Prihodnji MDP ni knjižica. Je plast predstavitve z zaščito zasebnosti.

Mednarodno vozniško dovoljenje (MVD) prihodnosti ne bi smelo biti še en dokument, ki ga nosimo s seboj. Biti bi moralo urejen, kriptografsko preverljiv način predstavitve nacionalnih vozniških privilegijev čez meje – tako v spletu kot brez njega, z minimalnim razkritjem podatkov in brez tega, da bi vsako preverjanje postalo nadzorovanje.

Vsi pravijo, da je prihodnost mednarodnega vozniškega dovoljenja digitalna. To ni napačno – a tudi dovolj natančno ni.

PDF-knjižica na telefonu ni prihodnost. Lepše videti QR-koda ni prihodnost. Token na verigi blokov z besedo »vožnja« v tržnih gradivih ni prihodnost.

Resnični problem je globlji od vprašanja formata. Svodi se na eno osrednje vprašanje: kako zakonita pravica do vožnje, ki jo izda ena oblast, postane razumljiva, vredna zaupanja in uporabna na drugem mestu, pri drugem preveritelju, pod pritiskom, včasih brez omrežja in brez razkritja več osebnih podatkov, kot je nujno potrebno?

To je vprašanje, ki ga papirni MVD nikoli ni v celoti rešil. In to je vprašanje, na katerega mora odgovoriti sistem naslednje generacije.

Zakaj je papirni MVD rešil berljivost, ne pa zaupanja

Papirni MVD je imel smisel v svetu, kjer je bil papir primarni medij. Deloval je kot plast združljivosti – berljiva povezava med enim sistemom licenciranja in drugim. To je bilo koristno in je do določene mere koristno še danes.

Toda težavni del sodobne čezmejne mobilnosti ni več le berljivost. To je zaupanje.

Današnji preveritelji se soočajo z vrsto težjih vprašanj:

• Ali lahko ugotovijo, ali je poverilnica pristna?
• Ali lahko potrdijo, da je še veljavna?
• Ali lahko preverijo samo tista polja, ki jih dejansko potrebujejo?
• Ali to lahko storijo, ne da bi vsakič kontaktirali organ izdajatelja?
• Ali lahko preverijo spletno, osebno in ob cesti?
• Ali to lahko storijo, ne da bi potovanje spremenili v globalni sistem sledenja?

Zato prihodnjega MVD ne bi smeli razumeti kot projekt digitalne knjižice. Razumeti ga je treba kot problem arhitekture predstavitve.

Standardi, ki že kažejo pot k digitalnemu MVD

To ni več teoretično. Skupnost za standardizacijo se je že premaknila v to smer:

• ISO/IEC 18013-1:2018 je vzpostavil model, v katerem lahko eno varno dovoljenje služi tako domačim kot mednarodno priznanim namenom, pri čemer je predvidel tehnologije za strojno branje ter integracijo biometrike, kriptografije in stiskanja.
• ISO/IEC 18013-3 pokriva nadzor dostopa, avtentikacijo in preverjanje celovitosti.
• ISO/IEC 18013-5 opredeljuje vmesnike med mobilnim vozniškim dovoljenjem, bralcem in infrastrukturo organa izdajatelja, vključno z uporabo s strani preveriteljev v drugih državah.
• ISO/IEC 18013-7 dodaja predstavitev mobilnega vozniškega dovoljenja prek interneta.
• Delo UNECE o elektronskih vozniških dovoljenjih povezuje tehnične in varnostne zahteve s skladnostjo z ISO/IEC 18013-5.

Napačen pristop k digitalizaciji MVD

Napačen pristop je vzeti obstoječi MVD, ga pretvoriti v digitalno obliko in ga vstaviti v aplikacijo. To se sliši učinkovito, a ohranja napačno osredotočenost – sistem ostaja usmerjen na dokument kot fizični predmet.

Boljši pristop je obravnavati mednarodno vožnjo kot nadzorovano predstavitev nacionalno izdanih vozniških pravic.

Ta premik je pomemben, ker ko začnete razmišljati o predstavitvi, postanejo vprašanja načrtovanja natančnejša:

• Kdo je izdal temeljno pravico do vožnje?
• Kako imetnik prejme in shrani poverilnico?
• Kako preveritelj zahteva samo tiste podatke, ki jih legitimno potrebuje?
• Kako se distribuirajo in zaupajo ključi izdajateljev?
• Kako se preverja preklicanje brez sprotnega sledenja s strani izdajatelja?
• Kaj deluje brez povezave in kje je papir še vedno potreben kot rezerva?
• Kateri preveritelj sme videti katere podatke in zakaj?

