Tiada Pengesahan Panggil-Balik: Mengapa IDP Digital Masa Depan Tidak Boleh Menghubungi Penerbit Pada Setiap Penggunaan

Pembatalan adalah masalah paling sukar dalam mana-mana Permit Memandu Antarabangsa (IDP) digital masa depan. Cara termudah untuk menyelesaikannya juga yang paling berbahaya: jadikan penerbit peserta dalam setiap pembentangan tunggal. Kelayakan memandu rentas sempadan moden seharusnya menolak jalan pintas ini secara lalai.

Hampir setiap cadangan identiti digital mengandungi ayat yang sama yang menenangkan:

“Kelayakan boleh disahkan dengan serta-merta.”

Kadangkala ayat itu menggambarkan kemajuan sebenar. Kadangkala ia menggambarkan pengawasan dengan antara muka pengguna yang lebih mesra.

Piawaian yang diterbitkan hari ini sudah jelas bahawa pengesah tidak perlu menghubungi penerbit setiap kali kelayakan ditunjukkan:

• Seni bina mDL semasa NIST menyatakan bahawa pengesah boleh mengesahkan keaslian dan integriti dengan mempercayai tandatangan dan kunci awam penerbit — tanpa sebarang hubungan langsung dengan penerbit.
• AAMVA mengesahkan bahawa ISO/IEC 18013-5 memerlukan sokongan untuk pengambilan peranti dan hanya secara pilihan membenarkan pengambilan pelayan.
• AAMVA juga memberi amaran bahawa di bawah pengambilan pelayan, pihak berkuasa penerbit terlibat secara masa nyata pada setiap penggunaan — yang bermaksud ia secara teknikal boleh merekod bila kelayakan digunakan, data apa yang dikongsi, dan bahkan membuat kesimpulan lokasi daripada analisis IP.

Itu bukan nota kaki kecil. Ia adalah soalan reka bentuk utama untuk generasi kelayakan memandu rentas sempadan yang seterusnya.

Jalan Pintas Berbahaya: Menggabungkan Empat Soalan Dalam Satu Panggilan Rangkaian

Seni bina yang buruk menggabungkan empat soalan yang sangat berbeza ke dalam satu panggilan langsung kepada penerbit:

1. Adakah kelayakan ini tulen?
2. Adakah orang yang membentangkannya pemegang yang sah?
3. Adakah kelayakan itu sendiri masih sah?
4. Adakah hak memandu nasional yang mendasarinya masih berkuat kuasa?

Sistem yang direka dengan buruk menjawab kesemua empat dengan menghubungi pangkalan secara masa nyata. Sistem yang direka dengan baik memisahkan mereka — kerana ia bukan masalah yang sama dan tidak seharusnya berkongsi mekanisme.

Keaslian Seharusnya Disahkan Secara Tempatan, Bukan Melalui Rangkaian

Kelayakan boleh tulen secara kriptografi tanpa penerbit pernah memerhatikan transaksi.

• Model kepercayaan mDL NIST menyatakan keaslian dan integriti disahkan daripada tandatangan dan kunci awam penerbit — tiada hubungan penerbit langsung diperlukan.
• Perkhidmatan Kepercayaan Digital AAMVA wujud khusus untuk memberi pengesah akses kepada kunci awam penerbit yang sah tanpa panggil balik setiap transaksi.

Prinsip Reka Bentuk 1: Jangan gunakan sambungan langsung untuk menyelesaikan masalah yang sudah diselesaikan oleh tandatangan.

Jika pengesah memegang kunci penerbit yang dipercayai dan menerima pembentangan yang mematuhi piawaian, keaslian adalah semakan kriptografi tempatan, bukan kebergantungan rangkaian.

Pengikatan Pemegang Seharusnya Dibuktikan Secara Tempatan, Bukan Dilaporkan Secara Global

Soalan kedua — adakah ini pemegang yang sah? — juga mempunyai jawapan bukan rangkaian.

Seni bina EUDI semasa mengamanatkan pengikatan peranti untuk PID dan pengesahan ISO/IEC 18013-5. Pengesah meminta dompet untuk menandatangani cabaran baharu menggunakan kunci peribadi yang sepadan dengan kunci awam yang tertanam dalam kelayakan:

• Dalam ISO/IEC 18013-5 ini dipanggil pengesahan mdoc.
• Dalam SD-JWT VC ia dipanggil pengikatan kunci.

