Budúci IDP nie je knižočka. Je to prezentačná vrstva zachovávajúca súkromie.

Medzinárodné vodičské povolenie (IDP) budúcnosti by nemalo byť ďalším dokladom, ktorý treba nosiť pri sebe. Malo by predstavovať riadený, kryptograficky overiteľný spôsob prezentácie národných vodičských oprávnení naprieč hranicami — online aj offline, s minimálnym sprístupnením údajov a bez toho, aby sa z každého overenia stalo sledovanie.

Všetci hovoria, že budúcnosť medzinárodného vodičského povolenia je digitálna. To nie je nesprávne — ale nie je to ani dostatočne konkrétne.

PDF knižočka v telefóne nie je budúcnosť. Krajší QR kód nie je budúcnosť. Blockchainový token so slovom „vodičský” v marketingových materiáloch nie je budúcnosť.

Skutočný problém siaha hlbšie ako len formát. Súvisí s jednou ústrednou otázkou: ako sa zákonné vodičské oprávnenie, vydané jedným orgánom, stane zrozumiteľným, dôveryhodným a použiteľným na inom mieste, pre iného overovateľa, pod tlakom, niekedy bez sieťového pripojenia, a bez toho, aby odhalilo viac osobných údajov, ako je nevyhnutné?

To je otázka, ktorú papierové IDP nikdy úplne nevyriešilo. A je to otázka, na ktorú musí odpovedať systém novej generácie.

Prečo papierové IDP vyriešilo čitateľnosť, ale nie dôveryhodnosť

Papierové IDP malo zmysel vo svete, kde bol papier primárnym médiom. Fungovalo ako kompatibilná vrstva — ľudsky čitateľné prepojenie medzi jedným systémom udeľovania licencií a iným. To bolo užitočné, a do istej miery to tak stále je.

Avšak náročnou časťou modernej cezhraničnej mobility už nie je len čitateľnosť. Je to dôveryhodnosť.

Dnešní overovatelia čelia sérii náročnejších otázok:

• Môžu zistiť, či je poverenie pravé?
• Môžu potvrdiť, že je stále platné?
• Môžu skontrolovať iba konkrétne polia, ktoré skutočne potrebujú?
• Môžu to urobiť bez toho, aby pri každom overení kontaktovali vydávajúci orgán?
• Môžu overovať online, osobne aj pri vozovke?
• Môžu to urobiť bez toho, aby sa z cestovania stal globálny sledovací systém?

Preto by sa budúce IDP nemalo chápať ako projekt digitálnej knižočky. Malo by byť chápané ako problém prezentačnej architektúry.

Normy, ktoré už smerujú k digitálnemu IDP

Toto už nie je len teória. Normalizačná komunita sa v tomto smere už vydala na cestu:

• ISO/IEC 18013-1:2018 zaviedla model, v ktorom môže jedna bezpečná licencia slúžiť na domáce aj medzinárodne uznávané účely, pričom predvídala strojovo čitateľné technológie a integráciu biometrie, kryptografie a kompresie.
• ISO/IEC 18013-3 sa zaoberá riadením prístupu, autentifikáciou a validáciou integrity.
• ISO/IEC 18013-5 definuje rozhrania medzi mobilným vodičským preukazom, čítačkou a infraštruktúrou vydávajúceho orgánu, vrátane použitia overovateľmi v iných krajinách.
• ISO/IEC 18013-7 pridáva prezentáciu mobilného vodičského preukazu cez internet.
• Práca EHK OSN na elektronických vodičských povoleniach prepája technické požiadavky a požiadavky na bezpečnosť s dodržiavaním normy ISO/IEC 18013-5.

Nesprávny prístup k digitalizácii IDP

Nesprávnym prístupom je vziať súčasné IDP, previesť ho do digitálneho formátu a vložiť do aplikácie. Znie to efektívne, ale zachováva to nesprávny fokus — systém naďalej sústreďuje pozornosť na doklad ako fyzický predmet.

Lepším prístupom je chápať medzinárodné vodičské oprávnenie ako riadenú prezentáciu národne vydaných vodičských práv.

Tento posun je dôležitý, pretože akonáhle začnete uvažovať o prezentácii, otázky týkajúce sa návrhu sa stanú presnejšími:

• Kto vydal základné právo viesť motorové vozidlo?
• Ako držiteľ poverenie prijíma a uchováva?
• Ako overovateľ požiada iba o údaje, ktoré legitímne potrebuje?
• Ako sú distribuované a dôveryhodné kľúče vydavateľa?
• Ako sa kontroluje odvolanie bez živého sledovania vydavateľom?
• Čo funguje offline a čo stále potrebuje papier ako zálohu?
• Ktorý overovateľ smie vidieť ktoré údaje a prečo?