To je bistveno resnejši način načrtovanja nadomestila za papirni MVD.

Boljša opredelitev prihodnjega MVD

Predlagamo naslednjo opredelitev:

Prihodnji MVD je standardizirana izpeljana čezmejna poverilnica, ki predstavlja nacionalno izdane vozniške privilegije preveritelju na kontekstu primeren način, pod nadzorom imetnika, s kriptografskim preverjanjem, razkritjem glede na vlogo, spletnimi in brezmrežnimi tokovi predstavitve ter statusnim preverjanjem z zaščito zasebnosti.

Ta opredelitev je namerno ozka. Ne:

• naredi prihodnjega MVD samostojne vozniške pravice,
• ga ne spremeni v univerzalno zbirko identitetnih podatkov,
• ne zahteva žive povezave z izdajateljem pri vsaki transakciji,
• ne predpostavlja, da bi izposojevalnica avtomobilov, policist in zavarovalnica morali videti ista polja,
• ne zahteva verige blokov kot jedra sistema.

To je discipliniran odgovor na problem zaupanja.

Sedem sestavin delujočega prihodnjega MVD

Brez tržnega žargona delujoči prihodnji MVD potrebuje sedem sestavin:

1. Avtoritativni nacionalni vir resnice. Zakonita pravica do vožnje izhaja iz domačega organa za licenciranje. Mednarodna plast nikoli ne sme ustvarjati vozniških pravic – le jih predstavljati.
2. Izdajatelj. Zaupanja vreden javni organ ali tesno upravljan pooblaščeni izdajatelj, ki deluje v njegovem imenu, izda digitalno poverilnico, ki odraža trenutni vozniški privilegij.
3. Denarnica imetnika. Voznik potrebuje varno denarnico, ki hrani poverilnico, ščiti zasebne ključe, avtenticira imetnika in predstavlja poverilnico preveriteljem.
4. Preveritelj ali bralnik. To je lahko policijska naprava, bralnik izposojevalnice avtomobilov, spletni sistem ali drug pooblaščen preveritelj.
5. Register zaupanja. Preveritelji potrebujejo zanesljiv način za pridobivanje javnih ključev in metapodatkov zaupanja legitimnih izdajateljev.
6. Statusna plast. Obstajati mora zasebnost varčujoč način izražanja začasne prepovedi, preklica, poteka veljavnosti ali spremembe statusa.
7. Fizična rezerva. Prazne baterije, slaba povezljivost, poškodovane naprave, konzervativne jurisdikcije in prehodna politična okolja so normalna realnost – ne robni primeri.

Razkritje glede na vlogo: ena poverilnica, različno občinstvo

Ena največjih napak pri načrtovanju identitetnih sistemov je predpostavka, da ena poverilnica pomeni eno razkritje. To je nasprotje dobrega načrtovanja.

Policist na cestni kontroli nima enakih legitimnih potreb kot izposojevalnica avtomobilov. Izposojevalnica avtomobilov nima enakih potreb kot delodajalec. Delodajalec nima enakih potreb kot spletni sistem predhodnega preverjanja.

Prihodnji MVD bi moral podpirati različne nabore razkritij za različne kategorije preveriteljev:

• Cestna kontrola: Identiteta, fotografija, kategorije in upravičenja, omejitve, status veljavnosti. Privzeto nič več.
• Izposojevalnica avtomobilov: Identiteta, fotografija, vozniške kategorije, datumi izdaje in veljavnosti, morda informacije o starosti – ne pa vsako polje v poverilnici.
• Spletno predhodno preverjanje: Dokaz identitete, dokaz ustreznega vozniškega upravičenja, dokaz trenutne veljavnosti, morda potrditev vezana na rezervacijo.
• Delodajalec ali skladnost flote: Ločen, izrecno privoljevalni postopek – ne enak profil razkritja kot pri potovalnem preverjanju.

Standardi ta model že podpirajo. Trenutni osnutek NIST za mDL opisuje poizvedbe, ki preveriteljem omogočajo določitev zahtevanih atributov. Smernice za implementacijo AAMVA zahtevajo, da aplikacija jasno prikaže zahtevane podatke in imetniku da popoln nadzor nad tem, kateri podatkovni elementi se delijo.

