Framtidens internationella körkort är inte ett häfte. Det är ett sekretessbevarande presentationslager.

Framtidens internationella körkort (IDP) bör inte vara ytterligare ett dokument att bära med sig. Det bör vara ett styrt, kryptografiskt verifierbart sätt att presentera nationella körprivilegier över gränser – online och offline, med minimal datadelning och utan att göra varje verifiering till övervakning.

Alla säger att framtiden för det internationella körkortet är digital. Det stämmer – men det är inte tillräckligt specifikt.

Ett PDF-häfte på en telefon är inte framtiden. En snyggare QR-kod är inte framtiden. En blockkedjetoken med “körning” i marknadsföringsmaterialet är inte framtiden.

Det verkliga problemet är djupare än formatet. Det handlar om en central fråga: hur kan en laglig körrätt, utfärdad av en myndighet, bli begriplig, trovärdig och användbar på en annan plats, för en annan verifierare, under press, ibland utan nätverksuppkoppling och utan att exponera mer personuppgifter än nödvändigt?

Det är den fråga som papperskortet aldrig helt löste. Och det är den fråga som nästa generations system måste besvara.

Varför papperskortet löste läsbarhet men inte förtroende

Papperskortet var logiskt i en värld där papper var det primära mediet. Det fungerade som ett kompatibilitetslager – en läsbar koppling mellan ett licenssystem och ett annat. Det var användbart, och i viss mån är det det fortfarande.

Men den svåra delen av modern gränsöverskridande rörlighet handlar inte längre bara om läsbarhet. Det handlar om förtroende.

Dagens verifierare ställs inför en rad svårare frågor:

• Kan de avgöra om en handling är äkta?
• Kan de bekräfta att den fortfarande är giltig?
• Kan de kontrollera enbart de specifika fält de faktiskt behöver?
• Kan de göra det utan att kontakta den utfärdande myndigheten varje gång?
• Kan de verifiera det online, personligen och vid vägkanten?
• Kan de göra det utan att göra resande till ett globalt spårningssystem?

Därför bör framtidens IDP inte förstås som ett projekt för ett digitalt häfte. Det bör förstås som ett problem med presentationsarkitektur.

Standarder som redan pekar mot ett digitalt IDP

Detta är inte längre teoretiskt. Standardiseringssamhället har redan rört sig i denna riktning:

• ISO/IEC 18013-1:2018 fastställde en modell där ett enda säkert körkort kan tjäna både inhemska och internationellt erkända syften, och förutser maskinläsbara teknologier samt integrering av biometri, kryptografi och komprimering.
• ISO/IEC 18013-3 täcker åtkomstkontroll, autentisering och integritetsvalidering.
• ISO/IEC 18013-5 definierar gränssnitten mellan det mobila körkortet, läsaren och den utfärdande myndighetens infrastruktur, inklusive användning av verifierare i andra länder.
• ISO/IEC 18013-7 lägger till presentation av ett mobilt körkort via internet.
• UNECE:s arbete med elektroniska körtillstånd kopplar tekniska krav och säkerhetskrav till efterlevnad av ISO/IEC 18013-5.

Det felaktiga tillvägagångssättet för att digitalisera IDP

Det felaktiga tillvägagångssättet är att ta det nuvarande IDP, konvertera det till ett digitalt format och lägga in det i en applikation. Det låter effektivt, men det bevarar fel fokus – det håller systemet centrerat kring dokumentet som ett fysiskt objekt.

Det bättre tillvägagångssättet är att behandla internationell körning som en kontrollerad presentation av nationellt utfärdade körprivilegier.

Det skifte är viktigt, eftersom designfrågorna blir mer precisa när man tänker på presentation:

• Vem utfärdade den underliggande körrätten?
• Hur tar innehavaren emot och lagrar handlingen?
• Hur begär en verifierare enbart de uppgifter den legitimit behöver?
• Hur distribueras och betros utfärdarnycklar?
• Hur kontrolleras återkallelse utan att utfärdaren spårar i realtid?
• Vad fungerar offline och vad kräver fortfarande papper som säkerhetskopiering?
• Vilken verifierare får se vilka uppgifter, och varför?

