Uthibitishaji Bila Kuwasiliana na Mtoa: Kwa Nini IDP ya Kidijiti ya Baadaye Haifai Kuwasiliana na Mtoa kwa Kila Matumizi

Kufuta vibali ndilo tatizo gumu zaidi katika Kibali chochote cha Kimataifa cha Udereva (IDP) cha kidijiti cha baadaye. Njia rahisi zaidi ya kulisuluhisha ni pia hatari zaidi: kuifanya mtoa kuwa mshiriki katika kila uwasilishaji mmoja mmoja. Stakabadhi ya udereva ya kisasa ya mpakani inapaswa kukataa mkato huu kwa chaguo-msingi.

Karibu kila pendekezo la utambulisho wa kidijiti lina sentensi ile ile ya kutuliza:

“Stakabadhi inaweza kuthibitishwa mara moja.”

Wakati mwingine sentensi hiyo inaelezea maendeleo ya kweli. Wakati mwingine inaelezea ufuatiliaji wenye kiolesura cha mtumiaji cha kirafiki zaidi.

Viwango vilivyochapishwa leo tayari vinafafanua wazi kwamba mthibitishaji hahitaji kuwasiliana na mtoa kila wakati stakabadhi inapoonyeshwa:

• Muundo wa sasa wa mDL wa NIST unasema kwamba mthibitishaji anaweza kuthibitisha uhalisi na uadilifu kwa kuamini saini na funguo za umma za mtoa — bila mawasiliano yoyote ya moja kwa moja na mtoa.
• AAMVA inathibitisha kwamba ISO/IEC 18013-5 inahitaji usaidizi wa urejeshaji wa kifaa na inaruhusu urejeshaji wa seva kwa hiari tu.
• AAMVA pia inaonya kwamba chini ya urejeshaji wa seva, mamlaka ya utoaji inashiriki kwa wakati halisi kwa kila matumizi — maana yake inaweza kiteknolojia kurekodi wakati stakabadhi inapotumiwa, data inayoshirikiwa, na hata kuhisi mahali kutoka kwa uchambuzi wa IP.

Hiyo si kidokezo kidogo. Ni swali la msingi la muundo kwa kizazi kijacho cha vibali vya udereva vya mpakani.

Mkato Hatari: Kuunganisha Maswali Manne katika Simu Moja ya Mtandao

Miundo mibaya inabeba maswali manne tofauti kabisa katika simu moja ya moja kwa moja kwa mtoa:

1. Je, stakabadhi hii ni halisi?
2. Je, mtu anayeiwasilisha ni mmiliki halali?
3. Je, stakabadhi yenyewe bado ni halali?
4. Je, haki ya msingi ya udereva ya kitaifa bado ipo?

Mfumo uliobuniwa vibaya unajibu maswali yote manne kwa kupiga simu nyumbani kwa wakati halisi. Mfumo uliobuniwa vizuri unayatenganisha — kwa sababu si tatizo moja na haifai kushiriki utaratibu mmoja.

Uhalisi Unapaswa Kuthibitishwa Kienyeji, Si Kupitia Mtandao

Stakabadhi inaweza kuwa ya kweli kwa kriptografia bila mtoa kujua muamala huo wakati wowote.

• Mfumo wa imani wa mDL wa NIST unasema uhalisi na uadilifu vinathibitishwa kutoka kwa saini na funguo za umma za mtoa — bila mawasiliano ya moja kwa moja ya mtoa yanahitajika.
• Huduma ya Imani ya Kidijiti ya AAMVA ipo hasa ili kuwapa wathibitishaji ufikiaji wa funguo halali za umma za mtoa bila simu za kila muamala.

Kanuni ya Muundo 1: Usitumie muunganiko wa moja kwa moja kutatua tatizo ambalo saini tayari zinalisuluhisha.

Ikiwa mthibitishaji ana funguo za mtoa zinazoaminika na anapokea uwasilishaji unaofuata viwango, uhalisi ni ukaguzi wa kriptografia wa kienyeji, si utegemezi wa mtandao.

Uhusiano na Mmiliki Unapaswa Kuthibitishwa Kienyeji, Si Kuripotiwa Kimataifa

Swali la pili — je, huyu ni mmiliki halali? — pia lina jibu lisilo la mtandao.

Muundo wa sasa wa EUDI unalazimisha ufungaji wa kifaa kwa PIDs na uthibitisho wa ISO/IEC 18013-5. Mthibitishaji anauliza pochi kutia saini changamoto mpya kwa kutumia ufunguo wa siri unaolingana na ufunguo wa umma uliowekwa kwenye stakabadhi:

• Katika ISO/IEC 18013-5 hii inaitwa uthibitishaji wa mdoc.
• Katika SD-JWT VC inaitwa ufungaji wa ufunguo.

