Үйге қоңырау шалу тексерісі жоқ: Болашақ цифрлық Халықаралық жүргізуші куәлігі неліктен әрбір пайдаланылуда берушіге хабарласпауы тиіс

Күшін жою — болашақ кез келген цифрлық Халықаралық жүргізуші куәлігіндегі (ХЖК) ең күрделі мәселе. Оны шешудің ең оңай жолы сонымен бірге ең қауіпті жол болып табылады: берушіні әрбір ұсыну сеансына қатысушы етіп айналдыру. Қазіргі заманғы шекараларалық жүргізуші тіркелгісі бұл қысқа жолдан бастапқы параметр ретінде бас тартуы тиіс.

Цифрлық сәйкестікке қатысты дерлік барлық ұсыныста бірдей тыныштандыратын сөйлем бар:

«Куәлікті лезде тексеруге болады.»

Кейде бұл сөйлем шын мәніндегі прогресті сипаттайды. Кейде ол — ыңғайлырақ пайдаланушы интерфейсі бар бақылауды сипаттайды.

Бүгінгі жарияланған стандарттар тексерушінің куәлік ұсынылған сайын берушімен хабарласуы шарт емес екенін айқын көрсетеді:

• NIST-тің қазіргі mDL архитектурасы тексерушінің берушімен тікелей байланыссыз-ақ берушінің қолтаңбасы мен ашық кілттеріне сүйене отырып, түпнұсқалық пен тұтастықты растай алатынын білдіреді.
• AAMVA ISO/IEC 18013-5 стандартының құрылғыдан алу режимін міндетті түрде қолдауды талап ететінін, ал серверден алуға тек қосымша рұқсат беретінін растайды.
• AAMVA сондай-ақ ескертеді — серверден алу режимінде берген орган әрбір пайдаланылуда нақты уақытта қатысады, яғни ол куәліктің қашан пайдаланылғанын, қандай деректер бөліскенін және IP-талдау арқылы орналасқан жерді де техникалық тұрғыдан тіркей алады.

Бұл шағын ескертпе емес. Бұл — шекараларалық жүргізуші куәліктерінің келесі буыны үшін орталық жобалау сұрағы.

Қауіпті қысқа жол: Төрт сұрақты бір желілік шақыруға біріктіру

Нашар архитектуралар берушіге бір тікелей шақыруда төрт мүлдем басқа сұрақты біріктіреді:

1. Бұл куәлік түпнұсқалы ма?
2. Оны ұсынып тұрған адам — заңды иесі ме?
3. Куәліктің өзі әлі жарамды ма?
4. Негізгі ұлттық жүргізу құқығы әлі күшінде ме?

Нашар жобаланған жүйе барлық төртеуіне нақты уақытта «үйге қоңырау шалу» арқылы жауап береді. Жақсы жобаланған жүйе оларды бөліп қарайды — себебі бұлар бір мәселе емес және оларда ортақ механизм болмауы тиіс.

Түпнұсқалықты желі арқылы емес, жергілікті деңгейде тексеру керек

Куәлік берушінің транзакцияны байқамай-ақ криптографиялық тұрғыдан түпнұсқалы болуы мүмкін.

• NIST-тің mDL сенім моделі түпнұсқалық пен тұтастықтың берушінің қолтаңбасы мен ашық кілттері арқылы расталатынын, яғни тікелей берушімен байланыс қажет емес екенін айтады.
• AAMVA-ның Digital Trust Service (Цифрлық сенім қызметі) — тексерушілерге транзакция бойынша кері шақырусыз жарамды берушінің ашық кілттеріне қол жеткізуді қамтамасыз ету үшін арнайы жасалған.

Жобалау принципі 1: Қолтаңбалар шешіп қойған мәселені шешу үшін тікелей байланысты пайдаланбаңыз.

Егер тексеруші сенімді берушінің кілттерін ұстап, стандарттарға сәйкес ұсыным алса, түпнұсқалықты тексеру — желіге тәуелді емес, жергілікті криптографиялық тексеру болып табылады.

Иеленуді жергілікті деңгейде дәлелдеу керек, жаһандық деңгейде хабарламау керек

Екінші сұрақ — бұл заңды иесі ме? — де желісіз жауап береді.

Қазіргі EUDI архитектурасы PID және ISO/IEC 18013-5 растамалары үшін құрылғыға байлауды міндетті етеді. Тексеруші әмияннан куәлікке енгізілген ашық кілтке сәйкес жеке кілтті пайдалана отырып, жаңа сынауды қолтаңбалауды сұрайды:

• ISO/IEC 18013-5 стандартында бұл mdoc аутентификациясы деп аталады.
• SD-JWT VC стандартында бұл кілтке байлау деп аталады.

