Zakaj je blockchain za prihodnje mednarodno vozniško dovoljenje (IDP) neobvezen

Prihodnje mednarodno vozniško dovoljenje (IDP) potrebuje preglednost, sidrišča zaupanja in javno odgovornost. Kar privzeto ne potrebuje, je uvrščanje samih voznikov v porazdeljeno knjigo.

Vsak resnejši pogovor o digitalnem, čezmejnem IDP na koncu pritegne isti predlog: »Dajmo to na blockchain.« Privlačnost je razumljiva. Blockchaini ponujajo dokazila o nedotaknjenosti, skupno vidnost in zgodovino samo z dopisovanjem. To so resnične lastnosti. Toda v kontekstu čezmejne identitete voznikov se zelo pogosto nanašajo na napačno plast.

Ta članek pojasnjuje zakaj, pregleda, kaj standardi dejansko določajo, in predstavi boljši arhitekturni vzorec.

Kaj standardi dejansko pravijo o blockchainu

W3C podatkovni model preverljivih poverilnic izrecno določa, da lahko register preverljivih podatkov prevzame različne oblike, vključno z:

• Zaupanja vrednimi podatkovnimi bazami
• Decentraliziranimi podatkovnimi bazami
• Državnimi identitetnimi bazami podatkov
• Porazdeljenimi knjigami

DID Core je enako jasen: številne metode DID uporabljajo tehnologijo porazdeljene knjige, vendar ne vse. Z drugimi besedami, standardi že zavračajo idejo, da je blockchain obvezna osnova za digitalne poverilnice.

To je pravo izhodišče za prihodnji IDP. Koristno vprašanje ni »blockchain ali ne?« Temveč:

Katera plast dejansko potrebuje preglednost in katera plast privzeto absolutno ne sme postati javna infrastruktura?

Blockchain je zbirka lastnosti, ne zahteva

Prva napaka je obravnavanje »blockchaina« kot enojne zahteve. To ni. Gre za sklop možnih lastnosti, vključno z:

• Skupno objavo
• Zgodovino samo z dopisovanjem
• Porazdeljenim delovanjem
• Generiranjem potrdil
• Odpornostjo na enostranske spremembe

Nekatere od teh so koristne za prihodnji IDP. Nekatere so nepomembne. Nekatere pa so dejansko nevarne, ko se nanašajo na subjekte človeških poverilnic. Model registra W3C namerno dopušča več implementacij, ker različni ekosistemi potrebujejo različne kompromise.

Trije problemi, ki jih ne bi smeli združevati

Druga napaka je združevanje treh različnih problemov v en sistem. Za prihodnji IDP morajo ostati ločeni:

1. Kje živi pravna resnica. Pravica do vožnje spada v avtoritativne nacionalne evidence vozniških dovoljenj.
2. Kako se distribuira gradivo zaupanja. Ključi izdajateljev in potrdila preverjalcev spadajo v nadzorovane registre zaupanja.
3. Kako ekosistem revidira spremembe. To spada v plast preglednosti.

Ekosistemi v resničnem svetu že delujejo na ta način. Digitalna storitev zaupanja AAMVA distribuira javne ključe izdajateljev v obliki seznama za prenos, preden preverjalec kdajkoli komunicira z mDL. Priročnik EU za mobilna vozniška dovoljenja določa, da države članice obvestijo Komisijo o pooblaščenih izdajateljih mDL, Komisija pa objavi seznam preverjanja teh organov. To je distribucija zaupanja brez blockchaina.

Kaj nas uči preglednost certifikatov

Najučinkovitejši model preglednosti na javnem internetu ni potrošniški blockchain. Je preglednost certifikatov (CT).

RFC 9162 opisuje CT kot protokol za javno beleženje strežniških certifikatov TLS, tako da lahko kdorkoli:

• Revidira dejavnost certifikacijskih organov
• Zazna problematične ali napačno izdane certifikate
• Revidira same dnevnike

Ključna zasnovna lekcija iz CT: preglednost je najbolj dragocena, ko beleži vedenje izdajateljev in gradivo zaupanja – ne dejavnosti končnih uporabnikov.