Dalam kedua-dua kes, pemilikan dibuktikan secara tempatan dan kriptografi. Tiada data peribadi perlu sampai kepada penerbit.

Prinsip Reka Bentuk 2: Buktikan pemilikan secara tempatan. Jangan buktikan identiti secara global.

IDP masa depan seharusnya menghabiskan pengikatan peranti, pengesahan pemegang tempatan, dan cabaran-tindak balas pengesah sebelum mempertimbangkan sebarang mekanisme sisi penerbit.

Status Kelayakan dan Status Hak Memandu Adalah Dua Perkara Berbeza

Banyak reka bentuk identiti digital mengaburkan perbezaan ini, dan di situlah mereka tersilap.

Spesifikasi Bitstring Status List W3C menjelaskan perkara ini dengan jelas: maklumat status yang dilampirkan pada kelayakan yang boleh disahkan terpakai kepada kelayakan yang boleh disahkan itu sendiri — bukan semestinya kepada hak dunia nyata yang mendasarinya. Kelayakan digital mungkin dibatalkan kerana mekanisme penandatangannya dikompromi, manakala hak memandu yang mendasarinya kekal sah sepenuhnya.

Oleh itu, IDP masa depan memerlukan dua lapisan status yang berbeza:

• Lapisan status kelayakan — untuk kelayakan digital atau saluran pembentangan itu sendiri.
• Lapisan hak memandu — untuk kelayakan nasional mendasar untuk memandu.

Kadangkala ini berubah bersama. Selalunya tidak. Sistem yang mencampuradukkan mereka akan bertindak balas berlebihan, mendedahkan lebih banyak data daripada yang diperlukan, atau kedua-duanya.

Kompromi Dompet Seharusnya Mengalir Melalui Status — Bukan Mencetuskan Panggilan Balik Pengesah

IDP masa depan juga memerlukan jawapan yang jelas tentang apa yang berlaku apabila dompet dikompromi.

Seni bina EUDI menyediakan satu:

• Penyedia dompet mengeluarkan Pengesahan Unit Dompet yang mengandungi maklumat pembatalan.
• Integriti dompet disahkan semula dari semasa ke semasa; jika dompet tidak lagi selamat, pengesahannya dibatalkan.
• Penyedia PID mesti kerap memeriksa sama ada dompet telah dibatalkan. Jika ya, mereka membatalkan PID.
• Dengan mengesahkan status PID, pihak bergantung secara tersirat mengesahkan status dompet.

Inilah lapisan yang seharusnya diterima pakai oleh IDP masa depan. Jangan minta setiap pengesah memeriksa penyedia dompet secara bebas. Biarkan kompromi dompet merambat melalui saluran status kelayakan sedia ada, dan biarkan pengesah merujuk saluran tunggal yang memelihara privasi tersebut.

Tiga Corak Pembatalan Yang Boleh Digunakan (Tiada Panggilan Balik Diperlukan)

EUDI memerlukan penyedia menggunakan salah satu daripada tiga kaedah pembatalan:

• Pengesahan jangka pendek — sah selama 24 jam atau kurang, jadi pembatalan menjadi tidak perlu.
• Senarai Status Pengesahan — senarai yang diterbitkan yang boleh dirujuk oleh pengesah.
• Senarai Pembatalan Pengesahan — senarai eksplisit kelayakan yang dibatalkan.

Untuk pengesahan yang sah lebih lama daripada 24 jam, EUDI memerlukan maklumat pembatalan tertanam yang merangkumi:

• URL di mana pihak bergantung boleh mendapatkan senarai status.
• Pengecam yang mengenal pasti kelayakan dalam senarai tersebut.

Jika maklumat pembatalan yang boleh dipercayai tidak tersedia — contohnya, apabila pihak bergantung berada di luar talian — EUDI mengarahkan pihak bergantung untuk melakukan analisis risiko sebelum menerima atau menolak kelayakan.