Екі жағдайда да иелену жергілікті және криптографиялық тұрғыдан дәлелденеді. Жеке деректердің берушіге жетуі мүлдем қажет емес.

Жобалау принципі 2: Иеленуді жергілікті деңгейде дәлелдеңіз. Сәйкестікті жаһандық деңгейде дәлелдемеңіз.

Болашақ ХЖК берушi жағындағы кез келген механизмді қарастырмас бұрын, құрылғыға байлауды, жергілікті иеленуші аутентификациясын және тексеруші-сынауға жауап беруді толық пайдалануы тиіс.

Куәліктің мәртебесі мен жүргізу құқығының мәртебесі — екі түрлі нәрсе

Көптеген цифрлық сәйкестік жобалары осы айырмашылықты бұлыңғырлатады, сол жерде олар қателеседі.

W3C-нің Bitstring Status List спецификациясы мұны айқын баяндайды: тексерілетін куәлікке тіркелген мәртебе ақпараты тексерілетін куәліктің өзіне қолданылады — базалық нақты дүниедегі құқыққа міндетті түрде емес. Цифрлық куәліктің қол қою механизмі бұзылғандықтан күші жойылуы мүмкін, ал негізгі жүргізу құқығы толық жарамды болып қала береді.

Сондықтан болашақ ХЖК-де екі бөлек мәртебе деңгейі қажет:

• Куәліктің мәртебесі деңгейі — цифрлық куәліктің немесе ұсыным арнасының өзі үшін.
• Жүргізу құқығы деңгейі — жүруге берілген негізгі ұлттық құқық үшін.

Кейде бұлар бір уақытта өзгереді. Жиі өзгермейді. Оларды шатастыратын жүйе артық әрекет жасайды, қажетсіз деректерді ашады немесе екеуін де жасайды.

Әмиянның бұзылуы мәртебе арқылы таралуы керек — тексерушінің кері шақыруын қозғамауы керек

Болашақ ХЖК-де әмиян бұзылған жағдайда не болатынына нақты жауап да керек.

EUDI архитектурасы мұндай жауапты ұсынады:

• Әмиян провайдері күшін жою ақпаратын қамтитын Әмиян бірлігі растамаларын береді.
• Әмияннің тұтастығы уақыт өте тексеріледі; егер әмиян енді қауіпсіз болмаса, оның растамасының күші жойылады.
• PID провайдерлері әмияннің күші жойылғанын үнемі тексеруі тиіс. Жойылған болса, олар PID-тің де күшін жояды.
• PID мәртебесін тексере отырып, тәуелді тарап жанама түрде әмиянның мәртебесін де тексереді.

Болашақ ХЖК-де қабылдау керек қабаттасу осы. Әрбір тексерушіден әмиян провайдерін дербес тексеруін талап етпеңіз. Әмияннің бұзылуы бар болатын куәлік-мәртебе арнасы арқылы таралсын, тексерушілер сол бірыңғай конфиденциалдықты сақтайтын арнаға жүгінсін.

Үш жұмысқа жарамды күшін жою үлгісі (кері шақырусыз)

EUDI провайдерлерден үш күшін жою әдісінің бірін пайдалануды талап етеді:

• Қысқа мерзімді растамалар — 24 сағат немесе одан аз жарамды, сондықтан күшін жою қажетсіз болады.
• Растама мәртебесі тізімі — тексерушілер жүгіне алатын жарияланған тізім.
• Растаманың күшін жою тізімі — күші жойылған куәліктердің нақты тізімі.

24 сағаттан ұзақ жарамды растамалар үшін EUDI мыналарды қамтитын күшін жою ақпаратын енгізуді талап етеді:

• Тәуелді тараптардың мәртебе тізімін жүктеп алуына арналған URL мекенжайы.
• Куәлікті сол тізімдегі орнын анықтайтын идентификатор.

Егер сенімді күшін жою ақпараты қол жетімді болмаса — мысалы, тәуелді тарап желіден тыс болғанда — EUDI куәлікті қабылдамас немесе қабылдамас бұрын тәуелді тарапқа тәуекелді талдау жүргізуді ұсынады.

Қорытынды: күшін жою — бірыңғай механизм емес, және ол міндетті берушінің кері шақыруларын ақтамайды.

