블록체인은 미래 국제운전면허증(IDP)에 선택 사항인 이유

미래의 국제운전면허증(IDP)에는 투명성, 신뢰 앵커, 공적 책임이 필요합니다. 하지만 기본적으로 운전자 본인을 분산 원장에 등록하는 것은 필요하지 않습니다.

디지털 국경 간 IDP에 관한 진지한 논의에는 항상 같은 제안이 따라옵니다: “그냥 블록체인에 올리면 되지 않나요?” 그 매력은 이해할 만합니다. 블록체인은 위변조 증거, 공유 가시성, 추가 전용 이력을 제공합니다. 이는 실질적인 특성입니다. 그러나 국경 간 운전자 신원이라는 맥락에서는, 이러한 특성이 매우 자주 잘못된 계층에 적용됩니다.

이 글에서는 그 이유를 설명하고, 표준이 실제로 무엇을 말하는지 살펴보며, 더 나은 아키텍처 패턴을 제시합니다.

표준이 블록체인에 대해 실제로 말하는 것

W3C 검증 가능 자격증명 데이터 모델은 검증 가능 데이터 레지스트리가 다음을 포함한 다양한 형태를 취할 수 있다고 명시합니다:

신뢰할 수 있는 데이터베이스
분산형 데이터베이스
정부 신원 데이터베이스
분산 원장

DID 코어 역시 명확합니다: 많은 DID 방식이 분산 원장 기술을 사용하지만, 전부 그런 것은 아닙니다. 즉, 표준은 이미 블록체인이 디지털 자격증명의 필수 기반이라는 생각을 거부합니다.

이것이 미래 IDP를 위한 올바른 출발점입니다. 유용한 질문은 “블록체인을 사용할 것인가, 아닌가?”가 아닙니다. 질문은 이것입니다:

어떤 계층에 실제로 투명성이 필요하며, 어떤 계층은 기본적으로 공공 인프라가 되어서는 절대 안 되는가?

블록체인은 요구 사항이 아닌 속성의 집합이다

첫 번째 실수는 “블록체인”을 단일 요구 사항으로 취급하는 것입니다. 블록체인은 요구 사항이 아니라 다음을 포함한 가능한 속성들의 묶음입니다:

공유 게시
추가 전용 이력
분산 운영
영수증 생성
일방적 변경에 대한 저항성

이 중 일부는 미래 IDP에 유용합니다. 일부는 관련이 없습니다. 그리고 일부는 인간 자격증명 주체에 적용될 때 적극적으로 위험합니다. W3C 레지스트리 모델이 의도적으로 여러 구현을 허용하는 것은, 서로 다른 생태계가 서로 다른 트레이드오프를 필요로 하기 때문입니다.

분리되어야 할 세 가지 문제

두 번째 실수는 세 가지 서로 다른 문제를 하나의 시스템으로 통합하는 것입니다. 미래 IDP에서 이 세 가지는 반드시 분리되어야 합니다:

법적 진실이 존재하는 곳. 운전 권한은 각 나라의 권위 있는 면허 기록에 속합니다.
신뢰 자료가 배포되는 방식. 발급자 키와 검증자 인증서는 통제된 신뢰 레지스트리에 속합니다.
생태계가 변경 사항을 감사하는 방법. 이는 투명성 계층에 속합니다.

실제 생태계는 이미 이런 방식으로 작동합니다. 미국 자동차관리자협회(AAMVA)의 디지털 신뢰 서비스는 검증자가 모바일 운전면허증(mDL)과 상호작용하기 전에 발급자 공개 키를 다운로드 가능한 목록으로 배포합니다. 유럽연합(EU) 모바일 운전면허 설명서는 회원국이 승인된 mDL 발급자를 유럽 집행위원회에 통보하고, 집행위원회가 해당 기관의 검증 목록을 게시하도록 규정합니다. 이것이 바로 블록체인 없는 신뢰 배포입니다.