To je oveľa serióznejší spôsob, ako navrhnúť náhradu papierového IDP.

Lepšia definícia budúceho IDP

Tu je navrhovaná definícia:

Budúce IDP je normatívne odvodené cezhraničné poverenie, ktoré prezentuje národne vydané vodičské oprávnenia overovateľovi kontextovo primeraným spôsobom, pod kontrolou držiteľa, s kryptografickým overením, zverejňovaním na základe roly, tokmi prezentácie online aj offline a statusovou kontrolou zachovávajúcou súkromie.

Táto definícia je zámerne úzka. Neznamená:

• Urobiť z budúceho IDP samostatné vodičské oprávnenie
• Premeniť ho na univerzálne úložisko identifikačných údajov
• Vyžadovať živé pripojenie k vydavateľovi pri každej transakcii
• Predpokladať, že požičovňa áut, policajt a poisťovateľ by mali vidieť rovnaké polia
• Vyžadovať blockchain ako základ systému

Je to disciplinovaná odpoveď na problém dôveryhodnosti.

Sedem komponentov funkčného budúceho IDP

Bez marketingového žargónu potrebuje funkčné budúce IDP sedem komponentov:

1. Autoritatívny národný zdroj pravdy. Zákonné právo viesť motorové vozidlo pochádza od domáceho licenčného orgánu. Medzinárodná vrstva by nikdy nemala vytvárať vodičské práva — iba ich prezentovať.
2. Vydavateľ. Dôveryhodný verejný orgán, alebo prísne riadený autorizovaný vydavateľ konajúci v jeho mene, vydá digitálne poverenie odrážajúce aktuálne vodičské oprávnenie.
3. Peňaženka držiteľa. Vodič potrebuje bezpečnú peňaženku, ktorá uchováva poverenie, chráni súkromné kľúče, autentifikuje držiteľa a prezentuje poverenie overovateľom.
4. Overovateľ alebo čítačka. Môže ísť o policajné zariadenie, čítačku v požičovni áut, online systém alebo iného autorizovaného overovateľa.
5. Register dôveryhodnosti. Overovatelia potrebujú spoľahlivý spôsob, ako získať verejné kľúče a metadáta dôveryhodnosti legitímnych vydavateľov.
6. Stavová vrstva. Musí existovať spôsob zachovávajúci súkromie na vyjadrenie pozastavenia, odvolania, uplynutia platnosti alebo zmeny stavu.
7. Fyzická záloha. Vybité batérie, slabé pripojenie, poškodené zariadenia, konzervatívne jurisdikcie a prechodné politické prostredia sú bežnou realitou — nie hraničnými prípadmi.

Zverejňovanie podľa roly: jedno poverenie, rôzne publiká

Jednou z najväčších chýb v návrhu systémov identity je predpoklad, že jedno poverenie znamená jedno zverejnenie. To je pravý opak dobrého dizajnu.

Policajt pri kontrole na ceste nemá rovnaké legitímne potreby ako pracovník požičovne áut. Požičovňa nemá rovnaké potreby ako zamestnávateľ. Zamestnávateľ nemá rovnaké potreby ako online systém predbežnej kontroly.

Budúce IDP by malo podporovať rôzne sady zverejňovaných údajov pre rôzne kategórie overovateľov:

• Kontrola pri vozovke: Identita, fotografia, kategórie a oprávnenia, obmedzenia, stav platnosti. Štandardne nič viac.
• Požičovňa áut: Identita, fotografia, vodičské kategórie, dátumy vydania a exspirácie, prípadne informácie o veku — nie však každé pole v poverení.
• Online predbežná kontrola: Doklad totožnosti, doklad o príslušnom vodičskom oprávnení, doklad o aktuálnej platnosti, prípadne potvrdenie spojené s rezerváciou.
• Zamestnávateľ alebo dodržiavanie predpisov flotily: Samostatný pracovný tok s explicitným súhlasom, nie rovnaký profil zverejnenia ako pri overovaní na cestách.

Normy tento model už podporujú. Aktuálny návrh mDL od NIST opisuje dotazy, ktoré umožňujú overovateľom špecifikovať, ktoré atribúty požadujú. Implementačné pokyny AAMVA vyžadujú, aby aplikácia jasne zobrazila, ktoré údaje boli vyžiadané, a dala držiteľovi plnú kontrolu nad tým, ktoré dátové prvky sú zdieľané.