Бастапқы параметр бойынша қысқа мерзімді, тек қажет жерде ұзақ мерзімді

Бүкіл стектегі ең тиімді конфиденциалдық шараларының бірі — ең қарапайымы да: ұсынылатын нәрсені қысқа мерзімді ұстаңыз.

• EUDI 24 сағат немесе одан аз жарамды растамалар күшін жою инфрақұрылымын қажет етпейді дейді — олар күшін жою маңызды болмас бұрын мерзімі өтеді.
• W3C тексерілетін ұсынымдар әдетте қысқа мерзімді және ұзақ мерзімді сақтауға арналмаған дейді.
• NIST күнделікті пайдалану үшін қайта пайдалануға болатын идентификаторларды қайта-қайта беруге қарсы нақты ескертеді. Күнделікті аутентификация passkeyлер сияқты осы мақсатқа арналған технологияларға сүйенуі тиіс, сәйкестік деректері мол куәліктерді қайталай ұсынуға емес.
• NIST сондай-ақ конфиденциалдықты сақтайтын және операциялық тұрғыдан тиімдірек болғандықтан, серверлік биометриялық сәйкестендіру емес, жергілікті құрылғы аутентификациясын таңдады.

Жобалау принципі 3: Негізгі куәліктің орташа жарамдылық мерзімі болуы мүмкін, бірақ ұсынымның өзі қысқа мерзімді, тексерушіге тән және қайта пайдаланылмайтын болуы тиіс.

Мәртебе тізімдері — дұрыс бастапқы механизм

Барлығын қысқа мерзімді ете алмасаңыз, мәртебе инфрақұрылымы қажет — және мәртебе тізімі — дұрыс бастапқы таңдау.

W3C-нің Bitstring Status List v1.0 тоқтату немесе күшін жою сияқты мәртебе деректерін жариялауға арналған конфиденциалдықты сақтайтын, кеңістікті үнемдейтін, жоғары өнімді механизмді сипаттайды. Негізгі қасиеттері:

• Әрбір беруші берген куәліктері үшін тізімді жүргізеді.
• Пішім жақсы сығымдалады, себебі куәліктердің басым бөлігінің күші жойылмаған болады.
• Бастапқы тізім өлшемі — 131 072 жазба, W3C бұл орташа жағдайда топтық конфиденциалдықты жеткілікті деңгейде қамтамасыз етеді дейді.
• Топтық конфиденциалдықты күшейтіп тұру қажет жерде үлкенірек тізімдер пайдаланылуы мүмкін.

Бұл сұрақты:

«Берушіден осы пайдаланушы туралы қазір сұрай аламын ба?»

деген сұраудан:

«Жергілікті шешім қабылдауға жеткілікті жаңа конфиденциалдықты сақтайтын мәртебе тізімім бар ма?»

деген сұрауға ауыстырады.

Бұл — техникалық та, саяси та тұрғыдан анағұрлым дұрыс сұрақ.

«Үйге қоңырау шалмау» — жүктеп алу үлгісі, ұран емес

EUDI конфиденциалдық нұсқаулығындағы ең маңызды ереже — философиялық емес, процедуралық.

Тәуелді тараптар куәлік ұсынылған сайын мәртебе тізімін сұрауға міндетті емес. Оның орнына олар:

• Тізімнің әрбір жаңа нұсқасын бір рет жүктеп алуы тиіс.
• Мұны кез келген пайдаланушы ұсынымымен байланысы жоқ уақытта және орында жасауы тиіс.
• Тізімді тәуелді тарап ұйымы ішінде ішкі жолмен таратуы тиіс.
• Тізімді тәуелді тарапты аутентификациясыз алуы тиіс.

Міне, «үйге қоңырау шалусыз» тексерудің операциялық өзегі: мәртебені пайдаланушы ұсынымдарынан бөлек жаңартыңыз — ешқашан жеке тұлға бойынша, ешқашан транзакция бойынша емес.

Осы бірыңғай жобалық шешім беруші немесе мәртебе провайдерінің қай тексеруші қай сәтте қай куәлікті тексергенін білуіне жол бермейді.

Топтық конфиденциалдық: Көптеген жобалар ұмытатын талап

Көптеген жүйелер ұсыным ішіндегі таңдамалы ашықтықты жариялайды, содан кейін мәртебені тексерудің конфиденциалдығын үнсіз елемейді. Бұл — елеулі олқылық.

EUDI конфиденциалдық талаптары мыналарды айтады:

• Мәртебе тізімдеріндегі индекстер кездейсоқ тағайындалуы тиіс, сондықтан индекстің өзі ешқашан бақылау сигналына айналмайды.
• Әрбір тізім топтық конфиденциалдықты қамтамасыз ету үшін жеткілікті көп куәлікті қамтуы тиіс.
• Тізім тым аз болып қалатын болса, провайдерлер нақты куәліктер санын жасыру үшін пайдаланылмаған жазбалар қосуы тиіс.

