Kodėl blokų grandinė yra pasirinktinė būsimajam Tarptautiniam vairuotojo pažymėjimui (TVP)

Būsimajam Tarptautiniam vairuotojo pažymėjimui (TVP) reikalingas skaidrumas, pasitikėjimo inkarai ir viešoji atskaitomybė. Ko jam pagal numatytuosius nustatymus nereikia — tai pačių vairuotojų įrašymo į paskirstytąją knygą.

Kiekviena rimta diskusija apie skaitmeninį, tarpvalstybinį TVP galiausiai sulaukia to paties pasiūlymo: „Tiesiog įdėkite tai į blokų grandinę.” Patrauklumas suprantamas. Blokų grandinės siūlo apsaugą nuo klastojimo, bendrą matomumą ir tik priedų istoriją. Tai tikros savybės. Tačiau tarpvalstybinės vairuotojo tapatybės kontekste jos dažnai taikomos netinkamam sluoksniui.

Šis straipsnis paaiškina kodėl, apžvelgia, ką iš tikrųjų sako standartai, ir išdėsto geresnį architektūrinį modelį.

Ką standartai iš tikrųjų sako apie blokų grandinę

W3C patikrinamo kredencialų duomenų modelis aiškiai nurodo, kad patikrinamas duomenų registras gali turėti daug formų, įskaitant:

• Patikimas duomenų bazes
• Decentralizuotas duomenų bazes
• Vyriausybines tapatybės duomenų bazes
• Paskirstytąsias knygas

DID Core taip pat yra aiškus: daugelis DID metodų naudoja paskirstytosios knygos technologiją, tačiau ne visi. Kitaip tariant, standartai jau atmeta idėją, kad blokų grandinė yra privalomas skaitmeninių kredencialų pagrindas.

Tai yra tinkamas atskaitos taškas būsimajam TVP. Naudingas klausimas nėra „blokų grandinė ar ne?” Jis yra:

Kuriam sluoksniui iš tikrųjų reikalingas skaidrumas, o kuris sluoksnis pagal numatytuosius nustatymus jokiu būdu neturėtų tapti viešąja infrastruktūra?

Blokų grandinė yra savybių rinkinys, o ne reikalavimas

Pirmoji klaida — vertinti „blokų grandinę” kaip vieną reikalavimą. Taip nėra. Tai galimų savybių rinkinys, įskaitant:

• Bendrą publikavimą
• Tik priedų istoriją
• Paskirstytąjį veikimą
• Kvitų generavimą
• Atsparumą vienašaliams pakeitimams

Kai kurios iš jų yra naudingos būsimajam TVP. Kai kurios yra neaktualios. O kai kurios yra aktyviai pavojingos, kai taikomos žmogaus kredencialų subjektams. W3C registro modelis sąmoningai leidžia kelias įgyvendinimo formas, nes skirtingoms ekosistemoms reikalingi skirtingi kompromisai.

Trys problemos, kurių nereikėtų jungti

Antroji klaida — trijų skirtingų problemų sujungimas į vieną sistemą. Būsimajam TVP jos turi likti atskirtos:

1. Kur gyvena teisinė tiesa. Teisė vairuoti priklauso autoritetingiems nacionaliniams vairuotojo pažymėjimo įrašams.
2. Kaip pasitikėjimo medžiaga paskirstoma. Išdavėjų raktai ir tikrintojų sertifikatai priklauso kontroliuojamiems pasitikėjimo registrams.
3. Kaip ekosistema audituoja pokyčius. Tai priklauso skaidrumo sluoksniui.

Realaus pasaulio ekosistemos jau veikia tokiu būdu. AAMVA skaitmeninio pasitikėjimo paslauga platina išdavėjų viešuosius raktus atsisiunčiamame sąraše, kol tikrintojas dar niekada nėra sąveikavęs su mDL. ES mobiliojo vairuotojo pažymėjimo vadovas nurodo, kad valstybės narės praneša Komisijai apie įgaliotus mDL išdavėjus, o Komisija skelbia tų institucijų patikrinimo sąrašą. Tai yra pasitikėjimo paskirstymas be blokų grandinės.

Ko mus moko sertifikatų skaidrumas

Efektyviausias skaidrumo modelis viešajame internete nėra vartotojų blokų grandinė. Tai sertifikatų skaidrumas (CT).

