O IDP do Futuro Não É um Caderneto. É uma Camada de Apresentação que Preserva a Privacidade.

O permis de condução internacional (IDP) do futuro não deve ser mais um documento a transportar. Deve ser uma forma governada e criptograficamente verificável de apresentar privilégios de condução nacionais além-fronteiras — online e offline, com divulgação mínima e sem transformar cada verificação em vigilância.

Todos dizem que o futuro do permis de condução internacional é digital. Isso não está errado — mas também não é suficientemente específico.

Um caderneto em PDF no telemóvel não é o futuro. Um código QR com melhor aparência não é o futuro. Um token blockchain com “condução” nos materiais de marketing não é o futuro.

O verdadeiro problema é mais profundo do que o formato. Resume-se a uma questão central: como é que um privilégio de condução legítimo, emitido por uma autoridade, se torna compreensível, fiável e utilizável noutro lugar, por outro verificador, sob pressão, por vezes sem rede, e sem expor mais dados pessoais do que o necessário?

Essa é a questão que o IDP em papel nunca resolveu completamente. E é a questão que o sistema de próxima geração deve responder.

Por Que Razão o IDP em Papel Resolveu a Legibilidade mas Não a Confiança

O IDP em papel fazia sentido num mundo em que o papel era o principal meio. Funcionava como uma camada de compatibilidade — uma ligação legível por humanos entre um sistema de licenciamento e outro. Isso era útil e, em certa medida, ainda o é.

Mas a parte difícil da mobilidade transfronteiriça moderna já não é apenas a legibilidade. É a confiança.

Os verificadores de hoje enfrentam uma série de questões mais complexas:

• Conseguem determinar se a credencial é genuína?
• Conseguem confirmar que ainda é válida?
• Conseguem verificar apenas os campos específicos de que realmente necessitam?
• Conseguem fazê-lo sem contactar a autoridade emissora de cada vez?
• Conseguem verificar online, presencialmente e à beira da estrada?
• Conseguem fazê-lo sem transformar as viagens num sistema de rastreio global?

É por isso que o IDP do futuro não deve ser entendido como um projeto de caderneto digital. Deve ser entendido como um problema de arquitetura de apresentação.

Normas que Já Apontam para um IDP Digital

Isto já não é teórico. A comunidade de normalização já se moveu nesta direção:

• A ISO/IEC 18013-1:2018 estabeleceu um modelo em que uma única licença segura pode servir tanto para fins domésticos como internacionalmente reconhecidos, antecipando tecnologias de leitura automática e a integração de biometria, criptografia e compressão.
• A ISO/IEC 18013-3 abrange o controlo de acesso, a autenticação e a validação de integridade.
• A ISO/IEC 18013-5 define as interfaces entre a carta de condução móvel, o leitor e a infraestrutura da autoridade emissora, incluindo a utilização por verificadores noutros países.
• A ISO/IEC 18013-7 acrescenta a apresentação de uma carta de condução móvel através da internet.
• O trabalho da UNECE sobre permis de condução eletrónicos liga os requisitos técnicos e de segurança à conformidade com a ISO/IEC 18013-5.

A Abordagem Errada para Digitalizar o IDP

A abordagem errada é pegar no IDP atual, convertê-lo para formato digital e colocá-lo numa aplicação. Isso parece eficiente, mas preserva o foco errado — mantém o sistema centrado no documento como objeto físico.

A melhor abordagem é tratar a condução internacional como uma apresentação controlada de direitos de condução emitidos a nível nacional.

Essa mudança é importante, porque assim que se pensa em apresentação, as questões de conceção tornam-se mais precisas:

• Quem emitiu o direito subjacente de conduzir?
• Como é que o titular recebe e armazena a credencial?
• Como é que um verificador solicita apenas os dados de que legitimamente necessita?
• Como são distribuídas e validadas as chaves do emissor?
• Como é verificada a revogação sem rastreio em tempo real pelo emissor?
• O que funciona offline e o que ainda precisa de papel como reserva?
• Que verificador tem autorização para ver que dados, e porquê?