Kesimpulannya: pembatalan bukan satu mekanisme tunggal, dan sudah tentu bukan justifikasi untuk panggilan balik penerbit yang wajib.

Jangka Pendek Secara Lalai, Jangka Panjang Hanya Di Mana Perlu

Salah satu langkah privasi yang paling berkesan dalam keseluruhan tindanan juga yang paling mudah: pastikan apa yang dibentangkan berumur pendek.

• EUDI mengatakan pengesahan yang sah selama 24 jam atau kurang tidak memerlukan infrastruktur pembatalan — ia tamat tempoh sebelum pembatalan akan penting.
• W3C mengatakan pembentangan yang boleh disahkan biasanya berumur pendek dan tidak direka untuk penyimpanan jangka panjang.
• NIST memberi amaran secara eksplisit terhadap penghantaran berulang pengecam yang boleh digunakan semula untuk kegunaan harian. Pengesahan hari ke hari seharusnya bergantung pada teknologi yang dibina untuk tujuan itu, seperti kunci laluan, bukan pembentangan berulang kelayakan yang kaya dengan identiti.
• NIST juga memilih pengesahan peranti tempatan berbanding pemadanan biometrik sisi pelayan khusus kerana pengesahan tempatan memelihara privasi dan lebih cekap dari segi operasi.

Prinsip Reka Bentuk 3: Kelayakan asas mungkin mempunyai tempoh kesahan sederhana, tetapi pembentangan itu sendiri seharusnya berumur pendek, khusus pengesah, dan tidak boleh digunakan semula.

Senarai Status Adalah Mekanisme Lalai Yang Betul

Apabila anda tidak dapat membuat segala-galanya berumur pendek, anda memerlukan infrastruktur status — dan senarai status adalah lalai yang betul.

Bitstring Status List v1.0 W3C menggambarkan mekanisme yang memelihara privasi, cekap ruang, dan berprestasi tinggi untuk menerbitkan data status seperti penggantungan atau pembatalan. Sifat utama termasuk:

• Setiap penerbit mengurus senarai untuk kelayakan yang telah diterbitkannya.
• Format ini dimampatkan dengan baik, memandangkan kebanyakan kelayakan kekal tidak dibatalkan.
• Saiz senarai lalai ialah 131,072 entri, yang W3C katakan memberikan privasi kumpulan yang mencukupi dalam kes purata.
• Senarai yang lebih besar boleh digunakan di mana privasi kumpulan yang lebih kukuh diperlukan.

Ini mengalihkan soalan daripada:

“Bolehkah saya bertanya kepada penerbit tentang pengguna ini sekarang?”

kepada:

“Adakah saya sudah mempunyai senarai status yang memelihara privasi yang cukup terkini untuk membuat keputusan secara tempatan?”

Itu adalah soalan yang jauh lebih baik — baik secara teknikal mahupun secara politik.

“Tiada Panggil-Balik” Adalah Corak Muat Turun, Bukan Slogan

Peraturan paling penting dalam panduan privasi EUDI adalah prosedural, bukan falsafah.

Pihak bergantung tidak boleh meminta senarai status setiap kali kelayakan dibentangkan. Sebaliknya, mereka mesti:

• Memuat turun setiap versi baharu senarai sekali.
• Berbuat demikian pada masa dan dari lokasi yang tidak berkaitan dengan mana-mana pembentangan pengguna.
• Mengedarkan senarai secara dalaman dalam organisasi pihak bergantung.
• Mendapatkan senarai tanpa mengesahkan pihak bergantung.

Itulah teras operasi pengesahan tanpa panggil-balik: segarkan status secara berasingan daripada pembentangan pengguna — tidak pernah per orang, tidak pernah per transaksi.

Pilihan reka bentuk tunggal ini menghalang penerbit atau penyedia status daripada mengetahui pengesah mana yang memeriksa kelayakan mana pada masa mana.

Privasi Kumpulan: Keperluan Yang Diabaikan Oleh Kebanyakan Reka Bentuk

Banyak sistem menggembar-gemburkan pendedahan selektif dalam pembentangan itu sendiri, kemudian secara senyap mengabaikan privasi carian status. Itu adalah jurang yang ketara.