Budúce IDP by nemalo byť digitálnou kartou. Malo by byť nástrojom riadeného zverejňovania.

Okamžité overenie nesmie byť okamžitým sledovaním

Tu sa mnohé projekty digitálnej identity mýlia. Opisujú „overenie v reálnom čase” akoby automaticky znamenalo pokrok. Nemusí to tak byť.

Overovateľ potrebuje včasnú dôveryhodnosť. Avšak vydavateľ nepotrebuje vedieť o každom mieste a každom momente, kedy držiteľ poverenie predkladá. Toto rozlíšenie je zásadné.

Rámec architektúry a referencií EÚ je v tomto bode jasný. Inštancie závislých strán by nemali pri každom predložení poverenia žiadať príslušný stavový zoznam. Namiesto toho:

• Aktualizované zoznamy by sa mali sťahovať samostatne, v časoch a z miest, ktoré nesúvisia s konkrétnou prezentáciou používateľa.
• Pozície v stavových zoznamoch by mali byť náhodne usporiadané, s dostatočným počtom záznamov na zabezpečenie kolektívneho súkromia.
• Žiadosti o zoznamy nesmú slúžiť ako sledovacie signály konkrétnych držiteľov.

Aktuálny návrh mDL od NIST opisuje validáciu overovateľa na základe podpisov vydavateľa a verejných kľúčov bez potreby priameho kontaktu s vydavateľom. Pokyny AAMVA zakazujú načítavanie zo servera vo svojich implementačných smerniciach a namiesto toho kladú dôraz na načítavanie zo zariadenia a distribúciu verejných kľúčov prostredníctvom dôveryhodnostnej služby.

Budúce IDP by malo podporovať okamžité overenie — bez vytvárania globálneho záznamu o tom, kde a kedy vodič preukazoval svoju totožnosť.

Distribúcia dôvery: správa v strojovo čitateľnej forme

Mnohí ľudia diskutujú o peňaženkách a kryptografii. Oveľa menej ich hovorí o infraštruktúre, ktorá dôveryhodnosť skutočne umožňuje — ale infraštruktúra je tá časť, na ktorej záleží.

Overovateľ môže povereniu dôverovať len vtedy, ak môže spoľahlivo objaviť a dôverovať verejným kľúčom a súvisiacim metadátam vydavateľa. Ekosystém budúceho IDP potrebuje strojovo čitateľnú, spravovateľnú odpoveď na otázky ako:

• Ktorí vydavatelia sú legitímni?
• Ktoré verejné kľúče sú aktuálne?
• Ktorí vydavatelia sú autorizovaní pre ktoré jurisdikcie?
• Ktoré kategórie overovateľov sú registrované alebo akreditované?
• Čo sa stane, keď vydavateľ obmení kľúče alebo zmení politiku?

Digitálna dôveryhodnostná služba AAMVA je jedným konkrétnym príkladom: jednotný, bezpečný a odolný spôsob, ako môžu závislé strany získať verejné kľúče vydávajúcich orgánov, poskytovaný prostredníctvom overeného zoznamu certifikačných autorít vydavateľov. Príručka EÚ pre mDL opisuje, ako členské štáty oznamujú Komisii autorizovaných vydavateľov mDL, Komisia zverejňuje tento zoznam na účely overenia a závislé strany sa registrujú v rámci rámca dôveryhodnosti peňaženiek.

To je smer, ktorým musí budúce IDP ísť — nie systém, kde každý naskenuje QR kód a dôveruje výsledku bez validácie, ale taký, kde je dôvera distribuovaná, verzionovaná a strojovo overiteľná.

Online a pri vozovke musia zdieľať jeden jednotný systém

Seriózne budúce IDP sa nemôže rozdeliť na samostatné systémy: jeden pre kontroly pri vozovke, jeden pre požičovne áut, jeden pre vzdialené zaradenie do systému, jeden pre overenie totožnosti a ďalší pre overenie vodičského oprávnenia. Práve táto fragmentácia je to, čím používatelia už trpia.