Za prihodnji IDP to pomeni beleženje stvari, kot so:

• Izdaja in rotacija ključev izdajateljev
• Objava sidrišč zaupanja
• Registracija kategorij preverjalcev
• Spremembe pravilnikov
• Izjave o skladnosti
• Varnostno relevantni dogodki

Kar to ne pomeni, je ustvarjanje javne ali pol-javne knjige imetnikov, identifikatorjev poverilnic ali predstavitvenih dogodkov. To ni preglednost. To je prekomerno zbiranje podatkov.

SCITT: zakaj preglednost ni enaka resnici

Osnutek arhitekture IETF SCITT razširja to razmišljanje. SCITT definira storitev preglednosti, ki vzdržuje preverljivo podatkovno strukturo in izdaja kriptografska potrdila, ki dokazujejo vključitev podpisanih izjav. Identiteta storitve preglednosti je zajeta z javnim ključem, ki je znan odvisnim stranem, sidrišča zaupanja in pravilniki registracije pa so sami pregledni.

To je zmogljiv model za infrastrukturo IDP, ker preglednost pretvori v revizijsko storitev za gradivo zaupanja in pravilnike – ne za osebne potovalne dogodke.

SCITT je prav tako jasen glede omejitev preglednosti:

• Registrirana izjava dokazuje samo, da jo je izdajatelj ustvaril in registriral – ne pa, da je izjava za nedoločen čas pravilna.
• Kasnejša podpisana izjava lahko nadomesti prejšnjo.
• Preglednost ne preprečuje nepoštenih ali ogroženih izdajateljev; drži jih odgovorne.

Za identiteto voznikov je ta razlika izjemno pomembna: dnevnik preglednosti je dokaz in revizijska zgodovina, ne avtoritativno pravno stanje vozniške pravice posameznika.

SCITT tudi ugotavlja, da lahko storitev preglednosti zavaruje svoje zaporedje samo z dopisovanjem s kombinacijo zaupanja vredne strojne opreme, konsenznih protokolov in kriptografskih dokazil. Celo plast preglednosti ne zahteva ene same specifične zasnove blockchaina. Konsenz je ena od možnosti, ne edina.

Pravilna arhitekturna ločitev za prihodnji IDP

Prihodnji IDP bi moral ločiti skrbi v štiri ločene plasti:

1. Avtoritativne evidence o tem, kdo sme voziti (nacionalni organi za izdajo vozniških dovoljenj)
2. Registri zaupanja za ključe izdajateljev in preverjalcev
3. Infrastruktura stanj za svežost in preklice
4. Neobvezna plast preglednosti za javno revizijo pravilnikov, sidrišč zaupanja, potrdil in izjav o skladnosti

Ko ločite te plasti, postane vprašanje o blockchainu veliko ostrejše. Ni več »ali naj bo prihodnji IDP na blockchainu?« Postane:

Katera plast, če sploh katera, dejansko koristi od javne revizije samo z dopisovanjem?

Pet razlogov, zakaj je identiteta voznikov v verigi napačna privzeta vrednost

1. Ustvarja trajne signale sledenja

Delo EUDI na področju zasebnosti pojasnjuje, da lahko predstavitve atestacij vsebujejo edinstvene vrednosti, kot so:

• Soli
• Zgoščene vrednosti
• Identifikatorji preklica
• Javni ključi vezave naprave
• Podpisi
• Časovni žigi

Ker so te vrednosti fiksne za isto atestacijo, omogočajo odvisnim stranem povezovanje različnih transakcij in ustvarjanje vedenjskega profila uporabnika. EUDI izrecno opozarja, da to krši razumno pričakovanje, da ločene dejavnosti denarnice ne bodo kombinirane.