인증서 투명성이 주는 교훈

공공 인터넷에서 가장 효과적인 투명성 모델은 소비자용 블록체인이 아닙니다. 그것은 바로 인증서 투명성(CT)입니다.

RFC 9162는 CT를 TLS 서버 인증서를 공개적으로 기록하는 프로토콜로 설명하며, 누구든지 다음을 할 수 있게 합니다:

인증 기관 활동 감사
문제 있거나 잘못 발급된 인증서 탐지
로그 자체 감사

CT의 핵심 설계 교훈: 투명성은 최종 사용자 활동이 아닌 발급자 행동과 신뢰 자료를 기록할 때 가장 가치 있습니다.

미래 IDP에 적용하면, 이는 다음과 같은 것들을 기록한다는 의미입니다:

발급자 키 발행 및 교체
신뢰 앵커 게시
검증자 범주 등록
정책 변경
적합성 선언
보안 관련 이벤트

이것이 의미하지 않는 것은 보유자, 자격증명 식별자, 또는 제시 이벤트의 공개 또는 반공개 원장을 만드는 것입니다. 그것은 투명성이 아닙니다. 그것은 과도한 데이터 수집입니다.

SCITT: 투명성은 진실과 다르다

IETF의 SCITT 아키텍처 초안은 이 사고를 확장합니다. SCITT는 검증 가능한 데이터 구조를 유지하고 서명된 진술의 포함을 증명하는 암호화 영수증을 발급하는 투명성 서비스를 정의합니다. 투명성 서비스의 신원은 의존 당사자에게 알려진 공개 키로 캡처되며, 신뢰 앵커와 등록 정책 자체도 투명하게 공개됩니다.

이것은 IDP 인프라에 강력한 모델입니다. 왜냐하면 투명성을 개인 이동 이벤트가 아닌 신뢰 자료 및 정책에 관한 감사 가능한 서비스로 전환하기 때문입니다.

SCITT는 또한 투명성의 한계에 대해서도 명확합니다:

등록된 진술은 발급자가 해당 진술을 작성하고 등록했다는 것만 증명할 뿐 — 진술이 무기한 정확하다는 것을 증명하지 않습니다.
나중에 서명된 진술이 이전 것을 대체할 수 있습니다.
투명성은 불정직하거나 침해된 발급자를 막지 못합니다; 책임을 지게 할 뿐입니다.

운전자 신원의 경우, 이 구분은 매우 중요합니다: 투명성 로그는 누군가의 운전 권한의 권위 있는 법적 상태가 아닌 증거 및 감사 이력입니다.

SCITT는 또한 투명성 서비스가 신뢰할 수 있는 하드웨어, 합의 프로토콜, 암호화 증거의 조합을 사용하여 추가 전용 순서를 보호할 수 있다고 언급합니다. 투명성 계층조차 특정 블록체인 설계를 요구하지 않습니다. 합의는 유일한 옵션이 아닌 하나의 옵션입니다.

미래 IDP를 위한 올바른 아키텍처 분리

미래 IDP는 관심사를 네 가지 구별된 계층으로 분리해야 합니다:

운전 자격자의 권위 있는 기록 (국가 면허 기관)
발급자 및 검증자 키를 위한 신뢰 레지스트리
최신성 및 폐지를 위한 상태 인프라
정책, 신뢰 앵커, 영수증, 적합성 선언의 공개 감사를 위한 선택적 투명성 계층

사람이 아닌 인프라를 위한 투명성

이 계층들을 분리하면, 블록체인 문제는 훨씬 더 명확해집니다. 이제 질문은 “미래 IDP가 블록체인 위에 있어야 하는가?”가 아닙니다. 질문은 이렇게 됩니다:

어떤 계층이, 있다면, 실제로 추가 전용 공개 감사의 혜택을 받는가?