Technické normy na jej predchádzanie teraz existujú:

• ISO/IEC 18013-5 definuje rozhrania pre osobnú prezentáciu mobilného vodičského preukazu.
• ISO/IEC 18013-7 rozširuje to na prezentáciu cez internet.
• Príručka EÚ pre mobilný vodičský preukaz uvádza prenájom áut aj kontroly pri vozovke ako overovacie scenáre a opisuje vzdialené zdieľanie, ako aj kontroly blízkosti pomocou tokov spustených QR kódom, Bluetooth, Wi-Fi Aware a NFC.

Budúci systém musí zvládnuť online aj osobné scenáre, pretože cestovanie zahŕňa oboje. Mobilita zahŕňa oboje. Dôvera si vyžaduje oboje.

Webnatívna protokolová vrstva je teraz vyspelá

Počas rokov bol jedným z dôvodov, prečo diskusie o identite pôsobili nepresne, fakt, že protokolová vrstva bola stále neúplná. To je teraz oveľa menej pravdivé:

• OpenID pre vydávanie overiteľných poverení 1.0 definuje rozhranie API chránené OAuth na vydávanie poverení, s explicitnou podporou viacerých formátov poverení vrátane ISO mdoc, SD-JWT VC a poverení W3C VCDM.
• OpenID pre overiteľné prezentácie 1.0 definuje mechanizmus, pomocou ktorého môžu overovatelia žiadať a prijímať prezentácie poverení.
• Dátový model overiteľných poverení W3C 2.0 formalizuje trojstranný ekosystém vydavateľov, držiteľov a overovateľov.

To mení diskusiu. Budúce IDP už nemusí byť predstavované ako jedna vládna aplikácia s vlastnými procesmi. Môže byť navrhnuté ako riadený profil poverenia nad širším interoperabilným ekosystémom.

To neodstraňuje potrebu verejnej správy. Odstraňuje výhovorku, že neexistuje moderný protokolový zásobník, na ktorom by sa dalo stavať.

Prečo je blockchain voliteľný — ale uznanie nie

Budúce IDP nepotrebuje blockchain ako základ. To neznamená, že technológia distribuovanej účtovnej knihy je zbytočná — môže byť hodnotná v špecifických rolách transparentnosti alebo registra — ale nemala by byť považovaná za centrum systému vodičských poverení.

Dátový model W3C VC 2.0 explicitne uvádza, že registre overiteľných dát môžu mať mnoho foriem: dôveryhodné databázy, decentralizované databázy, vládne databázy identít alebo distribuované účtovné knihy. DID Core je rovnako explicitný v tom, že mnohé, ale nie všetky metódy DID používajú distribuované účtovné knihy. Normy nenútia architektúru zameranú na blockchain.

To je správny postoj, pretože najťažšou časťou budúceho IDP nie je technológia. Najťažšou časťou je:

• Právne uznanie
• Správa vydavateľov
• Nasadenie čítačiek
• Akreditácia overovateľov
• Prevádzka zoznamov dôvery
• Logika odvolania
• Cezhraničné zosúladenie politík

AAMVA vybudovala dôveryhodnostnú službu. Príručka EÚ zahŕňa publikáciu vydavateľov a registráciu závislých strán. Návrhy EHK OSN prepájajú elektronické povolenia s normou ISO/IEC 18013-5. Skutočnou výzvou nie je absencia kryptografie — je to výzva riadenej interoperability.

Realistický tok budúceho IDP v praxi

Budúce IDP by malo byť v praxi jednoduché. Tu je opísané jeho fungovanie v troch bežných scenároch:

1. Vydanie alebo obnovenie

Národný orgán overí príslušný záznam o licencii a vydá poverenie do peňaženky držiteľa. Peňaženka ho bezpečne uchováva, chráni kľúče a môže neskôr obnoviť stav alebo prijímať aktualizované atestácie prostredníctvom riadeného toku vydávania. OpenID4VCI poskytuje realizovateľnú webnatívnu vrstvu vydávania, pričom pokyny AAMVA vyžadujú šifrovanie v pokoji, bezpečné úložisko kľúčov a autentifikáciu držiteľa pri prístupe k údajom alebo ich uvoľnení.

2. Vzdialená predbežná kontrola pri požičovni áut

Platforma požičovne odošle autentifikovanú žiadosť o minimálnu sadu vodičských oprávnení. Peňaženka zobrazí žiadosť držiteľovi, ktorý ju schváli. Overovateľ dostane prezentáciu cez tok s prístupom na internet, overí podpis vydavateľa a kľúčový materiál, skontroluje lokálne dostupné informácie o dôvere a stave a predbežne schváli rezerváciu. Príručka EÚ pre mDL už opisuje vzdialené zdieľanie pri požičovniach áut; návrh NIST opisuje žiadosti o atribúty riadené dotazmi; OpenID4VP a ISO/IEC 18013-7 poskytujú všeobecný smer prezentácie pre toky cez internet.