Keperluan privasi EUDI menyatakan bahawa:

• Indeks dalam senarai status mesti ditetapkan secara rawak, supaya indeks itu sendiri tidak pernah menjadi isyarat penjejakan.
• Setiap senarai mesti meliputi bilangan kelayakan yang cukup besar untuk memastikan privasi kumpulan.
• Jika senarai akan terlalu kecil, penyedia seharusnya menambah entri yang tidak digunakan untuk menyamarkan bilangan kelayakan sebenar.

IDP masa depan tidak boleh mendakwa memelihara privasi berdasarkan kekuatan pendedahan selektif sahaja. Jika mekanisme pembatalan membocorkan peristiwa pembentangan, reka bentuk privasi adalah tidak lengkap.

Operasi Luar Talian Bukan Kes Tepi — Ia Adalah Keperluan Teras

Mana-mana sistem perjalanan yang mengandaikan sambungan sempurna adalah direka dengan buruk.

• AAMVA mengesahkan bahawa pengambilan peranti berfungsi tanpa sambungan luar untuk kedua-dua peranti pemegang dan pembaca, dan bahawa ISO/IEC 18013-5 memerlukan mDL untuk menyokong pengambilan peranti.
• EUDI menerima bahawa pihak bergantung mungkin berada di luar talian dan tidak mempunyai senarai status yang dicache, dalam kes itu ia mengesyorkan analisis risiko sebelum membuat keputusan.

Terima kompromi ini lebih awal:

Anda tidak boleh mempunyai operasi luar talian yang sempurna dan kesegaran masa nyata yang sempurna pada masa yang sama.

Mana-mana seni bina yang menjanjikan kedua-duanya tanpa kompromi sama ada tidak tepat atau secara senyap memperkenalkan semula pengawasan. Tindak balas yang betul adalah menjadikan kesegaran sebagai input dasar, bukan kebergantungan rangkaian sejagat.

Log Adalah Tempat Privasi Gagal Secara Senyap

Walaupun seni bina status yang cemerlang boleh dimusnahkan oleh pengelogan yang cuai.

• EUDI memerlukan contoh pihak bergantung untuk membuang elemen unik dan cap masa sebaik sahaja ia tidak lagi diperlukan, dan melarang penghantarannya.
• AAMVA melarang pihak berkepentingan daripada menjejak pemegang mDL atau penggunaan mDL kecuali di mana dikehendaki oleh undang-undang, memerlukan pihak berkuasa penerbit untuk meminimumkan perkongsian metadata statik atau berumur panjang, dan menyekat akses log aktiviti kepada pemegang.
• AAMVA juga memerlukan bahawa pemadaman pada peranti membuang maklumat log dan metadata yang boleh mendedahkan sejarah penggunaan — dan bahawa pemadaman ini boleh dilakukan secara luar talian.

Ini adalah tingkah laku protokol, bukan pengurusan pentadbiran. IDP masa depan mesti melayan pengecam berumur panjang, cap masa, dan log sebagai alat penjejakan yang berpotensi melainkan terbukti sebaliknya.

Seni Bina Tiada Panggil-Balik Yang Konkrit Untuk IDP Masa Depan

Menggabungkan semua prinsip, inilah yang seharusnya dilakukan oleh sistem tersebut:

1. Terbitkan kelayakan asas yang terikat pada peranti. Ikat kelayakan kepada kunci yang dilindungi dalam persekitaran selamat dompet — wajib di bawah EUDI untuk PID dan pengesahan ISO/IEC 18013-5.
2. Minta hanya apa yang diperlukan, dengan cabaran baharu. Dalam transaksi OpenID4VP, pertanyaan DCQL membolehkan dompet menunjukkan kepada pemegang atribut mana yang diminta, dan pengesah mengeluarkan cabaran untuk mengelakkan ulangan (mengikut seni bina mDL semasa NIST).
3. Jana pembentangan berumur pendek, bukan pengecam yang boleh digunakan semula. Setiap pembentangan seharusnya khusus untuk pengesah, permintaan, dan masa tersebut.
4. Sahkan keaslian secara tempatan. Sahkan tandatangan penerbit dan kunci awam secara luar talian; perkhidmatan kepercayaan AAMVA dibina untuk tujuan ini.
5. Semak status daripada senarai yang dicache dan disegarkan secara berasingan. Di mana kelayakan terlalu berumur panjang untuk melangkau pembatalan, gunakan senarai status yang dicache secara tempatan yang disegarkan mengikut jadual yang tidak berkaitan dengan pembentangan pengguna.
6. Terapkan dasar risiko apabila kesegaran tidak tersedia. Jadikan keputusan luar talian sebagai dasar pengesah yang eksplisit, bukan tekaan tidak berstruktur.
7. Padam data penjejakan secara agresif. Buang elemen unik transaksi dan cap masa apabila tidak lagi diperlukan; jangan kekalkan log yang boleh membina semula sejarah pergerakan.