온체인 운전자 신원이 잘못된 기본값인 다섯 가지 이유

1. 지속적인 추적 신호를 생성한다

유럽 디지털 신원 지갑(EUDI) 개인정보 보호 연구는 증명 제시에 다음과 같은 고유 값이 포함될 수 있다고 설명합니다:

솔트(salt)
해시 값
폐지 식별자
기기 바인딩 공개 키
서명
타임스탬프

이 값들은 동일한 증명에 대해 고정되어 있기 때문에, 의존 당사자들이 서로 다른 거래를 연결하고 사용자의 행동 프로필을 구축할 수 있게 합니다. EUDI는 이것이 별도의 지갑 활동이 결합되지 않을 것이라는 합리적인 기대를 위반한다고 명시적으로 경고합니다.

안정적인 보유자 식별자, 안정적인 자격증명 식별자, 재사용 가능한 해시, 또는 개별적으로 추적 가능한 폐지 이벤트를 공개 원장에 게시한다면, 추적 문제를 해결하는 것이 아닙니다 — 그것을 영구적으로 만드는 것입니다.

2. 폐지 및 최신성 이벤트를 노출한다

W3C 비트스트링 상태 목록 권고안은 이 문제를 명확히 설명합니다: 자격증명과 그 상태가 게시된 URL 사이에 일대일 매핑이 있다면, 게시자는 보유자, 검증자, 확인 시간을 연결할 수 있습니다. 이 사양은 운전면허증 예시를 사용하여 이용 시설 입장 시 발급자가 추적하는 것이 일반적인 개인정보 기대를 어떻게 위반하는지 설명합니다.

비트스트링 상태 목록이 제안하는 더 나은 기본값:

많은 자격증명이 하나의 상태 리소스를 공유하는 크고 압축 가능한 상태 목록
기본 목록 길이 131,072개 항목
의존 당사자가 스스로 인증하지 않고 별도로 새 버전 다운로드
무작위 인덱스 및 그룹 개인정보 보호 보장

이것은 개별화된 온체인 폐지 추적의 반대입니다.

3. 자격증명 상태와 법적 운전 상태를 혼동한다

디지털 자격증명은 서명 메커니즘이 침해받았기 때문에 폐지될 수 있습니다 — 실제 운전 권한은 여전히 유효한 경우에도 말입니다. 자격증명 이벤트의 공개 원장은 국가 운전 기록의 권위 있는 상태를 대체하는 깔끔한 수단이 아닙니다.

SCITT는 이 점을 강조합니다: 등록된 진술은 나중에 새 진술로 대체될 수 있으며, 의존 당사자는 정책과 이력을 기반으로 무엇을 신뢰할지 결정합니다. 로그는 영구적인 진실이 아닙니다. 그것은 누가 무엇을, 언제, 어떤 정책 하에 말했는지에 대한 증거입니다. 국가 면허 기관이 법적 진실의 근원으로 남습니다.

4. 잘못된 거버넌스 문제를 타겟으로 한다

국경 간 운전자 신원은 주로 합의 문제가 아닙니다. 그것은 거버넌스 문제입니다:

누가 발급할 수 있는가?
어떤 공개 키가 현재 유효한가?
어떤 검증자가 승인되었는가?
어떤 데이터 요청이 선언된 목적과 일치하는가?
당시 어떤 정책 버전이 유효했는가?

실제 생태계는 이미 분산 합의가 아닌 거버넌스된 신뢰 인프라를 통해 이 문제를 해결합니다:

미국 자동차관리자협회(AAMVA)의 디지털 신뢰 서비스는 발급 기관 공개 키를 다운로드 가능한 목록으로 게시합니다.
유럽연합(EU) 모바일 운전면허 설명서는 유럽 집행위원회가 승인된 mDL 발급자 목록을 게시한다고 명시합니다.
유럽전기통신표준기구(ETSI)의 지갑 의존 당사자 인증서 연구는 의도된 사용 및 등록된 요청 속성과 함께 기계 판독 가능한 검증자 인증을 제공합니다.