Katika hali zote mbili, umiliki unathibitishwa kienyeji na kwa kriptografia. Hakuna data ya kibinafsi inayohitaji kufikia mtoa.

Kanuni ya Muundo 2: Thibitisha umiliki kienyeji. Usithibitishe utambulisho kimataifa.

IDP ya baadaye inapaswa kutumia kikamilifu ufungaji wa kifaa, uthibitishaji wa mmiliki wa kienyeji, na majibu ya changamoto ya mthibitishaji kabla haijazingatia utaratibu wowote wa upande wa mtoa.

Hali ya Stakabadhi na Hali ya Haki ya Udereva Ni Mambo Mawili Tofauti

Miundo mingi ya utambulisho wa kidijiti inafifisha tofauti hii, na hapo ndipo inapokosea.

Vipimo vya Orodha ya Hali ya Bitstring vya W3C vinafanya jambo hili wazi: taarifa za hali zilizounganishwa na stakabadhi inayoweza kuthibitishwa zinatumika kwa stakabadhi inayoweza kuthibitishwa yenyewe — si lazima kwa haki ya kweli ya ulimwengu halisi. Stakabadhi ya kidijiti inaweza kufutwa kwa sababu utaratibu wake wa kutia saini uliathiriwa, huku haki ya msingi ya udereva ikibaki salama kabisa.

IDP ya baadaye kwa hivyo inahitaji tabaka mbili tofauti za hali:

• Tabaka la hali ya stakabadhi — kwa stakabadhi ya kidijiti au njia ya uwasilishaji yenyewe.
• Tabaka la haki ya udereva — kwa haki ya msingi ya kitaifa ya kuendesha gari.

Wakati mwingine hizi zinabadilika pamoja. Mara nyingi hazibadiliki. Mfumo unaoziunganisha utazidisha majibu, kufichua data zaidi kuliko inavyohitajika, au vyote viwili.

Kuathiriwa kwa Pochi Kunapaswa Kuenea Kupitia Hali — Si Kusababisha Simu za Mthibitishaji

IDP ya baadaye pia inahitaji jibu wazi la nini kinatokea wakati pochi inapoathiriwa.

Muundo wa EUDI unatoa moja:

• Mtoa wa pochi hutoa Uthibitisho wa Kitengo cha Pochi ulio na taarifa za kufuta.
• Uadilifu wa pochi unakaguliwa tena kwa muda; ikiwa pochi haiko salama tena, uthibitisho wake unafutwa.
• Watoa PID lazima wakague mara kwa mara kama pochi imefutwa. Ikiwa imefutwa, wanafuta PID.
• Kwa kuthibitisha hali ya PID, chama kinachotegemea kimya kimya kinathibitisha hali ya pochi.

Hii ni matabaka ambayo IDP ya baadaye inapaswa kupitisha. Usimwomba kila mthibitishaji akague kwa uhuru mtoa wa pochi. Acha kuathiriwa kwa pochi kuenea kupitia mfululizo wa hali ya stakabadhi uliopo, na acha wathibitishaji washauriane na njia hiyo moja inayohifadhi faragha.

Mifumo Mitatu ya Kufuta Inayofanya Kazi (Bila Simu za Nyumbani Zinazohitajika)

EUDI inahitaji watoa kutumia moja ya njia tatu za kufuta:

• Uthibitisho wa muda mfupi — halali kwa masaa 24 au chini, hivyo kufuta kunakuwa si lazima.
• Orodha ya Hali ya Uthibitisho — orodha iliyochapishwa ambayo wathibitishaji wanaweza kushauriana nayo.
• Orodha ya Kufuta Uthibitisho — orodha wazi ya vibali vilivyofutwa.

Kwa uthibitisho ulio na uhalali zaidi ya masaa 24, EUDI inahitaji kuweka taarifa za kufuta ambazo zinajumuisha:

• URL ambapo vyama vinavyotegemea vinaweza kupata orodha ya hali.
• Kitambulisho kinachoweka mahali stakabadhi ndani ya orodha hiyo.

Ikiwa taarifa za kufuta zinazotegemeka hazipatikani — kwa mfano, wakati chama kinachotegemea kiko nje ya mtandao — EUDI inaelekeza chama kinachotegemea kufanya uchambuzi wa hatari kabla ya kukubali au kukataa stakabadhi.