Det är ett mycket mer seriöst sätt att utforma ersättningen för papperskortet.

En bättre definition av framtidens IDP

Här är en föreslagen definition:

Ett framtida IDP är en standardbaserad, härledd gränsöverskridande handling som presenterar nationellt utfärdade körprivilegier för en verifierare på ett kontextanpassat sätt, under innehavarens kontroll, med kryptografisk verifiering, rollbaserad datadelning, presentationsflöden online och offline samt sekretessbevarande statuskontroll.

Den definitionen är avsiktligt smal. Den:

• Gör inte det framtida IDP:t till en fristående körrätt
• Omvandlar det inte till ett universellt identitetsdatalager
• Kräver inte en direktuppkoppling till utfärdaren för varje transaktion
• Förutsätter inte att en biluthyrningsdisk, en polisman och ett försäkringsbolag alla ska se samma fält
• Kräver inte blockkedja som systemets kärna

Det är ett disciplinerat svar på ett förtroeneproblem.

De sju komponenterna i ett fungerande framtida IDP

Befriat från marknadsföringsspråk behöver ett fungerande framtida IDP sju komponenter:

1. En auktoritativ nationell sanningskälla. Den lagliga körrätten kommer från den inhemska körkortsmyndigheten. Det internationella lagret bör aldrig skapa körprivilegier – bara presentera dem.
2. En utfärdare. En betrodd offentlig myndighet, eller en strikt styrd auktoriserad utfärdare som agerar på dess vägnar, utfärdar den digitala handlingen som återspeglar det aktuella körprivilegierna.
3. En innehavarplånbok. Föraren behöver en säker plånbok som lagrar handlingen, skyddar privata nycklar, autentiserar innehavaren och presenterar handlingen för verifierare.
4. En verifierare eller läsare. Det kan vara en polisanordning, en biluthyrningsdisks läsare, ett onlinesystem eller en annan auktoriserad verifierare.
5. Ett förtroenderegister. Verifierare behöver ett tillförlitligt sätt att hämta de publika nycklarna och förtroendemeta-data från legitima utfärdare.
6. Ett statuslager. Det måste finnas ett sekretessbevarande sätt att uttrycka avstängning, återkallelse, utgångsdatum eller statusändring.
7. En fysisk säkerhetskopiering. Slut på batteri, dålig uppkoppling, skadade enheter, konservativa jurisdiktioner och övergångspolitiska miljöer är normal verklighet – inte undantagsfall.

Rollbaserad datadelning: en handling, olika målgrupper

Ett av de största designmisslyckandena i identitetssystem är antagandet att en handling innebär en enda datadelning. Det är raka motsatsen till bra design.

En polisman vid en vägkontroll har inte samma legitima behov som en biluthyrningsdisk. En biluthyrningsdisk har inte samma behov som en arbetsgivare. En arbetsgivare har inte samma behov som ett onlineförhandssystem.

Ett framtida IDP bör stödja olika datadelningsuppsättningar för olika verifierarkategorier:

• Vägkontroll: Identitet, foto, kategorier och rättigheter, begränsningar, giltighetsstatus. Inget mer som standard.
• Biluthyrningsdisk: Identitet, foto, körkortkategorier, utfärdande- och utgångsdatum, möjligen åldersinformation – men inte varje fält i handlingen.
• Onlineförhandskontroll: Identitetsbevis, bevis på relevant körrättighet, bevis på aktuell giltighet, möjligen en bokningslänkad bekräftelse.
• Arbetsgivare eller fordonsflottans efterlevnad: Ett separat, uttryckligen samtyckt arbetsflöde – inte samma datadelningsprofil som för reseprövning.