Esta é uma forma muito mais rigorosa de conceber o substituto do IDP em papel.

Uma Melhor Definição do IDP do Futuro

Eis uma definição proposta:

Um IDP do Futuro é uma credencial transfronteiriça derivada e baseada em normas, que apresenta privilégios de condução emitidos a nível nacional a um verificador de forma adequada ao contexto, sob controlo do titular, com verificação criptográfica, divulgação baseada em funções, fluxos de apresentação online e offline, e verificação de estado que preserva a privacidade.

Essa definição é deliberadamente restrita. Ela não:

• Torna o IDP do Futuro um direito de condução autónomo
• O transforma num repositório universal de dados de identidade
• Exige uma ligação em tempo real ao emissor para cada transação
• Pressupõe que um balcão de aluguer, um agente de autoridade e uma seguradora devem ver os mesmos campos
• Exige blockchain como núcleo do sistema

É uma resposta disciplinada a um problema de confiança.

Os Sete Componentes de um IDP do Futuro Funcional

Eliminando a linguagem de marketing, um IDP do Futuro funcional necessita de sete componentes:

1. Uma fonte de verdade nacional e autoritativa. O direito legal de conduzir provém da autoridade de licenciamento doméstica. A camada internacional nunca deve criar direitos de condução — apenas apresentá-los.
2. Um emissor. Uma autoridade pública de confiança, ou um emissor autorizado e rigorosamente regulado a agir em seu nome, emite a credencial digital que reflete o privilégio de condução atual.
3. Uma carteira do titular. O condutor necessita de uma carteira segura que armazene a credencial, proteja as chaves privadas, autentique o titular e apresente a credencial aos verificadores.
4. Um verificador ou leitor. Pode ser um dispositivo policial, um leitor num balcão de aluguer, um sistema online ou outro verificador autorizado.
5. Um registo de confiança. Os verificadores precisam de uma forma fiável de obter as chaves públicas e os metadados de confiança dos emissores legítimos.
6. Uma camada de estado. Deve existir uma forma de expressar suspensão, revogação, expiração ou alteração de estado que preserve a privacidade.
7. Uma cópia de segurança física. Baterias descarregadas, fraca conectividade, dispositivos danificados, jurisdições conservadoras e ambientes de política transitória são a realidade normal — não casos extremos.

Divulgação Baseada em Funções: Uma Credencial, Diferentes Públicos

Uma das maiores falhas de conceção nos sistemas de identidade é partir do princípio de que uma credencial implica uma única divulgação. Isso é o oposto de um bom design.

Um agente de autoridade numa paragem à beira da estrada não tem a mesma necessidade legítima que um balcão de aluguer. Um balcão de aluguer não tem a mesma necessidade que um empregador. Um empregador não tem a mesma necessidade que um sistema de pré-verificação online.

Um IDP do Futuro deve suportar diferentes conjuntos de divulgação para diferentes categorias de verificadores:

• Paragem à beira da estrada: Identidade, fotografia, categorias e habilitações, restrições, estado de validade. Por defeito, nada mais.
• Balcão de aluguer: Identidade, fotografia, categorias de condução, datas de emissão e validade, possivelmente informação sobre a idade — mas não todos os campos da credencial.
• Pré-verificação online: Prova de identidade, prova de habilitação de condução relevante, prova de validade atual, possivelmente uma confirmação ligada à reserva.
• Conformidade para empregadores ou frotas: Um fluxo de trabalho separado com consentimento explícito, não o mesmo perfil de divulgação da verificação de viagem.

As normas já suportam este modelo. O atual rascunho mDL do NIST descreve consultas que permitem aos verificadores especificar quais os atributos que solicitam. As diretrizes de implementação da AAMVA exigem que a aplicação mostre claramente os dados solicitados e confira ao titular controlo total sobre os elementos de dados partilhados.