3. Kontrola pri vozovke

Príslušník polície si vyžiada sadu zverejňovaných údajov pre kontrolu pri vozovke. Držiteľ predloží doklad prostredníctvom toku blízkosti. Čítačka overí poverenie lokálne, skontroluje vodičské oprávnenia a platnosť a vidí iba to, čo je nevyhnutné. Vydavateľ nie je štandardne kontaktovaný. Príručka EÚ opisuje overenie pri vozovke spúšťané QR kódom, prostredníctvom Bluetooth, Wi-Fi Aware a NFC, pričom ISO/IEC 18013-5 a pokyny AAMVA kladú dôraz na blízkosť a načítavanie zo zariadenia namiesto kontaktu s vydavateľom v reálnom čase.

To je správna používateľská skúsenosť: rýchla, overiteľná, minimálne invazívna a jednoduchá.

Čím budúce IDP nie je

Na jasné vymedzenie, budúce IDP nie je:

• Samostatným vodičským preukazom
• Obrázkom preukazu
• Univerzálnou kolekciou identifikačných údajov
• Sledovacím kanálom kontrolovaným overovateľom
• Papierom v digitálnom formáte
• Systémom dôvery závislým od blockchainu

Je to starostlivo riadená prezentačná vrstva nad národne vydanými vodičskými oprávneniami. To je menej dramatické — a oveľa pravdepodobnejšie, že bude fungovať.

Prečo je migračná cesta rovnako dôležitá ako architektúra

Najlepšia architektúra je zbytočná, ak migračná cesta nie je realistická. Vlády nenahradí každý papierový pracovný tok zo dňa na deň — a ani by nemali.

Realistická cesta vyzerá takto:

1. Fáza 1: Zachovanie papiera. Pridanie bezpečného digitálneho sprievodného dokladu.
2. Fáza 2: Štandardizácia zoznamov dôvery vydavateľov a kategórií overovateľov.
3. Fáza 3: Podpora prezentácie v blízkosti aj na diaľku.
4. Fáza 4: Prechod bežných kontrol a požičovní na toky uprednostňujúce digitálne riešenia.
5. Fáza 5: Zníženie papierovej knižočky na záložný stav namiesto primárneho stavu.

Táto cesta zodpovedá tomu, kam normy a práca na oficiálnom ekosystéme už smerujú: logika jedného dokladu od ISO, infraštruktúra dôveryhodnostnej služby AAMVA, prípady použitia mDL na báze peňaženky EUDI a smerovanie EHK OSN k modelom elektronických povolení zosúladenými s normou ISO/IEC 18013-5.

Hlavný argument v jednej vete

Tu je argument v skratke: Budúce IDP nie je digitálna knižočka. Je to riadená odpoveď na cezhraničný problém dôvery.

Nie krajšia verzia starého dokladu — lepší systém. Systém, kde:

• Zákonné právo stále pochádza od národného orgánu
• Držiteľ kontroluje prezentáciu
• Overovateľ dostane iba to, čo potrebuje
• Dôveryhodnosť sa dá overiť bez štandardného sledovania
• Vzdialené a osobné použitie zdieľajú jednu architektúru
• Papier prežíva iba tam, kde má stále praktickú hodnotu

To je štandard, o ktorý treba usilovať.

Keď raz takto nahliadate na problém, zaujímavou otázkou už nie je to, či by sa IDP malo stať digitálnym. Zaujímavou otázkou sa stáva: kto je ochotný navrhnúť vrstvu cezhraničnej identity vodičov dostatočne seriózne na to, aby nahradil papier bez reprodukcie jeho slabín — alebo pridávania nových?

Nič z toho nie je špekulatívne. Aktuálna práca NIST na mDL opisuje peňaženku kontrolovanú používateľom, overovateľa, ktorý overuje autenticitu bez potreby priameho kontaktu s vydavateľom, a ekosystém poverení vybudovaný okolo vydavateľov, peňaženiek a overovateľov. Digitálna dôveryhodnostná služba AAMVA už existuje na distribúciu verejných kľúčov vydávajúcich orgánov. Príručka EÚ pre mobilný vodičský preukaz opisuje zoznamy autorizovaných vydavateľov a registráciu závislých strán v rámci širšieho rámca dôvery.