Standarderna stöder redan denna modell. NIST:s nuvarande utkast för mDL beskriver förfrågningar som låter verifierare specificera vilka attribut de begär. AAMVA:s implementeringsriktlinjer kräver att applikationen tydligt visar vilka uppgifter som begärdes och ger innehavaren full kontroll över vilka dataelement som delas.

Ett framtida IDP bör inte vara ett digitalt kort. Det bör vara ett kontrollerat datadelningsinstrument.

Omedelbar verifiering får inte bli omedelbar övervakning

Det är här många digitala identitetsprojekt går fel. De beskriver “realtidsverifiering” som om det automatiskt innebär framsteg. Det gör det inte.

En verifierare behöver aktuellt förtroende. Men utfärdaren behöver inte ta del av varje plats och varje tillfälle då innehavaren presenterar handlingen. Den distinktionen är väsentlig.

EU:s arkitektur- och referensramverk är tydligt på denna punkt. Förlitande parts instanser bör inte begära den relevanta statuslistan varje gång en handling presenteras. Istället gäller:

• Uppdaterade listor bör laddas ned separat, vid tidpunkter och från platser som inte är kopplade till en specifik användarpresentation.
• Statuslistpositioner bör randomiseras, med tillräckligt många poster för att ge kollektivt integritetsskydd.
• Listförfrågningar får inte bli spårningssignaler för specifika innehavare.

NIST:s nuvarande utkast för mDL beskriver verifierarvalidering baserad på utfärdarsignaturer och publika nycklar utan att behöva kontakta utfärdaren direkt. AAMVA:s riktlinjer förbjuder serveråtergivning i sina implementeringsriktlinjer och fokuserar istället på enhetsåtergivning plus offentlig nyckelsdistribution via förtroendetjänst.

Ett framtida IDP bör stödja omedelbar verifiering – utan att skapa ett globalt register över var och när en förare bevisade sin identitet.

Förtroendefördelning: styrning i maskinläsbar form

Många diskuterar plånböcker och kryptografi. Betydligt färre diskuterar den infrastruktur som faktiskt får förtroende att fungera – men infrastrukturen är den del som spelar roll.

En verifierare kan bara lita på en handling om den tillförlitligt kan hitta och lita på utfärdarens publika nycklar och relaterad metadata. Ett ekosystem för framtida IDP behöver ett maskinläsbart och styrbart svar på frågor som:

• Vilka utfärdare är legitima?
• Vilka publika nycklar är aktuella?
• Vilka utfärdare är auktoriserade för vilka jurisdiktioner?
• Vilka verifierarkategorier är registrerade eller ackrediterade?
• Vad händer när en utfärdare roterar nycklar eller ändrar policy?

AAMVA:s Digital Trust Service är ett konkret exempel: ett enda, säkert och motståndskraftigt sätt för förlitande parter att hämta de publika nycklarna från utfärdande myndigheter, levererat via en verifierad lista över utfärdar-certifikatmyndigheter. EU:s mDL-handbok beskriver hur medlemsstater notifierar kommissionen om auktoriserade mDL-utfärdare, hur kommissionen publicerar den listan för verifieringsändamål, och registrering av förlitande parter inom plånbokens förtroendestruktur.

Det är den riktning ett framtida IDP behöver – inte ett system där alla skannar en QR-kod och litar på resultatet utan validering, utan ett där förtroende är distribuerat, versionsstyrt och maskinverifierbart.

Online och vid vägkanten måste dela ett enhetligt system

Ett seriöst framtida IDP kan inte dela upp sig i separata system: ett för vägkontroller, ett för biluthyrning, ett för distansregistrering, ett för identitetsverifiering och ett annat för körkortsverifiering. Den fragmenteringen är exakt vad användarna redan lider av.

De tekniska standarderna finns nu för att undvika det:

• ISO/IEC 18013-5 definierar gränssnitten för presentation av mobilt körkort personligen.
• ISO/IEC 18013-7 utökar det till presentation via internet.
• EU:s handbok för mobilt körkort listar både biluthyrning och vägkontroller som verifieringsscenarier och beskriver fjärrdelning såväl som närhetskontroller med QR-utlösta flöden, Bluetooth, Wi-Fi Aware och NFC.