Um IDP do Futuro não deve ser um cartão digital. Deve ser um instrumento de divulgação controlada.

A Verificação Instantânea Não Pode Tornar-se Vigilância Instantânea

É aqui que muitos projetos de identidade digital falham. Descrevem a “verificação em tempo real” como se isso significasse automaticamente progresso. Não significa.

Um verificador precisa de confiança atempada. Mas o emissor não precisa de saber cada lugar e cada momento em que o titular apresenta a credencial. Essa distinção é essencial.

O Quadro de Arquitetura e Referência da UE é claro neste ponto. As instâncias de partes confiantes não devem solicitar a lista de estados relevante cada vez que uma credencial é apresentada. Em vez disso:

• As listas atualizadas devem ser descarregadas separadamente, em momentos e a partir de localizações não relacionadas com uma apresentação específica de um utilizador.
• As posições na lista de estados devem ser aleatorizadas, com entradas suficientes para garantir privacidade coletiva.
• Os pedidos de lista não devem tornar-se sinais de rastreio para titulares específicos.

O atual rascunho mDL do NIST descreve a validação por parte do verificador com base em assinaturas do emissor e chaves públicas, sem necessidade de contactar o emissor diretamente. As orientações da AAMVA proíbem a recuperação pelo servidor nas suas diretrizes de implementação e centram-se na recuperação pelo dispositivo mais na distribuição de chaves públicas baseada em serviços de confiança.

Um IDP do Futuro deve suportar verificação instantânea — sem criar um registo global de onde e quando um condutor provou a sua identidade.

Distribuição de Confiança: Governação em Formato Legível por Máquina

Muitas pessoas discutem carteiras e criptografia. Muito menos discutem a infraestrutura que realmente faz a confiança funcionar — mas a infraestrutura é a parte que importa.

Um verificador só pode confiar numa credencial se conseguir descobrir e confiar de forma fiável nas chaves públicas e metadados relacionados do emissor. Um ecossistema de IDP do Futuro precisa de uma resposta legível por máquina e governável para questões como:

• Quais os emissores legítimos?
• Quais as chaves públicas atuais?
• Quais os emissores autorizados para quais jurisdições?
• Quais as categorias de verificadores registadas ou acreditadas?
• O que acontece quando um emissor roda chaves ou altera a política?

O Serviço de Confiança Digital da AAMVA é um exemplo concreto: uma forma única, segura e resiliente de as partes confiantes obterem as chaves públicas das autoridades emissoras, entregue através de uma lista verificada de autoridades de certificação de emissores. O manual mDL da UE descreve os Estados-Membros a notificar a Comissão Europeia dos emissores mDL autorizados, a Comissão a publicar essa lista para fins de verificação, e o registo de partes confiantes no âmbito do quadro de confiança das carteiras.

Essa é a direção de que um IDP do Futuro necessita — não um sistema em que todos digitalizam um código QR e confiam no resultado sem validação, mas um em que a confiança é distribuída, com versões e verificável por máquina.

O Online e a Beira da Estrada Devem Partilhar um Sistema Unificado

Um IDP do Futuro sério não pode dividir-se em sistemas separados: um para verificações à beira da estrada, um para aluguer de automóveis, um para integração remota, um para verificação de identidade e outro para verificação de condução. Essa fragmentação é exatamente o que os utilizadores já sofrem.

As normas técnicas existem agora para evitá-la:

• A ISO/IEC 18013-5 define as interfaces para a apresentação presencial da carta de condução móvel.
• A ISO/IEC 18013-7 estende isso à apresentação através da internet.
• O manual de carta de condução móvel da UE lista tanto o aluguer de automóveis como as verificações à beira da estrada como cenários de verificação, e descreve a partilha remota, bem como verificações de proximidade usando fluxos ativados por QR, Bluetooth, Wi-Fi Aware e NFC.

