Waarom Blockchain Optioneel Is voor het Toekomstige Internationale Rijbewijs (IRP)

Een toekomstig Internationaal Rijbewijs (IRP) heeft transparantie, vertrouwensankers en publieke verantwoording nodig. Wat het standaard niet nodig heeft, is het plaatsen van bestuurders zelf op een gedistribueerd grootboek.

Elk serieus gesprek over een digitaal, grensoverschrijdend IRP trekt uiteindelijk hetzelfde voorstel aan: “Zet het gewoon op de blockchain.” De aantrekkingskracht is begrijpelijk. Blockchains bieden manipulatiebestendigheid, gedeelde zichtbaarheid en een alleen-toevoegen-geschiedenis. Dat zijn echte eigenschappen. Maar in de context van grensoverschrijdende bestuurdersidentiteit worden ze maar al te vaak op de verkeerde laag toegepast.

Dit artikel legt uit waarom, bespreekt wat de standaarden werkelijk zeggen en schetst een beter architectuurpatroon.

Wat de Standaarden Werkelijk Zeggen over Blockchain

Het W3C Verifiable Credentials Data Model is expliciet: een verifieerbaar gegevensregister kan vele vormen aannemen, waaronder:

• Vertrouwde databases
• Gedecentraliseerde databases
• Overheidsidentiteitsdatabases
• Gedistribueerde grootboeken

DID Core is even duidelijk: veel DID-methoden maken gebruik van gedistribueerde grootboektechnologie, maar niet alle. Met andere woorden: de standaarden verwerpen al het idee dat blockchain een verplichte basis is voor digitale credentials.

Dat is het juiste vertrekpunt voor een toekomstig IRP. De zinvolle vraag is niet “blockchain of geen blockchain?” De vraag is:

Welke laag heeft werkelijk transparantie nodig, en welke laag mag standaard absoluut geen openbare infrastructuur worden?

Blockchain Is een Verzameling Eigenschappen, Geen Vereiste

De eerste fout is “blockchain” behandelen als één enkelvoudige vereiste. Dat is het niet. Het is een bundel van mogelijke eigenschappen, waaronder:

• Gedeelde publicatie
• Alleen-toevoegen-geschiedenis
• Gedistribueerde werking
• Bonnetjesgeneratie
• Weerstand tegen eenzijdige wijzigingen

Sommige hiervan zijn nuttig voor een toekomstig IRP. Sommige zijn irrelevant. En sommige zijn ronduit gevaarlijk wanneer ze worden toegepast op menselijke credentialhouders. Het W3C-registermodel staat bewust meerdere implementaties toe, omdat verschillende ecosystemen verschillende afwegingen nodig hebben.

Drie Problemen Die Niet Gecombineerd Mogen Worden

De tweede fout is drie verschillende problemen samenvoegen in één systeem. Voor een toekomstig IRP moeten deze gescheiden blijven:

1. Waar de juridische waarheid berust. Het rijrecht hoort thuis in gezaghebbende nationale rijbewijsregisters.
2. Hoe vertrouwensmateriaal wordt verspreid. Uitgeverssleutels en verificatiecertificaten horen thuis in gecontroleerde vertrouwensregisters.
3. Hoe het ecosysteem wijzigingen controleert. Dit hoort thuis in een transparantielaag.

Ecosystemen in de praktijk werken al op deze manier. AAMVA’s Digital Trust Service verspreidt uitgevers-publieke-sleutels via een downloadbare lijst, nog voordat een verificateur ooit interactie heeft met een mDL. Het EU-handboek voor mobiele rijbewijzen specificeert dat Lidstaten de Commissie in kennis stellen van geautoriseerde mDL-uitgevers, en de Commissie publiceert een verificatielijst van die autoriteiten. Dat is vertrouwensverdeling zonder blockchain.

Wat Certificate Transparency Ons Leert

Het meest effectieve transparantiemodel op het publieke internet is geen consumentenblockchain. Het is Certificate Transparency (CT).