RFC 9162 apibūdina CT kaip protokolą, skirtą viešai registruoti TLS serverio sertifikatus, kad bet kas galėtų:

• Audituoti sertifikavimo institucijų veiklą
• Aptikti probleminius ar neteisingai išduotus sertifikatus
• Audituoti pačius žurnalus

Pagrindinė CT dizaino pamoka: skaidrumas yra vertingiausias, kai fiksuoja išdavėjo elgesį ir pasitikėjimo medžiagą — ne galutinio vartotojo veiklą.

Taikant tai būsimajam TVP, tai reiškia tokių dalykų registravimą:

• Išdavėjų raktų išdavimas ir rotacija
• Pasitikėjimo inkarų publikavimas
• Tikrintojų kategorijų registravimas
• Politikos pakeitimai
• Atitikties pareiškimai
• Su saugumu susiję įvykiai

Tai nereiškia viešos ar pusiau viešos turėtojų, kredencialų identifikatorių ar pateikimo įvykių knygos kūrimo. Tai nėra skaidrumas. Tai yra perteklinis duomenų rinkimas.

SCITT: kodėl skaidrumas nėra tas pats, kas tiesa

IETF SCITT architektūros projektas plečia šį mąstymą. SCITT apibrėžia skaidrumo paslaugą, kuri palaiko patikrinamo duomenų struktūrą ir išduoda kriptografinius kvitus, įrodančius pasirašytų pareiškimų įtraukimą. Skaidrumo paslaugos tapatybė užfiksuojama viešuoju raktu, žinomu pasikliaujančioms šalims, o pasitikėjimo inkarai ir registravimo politikos pačios tampa skaidrios.

Tai yra galingas TVP infrastruktūros modelis, nes paverčia skaidrumą audituojama paslauga aplink pasitikėjimo medžiagą ir politiką — ne aplink asmeninius kelionių įvykius.

SCITT taip pat yra aiškus dėl skaidrumo ribų:

• Registruotas pareiškimas tik įrodo, kad išdavėjas jį sukūrė ir užregistravo — ne tai, kad pareiškimas yra teisingas neribotą laiką.
• Vėlesnis pasirašytas pareiškimas gali pakeisti ankstesnį.
• Skaidrumas neapsaugo nuo nesąžiningų ar kompromituotų išdavėjų; jis laiko juos atskaitingais.

Vairuotojo tapatybės atžvilgiu šis skirtumas yra labai svarbus: skaidrumo žurnalas yra įrodymai ir audito istorija, o ne autoritetinga teisinė kažkieno teisės vairuoti būsena.

SCITT taip pat pažymi, kad skaidrumo paslauga gali apsaugoti savo tik priedų seką naudodama patikimos aparatinės įrangos, konsensuso protokolų ir kriptografinių įrodymų derinį. Net skaidrumo sluoksnis nereikalauja vieno konkretaus blokų grandinės dizaino. Konsensusas yra viena galimybė, o ne vienintelė.

Teisingas architektūrinis atskyrimas būsimajam TVP

Būsimasis TVP turėtų atskirti problemas į keturis atskirus sluoksnius:

1. Autoritetingi įrašai apie tai, kam leidžiama vairuoti (nacionalinės licencijavimo institucijos)
2. Pasitikėjimo registrai išdavėjų ir tikrintojų raktams
3. Būsenos infrastruktūra aktualumui ir atšaukimui
4. Pasirinktinis skaidrumo sluoksnis viešajam politikų, pasitikėjimo inkarų, kvitų ir atitikties pareiškimų auditui

Kai atskiriame šiuos sluoksnius, blokų grandinės klausimas tampa daug aiškesnis. Jis nebėra „ar būsimasis TVP turėtų būti blokų grandinėje?” Jis tampa:

Kuris sluoksnis, jei toks yra, iš tikrųjų gauna naudos iš tik priedų viešojo audito?

Penkios priežastys, kodėl vairuotojo tapatybė grandinėje yra netinkamas numatytasis sprendimas

1. Ji sukuria ilgalaikius sekimo signalus

EUDI privatumo darbas paaiškina, kad patvirtinimų pateikimai gali turėti unikalias reikšmes, tokias kaip:

• Kriptografinė druska
• Maišos reikšmės
• Atšaukimo identifikatoriai
• Įrenginio susiejimo viešieji raktai
• Parašai
• Laiko žymos

Kadangi tos reikšmės yra fiksuotos tai pačiai atestavimui, jos leidžia pasikliaujančioms šalims susieti skirtingas operacijas ir sukurti vartotojo elgesio profilį. EUDI aiškiai įspėja, kad tai pažeidžia pagrįstą lūkestį, kad atskiros skaitmeninės piniginės veiklos nebus sujungtos.