O sistema futuro deve lidar tanto com cenários online como presenciais, porque a viagem inclui ambos. A mobilidade inclui ambos. A confiança exige ambos.

A Camada de Protocolo Nativa para a Web Está Agora Madura

Durante anos, uma das razões pelas quais as discussões sobre identidade pareciam imprecisas era que a camada de protocolo ainda estava incompleta. Isso é muito menos verdade agora:

• O OpenID para Emissão de Credenciais Verificáveis 1.0 define uma API protegida por OAuth para a emissão de credenciais, suportando explicitamente múltiplos formatos de credenciais, incluindo ISO mdoc, SD-JWT VC e credenciais W3C VCDM.
• O OpenID para Apresentações Verificáveis 1.0 define um mecanismo para os verificadores solicitarem e receberem apresentações de credenciais.
• O Modelo de Dados de Credenciais Verificáveis 2.0 do W3C formaliza o ecossistema tripartido de emissores, titulares e verificadores.

Isso muda a conversa. O IDP do Futuro já não tem de ser imaginado como uma única aplicação governamental com processos construídos à medida. Pode ser concebido como um perfil de credencial governado sobre um ecossistema interoperável mais amplo.

Isso não elimina a necessidade de governação pública. Elimina o pretexto de que não existe uma pilha de protocolos moderna sobre a qual construir.

Por Que Razão o Blockchain É Opcional — Mas o Reconhecimento Não

Um IDP do Futuro não precisa de blockchain como fundação. Isso não significa que a tecnologia de registo distribuído seja inútil — pode ser valiosa em funções específicas de transparência ou registo — mas não deve ser tratada como o centro do sistema de credenciais de condução.

O Modelo de Dados VC 2.0 do W3C é explícito ao afirmar que os registos de dados verificáveis podem assumir muitas formas: bases de dados de confiança, bases de dados descentralizadas, bases de dados de identidade governamental ou registos distribuídos. O DID Core é igualmente explícito ao afirmar que muitos, mas não todos, os métodos DID utilizam registos distribuídos. As normas não impõem uma arquitetura centrada em blockchain.

Essa é a posição correta, porque a parte mais difícil de um IDP do Futuro não é a tecnologia. A parte mais difícil é:

• Reconhecimento legal
• Governação dos emissores
• Implementação de leitores
• Acreditação de verificadores
• Operações de listas de confiança
• Lógica de revogação
• Alinhamento de políticas transfronteiriças

A AAMVA criou um serviço de confiança. O manual da UE inclui a publicação de emissores e o registo de partes confiantes. Os rascunhos da UNECE ligam os permis eletrónicos à ISO/IEC 18013-5. O verdadeiro desafio não é a ausência de criptografia — é o desafio da interoperabilidade governada.

Um Fluxo Realista do IDP do Futuro na Prática

Um IDP do Futuro deve ser simples na prática. Eis como funciona em três cenários comuns:

1. Emissão ou Renovação

A autoridade nacional verifica o registo de licença subjacente e emite uma credencial para a carteira do titular. A carteira armazena-a de forma segura, protege as chaves e pode posteriormente atualizar o estado ou receber atestações atualizadas através de um fluxo de emissão governado. O OpenID4VCI fornece uma camada de emissão nativa para a web viável, enquanto as orientações da AAMVA exigem encriptação em repouso, armazenamento seguro de chaves e autenticação do titular quando os dados são acedidos ou disponibilizados.

2. Pré-Verificação Remota para Aluguer de Automóvel

Uma plataforma de aluguer envia um pedido autenticado para um conjunto mínimo de habilitações de condução. A carteira mostra o pedido ao titular, que o aprova. O verificador recebe a apresentação através de um fluxo compatível com a internet, valida a assinatura do emissor e o material de chave, verifica as informações de confiança e estado disponíveis localmente e pré-aprova a reserva. O manual mDL da UE já descreve a partilha remota para aluguer de automóveis; o rascunho do NIST descreve pedidos de atributos orientados por consultas; o OpenID4VP e a ISO/IEC 18013-7 fornecem a direção geral de apresentação para fluxos baseados na internet.