Prihodnji MVD ne bi smel biti digitalna kartica. Biti bi moral instrument nadzorovanega razkritja.

Takojšnje preverjanje ne sme postati takojšnje nadzorovanje

Tu mnogi projekti digitalne identitete zaidejo. Opisujejo »preverjanje v realnem času«, kot da to samodejno pomeni napredek. Ne pomeni.

Preveritelj potrebuje pravočasno zaupanje. Toda izdajatelju ni treba vedeti za vsak kraj in vsak trenutek, ko imetnik predloži poverilnico. Ta razlika je bistvena.

Arhitektura in referenčni okvir EU je v tej točki jasna. Primerki odvisnih strani ne bi smeli zahtevati ustreznega seznama statusov vsakič, ko je poverilnica predložena. Namesto tega:

• Posodobljeni seznami bi se morali prenašati ločeno, ob časih in z lokacij, ki niso povezane s specifično predstavitvijo uporabnika.
• Pozicije na seznamu statusov bi morale biti naključno razporejene z dovolj vnosi za zagotavljanje kolektivne zasebnosti.
• Zahteve za seznam ne smejo postati signali sledenja za specifične imetnike.

Trenutni osnutek NIST za mDL opisuje preverjanje preveritelja na podlagi podpisov izdajatelja in javnih ključev brez potrebe po neposrednem stiku z izdajateljem. Smernice AAMVA v svojih navodilih za implementacijo prepovedujejo pridobivanje s strežnika in namesto tega postavljajo v ospredje pridobivanje z naprave ter distribucijo javnih ključev na podlagi storitve zaupanja.

Prihodnji MVD bi moral podpirati takojšnje preverjanje – brez ustvarjanja globalnega zapisa o tem, kje in kdaj je voznik dokazal svojo identiteto.

Distribucija zaupanja: upravljanje v strojno berljivi obliki

Mnogi razpravljajo o denarnicah in kriptografiji. Bistveno manj jih razpravlja o infrastrukturi, ki zaupanje dejansko omogoča – a prav infrastruktura je tisti del, ki šteje.

Preveritelj lahko zaupa poverilnici le, če lahko zanesljivo odkrije in zaupa javnim ključem izdajatelja ter z njimi povezanimi metapodatki. Ekosistem prihodnjega MVD potrebuje strojno berljiv, upravljiv odgovor na vprašanja, kot so:

• Kateri izdajatelji so legitimni?
• Kateri javni ključi so trenutni?
• Kateri izdajatelji so pooblaščeni za katere jurisdikcije?
• Katere kategorije preveriteljev so registrirane ali akreditirane?
• Kaj se zgodi, ko izdajatelj rotira ključe ali spremeni politiko?

Storitev digitalnega zaupanja AAMVA je en konkreten primer: enoten, varen in odporen način za odvisne strani, da pridobijo javne ključe organov izdajateljev prek preverjenega seznama certifikatnih organov izdajateljev. Priročnik EU za mDL opisuje, kako države članice obveščajo Evropsko komisijo o pooblaščenih izdajateljih mDL, Komisija pa ta seznam objavlja za namene preverjanja, registracija odvisnih strani pa poteka v okviru okvira zaupanja denarnic.

To je smer, ki jo prihodnji MVD potrebuje – ne sistem, kjer vsi skenirajo QR-kodo in zaupajo rezultatu brez preverjanja, temveč sistem, kjer je zaupanje porazdeljeno, verzijsko in strojno preverljivo.

Spletni in cestni scenariji morajo deliti en enoten sistem

Resen prihodnji MVD se ne sme razdeliti na ločene sisteme: enega za cestne kontrole, enega za izposojo avtomobilov, enega za oddaljeno uvajanje, enega za preverjanje identitete in drugega za preverjanje vozniških pravic. Ta razdrobljenost je natanko to, od česar uporabniki že trpijo.

Tehnični standardi zdaj obstajajo, da se temu izognemo:

• ISO/IEC 18013-5 opredeljuje vmesnike za osebno predstavitev mobilnega vozniškega dovoljenja.
• ISO/IEC 18013-7 to razširja na predstavitev prek interneta.
• Priročnik EU za mobilno vozniško dovoljenje navaja tako izposojo avtomobilov kot cestne kontrole med scenariji preverjanja ter opisuje oddaljeno deljenje in preverjanje bližine z uporabo QR-kodnih tokov, Bluetootha, Wi-Fi Aware in NFC.

