Nākotnes SAA nav buklets. Tā ir privātumu saglabājoša prezentācijas kārta.

Nākotnes starptautiskajai autovadīšanas atļaujai (SAA) nevajadzētu būt vēl vienam dokumentam, ko nēsāt līdzi. Tai vajadzētu būt pārvaldītam, kriptogrāfiski pārbaudāmam veidam, kā pārrobežu vidē prezentēt valsts piešķirtās autovadīšanas tiesības — tiešsaistē un bezsaistē, ar minimālu datu atklāšanu un nepadarot katru verifikāciju par novērošanas pasākumu.

Visi apgalvo, ka starptautiskās autovadīšanas atļaujas nākotne ir digitāla. Tas nav nepareizi — taču arī nav pietiekami precīzi.

PDF buklets tālrunī nav nākotne. Izskatīgāks QR kods nav nākotne. Blokķēdes pilnvara ar vārdu “autovadīšana” mārketinga materiālos nav nākotne.

Īstā problēma ir dziļāka par formātu. Tā balstās uz vienu centrālo jautājumu: kā likumīgas autovadīšanas tiesības, ko izdevusi viena iestāde, kļūst saprotamas, uzticamas un izmantojamas citā vietā, citam verificētājam, spiediena apstākļos, dažkārt bez tīkla savienojuma un neizpaužot vairāk personas datu, nekā nepieciešams?

Šis ir jautājums, ko papīra SAA nekad pilnībā neatrisināja. Un tas ir jautājums, uz kuru nākamās paaudzes sistēmai jāatbild.

Kāpēc papīra SAA atrisināja lasāmību, bet ne uzticēšanos

Papīra SAA bija jēga pasaulē, kurā papīrs bija galvenais informācijas nesējs. Tā darbojās kā saderības slānis — cilvēkam lasāms savienojums starp vienu licencēšanas sistēmu un citu. Tas bija noderīgi un zināmā mērā joprojām ir.

Taču grūtākā daļa mūsdienu pārrobežu mobilitātē vairs nav tikai lasāmība. Tā ir uzticēšanās.

Mūsdienu verificētāji saskaras ar virkni sarežģītāku jautājumu:

• Vai viņi var noteikt, vai apliecinājums ir īsts?
• Vai viņi var apstiprināt, ka tas joprojām ir derīgs?
• Vai viņi var pārbaudīt tikai tos konkrētos laukus, kas viņiem tiešām nepieciešami?
• Vai viņi to var izdarīt, katru reizi nesazinoties ar izdevējiestādi?
• Vai viņi to var pārbaudīt tiešsaistē, klātienē un ceļmalā?
• Vai viņi to var darīt, nepadarot ceļošanu par globālu izsekošanas sistēmu?

Tāpēc nākotnes SAA nevajadzētu uzskatīt par digitāla bukleta projektu. Tā jāuztver kā prezentācijas arhitektūras problēma.

Standarti, kas jau norāda uz digitālu SAA

Tas vairs nav teorētisks jautājums. Standartu kopiena jau ir virzījusies šajā virzienā:

• ISO/IEC 18013-1:2018 izveidoja modeli, kurā viena droša licence var kalpot gan vietējiem, gan starptautiski atzītiem mērķiem, paredzot mašīnlasāmas tehnoloģijas un biometrijas, kriptogrāfijas un kompresijas integrāciju.
• ISO/IEC 18013-3 aptver piekļuves kontroli, autentifikāciju un integritātes validāciju.
• ISO/IEC 18013-5 nosaka saskarnes starp mobilo autovadītāja apliecību, lasītāju un izdevējiestādes infrastruktūru, tostarp citu valstu verificētāju izmantošanai.
• ISO/IEC 18013-7 papildina standartu ar mobilās autovadītāja apliecības prezentāciju internetā.
• UNECE darbs pie elektroniskajām autovadīšanas atļaujām savieno tehniskās un drošības prasības ar ISO/IEC 18013-5 atbilstību.