Jei skelbiate stabilius turėtojų identifikatorius, stabilius kredencialų identifikatorius, daugkartinio naudojimo maišas ar atskirai atsekamus atšaukimo įvykius viešoje knygoje, jūs neišsprendžiate sekimo problemos — jūs padarote ją nuolatine.

2. Ji atskleidžia atšaukimo ir aktualumo įvykius

W3C „Bitstring” būsenos sąrašo rekomendacija aiškiai apibūdina problemą: jei yra vienas su vienu atitikimas tarp kredencialo ir URL, kur skelbiama jo būsena, leidėjas gali susieti turėtoją, tikrintoją ir patikrinimo laiką. Specifikacija naudoja vairuotojo pažymėjimo pavyzdį, kad pavaizduotų, kodėl sekimas išdavėjo, kai įeinama į įstaigą, pažeidžia bendrą privatumo lūkestį.

Geresnis numatytasis sprendimas, kurį siūlo „Bitstring” būsenos sąrašas:

• Dideli, suspaudžiami būsenos sąrašai, kuriuose daugelis kredencialų dalijasi vienu būsenos ištekliu
• Numatytasis sąrašo ilgis — 131 072 įrašai
• Pasikliaujančios šalys atsisiunčia naujas versijas atskirai, neautentifikuodamos savęs
• Atsitiktiniai indeksai ir grupinio privatumo garantijos

Tai yra priešingybė individualizuotiems, grandinėje esantiems atšaukimo pėdsakams.

3. Ji painioja kredencialo būseną su teisine vairavimo būsena

Skaitmeninis kredencialas gali būti atšauktas, nes jo pasirašymo mechanizmas buvo pažeistas — net kai realaus pasaulio teisė vairuoti lieka galiojanti. Viešoji kredencialų įvykių knyga nėra švaraus pakaitalo autoriteto nacionalinio vairavimo įrašo būsenai.

SCITT sustiprina šį teiginį: registruotas pareiškimas vėliau gali būti pakeistas nauju, o pasikliaujančios šalys sprendžia, kuo pasitikėti, remdamosi politika ir istorija. Žurnalas nėra nuolatinė tiesa. Tai yra įrodymai apie tai, kas ką pasakė, kada, pagal kokią politiką. Nacionalinė licencijavimo institucija išlieka teisinės tiesos šaknimi.

4. Ji nukreipta į netinkamą valdymo problemą

Tarpvalstybinė vairuotojo tapatybė iš esmės nėra konsensuso problema. Tai yra valdymo problema:

• Kam leidžiama išduoti?
• Kurie viešieji raktai yra aktualūs?
• Kurie tikrintojai yra įgalioti?
• Kurie duomenų prašymai atitinka jų deklaruotą tikslą?
• Kuri politikos versija tuo metu galiojo?

Realios ekosistemos jau atsako į šiuos klausimus per valdomą pasitikėjimo infrastruktūrą, o ne per decentralizuotą konsensusą:

• AAMVA skaitmeninio pasitikėjimo paslauga skelbia išduodančiųjų institucijų viešuosius raktus atsisiunčiamame sąraše.
• ES mobiliojo vairuotojo pažymėjimo vadovas teigia, kad Komisija skelbia įgaliotų mDL išdavėjų sąrašą.
• ETSI skaitmeninės piniginės pasikliaujančiosios šalies sertifikatų darbas suteikia mašininio skaitymo tikrintojo autentifikavimą su numatyta paskirtimi ir registruotais prašomais atributais.

Tai yra aiškus viešojo pasitikėjimo administravimas — ne decentralizuotas valdymas.

5. Ji neišsprendžia kelio realybės

Daugelis blokų grandinės pasiūlymų tyliai daro prielaidą, kad tiesioginio tinklo prieiga yra nauda. Vairuotojo kredencialų atveju — ypač prie kelio ar keliaujant — dažnai taip nėra.

AAMVA įgyvendinimo gairės nurodo, kad:

• Įrenginio duomenų gavimas veikia be išorinio ryšio tiek turėtojui, tiek skaitytuvui operacijos metu.
• ISO/IEC 18013-5 reikalauja palaikymo įrenginio duomenų gavimui.
• Tikrintojo prieiga prie išdavėjo viešųjų raktų neturi vykti operacijos metu. Raktus galima atsisiųsti iš anksto.

Jei tikrintojas jau gali patvirtinti lokaliai naudodamas talpykloje saugomą pasitikėjimo medžiagą, tiesioginis blokų grandinės priklausomybė nėra būtina. Geriausiu atveju tai yra įgyvendinimo pasirinkimas tam tikrai galinės dalies audito funkcijai.