3. Paragem à Beira da Estrada

Um agente de autoridade solicita o conjunto de divulgação para a beira da estrada. O titular apresenta através de um fluxo de proximidade. O leitor valida a credencial localmente, verifica as habilitações de condução e a validade, e não vê mais do que o necessário. Por defeito, o emissor não é contactado. O manual da UE descreve a verificação rodoviária por QR, Bluetooth, Wi-Fi Aware e NFC, enquanto a ISO/IEC 18013-5 e as orientações da AAMVA centram a proximidade e a recuperação pelo dispositivo em vez do contacto em tempo real com o emissor.

Esta é a experiência de utilizador correta: rápida, verificável, minimamente invasiva e simples.

O Que o IDP do Futuro Não É

Para ser claro, o IDP do Futuro não é:

• Uma carta de condução autónoma
• A imagem de um cartão
• Uma coleção universal de dados de identidade
• Um canal de vigilância controlado pelo verificador
• Papel em formato digital
• Um sistema de confiança dependente de blockchain

É uma camada de apresentação cuidadosamente governada sobre privilégios de condução emitidos a nível nacional. Isso é menos dramático — e muito mais provável de funcionar.

Por Que Razão o Caminho de Migração É Tão Importante Como a Arquitetura

A melhor arquitetura é inútil se o caminho de migração não for realista. Os governos não vão substituir todos os fluxos de trabalho em papel de um dia para o outro — e não devem.

Um caminho realista parece-se com isto:

1. Fase 1: Manter o papel. Acrescentar um complemento digital seguro.
2. Fase 2: Padronizar as listas de confiança de emissores e as categorias de verificadores.
3. Fase 3: Suportar tanto a apresentação por proximidade como a remota.
4. Fase 4: Migrar as verificações de rotina e os alugueres para fluxos com prioridade digital.
5. Fase 5: Reduzir o caderneto em papel ao estado de cópia de segurança em vez de estado primário.

Esse caminho corresponde à direção para a qual as normas e o trabalho oficial do ecossistema já se encaminham: a lógica de documento único da ISO, a infraestrutura de serviços de confiança da AAMVA, os casos de uso mDL baseados em carteira da EUDI, e o movimento da UNECE em direção a modelos de permis eletrónicos alinhados com a ISO/IEC 18013-5.

O Argumento Central numa Única Frase

Eis o argumento destilado: O IDP do futuro não é um caderneto digital. É uma resposta governada a um problema de confiança transfronteiriça.

Não uma versão mais apelativa do documento antigo — um sistema melhor. Um sistema onde:

• O direito legal ainda provém da autoridade nacional
• O titular controla a apresentação
• O verificador recebe apenas o que necessita
• A confiança pode ser verificada sem vigilância por defeito
• A utilização remota e presencial partilham uma arquitetura
• O papel sobrevive apenas onde ainda tem valor prático

Esse é o padrão a que se deve aspirar.

Assim que se vê o problema desta forma, a questão interessante já não é se o IDP deve tornar-se digital. A questão interessante passa a ser: quem está disposto a conceber a camada de identidade transfronteiriça do condutor com seriedade suficiente para substituir o papel sem reproduzir as suas fraquezas — ou acrescentar novas?

Nada disto é especulativo. O atual trabalho mDL do NIST descreve uma carteira controlada pelo utilizador, um verificador que valida a autenticidade sem necessitar de contactar o emissor diretamente, e um ecossistema de credenciais construído em torno de emissores, carteiras e verificadores. O Serviço de Confiança Digital da AAMVA já existe para distribuir chaves públicas das autoridades emissoras. O manual de carta de condução móvel da UE descreve listas de emissores autorizados e o registo de partes confiantes no âmbito de um quadro de confiança mais amplo.