Nepareizā pieeja SAA digitalizācijai

Nepareizā pieeja ir paņemt pašreizējo SAA, pārveidot to digitālā formātā un ievietot lietotnē. Tas izklausās efektīvi, taču saglabā nepareizo fokusu — sistēma joprojām tiek centrēta uz dokumentu kā fizisku objektu.

Labāka pieeja ir uzskatīt starptautisko autovadīšanu par valsts piešķirto autovadīšanas tiesību kontrolētu prezentāciju.

Šī maiņa ir svarīga, jo, tiklīdz jūs domājat par prezentāciju, dizaina jautājumi kļūst precīzāki:

• Kas izdevis pamatā esošās autovadīšanas tiesības?
• Kā turētājs saņem un uzglabā apliecinājumu?
• Kā verificētājs pieprasa tikai tos datus, kas tam likumīgi nepieciešami?
• Kā tiek izplatītas un uzticamas izdevēja atslēgas?
• Kā tiek pārbaudīta atsaukšana, izdevējam tieši neizsekojot darbības?
• Kas darbojas bezsaistē un kam joprojām nepieciešams papīrs kā rezerve?
• Kurš verificētājs drīkst redzēt kādus datus un kāpēc?

Tas ir daudz nopietnāks veids, kā izstrādāt papīra SAA aizstājēju.

Labāka nākotnes SAA definīcija

Šeit ir ierosinātā definīcija:

Nākotnes SAA ir uz standartiem balstīts, atvasinājuma pārrobežu apliecinājums, kas prezentē valsts piešķirtās autovadīšanas tiesības verificētājam kontekstam atbilstošā veidā — turētāja kontrolē, ar kriptogrāfisku verifikāciju, uz lomām balstītu atklāšanu, tiešsaistes un bezsaistes prezentācijas plūsmām un privātumu saglabājošu statusa pārbaudi.

Šī definīcija ir apzināti šaura. Tā:

• Nepadara nākotnes SAA par patstāvīgām autovadīšanas tiesībām
• Nepārvērš to par universālu identitātes datu glabātuvi
• Neprasa dzīvu savienojumu ar izdevēju katrai transakcijai
• Nepieņem, ka auto nomas punktam, policistam un apdrošinātājam vajadzētu redzēt vienos un tos pašus laukus
• Neprasa blokķēdi kā sistēmas kodolu

Tā ir disciplinēta atbilde uz uzticēšanās problēmu.

Septiņi funkcionālas nākotnes SAA komponenti

Bez mārketinga valodas funkcionālai nākotnes SAA nepieciešami septiņi komponenti:

1. Autoritatīvs valsts patiesības avots. Likumīgās autovadīšanas tiesības nāk no valsts licencēšanas iestādes. Starptautiskajam slānim nekad nevajadzētu radīt autovadīšanas tiesības — tikai tās prezentēt.
2. Izdevējs. Uzticama valsts iestāde vai stingri pārvaldīts pilnvarots izdevējs tās vārdā izdod digitālo apliecinājumu, kas atspoguļo pašreizējās autovadīšanas tiesības.
3. Turētāja digitālais maks. Vadītājam nepieciešams drošs digitālais maks, kas uzglabā apliecinājumu, aizsargā privātās atslēgas, autentificē turētāju un prezentē apliecinājumu verificētājiem.
4. Verificētājs vai lasītājs. Tas var būt policijas ierīce, auto nomas punkta lasītājs, tiešsaistes sistēma vai cits pilnvarots verificētājs.
5. Uzticēšanās reģistrs. Verificētājiem nepieciešams uzticams veids, kā iegūt leģitīmo izdevēju publiskās atslēgas un uzticēšanās metadatus.
6. Statusa slānis. Jābūt privātumu saglabājošam veidam, kā izteikt apturēšanu, atsaukšanu, derīguma termiņa beigšanos vai statusa izmaiņas.
7. Fiziska rezerves kopija. Izlādētas baterijas, slikta savienojamība, bojātas ierīces, konservatīvas jurisdikcijas un pārejas politikas vide ir parastā realitāte — nevis robežgadījumi.