Болашақ ХЖК тек таңдамалы ашықтық есебінен конфиденциалдықты сақтаймын деп мәлімдей алмайды. Егер күшін жою механизмі ұсыным оқиғасын ашып берсе, конфиденциалдық жобасы толық емес.

Желіден тыс жұмыс — шеткі жағдай емес, негізгі талап

Тамаша байланысты болжайтын кез келген саяхат жүйесі нашар жобаланған.

• AAMVA құрылғыдан алу режимі иеленуші құрылғысы да, оқырман да үшін сыртқы байланыссыз жұмыс істейтінін растайды, және ISO/IEC 18013-5 mDL-дердің құрылғыдан алуды қолдауын талап ететінін айтады.
• EUDI тәуелді тараптар желіден тыс болып, кэштелген мәртебе тізімі болмауы мүмкін екенін мойындайды, мұндайда шешім қабылдамас бұрын тәуекелді талдау жүргізуді ұсынады.

Бұл алмасуды ерте қабылдаңыз:

Тамаша желіден тыс жұмысқа да, нақты уақыттағы тамаша жаңалыққа да бір уақытта ие болу мүмкін емес.

Екеуін де ешқандай ымыратастысыз уәде ететін кез келген архитектура не дәл емес, не үнсізше бақылауды қайта енгізіп жатыр. Дұрыс жауап — жаңалықты жалпыға ортақ желілік тәуелділік емес, саясаттық кіріс ретінде қарастыру.

Журналдар — конфиденциалдықтың үнсіз жойылатын жері

Тіпті өте жақсы мәртебе архитектурасын да абайсыз журнал жүргізу бұзып жіберуі мүмкін.

• EUDI тәуелді тарап инстанцияларынан бірегей элементтер мен уақыт белгілерін қажеттілік жойылғаннан кейін дереу жоюды және оларды жіберуге тыйым салуды талап етеді.
• AAMVA мүдделі тараптардың заңмен талап етілетін жағдайлардан басқа mDL иеленушілерін немесе mDL пайдалануын бақылауға тыйым салады, беруші органдардан статикалық немесе ұзақ мерзімді метадеректерді бөлісуді барынша азайтуды талап етеді және іс-әрекет журналына кіруді тек иеленушімен шектейді.
• AAMVA сондай-ақ құрылғыда жою пайдалану тарихын ашып беруі мүмкін журнал ақпараты мен метадеректерді жоюды талап етеді — және бұл жоюдың желіден тыс жүргізілуі мүмкін екенін айтады.

Бұл — әкімшілік тәртіп жұмысы емес, хаттамалық мінез-құлық. Болашақ ХЖК ұзақ мерзімді идентификаторларды, уақыт белгілерін және журналдарды нақты дәлелденбесе, ықтимал бақылау құралдары ретінде қарастыруы тиіс.

Болашақ ХЖК үшін нақты «үйге қоңырау шалмайтын» архитектура

Принциптерді біріктіре келе, жүйе нақты не жасауы тиіс:

1. Құрылғыға байланған негізгі куәлік беріңіз. Куәлікті әмияннің қауіпсіз ортасында қорғалған кілттерге байлаңыз — EUDI-де PID және ISO/IEC 18013-5 растамалары үшін міндетті.
2. Тек қажет нәрсені, жаңа сынаумен сұраңыз. OpenID4VP транзакциясында DCQL сұранысы әмиянға иеленушіге қандай атрибуттар сұралғанын көрсетуге мүмкіндік береді, ал тексеруші қайтарып ойнауды болдырмау үшін сынау береді (NIST-тің қазіргі mDL архитектурасына сәйкес).
3. Қайта пайдаланылатын идентификатор емес, қысқа мерзімді ұсыным жасаңыз. Әрбір ұсыным тексерушіге, сұранысқа және сәтке тән болуы тиіс.
4. Түпнұсқалықты жергілікті деңгейде тексеріңіз. Беруші қолтаңбалары мен ашық кілттерін желіден тыс тексеріңіз; AAMVA-ның сенім қызметі дәл осы үшін жасалған.
5. Мәртебені кэштелген, бөлек жаңартылатын тізімдерден тексеріңіз. Куәліктер күшін жоюды өткізіп жібере алмайтындай ұзақ мерзімді болса, пайдаланушы ұсынымдарымен байланысы жоқ кестемен жаңартылатын жергілікті кэштелген мәртебе тізімдерін пайдаланыңыз.
6. Жаңалық қол жетімді болмаған жағдайда тәуекел саясатын қолданыңыз. Желіден тыс шешімдерді нақты тексеруші саясаты ретінде айқындаңыз, жүйесіз болжамдарға жол берме.
7. Бақылау деректерін белсенді жойыңыз. Транзакцияға тән элементтер мен уақыт белгілерін қажетсіз болғаннан кейін жойыңыз; қозғалыс тарихын қалпына келтіруі мүмкін журналдарды сақтамаңыз.