Hitimisho: kufuta si utaratibu mmoja, na kwa hakika si uhalali wa simu za lazima za mtoa.

Muda Mfupi kwa Chaguo-msingi, Muda Mrefu Tu Inapohitajika

Moja ya hatua bora zaidi za faragha katika mfululizo wote pia ni rahisi zaidi: weka kinachowasilishwa kuwa cha muda mfupi.

• EUDI inasema uthibitisho ulio halali kwa masaa 24 au chini hauhitaji miundombinu ya kufuta — inakwisha kabla kufuta hakujaweza kuhusika.
• W3C inasema uwasilishaji wa kibali unaoweza kuthibitishwa kwa kawaida ni wa muda mfupi na haukubuniwa kwa uhifadhi wa muda mrefu.
• NIST inaonya wazi dhidi ya kusambaza mara kwa mara vitambulisho vinavyoweza kutumika tena kwa matumizi ya kila siku. Uthibitishaji wa kila siku unapaswa kutegemea teknolojia zilizoundwa kwa madhumuni hayo, kama vile passkeys, si uwasilishaji unaorudiwa wa stakabadhi tajiri ya utambulisho.
• NIST pia ilichagua uthibitishaji wa kifaa cha kienyeji badala ya kulinganisha biometriki upande wa seva hasa kwa sababu uthibitishaji wa kienyeji unalinda faragha na una ufanisi zaidi kiutendaji.

Kanuni ya Muundo 3: Stakabadhi ya msingi inaweza kuwa na kipindi cha kati cha uhalali, lakini uwasilishaji wenyewe unapaswa kuwa wa muda mfupi, maalum kwa mthibitishaji, na usioweza kutumika tena.

Orodha za Hali Ndizo Utaratibu Sahihi wa Chaguo-msingi

Unaposhindwa kufanya kila kitu kuwa cha muda mfupi, unahitaji miundombinu ya hali — na orodha ya hali ndiyo chaguo-msingi sahihi.

Orodha ya Hali ya Bitstring v1.0 ya W3C inaelezea utaratibu unaohifadhi faragha, wenye nafasi nzuri, na wa utendaji wa juu kwa kuchapisha data ya hali kama kusimamishwa au kufutwa. Sifa kuu ni pamoja na:

• Kila mtoa anasimamia orodha kwa stakabadhi alizozitoa.
• Muundo unabana vizuri, kwani vibali vingi vinavyofutwa vinabaki vidogo.
• Ukubwa wa orodha wa chaguo-msingi ni maingizo 131,072, ambayo W3C inasema inatoa faragha ya kutosha ya kikundi kwa wastani.
• Orodha kubwa zaidi zinaweza kutumika pale ambapo faragha ya kikundi yenye nguvu zaidi inahitajika.

Hii inabadilisha swali kutoka:

“Je, ninaweza kumuuliza mtoa kuhusu mtumiaji huyu sasa hivi?”

kwenda:

“Je, tayari nina orodha ya hali inayohifadhi faragha ya karibuni ya kutosha kuamua kienyeji?”

Hilo ni swali bora zaidi — kwa kiufundi na kisiasa.

“Bila Kuwasiliana na Mtoa” Ni Mfumo wa Kupakua, Si Kauli mbiu

Kanuni muhimu zaidi katika mwongozo wa faragha wa EUDI ni ya utaratibu, si ya falsafa.

Vyama vinavyotegemea havipaswa kuomba orodha ya hali kila wakati stakabadhi inapowasilishwa. Badala yake, lazima:

• Pakua kila toleo jipya la orodha mara moja.
• Fanya hivyo kwa wakati na kutoka mahali pasipohusiana na uwasilishaji wowote wa mtumiaji.
• Sambaza orodha ndani ya shirika la chama kinachotegemea.
• Pata orodha bila kuthibitisha chama kinachotegemea.

Hilo ndilo kiini cha utendaji wa uthibitishaji bila kuwasiliana na mtoa: ongeza hali tofauti na uwasilishaji wa mtumiaji — kamwe si kwa kila mtu, kamwe si kwa kila muamala.

Chaguo hili moja la muundo linazuia mtoa au mtoa wa hali kujua ni mthibitishaji gani aliyekagua stakabadhi gani wakati gani.

Faragha ya Kikundi: Sharti Ambalo Miundo Mingi Inasahau

Mifumo mingi inasherehekea ufichuzi wa kuchagua ndani ya uwasilishaji wenyewe, kisha kimya kimya inasahau faragha ya utafutaji wa hali. Hiyo ni pengo kubwa.