Uz lomām balstīta atklāšana: viens apliecinājums, dažādas auditorijas

Viens no lielākajiem identitātes sistēmu dizaina trūkumiem ir pieņēmums, ka viens apliecinājums nozīmē vienu atklāšanu. Tas ir pretējs labam dizainam.

Ceļmalā strādājošam policistam nav tādas pašas likumīgās vajadzības kā auto nomas punktam. Auto nomas punktam nav tādas pašas vajadzības kā darba devējam. Darba devējam nav tādas pašas vajadzības kā tiešsaistes priekšpārbaudes sistēmai.

Nākotnes SAA jāatbalsta dažādas atklāšanas kopas dažādām verificētāju kategorijām:

• Ceļmalas apstāšanās: Identitāte, fotogrāfija, kategorijas un tiesības, ierobežojumi, derīguma statuss. Pēc noklusējuma nekas vairāk.
• Auto nomas punkts: Identitāte, fotogrāfija, autovadīšanas kategorijas, izsniegšanas un derīguma termiņa datumi, iespējams vecuma informācija — bet ne katrs lauks apliecinājumā.
• Tiešsaistes priekšpārbaude: Identitātes apliecinājums, attiecīgo autovadīšanas tiesību apliecinājums, pašreizējā derīguma apliecinājums, iespējams ar rezervāciju saistīts apstiprinājums.
• Darba devējs vai flotes atbilstība: Atsevišķa, skaidri piekrista darbplūsma, nevis tas pats atklāšanas profils kā ceļošanas verifikācijai.

Standarti jau atbalsta šo modeli. NIST pašreizējais mDL melnraksts apraksta vaicājumus, kas ļauj verificētājiem norādīt, kādus atribūtus tie pieprasa. AAMVA ieviešanas vadlīnijas nosaka, ka lietotnei skaidri jāparāda, kādi dati tika pieprasīti, un jādod turētājam pilna kontrole pār to, kuri datu elementi tiek kopīgoti.

Nākotnes SAA nevajadzētu būt digitālai kartei. Tai vajadzētu būt kontrolētas atklāšanas instrumentam.

Tūlītējai verifikācijai nevajadzētu kļūt par tūlītēju novērošanu

Šeit daudzi digitālās identitātes projekti iet greizi. Tie apraksta “reāllaika verifikāciju” tā, it kā tā automātiski nozīmētu progresu. Tā nav.

Verificētājam nepieciešama savlaicīga uzticēšanās. Taču izdevējam nav jāuzzina katra vieta un katrs brīdis, kad turētājs prezentē apliecinājumu. Šī atšķirība ir būtiska.

ES Arhitektūras un atsauces ietvars šajā jautājumā ir skaidrs. Paļāvīgās puses gadījumiem nevajadzētu pieprasīt attiecīgo statusa sarakstu katru reizi, kad tiek prezentēts apliecinājums. Tā vietā:

• Atjauninātie saraksti jālejupielādē atsevišķi, laikā un no vietām, kas nav saistītas ar konkrētu lietotāja prezentāciju.
• Statusa sarakstu pozīcijām jābūt randomizētām ar pietiekami daudz ierakstu, lai nodrošinātu kolektīvu privātumu.
• Sarakstu pieprasījumiem nedrīkst kļūt par izsekošanas signāliem konkrētiem turētājiem.

NIST pašreizējais mDL melnraksts apraksta verificētāja validāciju, pamatojoties uz izdevēja parakstiem un publiskajām atslēgām, bez nepieciešamības tieši sazināties ar izdevēju. AAMVA vadlīnijas savās ieviešanas instrukcijās aizliedz servera izgūšanu un tā vietā centrē ierīces izgūšanu un uzticēšanās pakalpojumā balstītu publisko atslēgu izplatīšanu.

Nākotnes SAA jāatbalsta tūlītēja verifikācija — neveidojot globālu ierakstu par to, kur un kad vadītājs pierādīja savu identitāti.

Uzticēšanās izplatīšana: pārvaldība mašīnlasāmā formā

Daudzi cilvēki apspriež digitālos makus un kriptogrāfiju. Daudz mazāk apspriež infrastruktūru, kas patiesībā liek uzticēšanās mehānismam darboties — taču infrastruktūra ir tā daļa, kas ir svarīga.