RFC 9162 beschrijft CT als een protocol voor het openbaar registreren van TLS-servercertificaten, zodat iedereen:

• De activiteit van certificeringsinstanties kan controleren
• Problematische of onjuist uitgegeven certificaten kan opsporen
• De logboeken zelf kan controleren

De belangrijkste ontwerpervaring van CT: transparantie is het meest waardevol wanneer het het gedrag van uitgevers en vertrouwensmateriaal vastlegt — niet de activiteit van eindgebruikers.

Toegepast op een toekomstig IRP betekent dit het registreren van zaken als:

• Uitgifte en rotatie van uitgeverssleutels
• Publicatie van vertrouwensankers
• Registratie van verificatiecategorieën
• Beleidswijzigingen
• Conformiteitsverklaringen
• Beveiligingsrelevante gebeurtenissen

Wat het niet betekent, is het aanmaken van een openbaar of semi-openbaar grootboek van houders, credential-identificatoren of presentatiegebeurtenissen. Dat is geen transparantie. Dat is buitensporige gegevensverzameling.

SCITT: Waarom Transparantie Niet Hetzelfde Is als Waarheid

Het IETF SCITT-architectuurconcept breidt dit denken verder uit. SCITT definieert een Transparantiedienst die een verifieerbare gegevensstructuur bijhoudt en cryptografische bonnetjes uitgeeft die de opname van ondertekende verklaringen bewijzen. De identiteit van de Transparantiedienst wordt vastgelegd door een publieke sleutel die bekend is bij vertrouwende partijen, en vertrouwensankers en registratiebeleid worden zelf transparant gemaakt.

Dit is een krachtig model voor IRP-infrastructuur, omdat het transparantie omvormt tot een controleerbare dienst rondom vertrouwensmateriaal en beleid — niet rondom persoonlijke reisgebeurtenissen.

SCITT is ook duidelijk over de grenzen van transparantie:

• Een geregistreerde verklaring bewijst alleen dat een uitgever deze heeft geproduceerd en geregistreerd — niet dat de verklaring voor onbepaalde tijd correct is.
• Een latere ondertekende verklaring kan een eerdere vervangen.
• Transparantie voorkomt geen oneerlijke of gecompromitteerde uitgevers; het houdt hen verantwoordelijk.

Voor bestuurdersidentiteit is dat onderscheid enorm belangrijk: een transparantielogboek is bewijs en auditgeschiedenis, niet de gezaghebbende juridische toestand van iemands rijrecht.

SCITT merkt ook op dat een transparantiedienst zijn alleen-toevoegen-reeks kan beschermen met een combinatie van vertrouwde hardware, consensusprotocollen en cryptografisch bewijs. Zelfs de transparantielaag vereist geen specifiek blockchainontwerp. Consensus is één optie, niet de enige.

De Juiste Architecturale Scheiding voor een Toekomstig IRP

Een toekomstig IRP moet de verantwoordelijkheden verdelen over vier afzonderlijke lagen:

1. Gezaghebbende registers van wie er mag rijden (nationale rijbewijsautoriteiten)
2. Vertrouwensregisters voor uitgever- en verificateursleutels
3. Statusinfrastructuur voor actualiteit en intrekking
4. Een optionele transparantielaag voor publieke controle van beleid, vertrouwensankers, bonnetjes en conformiteitsverklaringen

Zodra je deze lagen scheidt, wordt de blockchainvraag veel scherper. Het is niet langer “moet het toekomstige IRP op een blockchain?” Het wordt:

Welke laag, indien überhaupt, heeft daadwerkelijk baat bij alleen-toevoegen openbare controle?

Vijf Redenen Waarom On-Chain Bestuurdersidentiteit de Verkeerde Standaard Is

1. Het Creëert Duurzame Volgsignalen

Het EUDI-privacywerk legt uit dat attestatiepresentaties unieke waarden kunnen bevatten, zoals:

• Salts
• Hashwaarden
• Intrekkingsidentificatoren
• Apparaatkoppeling-publieke-sleutels
• Handtekeningen
• Tijdstempels

Omdat die waarden voor dezelfde attestatie vast zijn, stellen ze vertrouwende partijen in staat verschillende transacties te koppelen en een gedragsprofiel van de gebruiker op te bouwen. EUDI waarschuwt expliciet dat dit de redelijke verwachting schendt dat afzonderlijke portemonnee-activiteiten niet worden gecombineerd.