Inilah rupa seni bina tiada panggil-balik yang serius — berlapis, memelihara privasi, kriptografi tempatan, dan jujur dari segi operasi tentang realiti luar talian.

Tiga Corak Yang Seharusnya Dilarang Secara Reka Bentuk

Ekosistem IDP masa depan yang matang seharusnya melayan ini sebagai kegagalan seni bina, bukan pilihan pengoptimuman:

• Panggilan balik penerbit wajib pada setiap pembentangan. Panduan privasi AAMVA sendiri menjelaskan mengapa ini berbahaya.
• Menggunakan kelayakan memandu sebagai log masuk rutin. NIST memberi amaran secara eksplisit terhadap pembentangan berulang kelayakan yang mengandungi identiti untuk pengesahan harian.
• Mengekalkan pengecam, cap masa, dan log yang boleh membina semula sejarah pembentangan. Kedua-dua EUDI dan AAMVA memerlukan yang sebaliknya.

Hujah Teras Dalam Satu Ayat

Pengesahan serta-merta tidak boleh menjadi kebenaran untuk pengawasan sisi penerbit.

IDP masa depan seharusnya mampu:

• Membuktikan keaslian secara tempatan.
• Membuktikan pemilikan secara tempatan.
• Memeriksa kesegaran secara peribadi.
• Menangani realiti luar talian.
• Berfungsi dengan baik apabila maklumat yang sempurna tidak tersedia.

Tiada satu pun daripada ini menjadikan sistem lebih lemah. Ia menjadikannya berbaloi untuk digunakan pada skala besar.

Sebaik sahaja kelayakan memandu menjadi alat untuk merekod siapa yang menunjukkan apa, di mana, dan bila, ia berhenti menjadi versi kertas yang lebih selamat. Ia menjadi infrastruktur untuk pemerhatian.

Itulah tepat apa yang seharusnya IDP masa depan enggan menjadi.

Soalan Lazim

Apakah “pengesahan panggil-balik”?
Ia adalah mana-mana reka bentuk di mana pengesah menghubungi penerbit secara masa nyata untuk mengesahkan kelayakan. Walaupun ia menyelesaikan keaslian dan pembatalan secara serentak, ia juga membolehkan penerbit memerhatikan setiap peristiwa pembentangan.

Adakah ISO/IEC 18013-5 memerlukan hubungan penerbit dalam talian?
Tidak. AAMVA mengesahkan ISO/IEC 18013-5 memerlukan sokongan untuk pengambilan peranti dan hanya secara pilihan membenarkan pengambilan pelayan.

Bagaimana pembatalan boleh berfungsi tanpa menghubungi penerbit?
Melalui kelayakan berumur pendek, senarai status pengesahan, atau senarai pembatalan pengesahan — sebaik-baiknya dengan pihak bergantung memuat turun data status secara berasingan daripada pembentangan pengguna.

Mengapa “privasi kumpulan” penting untuk senarai status?
Jika senarai status terlalu kecil atau indeksnya boleh diramal, permintaan status boleh membocorkan kelayakan spesifik mana yang baru sahaja dibentangkan. Indeks rawak dan senarai besar menghalang ini.

Adakah pengesahan luar talian benar-benar praktikal?
Ya — dan badan piawaian termasuk AAMVA dan EUDI memerlukkannya secara eksplisit. Komprominya ialah kesegaran masa nyata yang sempurna tidak serasi dengan operasi luar talian yang sempurna, jadi kesegaran mesti menjadi keputusan dasar, bukan kebergantungan keras.