Verificētājs var uzticēties apliecinājumam tikai tad, ja tas var uzticami atrast un uzticēties izdevēja publiskajām atslēgām un saistītajiem metadatiem. Nākotnes SAA ekosistēmai nepieciešama mašīnlasāma, pārvaldāma atbilde uz tādiem jautājumiem kā:

• Kuri izdevēji ir leģitīmi?
• Kuras publiskās atslēgas ir aktuālas?
• Kuri izdevēji ir pilnvaroti kurām jurisdikcijām?
• Kuras verificētāju kategorijas ir reģistrētas vai akreditētas?
• Kas notiek, kad izdevējs rotē atslēgas vai maina politiku?

AAMVA Digitālais uzticēšanās pakalpojums ir viens konkrēts piemērs: vienots, drošs, noturīgs veids, kā paļāvīgajām pusēm iegūt izdevējiestāžu publiskās atslēgas, piegādātas caur verificētu izdevēja sertifikātu iestāžu sarakstu. ES mDL rokasgrāmata apraksta, kā dalībvalstis paziņo Komisijai par pilnvarotajiem mDL izdevējiem, Komisija publicē šo sarakstu verifikācijas vajadzībām, un paļāvīgo pušu reģistrāciju digitālo maku uzticēšanās ietvarā.

Tas ir virziens, kas nepieciešams nākotnes SAA — nevis sistēma, kurā visi skenē QR kodu un bez validācijas uzticas rezultātam, bet gan tāda, kurā uzticēšanās ir izplatīta, versijota un mašīnpārbaudāma.

Tiešsaistes un ceļmalas verifikācijai jādalās vienā vienotā sistēmā

Nopietna nākotnes SAA nevar sadalīties atsevišķās sistēmās: viena ceļmalas pārbaudēm, viena auto nomai, viena attālinātai reģistrācijai, viena identitātes verifikācijai un vēl viena autovadīšanas verifikācijai. Tieši šī sadrumstalotība jau tagad rada problēmas lietotājiem.

Tehniskie standarti tagad pastāv, lai to novērstu:

• ISO/IEC 18013-5 nosaka saskarnes mobilās autovadītāja apliecības klātienes prezentācijai.
• ISO/IEC 18013-7 paplašina to uz prezentāciju internetā.
• ES mobilās autovadītāja apliecības rokasgrāmata kā verifikācijas scenārijus uzskaita gan auto nomu, gan ceļmalas pārbaudes, un apraksta attālinātu kopīgošanu, kā arī tuvuma pārbaudes, izmantojot QR aktivizētas plūsmas, Bluetooth, Wi-Fi Aware un NFC.

Nākotnes sistēmai jāapstrādā gan tiešsaistes, gan klātienes scenāriji, jo ceļošana ietver abus. Mobilitāte ietver abus. Uzticēšanās prasa abus.

Tīmeklim piemērotais protokola slānis tagad ir nobriedis

Gadiem ilgi viens no iemesliem, kāpēc identitātes diskusijas šķita neprecīzas, bija tas, ka protokola slānis vēl nebija pabeigts. Tagad tas lielā mērā ir mainījies:

• OpenID pārbaudāmo apliecinājumu izsniegšanai 1.0 nosaka OAuth aizsargātu API apliecinājumu izsniegšanai, skaidri atbalstot vairākus apliecinājumu formātus, tostarp ISO mdoc, SD-JWT VC un W3C VCDM apliecinājumus.
• OpenID pārbaudāmo apliecinājumu prezentācijai 1.0 nosaka mehānismu, ar kuru verificētāji var pieprasīt un saņemt apliecinājumu prezentācijas.
• W3C Pārbaudāmo apliecinājumu datu modelis 2.0 formalizē trīspusējo ekosistēmu, kurā ietilpst izdevēji, turētāji un verificētāji.

Tas maina sarunu. Nākotnes SAA vairs nav jāiedomājas kā vienota valdības lietojumprogramma ar pašizstrādātiem procesiem. To var izstrādāt kā pārvaldītu apliecinājumu profilu virs plašākas sadarbspējīgas ekosistēmas.