Als je stabiele houderidentificatoren, stabiele credentialidentificatoren, herbruikbare hashes of individueel herleidbare intrekkingsgebeurtenissen op een openbaar grootboek publiceert, los je het volgprobleem niet op — je maakt het permanent.

2. Het Stelt Intrekkings- en Actualiteitsgebeurtenissen Bloot

De W3C Bitstring Status List-aanbeveling beschrijft het probleem duidelijk: als er een één-op-één-koppeling is tussen een credential en de URL waar de status ervan wordt gepubliceerd, kan de uitgever de houder, de verificateur en het tijdstip van de controle aan elkaar koppelen. De specificatie gebruikt een rijbewijsvoorbeeld om te illustreren waarom gevolgd worden door de uitgever bij het betreden van een etablissement een veelvoorkomende privacyverwachting schendt.

De betere standaard die Bitstring Status List voorstelt:

• Grote, comprimeerbare statuslijsten waarbij veel credentials één statusbron delen
• Een standaardlijstlengte van 131.072 vermeldingen
• Vertrouwende partijen die nieuwe versies afzonderlijk downloaden, zonder zichzelf te authenticeren
• Gerandomiseerde indices en groepsprivacygaranties

Dat is het tegenovergestelde van geïndividualiseerde, on-chain intrekkingssporen.

3. Het Verwart Credentialstatus met Juridische Rijstatus

Een digitale credential kan worden ingetrokken omdat het ondertekeningmechanisme ervan gecompromitteerd was — zelfs terwijl het feitelijke rijrecht in de echte wereld geldig blijft. Een openbaar grootboek van credentialgebeurtenissen is geen zuiver alternatief voor de gezaghebbende toestand van een nationaal rijregister.

SCITT bevestigt dit punt: een geregistreerde verklaring kan later worden vervangen door een nieuwe, en vertrouwende partijen bepalen op basis van beleid en geschiedenis wat ze vertrouwen. Het logboek is geen permanente waarheid. Het is bewijs over wie wat heeft gezegd, wanneer, onder welk beleid. De nationale rijbewijsautoriteit blijft de oorsprong van de juridische waarheid.

4. Het Richt Zich op het Verkeerde Bestuursprobleem

Grensoverschrijdende bestuurdersidentiteit is in de eerste plaats geen consensusprobleem. Het is een bestuursprobleem:

• Wie mag uitgifte verrichten?
• Welke publieke sleutels zijn actueel?
• Welke verificateurs zijn geautoriseerd?
• Welke gegevensverzoeken passen bij hun opgegeven doel?
• Welke beleidsversie was van kracht op het betreffende moment?

Ecosystemen in de praktijk beantwoorden deze vragen al via beheerde vertrouwensinfrastructuur, niet via gedecentraliseerde consensus:

• AAMVA’s Digital Trust Service publiceert publieke sleutels van uitgevende autoriteiten via een downloadbare lijst.
• Het EU-handboek voor mobiele rijbewijzen stelt dat de Commissie de lijst van geautoriseerde mDL-uitgevers publiceert.
• Het ETSI-werk rond wallet-relying-party-certificaten biedt machineleesbare verificateurauthenticatie met beoogd gebruik en geregistreerde gevraagde attributen.

Dat is expliciet openbaar vertrouwensbeheer — geen gedecentraliseerd bestuur.

5. Het Lost de Wegkantelijkheid Niet Op

Veel blockchainvoorstellen gaan stilzwijgend ervan uit dat live netwerktoegang een voordeel is. Voor rijbewijscredentials — met name langs de weg of tijdens reizen — is dat vaak niet het geval.

De implementatiegids van AAMVA specificeert dat:

• Apparaatuitwisseling werkt zonder externe connectiviteit voor zowel houder als lezer op het moment van de transactie.
• ISO/IEC 18013-5 ondersteuning voor apparaatuitwisseling verplicht stelt.
• Toegang van de verificateur tot publieke uitgeverssleutels niet op het moment van de transactie hoeft te geschieden. Sleutels kunnen van tevoren worden gedownload.