Mahitaji ya faragha ya EUDI yanabainisha kwamba:

• Faharasa katika orodha za hali lazima zipangwe bila mpangilio, ili faharasa yenyewe kamwe isikuwe ishara ya ufuatiliaji.
• Kila orodha lazima ijumuishe idadi ya vibali ya kutosha kuhakikisha faragha ya kikundi.
• Ikiwa orodha ingekuwa ndogo sana, watoa wanapaswa kuongeza maingizo yasiyotumika kuficha idadi halisi ya vibali.

IDP ya baadaye haiwezi kudai kuhifadhi faragha kwa nguvu ya ufichuzi wa kuchagua peke yake. Ikiwa utaratibu wa kufuta unafichua tukio la uwasilishaji, muundo wa faragha haukukamilika.

Uendeshaji Bila Mtandao Si Hali Maalum — Ni Sharti la Msingi

Mfumo wowote wa usafiri unaodhan muunganiko kamili umebuniwa vibaya.

• AAMVA inathibitisha kwamba urejeshaji wa kifaa unafanya kazi bila muunganiko wa nje kwa kifaa cha mmiliki na kisomaji, na kwamba ISO/IEC 18013-5 inahitaji mDL kusaidia urejeshaji wa kifaa.
• EUDI inakubali kwamba vyama vinavyotegemea vinaweza kuwa nje ya mtandao na kukosa orodha ya hali iliyohifadhiwa, ambapo inapendekeza uchambuzi wa hatari kabla ya kuamua.

Kubali maelewano haya mapema:

Huwezi kuwa na uendeshaji kamili bila mtandao na ubichi kamili wa wakati halisi kwa wakati mmoja.

Muundo wowote unaoahidi vyote viwili bila maelewano una utata au kimya kimya unarudisha ufuatiliaji. Jibu sahihi ni kufanya ubichi kuwa ingizo la sera, si utegemezi wa mtandao wa ulimwengu wote.

Kumbukumbu Ndipo Faragha Inavyoshindwa Kimya Kimya

Hata muundo mzuri wa hali unaweza kuharibika na kumbukumbu za uzembe.

• EUDI inahitaji mifano ya chama kinachotegemea kutupa vipengele vya kipekee na alama za wakati mara tu havihitajiki tena, na inapiga marufuku kuvipeleka mbele.
• AAMVA inapiga marufuku wadau kufuatilia wamiliki wa mDL au matumizi ya mDL isipokuwa inapohitajika kisheria, inahitaji mamlaka za utoaji kupunguza ushiriki wa metadata tuli au ya muda mrefu, na inazuia ufikiaji wa kumbukumbu za shughuli kwa mmiliki.
• AAMVA pia inahitaji kwamba ufutaji kwenye kifaa uondoe taarifa za kumbukumbu na metadata zinazoweza kufichua historia ya matumizi — na kwamba ufutaji huu uwezekane bila mtandao.

Hii ni tabia ya itifaki, si utunzaji wa kiutawala. IDP ya baadaye lazima ichukulie vitambulisho vya muda mrefu, alama za wakati, na kumbukumbu kama zana zinazoweza kufuatilia isipokuwa imethibitishwa kinyume chake wazi.

Muundo Madhubuti Bila Kuwasiliana na Mtoa kwa IDP ya Baadaye

Ukikusanya kanuni pamoja, hivi ndivyo mfumo unavyopaswa kufanya kwa kweli:

1. Toa stakabadhi ya msingi iliyofungwa kwenye kifaa. Funga stakabadhi kwa funguo zilizolindwa katika mazingira salama ya pochi — lazima chini ya EUDI kwa PIDs na uthibitisho wa ISO/IEC 18013-5.
2. Omba tu kinachohitajika, pamoja na changamoto mpya. Katika muamala wa OpenID4VP, swali la DCQL linaruhusu pochi kumwonyesha mmiliki ni sifa zipi zinazoombiwa, na mthibitishaji anatoa changamoto kuzuia kurudiwa (kwa mujibu wa muundo wa sasa wa mDL wa NIST).
3. Tengeneza uwasilishaji wa muda mfupi, si kitambulisho kinachoweza kutumika tena. Kila uwasilishaji unapaswa kuwa maalum kwa mthibitishaji, ombi, na wakati.
4. Thibitisha uhalisi kienyeji. Thibitisha saini na funguo za umma za mtoa bila mtandao; huduma ya imani ya AAMVA imeundwa hasa kwa hili.
5. Kagua hali kutoka orodha zilizohifadhiwa, zilizoongezwa tofauti. Pale ambapo vibali vina muda mrefu sana wa kukwepa kufuta, tumia orodha za hali zilizohifadhiwa kienyeji zilizoongezwa kwa ratiba isiyohusiana na uwasilishaji wa mtumiaji.
6. Tekeleza sera ya hatari wakati ubichi haupatikani. Fanya maamuzi ya nje ya mtandao kuwa sera wazi ya mthibitishaji, si mawazo yasiyopangwa.
7. Futa data ya ufuatiliaji kwa nguvu. Tupa vipengele vya kipekee vya muamala na alama za wakati zinapohitajika tena; usihifadhi kumbukumbu zinazoweza kujenga upya historia ya harakati.