Kas turėtų būti skaidru būsimajame TVP

Būsimajam TVP tikrai reikalingas skaidrumas — tinkamoje vietoje.

Padarykite šiuos dalykus skaidriais pagal numatytuosius nustatymus:

• Išdavėjų viešieji raktai ir raktų rotacijos įvykiai
• Pasitikėjimo inkarai ir įgaliotų išdavėjų sąrašai
• Tikrintojų prieigos sertifikatai ir registruotos paskirties metaduomenys
• Politikos versijos ir registravimo taisyklės
• Atitikties pareiškimai ir su saugumu susiję programinės įrangos leidimo teiginiai
• Audituojami kvitai, įrodantys, kad šie pareiškimai buvo užregistruoti

Nedarykite šių dalykų viešais pagal numatytuosius nustatymus:

• Turėtojų identifikatoriai viešoje knygoje
• Stabilūs kredencialų identifikatoriai, pakartotinai naudojami tarp tikrintojų
• Kiekvieno pateikimo įvykiai
• Neapdoroti atšaukimo įrašai, išskiriantys vieną asmenį
• Pilni pasirašyti pareiškimai, turintys asmeninius duomenis, kai pakaktų maišų ar metaduomenų

SCITT aiškiai įspėja išdavėjus peržiūrėti privačios, konfidencialios ar asmenį identifikuojančios informacijos įtraukimą prieš teikiant pareiškimus skaidrumo paslaugai. Taip pat pažymima, kad skaidrumo paslaugos gali saugoti tik kriptografinius metaduomenis, tokius kaip maišos — ne pilnus pasirašytus pareiškimus.

Geresnis modelis: skaidrumas aplink ekosistemą, ne per asmenį

Švari architektūra būsimajam TVP atrodo taip:

• Autoritetingas nacionalinis registras — išlieka teisiniu tiesos šaltiniu dėl teisės vairuoti.
• Kredencialų sluoksnis — perneša mašininio patikrinimo vairavimo teises į turėtojo skaitmeninę piniginę.
• Pasitikėjimo registro sluoksnis — platina išdavėjų raktus, tikrintojų sertifikatus ir įgaliotų išdavėjų sąrašus.
• Būsenos sluoksnis — naudoja trumpalaikes atestacijas ar privatumą išsaugančius būsenos sąrašus, atnaujinamus atskirai.
• Skaidrumo sluoksnis — viduje gali arba nenaudoti konsensuso ir registruoja pasitikėjimo inkarus, raktų pakeitimus, politikos atnaujinimus, kvitus ir ekosistemos pareiškimus, kuriems naudinga tik priedų viešasis auditas.

Ši architektūra apima naudingąsias blokų grandinės mąstymo dalis — tik priedų audituojamumą, viešąją priežiūrą, apsaugą nuo klastojimo, kvitus — nepaverčiant vairuotojo sistemos viešuoju subjektu. Ji taip pat atitinka tai, ką standartai jau aprašo: registrai gali turėti skirtingas formas, DID nereikalauja paskirstytųjų knygų, pasitikėjimo registrai jau egzistuoja, o privatumą išsaugantys būsenos mechanizmai jau yra standartizuoti.

Pagrindinis argumentas

Būsimasis TVP turėtų priimti geriausią idėją iš blokų grandinės — viešąją infrastruktūros atskaitomybę — neperėmęs blogiausio numatytojo jos sprendimo žmonėms: ilgalaikio, globaliai matomojo sekimo.

Praktikoje tai reiškia:

• Skaidrumas išdavėjams, o ne turėtojų atskleidimas
• Audituojami pasitikėjimo inkarai, o ne viešieji kelionių įrašai
• Kvitai politikoms ir registracijoms, o ne nuolatinės kredencialų naudojimo laiko juostos
• Tik priedų įrodymai ekosistemos valdymui, o ne vairuotojo tapatybė grandinėje kaip numatytasis sprendimas

Tai nėra argumentas prieš blokų grandinę. Tai yra argumentas prieš blokų grandinės taikymą netinkamam sluoksniui.

Būsimasis TVP gali puikiai naudoti konsensuso pagrįstas skaidrumo paslaugas kažkur ekosistemoje. Tačiau jei dizainas pradedamas vairuotoją, kredencialą ar pateikimo pėdsaką įtraukiant į knygą, jau buvo pasirinktas netinkamas numatytasis sprendimas.