Als een verificateur al lokaal kan valideren aan de hand van gecached vertrouwensmateriaal, is een live blockchainafhankelijkheid niet essentieel. Op zijn best is het een implementatiekeuze voor een bepaalde backend-auditfunctie.

Wat Transparant Moet Zijn in een Toekomstig IRP

Een toekomstig IRP heeft absoluut transparantie nodig — op de juiste plek.

Maak dit standaard transparant:

• Uitgevers-publieke-sleutels en sleutelrotatiegebeurtenissen
• Vertrouwensankers en lijsten van geautoriseerde uitgevers
• Verificateurtoegang-certificaten en metadata van geregistreerde doeleinden
• Beleidsversies en registratieregels
• Conformiteitsverklaringen en beveiligingsrelevante softwarevrijgaveclaims
• Controleerbare bonnetjes die bewijzen dat deze verklaringen zijn geregistreerd

Maak dit standaard niet openbaar:

• Houderidentificatoren op een openbaar grootboek
• Stabiele credentialidentificatoren die worden hergebruikt bij meerdere verificateurs
• Gebeurtenissen per presentatie
• Ruwe intrekkingsvermeldingen die één persoon isoleren
• Volledige ondertekende verklaringen met persoonsgegevens wanneer hashes of metadata voldoende zijn

SCITT waarschuwt uitgevers expliciet om de opname van privé-, vertrouwelijke of persoonlijk identificeerbare informatie te beoordelen alvorens verklaringen in te dienen bij een transparantiedienst. Het merkt ook op dat transparantiediensten alleen cryptografische metadata zoals hashes kunnen bewaren — geen volledige ondertekende verklaringen.

Een Beter Patroon: Transparantie Rondom het Ecosysteem, Niet Door de Persoon

Een heldere architectuur voor een toekomstig IRP ziet er als volgt uit:

• Gezaghebbend nationaal register — blijft de juridische waarheidsbron voor het rijrecht.
• Credentiallaag — draagt machineverifieerbare rijbevoegdheden over naar de portemonnee van de houder.
• Vertrouwensregisterlaag — verspreidt uitgeverssleutels, verificateurscertificaten en lijsten van geautoriseerde uitgevers.
• Statuslaag — gebruikt kortlevende attestaties of privacybeschermende statuslijsten die afzonderlijk worden vernieuwd.
• Transparantielaag — kan intern al dan niet gebruik maken van consensus, en registreert vertrouwensankers, sleutelwijzigingen, beleidsupdates, bonnetjes en ecosysteemverklaringen die baat hebben bij alleen-toevoegen openbare controle.

Deze architectuur vangt de nuttige onderdelen van het blockchaindenken — alleen-toevoegen-controleerbaarheid, publiek toezicht, manipulatiebestendigheid, bonnetjes — zonder de bestuurder tot het publieke onderwerp van het systeem te maken. Het sluit ook aan bij wat de standaarden al beschrijven: registers kunnen verschillende vormen aannemen, DID’s vereisen geen gedistribueerde grootboeken, vertrouwensregisters bestaan al, en privacybeschermende statusmechanismen zijn al gestandaardiseerd.

Het Kernargument

Het toekomstige IRP zou het beste idee van blockchain moeten overnemen — publieke verantwoording voor infrastructuur — zonder de ergste standaard voor mensen over te nemen: duurzame, wereldwijd zichtbare tracking.

In de praktijk betekent dat:

• Transparantie voor uitgevers, geen blootstelling van houders
• Controleerbare vertrouwensankers, geen openbare reisregistraties
• Bonnetjes voor beleid en registraties, geen permanente tijdlijnen van credentialgebruik
• Alleen-toevoegen-bewijs voor ecosysteembestuur, geen on-chain bestuurdersidentiteit als standaard

Dit is geen argument tegen blockchain. Het is een argument tegen het toepassen van blockchain op de verkeerde laag.

Een toekomstig IRP kan heel goed consensusondersteunde transparantiediensten ergens in het ecosysteem gebruiken. Maar als het ontwerp begint met het plaatsen van de bestuurder, de credential of het presentatiespoor op een grootboek, is er al de verkeerde standaard gekozen.