이것은 분산 거버넌스가 아닌 명시적인 공개 신뢰 관리입니다.

5. 도로변 현실을 해결하지 못한다

많은 블록체인 제안은 라이브 네트워크 접근이 이점이라고 조용히 가정합니다. 운전자 자격증명의 경우 — 특히 도로변이나 여행 중 — 그것은 종종 그렇지 않습니다.

미국 자동차관리자협회(AAMVA)의 구현 지침은 다음을 명시합니다:

기기 검색은 거래 시 보유자와 판독기 모두 외부 연결 없이 작동합니다.
ISO/IEC 18013-5는 기기 검색 지원을 요구합니다.
검증자의 발급자 공개 키 접근은 거래 시 일어날 필요가 없습니다. 키는 미리 다운로드할 수 있습니다.

검증자가 이미 캐시된 신뢰 자료를 사용하여 로컬로 검증할 수 있다면, 라이브 블록체인 의존성은 필수가 아닙니다. 기껏해야 일부 백엔드 감사 기능을 위한 구현 선택입니다.

미래 IDP에서 투명해야 할 것

미래 IDP는 올바른 위치에서 반드시 투명성이 필요합니다.

기본적으로 투명하게 만들 것:

발급자 공개 키 및 키 교체 이벤트
신뢰 앵커 및 승인된 발급자 목록
검증자 접근 인증서 및 등록된 목적 메타데이터
정책 버전 및 등록 규칙
적합성 선언 및 보안 관련 소프트웨어 릴리스 클레임
이러한 진술이 등록되었음을 증명하는 감사 가능한 영수증

기본적으로 공개하지 말 것:

공개 원장의 보유자 식별자
검증자 간에 재사용되는 안정적인 자격증명 식별자
제시별 이벤트
한 사람을 특정하는 원시 폐지 항목
해시나 메타데이터로 충분한 경우에 개인 데이터를 포함한 완전한 서명 진술

SCITT는 발급자들에게 투명성 서비스에 진술을 제출하기 전에 비공개, 기밀 또는 개인 식별 가능 정보의 포함 여부를 검토하도록 명시적으로 경고합니다. 또한 투명성 서비스는 완전한 서명 진술이 아닌 해시 등 암호화 메타데이터만 보관할 수 있다고 언급합니다.

더 나은 패턴: 사람을 통하지 않고 생태계 주변의 투명성

미래 IDP를 위한 깔끔한 아키텍처는 다음과 같습니다:

권위 있는 국가 레지스트리 — 운전 권한의 법적 진실 원천으로 남습니다.
자격증명 계층 — 기계 검증 가능한 운전 자격을 보유자의 지갑으로 전달합니다.
신뢰 레지스트리 계층 — 발급자 키, 검증자 인증서, 승인된 발급자 목록을 배포합니다.
상태 계층 — 단기 증명 또는 별도로 갱신되는 개인정보 보호 상태 목록을 사용합니다.
투명성 계층 — 내부적으로 합의를 사용할 수도 있고 아닐 수도 있으며, 추가 전용 공개 감사의 혜택을 받는 신뢰 앵커, 키 변경, 정책 업데이트, 영수증, 생태계 진술을 기록합니다.

이 아키텍처는 블록체인 사고의 유용한 부분 — 추가 전용 감사 가능성, 공개 감시, 위변조 증거, 영수증 — 을 포착하면서, 운전자를 시스템의 공개 주체로 만들지 않습니다. 또한 표준이 이미 설명하는 것과 일치합니다: 레지스트리는 다양한 형태를 취할 수 있고, DID는 분산 원장을 요구하지 않으며, 신뢰 레지스트리는 이미 존재하고, 개인정보 보호 상태 메커니즘은 이미 표준화되어 있습니다.