილობრივ იცავს კონფიდენციალურობას.

რა უნდა გადაწყვიტოს საფულემ

თუ მთელ ამ სტატიას ერთ განხორციელების წესამდე დავამცირებ, ის ასე იქნება:

საფულემ არ უნდა უპასუხოს კითხვას „შემიძლია ეს სერთიფიკატი წარვადგინო?” უნდა უპასუხოს კითხვას „შემიძლია ეს მტკიცებების ნაკრები წარვადგინო ამ ავთენტიფიცირებული ვერიფიკატორისთვის, ამ განსაზღვრული გამოყენებისთვის, ამ კონტექსტში, ამ შენახვის კლასის ქვეშ?”

ეს გადაწყვეტილება სულ მცირე ამ შეყვანებს უნდა ეყრდნობოდეს:

• ვერიფიკატორის ვინაობა
• ვერიფიკატორის კატეგორია
• განსაზღვრული გამოყენება
• დარეგისტრირებული ატრიბუტის სფერო
• გამჟღავნების პოლიტიკა გამცემისგან, თუ არსებობს
• გარემო (გზის პირა, გატანა, დისტანციური, სატრანსპორტო პარკი, სარჩელი)
• მფლობელის დამტკიცება
• გამოყენებადი შენახვის პოლიტიკა

სტანდარტები უკვე შეიცავს ამ მექანიზმების დიდ ნაწილს: სელექციური გამჟღავნება, დამოკიდებული მხარის ავთენტიფიკაცია, დარეგისტრირებული განსაზღვრული გამოყენება, წვდომის სერთიფიკატები, გამჟღავნების პოლიტიკის შეფასება და მიზნობრივი მოთხოვნები. რაც ჯერ კიდევ აკლია, არის ამ ნაწილების ერთ კოჰერენტულ გამჟღავნების არქიტექტურად მიჩნევის დისციპლინა.

მთავარი არგუმენტი

მომავლის სსმ-მა არ უნდა ჰკითხოს, შეიძლება თუ არა მონაცემების გამჟღავნება. უნდა ჰკითხოს:

• ვინ ითხოვს?
• რა მიზნით?
• რომელი ორგანოს ქვეშ?
• რომელ კონტექსტში?
• რა შენახვის შედეგებით?

პოლიცია, გამქირავებლის სტენდი, დამსაქმებლები და დამზღვევები არ არიან ოთხი ლოგო მოთხოვნის მეორე ბოლოში. ისინი ოთხი განსხვავებული რისკის მოდელია, ოთხი განსხვავებული სამართლებრივი კონტექსტი, ოთხი განსხვავებული მოთხოვნის მიზეზი — და მათ უნდა წარმოქმნან ოთხი განსხვავებული გამჟღავნების ნაკრები.

ეს არ არის ზედმეტი სირთულე. ეს არის ის, როგორ გამოიყურება თანამედროვე სამძღოლო სერთიფიკატი, როდესაც ის წყვეტს ყველა ვერიფიკატორის ერთნაირ ვერიფიკატორად მიჩნევას.