Prihodnji sistem mora obvladovati tako spletne kot osebne scenarije, ker potovanje vključuje oboje. Mobilnost vključuje oboje. Zaupanje zahteva oboje.

Spletno izvorna protokolna plast je zdaj zrela

Dolga leta je bil eden od razlogov, zakaj so se razprave o identiteti zdele nenatančne, ta, da protokolna plast še ni bila dokončana. To danes v veliko manjši meri drži:

• OpenID za izdajanje preverljivih poverilnic 1.0 opredeljuje z OAuth zaščiten API za izdajanje poverilnic in izrecno podpira več formatov poverilnic, vključno z ISO mdoc, SD-JWT VC in poverilnicami W3C VCDM.
• OpenID za preverljive predstavitve 1.0 opredeljuje mehanizem za preveritelje, da zahtevajo in prejmejo predstavitve poverilnic.
• Podatkovni model preverljivih poverilnic W3C 2.0 formalizira tristranski ekosistem izdajateljev, imetnikov in preveriteljev.

To spreminja pogovor. Prihodnjega MVD ni več treba zamišljati kot eno samo vladino aplikacijo po meri zgrajenih procesov. Načrtovati ga je mogoče kot upravljan profil poverilnic na vrhu širšega interoperabilnega ekosistema.

To ne odpravlja potrebe po javnem upravljanju. Odpravlja izgovor, da ni sodobnega protokolnega sklada, na katerem bi gradili.

Zakaj je veriga blokov neobvezna – prepoznavanje pa ne

Prihodnji MVD ne potrebuje verige blokov kot svojega temelja. To ne pomeni, da je tehnologija porazdeljenega registra neuporabna – morda je vredna v specifičnih vlogah preglednosti ali registra – a ne bi smela biti obravnavana kot center sistema vozniških poverilnic.

Podatkovni model VC W3C 2.0 izrecno navaja, da registri preverljivih podatkov lahko prevzamejo številne oblike: zaupanja vredne podatkovne baze, decentralizirane podatkovne baze, vladne baze identitetnih podatkov ali porazdeljene registre. DID Core je enako izrecen, da mnoge, ne pa vse, metode DID uporabljajo porazdeljene registre. Standardi ne vsiljujejo arhitekture z verigo blokov na prvem mestu.

To je pravilno stališče, ker najtežji del prihodnjega MVD ni tehnologija. Najtežji del je:

• Pravno prepoznavanje
• Upravljanje izdajateljev
• Uvajanje bralnikov
• Akreditacija preveriteljev
• Upravljanje seznamov zaupanja
• Logika preklicanja
• Čezmejna uskladitev politik

AAMVA je zgradil storitev zaupanja. Priročnik EU vključuje objavo izdajateljev in registracijo odvisnih strani. Osnutki UNECE povezujejo elektronska dovoljenja z ISO/IEC 18013-5. Pravi izziv ni odsotnost kriptografije – izziv je upravljana interoperabilnost.

Realistični tok prihodnjega MVD v praksi

Prihodnji MVD bi moral biti v praksi preprost. Evo, kako deluje v treh pogostih scenarijih:

1. Izdaja ali osvežitev

Nacionalni organ preveri temeljni zapis o vozniškem dovoljenju in izda poverilnico v denarnico imetnika. Denarnica jo varno shrani, ščiti ključe in jo lahko pozneje osvežuje statusno ali prejema posodobljene atestacije prek upravljanega toka izdajanja. OpenID4VCI zagotavlja izvedljivo spletno izvorno izdajalno plast, medtem ko smernice AAMVA zahtevajo šifriranje v mirovanju, varno shranjevanje ključev in avtentikacijo imetnika ob dostopu ali sprostitvi podatkov.

2. Oddaljeno predhodno preverjanje za izposojo avtomobila

Platforma za izposojo pošlje overjeno zahtevo za minimalni nabor vozniških upravičenj. Denarnica prikaže zahtevo imetniku, ki jo odobri. Preveritelj prejme predstavitev prek spletno zmožnega toka, potrdi podpis izdajatelja in ključni material, preveri lokalno dostopne informacije o zaupanju in statusu ter predhodno odobri rezervacijo. Priročnik EU za mDL že opisuje oddaljeno deljenje pri izposoji avtomobilov; osnutek NIST opisuje zahteve atributov na podlagi poizvedb; OpenID4VP in ISO/IEC 18013-7 zagotavljata splošno smer predstavitve za internetno utemeljene tokove.