Tas nenovērš nepieciešamību pēc publiskās pārvaldības. Tas novērš attaisnojumu, ka nav modernas protokola steka, uz kura būvēt.

Kāpēc blokķēde ir izvēles, bet atzīšana — nav

Nākotnes SAA nav nepieciešama blokķēde kā pamats. Tas nenozīmē, ka izplatītās virsgrāmatas tehnoloģija ir bezjēdzīga — tā var būt vērtīga konkrētos pārredzamības vai reģistra nolūkos — taču tai nevajadzētu būt autovadīšanas apliecinājumu sistēmas centrā.

W3C VC datu modelis 2.0 skaidri norāda, ka pārbaudāmie datu reģistri var būt daudzās formās: uzticamas datubāzes, decentralizētas datubāzes, valdības identitātes datubāzes vai izplatītas virsgrāmatas. DID Core tikpat skaidri norāda, ka daudzas, bet ne visas DID metodes izmanto izplatītas virsgrāmatas. Standarti nepieprasa blokķēdei pirmo arhitektūru.

Tā ir pareizā pozīcija, jo grūtākā daļa nākotnes SAA nav tehnoloģija. Grūtākā daļa ir:

• Juridiskā atzīšana
• Izdevēja pārvaldība
• Lasītāju izvietošana
• Verificētāju akreditācija
• Uzticēšanās sarakstu darbība
• Atsaukšanas loģika
• Pārrobežu politikas saskaņošana

AAMVA izveidoja uzticēšanās pakalpojumu. ES rokasgrāmata ietver izdevēja publicēšanu un paļāvīgo pušu reģistrāciju. UNECE melnraksti savieno elektroniskās atļaujas ar ISO/IEC 18013-5. Patiesais izaicinājums nav kriptogrāfijas trūkums — tas ir pārvaldītas sadarbspējas izaicinājums.

Reālistiska nākotnes SAA plūsma praksē

Nākotnes SAA praksē vajadzētu būt vienkāršai. Lūk, kā tā darbojas trīs izplatītos scenārijos:

1. Izsniegšana vai atjaunināšana

Valsts iestāde verificē pamatā esošo licences ierakstu un izsniedz apliecinājumu turētāja digitālajā makā. Digitālais maks to droši uzglabā, aizsargā atslēgas un var vēlāk atjaunināt statusu vai saņemt atjauninātas atestācijas caur pārvaldītu izsniegšanas plūsmu. OpenID4VCI nodrošina dzīvotspējīgu tīmeklim piemērotu izsniegšanas slāni, savukārt AAMVA vadlīnijas prasa šifrēšanu atpūtā, drošu atslēgu glabāšanu un turētāja autentifikāciju, kad dati tiek piekļūti vai nodoti.

2. Attālinātā auto nomas priekšpārbaude

Nomas platforma nosūta autentificētu pieprasījumu pēc minimālas autovadīšanas tiesību kopas. Digitālais maks parāda pieprasījumu turētājam, kurš to apstiprina. Verificētājs saņem prezentāciju caur internetam piemērotu plūsmu, validē izdevēja parakstu un atslēgas materiālu, pārbauda lokāli pieejamo uzticēšanās un statusa informāciju un pirmsapstiprina rezervāciju. ES mDL rokasgrāmata jau apraksta attālinātu auto nomas kopīgošanu; NIST melnraksts apraksta vaicājumā balstītus atribūtu pieprasījumus; OpenID4VP un ISO/IEC 18013-7 nodrošina plašo prezentācijas virzienu internetā balstītām plūsmām.

3. Apstāšanās ceļmalā

Inspektors pieprasa ceļmalas atklāšanas kopu. Turētājs prezentē caur tuvuma plūsmu. Lasītājs lokāli validē apliecinājumu, pārbauda autovadīšanas tiesības un derīgumu un neredz vairāk, nekā nepieciešams. Ar izdevēju pēc noklusējuma netiek sazināts. ES rokasgrāmata apraksta QR aktivizētu, Bluetooth, Wi-Fi Aware un NFC balstītu ceļmalas verifikāciju, savukārt ISO/IEC 18013-5 un AAMVA vadlīnijas centrē tuvumu un ierīces izgūšanu, nevis reāllaika kontaktu ar izdevēju.