Det framtida systemet måste hantera både online- och personliga scenarier, eftersom resande inkluderar båda. Mobilitet inkluderar båda. Förtroende kräver båda.

Det webbnativa protokolllagret är nu moget

I flera år var en anledning till att identitetsdiskussioner kändes oprecisa att protokolllagret fortfarande var ofullständigt. Det stämmer i mycket lägre utsträckning nu:

• OpenID for Verifiable Credential Issuance 1.0 definierar ett OAuth-skyddat API för utfärdande av handlingar, med uttryckligt stöd för flera handlingsformat inklusive ISO mdoc, SD-JWT VC och W3C VCDM-handlingar.
• OpenID for Verifiable Presentations 1.0 definierar en mekanism för verifierare att begära och ta emot handlingspresentationer.
• W3C:s Verifiable Credentials Data Model 2.0 formaliserar treparts-ekosystemet med utfärdare, innehavare och verifierare.

Det förändrar samtalet. Det framtida IDP:t behöver inte längre föreställas som en enda myndighetsapplikation med egenutvecklade processer. Det kan utformas som en styrd handlingsprofil ovanpå ett bredare interoperabelt ekosystem.

Det tar inte bort behovet av offentlig styrning. Det tar bort ursäkten att det saknas en modern protokollstack att bygga på.

Varför blockkedja är valfritt – men erkännande är det inte

Ett framtida IDP behöver inte blockkedja som grund. Det betyder inte att distribuerad registerteknik är värdelös – den kan vara värdefull i specifika transparens- eller registerroller – men den bör inte behandlas som centrum för körkortsystemet.

W3C VC Data Model 2.0 är tydlig med att verifierbara dataregister kan ta många former: betrodda databaser, decentraliserade databaser, statliga identitetsdatabaser eller distribuerade register. DID Core är lika tydlig med att många, men inte alla, DID-metoder använder distribuerade register. Standarderna tvingar inte fram en blockkedjecentrerad arkitektur.

Det är rätt ståndpunkt, eftersom den svåraste delen av ett framtida IDP inte är tekniken. Den svåraste delen är:

• Rättsligt erkännande
• Utfärdarstyrning
• Läsardistribution
• Verifierarackreditering
• Förtroendelistdrift
• Återkallelselogik
• Gränsöverskridande policyharmonisering

AAMVA byggde en förtroendetjänst. EU:s handbok inkluderar utfärdarpublicering och registrering av förlitande parter. UNECE:s utkast kopplar elektroniska tillstånd till ISO/IEC 18013-5. Den verkliga utmaningen är inte avsaknaden av kryptografi – det är utmaningen med styrd interoperabilitet.

Ett realistiskt framtida IDP-flöde i praktiken

Ett framtida IDP bör vara enkelt i praktiken. Så här fungerar det i tre vanliga scenarier:

1. Utfärdande eller förnyelse

Den nationella myndigheten verifierar det underliggande körkortsregistret och utfärdar en handling till innehavarens plånbok. Plånboken lagrar den säkert, skyddar nycklar och kan senare uppdatera status eller ta emot uppdaterade intyganden via ett styrt utfärdandeflöde. OpenID4VCI ger ett fungerande webbnativt utfärdandelager, medan AAMVA:s riktlinjer kräver kryptering i vila, säker nyckellagring och innehavarautentisering när uppgifter nås eller lämnas ut.

2. Fjärrförhandskontroll för biluthyrning

En uthyrningsplattform skickar en autentiserad begäran om en minimal körberättigandeset. Plånboken visar begäran för innehavaren, som godkänner den. Verifieraren tar emot presentationen via ett internetkompatibelt flöde, validerar utfärdarens signatur och nyckelmaterial, kontrollerar lokalt tillgänglig förtroende- och statusinformation och förgodkänner bokningen. EU:s mDL-handbok beskriver redan fjärrdelning för biluthyrning; NIST:s utkast beskriver förfrågebaserade attributförfrågningar; OpenID4VP och ISO/IEC 18013-7 ger den breda presentationsriktningen för internetbaserade flöden.