Če objavite stabilne identifikatorje imetnikov, stabilne identifikatorje poverilnic, večkrat uporabne zgoščene vrednosti ali individualno sledljive prekličevalne dogodke v javni knjigi, ne rešujete problema sledenja – ga delate trajnega.

2. Razgali dogodke preklica in svežosti

Priporočilo W3C Bitstring Status List jasno opisuje problem: če obstaja razmerje ena-na-ena med poverilnico in URL-jem, kjer je objavljeno njeno stanje, lahko založnik poveže imetnika, preverjalca in čas preverjanja. Specifikacija uporablja primer vozniškega dovoljenja za ponazoritev, zakaj sledenje s strani izdajatelja ob vstopu v objekt krši splošno pričakovanje zasebnosti.

Boljša privzeta vrednost, ki jo predlaga Bitstring Status List:

• Veliki, stisljivi seznami stanj, kjer si mnoge poverilnice delijo en vir stanja
• Privzeta dolžina seznama 131.072 vnosov
• Odvisne strani prenašajo nove različice ločeno, brez lastne avtentikacije
• Naključni indeksi in garancije skupinske zasebnosti

To je nasprotje individualnih, v verigo vpisanih sledov preklica.

3. Meša stanje poverilnice s pravnim statusom vozniškega dovoljenja

Digitalna poverilnica je lahko preklicana, ker je bil ogrožen njen mehanizem podpisovanja – čeprav pravica do vožnje v resničnem svetu ostaja veljavna. Javna knjiga dogodkov poverilnic ni čista nadomestitev za avtoritativno stanje nacionalne evidence vozniških dovoljenj.

SCITT krepi to točko: registrirana izjava je lahko kasneje nadomeščena z novo, odvisne strani pa se odločajo, čemu zaupati na podlagi pravilnikov in zgodovine. Dnevnik ni trajna resnica. Je dokaz o tem, kdo je kaj rekel, kdaj in po katerem pravilniku. Nacionalni organ za izdajo vozniških dovoljenj ostaja koren pravne resnice.

4. Cilja na napačen problem upravljanja

Čezmejna identiteta voznikov ni primarno problem konsenza. Je problem upravljanja:

• Kdo sme izdajati?
• Kateri javni ključi so aktualni?
• Kateri preverjalci so pooblaščeni?
• Katera zahteva po podatkih ustreza navedenemu namenu?
• Katera različica pravilnika je bila veljavna v tistem času?

Dejanski ekosistemi to že rešujejo prek upravljane infrastrukture zaupanja, ne decentraliziranega konsenza:

• Digitalna storitev zaupanja AAMVA objavlja javne ključe izdajateljev v obliki seznama za prenos.
• Priročnik EU za mobilna vozniška dovoljenja navaja, da Komisija objavlja seznam pooblaščenih izdajateljev mDL.
• Delo ETSI na področju certifikatov odvisnih strani denarnice zagotavlja strojno berljivo avtentikacijo preverjalca z namenom uporabe in registriranimi zahtevanimi atributi.

To je eksplicitna javna administracija zaupanja – ne decentralizirano upravljanje.

5. Ne rešuje realnosti ob cesti

Številni predlogi za blockchain tiho predpostavljajo, da je dostop do omrežja v živo prednost. Za vozniške poverilnice – zlasti ob cesti ali med potovanjem – pogosto ni.

Smernice za implementacijo AAMVA določajo, da:

• Pridobivanje podatkov z naprave deluje brez zunanje povezljivosti tako za imetnika kot bralnika v času transakcije.
• ISO/IEC 18013-5 zahteva podporo za pridobivanje podatkov z naprave.
• Dostop preverjalca do javnih ključev izdajatelja ni potreben v trenutku transakcije. Ključi so lahko preneseni vnaprej.

Če preverjalec že lahko lokalno potrdi z uporabo predpomnjenih zaupnih materialov, odvisnost od blockchaina v živo ni bistvena. V najboljšem primeru je to implementacijska izbira za nekatere funkcije revizije v ozadju.