3. Cestna kontrola

Policist zahteva nabor razkritij za cestno kontrolo. Imetnik predstavi poverilnico prek toka bližine. Bralnik lokalno potrdi poverilnico, preveri vozniška upravičenja in veljavnost ter vidi le, kar je nujno potrebno. Izdajatelj privzeto ni kontaktiran. Priročnik EU opisuje cestno preverjanje prek QR-kode, Bluetootha, Wi-Fi Aware in NFC, medtem ko ISO/IEC 18013-5 in smernice AAMVA postavljajo v ospredje bližino in pridobivanje z naprave namesto stika z izdajateljem v realnem času.

To je prava uporabniška izkušnja: hitra, preverljiva, minimalno invazivna in preprosta.

Kaj prihodnji MVD ni

Da bo jasno, prihodnji MVD ni:

• Samostojno vozniško dovoljenje
• Slika kartice
• Univerzalna zbirka identitetnih podatkov
• Kanal nadzorovanja pod nadzorom preveritelja
• Papir v digitalni obliki
• Sistem zaupanja odvisen od verige blokov

Je skrbno upravljana predstavitvena plast nad nacionalno izdanimi vozniškimi privilegiji. To je manj dramatično – in bistveno bolj verjetno, da bo delovalo.

Zakaj je migracijska pot enako pomembna kot arhitektura

Najboljša arhitektura je neuporabna, če migracijska pot ni realistična. Vlade ne bodo čez noč zamenjale vsakega papirnatega postopka – in tega ne bi smele.

Realistična pot izgleda takole:

1. Faza 1: Ohraniti papir. Dodati varnega digitalnega spremljevalca.
2. Faza 2: Standardizirati sezname zaupanja izdajateljev in kategorije preveriteljev.
3. Faza 3: Podpirati tako bližinsko kot oddaljeno predstavitev.
4. Faza 4: Preseliti rutinska preverjanja in izposoje na digitalno usmerjene tokove.
5. Faza 5: Zmanjšati papirnato knjižico na statusno rezervo namesto primarnega statusa.

Ta pot se ujema s smerjo, v katero standardi in uradno ekosistemsko delo že gresta: logika enega dokumenta ISO, infrastruktura storitve zaupanja AAMVA, primeri uporabe mDL v denarnici EUDI in gibanje UNECE k modelom elektronskih dovoljenj, usklajenim z ISO/IEC 18013-5.

Osrednji argument v eni povedi

Argument strnjen: Prihodnji MVD ni digitalna knjižica. Je upravljan odgovor na čezmejni problem zaupanja.

Ne boljše videč različica starega dokumenta – boljši sistem. Sistem, kjer:

• Zakonita pravica še vedno izhaja iz nacionalnega organa
• Imetnik nadzoruje predstavitev
• Preveritelj dobi le tisto, kar potrebuje
• Zaupanje se lahko preveri brez privzetega nadzorovanja
• Oddaljena in osebna uporaba delita eno arhitekturo
• Papir preživi le tam, kjer ima še praktično vrednost

To je standard, h kateremu je treba stremeti.

Ko problem vidite na ta način, zanimivo vprašanje ni več, ali bi MVD moral postati digitalen. Zanimivo vprašanje postane: kdo je pripravljen dovolj resno načrtovati čezmejno plast identitete voznikov, da nadomesti papir, ne da bi reproduciral njegove slabosti – ali dodal nove?

Nič od tega ni špekulativno. Trenutno delo NIST na področju mDL opisuje denarnico pod nadzorom uporabnika, preveritelja, ki preverja pristnost brez neposrednega stika z izdajateljem, in ekosistem poverilnic, zgrajen okrog izdajateljev, denarnic in preveriteljev. Storitev digitalnega zaupanja AAMVA že obstaja za distribucijo javnih ključev organov izdajateljev. Priročnik EU za mobilno vozniško dovoljenje opisuje sezname pooblaščenih izdajateljev in registracijo odvisnih strani znotraj širšega okvira zaupanja.