Tāda ir pareizā lietotāja pieredze: ātra, pārbaudāma, minimāli uzbāzīga un vienkārša.

Kas nākotnes SAA nav

Lai būtu skaidrs, nākotnes SAA nav:

• Patstāvīga autovadītāja apliecība
• Kartes attēls
• Universāla identitātes datu kolekcija
• Verificētāja kontrolēts novērošanas kanāls
• Papīrs digitālā formātā
• Blokķēdē atkarīga uzticēšanās sistēma

Tā ir rūpīgi pārvaldīts prezentācijas slānis virs valsts piešķirtajām autovadīšanas tiesībām. Tas ir mazāk dramatisks — un daudz ticamāks, lai darbotos.

Kāpēc migrācijas ceļš ir tikpat svarīgs kā arhitektūra

Labākā arhitektūra ir bezjēdzīga, ja migrācijas ceļš nav reālistisks. Valdības neaizstās katru papīra darbplūsmu pāri nakti — un tām nevajadzētu to darīt.

Reālistisks ceļš izskatās šādi:

1. 1. fāze: Saglabāt papīru. Pievienot drošu digitālo pavadoni.
2. 2. fāze: Standartizēt izdevēja uzticēšanās sarakstus un verificētāju kategorijas.
3. 3. fāze: Atbalstīt gan tuvuma, gan attālināto prezentāciju.
4. 4. fāze: Pārcelt rutīnas pārbaudes un nomas uz digitālajām plūsmām.
5. 5. fāze: Samazināt papīra bukleta lomu no primārā statusa uz rezerves statusu.

Šis ceļš atbilst tam, uz kurieni standarti un oficiālais ekosistēmas darbs jau virzās: ISO viena dokumenta loģika, AAMVA uzticēšanās pakalpojuma infrastruktūra, EUDI digitālā maka mDL lietošanas gadījumi un UNECE kustība uz elektronisko atļauju modeļiem, kas saskaņoti ar ISO/IEC 18013-5.

Galvenais arguments vienā teikumā

Lūk, arguments īsumā: Nākotnes SAA nav digitāls buklets. Tā ir pārvaldīta atbilde uz pārrobežu uzticēšanās problēmu.

Ne izskatīgāka vecā dokumenta versija — labāka sistēma. Sistēma, kurā:

• Likumīgās tiesības joprojām nāk no valsts iestādes
• Turētājs kontrolē prezentāciju
• Verificētājs saņem tikai to, kas tam nepieciešams
• Uzticēšanās var tikt pārbaudīta bez noklusētas novērošanas
• Attālinātā un klātienes izmantošana dalās vienā arhitektūrā
• Papīrs saglabājas tikai tur, kur tam joprojām ir praktiska vērtība

Tas ir standarts, uz kuru jātiecas.

Kad esat ieraudzījis problēmu šādā veidā, interesantais jautājums vairs nav tas, vai SAA vajadzētu kļūt digitālai. Interesantais jautājums kļūst: kurš ir gatavs pietiekami nopietni izstrādāt pārrobežu vadītāja identitātes slāni, lai aizstātu papīru, nereproducējot tā trūkumus — vai nepievienojot jaunus?

Nekas no tā nav spekulatīvs. NIST pašreizējais mDL darbs apraksta lietotāja kontrolētu digitālo maku, verificētāju, kas validē autentiskumu, nesazinoties tieši ar izdevēju, un apliecinājumu ekosistēmu, kas veidota ap izdevējiem, digitālajiem makiem un verificētājiem. AAMVA Digitālais uzticēšanās pakalpojums jau pastāv, lai izplatītu izdevējiestāžu publiskās atslēgas. ES mobilās autovadītāja apliecības rokasgrāmata apraksta pilnvarotu izdevēju sarakstus un paļāvīgo pušu reģistrāciju plašākā uzticēšanās ietvarā.