Kaj bi moralo biti pregledno v prihodnjem IDP

Prihodnji IDP absolutno potrebuje preglednost – na pravem mestu.

Privzeto naj bo pregledno:

• Javni ključi izdajateljev in dogodki rotacije ključev
• Sidrišča zaupanja in seznami pooblaščenih izdajateljev
• Dostopni certifikati preverjalcev in metapodatki registriranega namena
• Različice pravilnikov in pravila registracije
• Izjave o skladnosti in zahtevki o varnostno relevantnih izdajah programske opreme
• Revizijska potrdila, ki dokazujejo, da so bile te izjave registrirane

Privzeto ne sme biti javno:

• Identifikatorji imetnikov v javni knjigi
• Stabilni identifikatorji poverilnic, ki se ponovno uporabljajo pri različnih preverjalcih
• Dogodki na posamezno predstavitev
• Surovi prekličevalni vnosi, ki izolirajo eno osebo
• Polne podpisane izjave, ki vsebujejo osebne podatke, kadar bi zadostovale zgoščene vrednosti ali metapodatki

SCITT izrecno opozarja izdajatelje, naj pregledajo vključitev zasebnih, zaupnih ali osebno določljivih informacij, preden predložijo izjave storitvi preglednosti. Prav tako ugotavlja, da lahko storitve preglednosti hranijo samo kriptografske metapodatke, kot so zgoščene vrednosti – ne pa celotnih podpisanih izjav.

Boljši vzorec: preglednost okoli ekosistema, ne skozi osebo

Čista arhitektura za prihodnji IDP je videti takole:

• Avtoritativni nacionalni register – ostaja pravni vir resnice o pravici do vožnje.
• Plast poverilnic – prenaša strojno preverljive vozniške pravice v denarnico imetnika.
• Plast registra zaupanja – distribuira ključe izdajateljev, certifikate preverjalcev in sezname pooblaščenih izdajateljev.
• Plast stanj – uporablja kratkoročne atestacije ali zasebnost varujoče sezname stanj, ki se osvežujejo ločeno.
• Plast preglednosti – lahko ali ne uporablja konsenz interno ter beleži sidrišča zaupanja, spremembe ključev, posodobitve pravilnikov, potrdila in izjave ekosistema, ki koristijo od javne revizije samo z dopisovanjem.

Ta arhitektura zajema koristne dele blockchain razmišljanja – revizijabilnost samo z dopisovanjem, javni nadzor, dokazilo o nedotaknjenosti, potrdila – brez tega, da bi voznik postal javni subjekt sistema. Prav tako ustreza temu, kar standardi že opisujejo: registri lahko prevzamejo različne oblike, DID-ji ne zahtevajo porazdeljenih knjig, registri zaupanja že obstajajo in mehanizmi stanj, ki varujejo zasebnost, so že standardizirani.

Osrednji argument

Prihodnji IDP bi moral sprejeti najboljšo idejo iz blockchaina – javno odgovornost za infrastrukturo – ne da bi sprejel najslabšo privzeto vrednost za ljudi: trajno, globalno vidno sledenje.

V praksi to pomeni:

• Preglednost za izdajatelje, ne izpostavljenost imetnikov
• Revizijska sidrišča zaupanja, ne javni potovalni zapisi
• Potrdila za pravilnike in registracije, ne trajne časovnice uporabe poverilnic
• Dokazila samo z dopisovanjem za upravljanje ekosistema, ne identiteta voznikov v verigi kot privzeta vrednost

To ni argument proti blockchainu. To je argument proti uporabi blockchaina na napačni plasti.

Prihodnji IDP bo morda kje v ekosistemu uporabil storitve preglednosti, podprte s konsenzom. Toda če zasnova začne z umestitvijo voznika, poverilnice ali sledi predstavitev v knjigo, je že izbrala napačno privzeto vrednost.