3. Vägkontroll

En polisman begär vägkontrollens datadelningsuppsättning. Innehavaren presenterar via ett närflöde. Läsaren validerar handlingen lokalt, kontrollerar körberättigandena och giltigheten och ser inte mer än nödvändigt. Utfärdaren kontaktas inte som standard. EU:s handbok beskriver QR-utlöst, Bluetooth-, Wi-Fi Aware- och NFC-baserad vägverifiering, medan ISO/IEC 18013-5 och AAMVA:s riktlinjer fokuserar på närhet och enhetsåtergivning snarare än realtidskontakt med utfärdaren.

Det är rätt användarupplevelse: snabb, verifierbar, minimalt invasiv och enkel.

Vad framtidens IDP inte är

För att vara tydlig är framtidens IDP inte:

• Ett fristående körkort
• En bild av ett kort
• En universell samling av identitetsdata
• En verifierarkontrollerad övervakningskanal
• Papper i digitalt format
• Ett blockkedjebaserat förtroendesystem

Det är ett noggrant styrt presentationslager över nationellt utfärdade körprivilegier. Det är mindre dramatiskt – och mycket mer sannolikt att fungera.

Varför migreringsvägen är lika viktig som arkitekturen

Den bästa arkitekturen är värdelös om migreringsvägen inte är realistisk. Regeringar kommer inte att ersätta varje pappersarbetsflöde över natten – och det bör de inte.

En realistisk väg ser ut så här:

1. Fas 1: Behåll papper. Lägg till ett säkert digitalt komplement.
2. Fas 2: Standardisera utfärdarförtroendelistor och verifierarkategorier.
3. Fas 3: Stöd både närhets- och fjärrpresentation.
4. Fas 4: Flytta rutinkontroller och uthyrningar till digitalförstaflöden.
5. Fas 5: Reducera pappersboken till säkerhetskopieringsstatus snarare än primärstatus.

Den vägen stämmer överens med vart standarderna och det officiella ekosystemarbetet redan är på väg: ISO:s endokumentslogik, AAMVA:s förtroendetjänstinfrastruktur, EUDI:s plånboksbaserade mDL-användningsfall och UNECE:s rörelse mot elektroniska tillståndsmodeller anpassade till ISO/IEC 18013-5.

Kärnargumentet i en mening

Här är argumentet destillerat: Framtidens IDP är inte ett digitalt häfte. Det är ett styrt svar på ett gränsöverskridande förtroeneproblem.

Inte en snyggare version av det gamla dokumentet – ett bättre system. Ett system där:

• Den lagliga rätten fortfarande kommer från den nationella myndigheten
• Innehavaren kontrollerar presentationen
• Verifieraren får enbart det den behöver
• Förtroende kan kontrolleras utan standardiserad övervakning
• Fjärr- och personlig användning delar en arkitektur
• Papper överlever bara där det fortfarande har praktiskt värde

Det är den standard att sträva efter.

När man väl ser problemet på det sättet är den intressanta frågan inte längre om IDP:t bör bli digitalt. Den intressanta frågan blir: vem är villig att utforma det gränsöverskridande föraridentitetsskiktet seriöst nog för att ersätta papper utan att reproducera dess svagheter – eller lägga till nya?

Inget av detta är spekulativt. NIST:s nuvarande mDL-arbete beskriver en plånbok kontrollerad av användaren, en verifierare som validerar äkthet utan att behöva kontakta utfärdaren direkt och ett handlingsekosystem byggt kring utfärdare, plånböcker och verifierare. AAMVA:s Digital Trust Service finns redan för att distribuera utfärdande myndigheters publika nycklar. EU:s handbok för mobilt körkort beskriver listor över auktoriserade utfärdare och registrering av förlitande parter inom ett bredare förtroendestruktur.