Байыпты «үйге қоңырау шалмайтын» архитектура осылай көрінеді — қабатты, конфиденциалдықты сақтайтын, криптографиялық тұрғыдан жергілікті және желіден тыс шындыққа операциялық тұрғыдан адал.

Жобалауда тыйым салынуы тиіс үш үлгі

Жетілген болашақ ХЖК экожүйесі мыналарды оңтайландыру таңдаулары емес, архитектуралық сәтсіздіктер ретінде қарастыруы тиіс:

• Әрбір ұсыным кезінде берушіге міндетті кері шақырулар. AAMVA-ның өз конфиденциалдық нұсқаулары неліктен зиянды екенін түсіндіреді.
• Жүргізуші куәлігін күнделікті жүйеге кіруге пайдалану. NIST сәйкестік деректері бар куәліктерді күнделікті аутентификация үшін қайталай ұсынуға нақты қарсы ескертеді.
• Ұсыным тарихын қалпына келтіруі мүмкін идентификаторларды, уақыт белгілерін және журналдарды сақтау. EUDI де, AAMVA да керісінше талап етеді.

Негізгі аргумент бір сөйлемде

Лездік тексеру берушінің бақылауына рұқсатқа айналмауы тиіс.

Болашақ ХЖК мыналарды орындай алуы тиіс:

• Түпнұсқалықты жергілікті деңгейде дәлелдеу.
• Иеленуді жергілікті деңгейде дәлелдеу.
• Жаңалықты жеке түрде тексеру.
• Желіден тыс шындыққа төзімді болу.
• Тамаша ақпарат қол жетімді болмаған кезде дұрыс жұмыс істеу.

Мұның ешқайсысы жүйені әлсіретпейді. Бұл оны ауқымды деңгейде енгізуге лайықты етеді.

Жүргізуші куәлігі кім нені, қайда және қашан көрсеткенін тіркейтін құралға айналған сәтте, ол қағаздың қауіпсізірек нұсқасы болуын тоқтатады. Ол бақылау инфрақұрылымына айналады.

Болашақ ХЖК дәл осыған айналудан бас тартуы тиіс.

Жиі қойылатын сұрақтар

«Үйге қоңырау шалу тексерісі» дегеніміз не?
Бұл — тексерушінің куәлікті растау үшін берушімен нақты уақытта байланысатын кез келген жобалау. Ол түпнұсқалық пен күшін жоюды бір уақытта шешсе де, берушіге әрбір ұсыным оқиғасын байқауға мүмкіндік береді.

ISO/IEC 18013-5 онлайн берушімен байланысты талап ете ме?
Жоқ. AAMVA ISO/IEC 18013-5 стандартының құрылғыдан алуды қолдауды талап ететінін және серверден алуға тек қосымша рұқсат беретінін растайды.

Берушімен байланыссыз күшін жою қалай жұмыс істей алады?
Қысқа мерзімді куәліктер, растама мәртебесі тізімдері немесе растаманы күшін жою тізімдері арқылы — тәуелді тарап мәртебе деректерін пайдаланушы ұсынымдарынан бөлек жүктеп алуы ең жақсы нұсқа.

Мәртебе тізімдері үшін «топтық конфиденциалдық» неліктен маңызды?
Егер мәртебе тізімі тым аз болса немесе оның индекстері болжамды болса, мәртебе сұранысы нақты қандай куәліктің жаңа ғана ұсынылғанын ашып беруі мүмкін. Кездейсоқ индекстер және үлкен тізімдер мұның алдын алады.

Желіден тыс тексеру шынымен практикалық па?
Иә — және AAMVA мен EUDI сияқты стандарттар органдары оны нақты талап етеді. Алмасу мынада: нақты уақыттағы тамаша жаңалық желіден тыс тамаша жұмыспен үйлеспейді, сондықтан жаңалық қатаң тәуелділік емес, саясаттық шешімге айналуы тиіс.