Hivo ndivyo muundo wa kweli wa kutokuwasiliana na mtoa unavyoonekana — wenye matabaka, unaohifadhi faragha, wa kriptografia ya kienyeji, na wa uaminifu wa kiutendaji kuhusu hali ya nje ya mtandao.

Mifumo Mitatu Ambayo Inapaswa Kupigwa Marufuku kwa Muundo

Mfumo wa IDP wa baadaye uliokomaa unapaswa kuchukulia hizi kama kushindwa kwa muundo, si chaguo za uboreshaji:

• Simu za lazima za mtoa kwa kila uwasilishaji. Mwongozo wa faragha wa AAMVA wenyewe unaeleza kwa nini hii ni hatari.
• Kutumia stakabadhi ya udereva kama kuingia kwa kawaida. NIST inaonya wazi dhidi ya kuwasilisha mara kwa mara vibali vyenye utambulisho kwa uthibitishaji wa kila siku.
• Kuhifadhi vitambulisho, alama za wakati, na kumbukumbu zinazoweza kujenga upya historia ya uwasilishaji. EUDI na AAMVA zote zinahitaji kinyume chake.

Hoja Kuu katika Sentensi Moja

Uthibitishaji wa papo hapo haupaswi kuwa ruhusa ya ufuatiliaji upande wa mtoa.

IDP ya baadaye inapaswa kuweza:

• Kuthibitisha uhalisi kienyeji.
• Kuthibitisha umiliki kienyeji.
• Kukagua ubichi kwa siri.
• Kuvumilia hali ya nje ya mtandao.
• Kufanya kazi vizuri wakati taarifa kamili haipatikani.

Hakuna kitu chochote cha hivi kinachofanya mfumo kuwa dhaifu. Kinaufanya ustahili kutumika kwa kiwango kikubwa.

Mara stakabadhi ya udereva inapokuwa zana ya kurekodi ni nani aliyeonyesha nini, wapi, na lini, inaacha kuwa toleo salama zaidi la karatasi. Inakuwa miundombinu ya uchunguzi.

Hiyo hasa ndiyo IDP ya baadaye inapaswa kukataa kuwa.

Maswali Yanayoulizwa Mara Kwa Mara

“Uthibitishaji wa kuwasiliana na mtoa” ni nini?
Ni muundo wowote ambapo mthibitishaji anawasiliana na mtoa kwa wakati halisi kuthibitisha stakabadhi. Ingawa unatatua uhalisi na kufuta kwa wakati mmoja, pia unamruhusu mtoa kuona kila tukio la uwasilishaji.

Je, ISO/IEC 18013-5 inahitaji mawasiliano ya mtoa ya mtandaoni?
Hapana. AAMVA inathibitisha kwamba ISO/IEC 18013-5 inahitaji usaidizi wa urejeshaji wa kifaa na inaruhusu urejeshaji wa seva kwa hiari tu.

Kufuta kunawezaje kufanya kazi bila kuwasiliana na mtoa?
Kupitia vibali vya muda mfupi, orodha za hali za uthibitisho, au orodha za kufuta uthibitisho — ikiwezekana na chama kinachotegemea kupakua data ya hali tofauti na uwasilishaji wa mtumiaji.

Kwa nini “faragha ya kikundi” ni muhimu kwa orodha za hali?
Ikiwa orodha ya hali ni ndogo sana au faharasa zake zinaweza kutabiriwa, ombi la hali linaweza kufichua ni stakabadhi gani hasa iliyowasilishwa tu. Faharasa za nasibu na orodha kubwa huzuia hili.

Je, uthibitishaji nje ya mtandao unawezekana kweli kweli?
Ndiyo — na mamlaka za viwango ikiwemo AAMVA na EUDI zinahitaji wazi. Maelewano ni kwamba ubichi kamili wa wakati halisi hauwezi kupatikana pamoja na uendeshaji kamili nje ya mtandao, kwa hivyo ubichi lazima uwe uamuzi wa sera, si utegemezi mkali.