Майбутнє МВП — це не буклет. Це рівень представлення з захистом приватності.

Майбутнє міжнародне водійське посвідчення (МВП) не повинно бути ще одним документом для носіння. Воно має бути керованим, криптографічно перевіреним способом представлення національних водійських прав через кордони — онлайн і офлайн, з мінімальним розкриттям даних і без перетворення кожної перевірки на стеження.

Усі кажуть, що майбутнє міжнародного водійського посвідчення — цифрове. Це не хибно — але й недостатньо конкретно.

PDF-буклет на телефоні — це не майбутнє. QR-код із кращим виглядом — це не майбутнє. Блокчейн-токен зі словом «водіння» в маркетингових матеріалах — це не майбутнє.

Справжня проблема лежить глибше, ніж формат. Усе зводиться до одного центрального питання: як законне право на керування транспортним засобом, видане одним органом, стає зрозумілим, надійним і придатним для використання в іншому місці, іншим перевіряючим, в умовах тиску, інколи без мережі та без розкриття більше особистих даних, ніж необхідно?

Це питання, яке паперове МВП так і не вирішило повністю. І це питання, на яке має відповісти система наступного покоління.

Чому паперове МВП вирішило проблему читабельності, але не довіри

Паперове МВП мало сенс у світі, де папір був основним носієм. Воно виконувало роль рівня сумісності — зрозумілого для людини зв’язку між однією системою ліцензування та іншою. Це було корисно і певною мірою залишається таким досі.

Але складна частина сучасної транскордонної мобільності — це вже не просто читабельність. Це довіра.

Сучасні перевіряючі стикаються з низкою складніших питань:

• Чи можуть вони визначити, чи є посвідчення справжнім?
• Чи можуть вони підтвердити, що воно ще дійсне?
• Чи можуть вони перевірити лише ті конкретні поля, які їм дійсно потрібні?
• Чи можуть вони зробити це без звернення до органу-видавця щоразу?
• Чи можуть вони здійснити перевірку онлайн, особисто та на узбіччі дороги?
• Чи можуть вони зробити це без перетворення подорожі на глобальну систему стеження?

Саме тому майбутнє МВП не слід розглядати як проект цифрового буклету. Його слід розглядати як проблему архітектури представлення.

Стандарти, що вже вказують на цифрове МВП

Це вже не теорія. Спільнота зі стандартизації вже рухається в цьому напрямку:

• ISO/IEC 18013-1:2018 встановив модель, у якій єдине захищене посвідчення може слугувати як для внутрішніх, так і для міжнародно визнаних цілей, передбачаючи машиночитані технології та інтеграцію біометрії, криптографії та стиснення даних.
• ISO/IEC 18013-3 охоплює контроль доступу, автентифікацію та перевірку цілісності.
• ISO/IEC 18013-5 визначає інтерфейси між мобільним водійським посвідченням, зчитувачем та інфраструктурою органу-видавця, включаючи використання перевіряючими в інших країнах.
• ISO/IEC 18013-7 додає можливість представлення мобільного водійського посвідчення через інтернет.
• Робота ЄЕК ООН щодо електронних водійських посвідчень пов’язує технічні та безпекові вимоги з відповідністю стандарту ISO/IEC 18013-5.

Хибний підхід до цифровізації МВП

Хибний підхід — взяти чинне МВП, перетворити його на цифровий формат і помістити в застосунок. Це звучить ефективно, але зберігає хибний акцент — система залишається зосередженою на документі як фізичному об’єкті.

Кращий підхід — розглядати міжнародне водіння як контрольоване представлення національно виданих прав на керування транспортним засобом.

Ця зміна має значення, тому що як тільки ви думаєте про представлення, проектні питання стають більш точними:

• Хто видав основне право на керування транспортним засобом?
• Як власник отримує та зберігає посвідчення?
• Як перевіряючий запитує лише ті дані, які йому законно потрібні?
• Як розповсюджуються та яким чином довіряють ключам видавця?
• Як перевіряється відкликання без відстеження в режимі реального часу з боку видавця?
• Що працює офлайн, а що потребує паперу як резервного варіанту?
• Який перевіряючий має право бачити які дані і чому?

Це значно серйозніший спосіб проектування заміни паперового МВП.

Краще визначення майбутнього МВП

Пропонується таке визначення:

Майбутнє МВП — це заснований на стандартах похідний транскордонний документ, що представляє видані національним органом права на керування транспортним засобом перевіряючому у контекстно-відповідний спосіб, під контролем власника, з криптографічною перевіркою, розкриттям даних на основі ролей, потоками представлення онлайн і офлайн та перевіркою статусу із захистом приватності.

Це визначення навмисно вузьке. Воно не:

• робить майбутнє МВП самостійним правом на водіння;
• перетворює його на універсальне сховище ідентифікаційних даних;
• вимагає живого з’єднання з видавцем для кожної транзакції;
• передбачає, що стійка прокату, поліцейський і страховик повинні бачити ті самі поля;
• вимагає блокчейн як основу системи.

Це дисциплінована відповідь на проблему довіри.

Сім компонентів дієвого майбутнього МВП

Без маркетингової мови дієве майбутнє МВП потребує семи компонентів:

1. Авторитетне національне джерело істини. Законне право на водіння походить від внутрішнього органу ліцензування. Міжнародний рівень ніколи не повинен створювати права на водіння — лише представляти їх.
2. Видавець. Довірений державний орган або жорстко керований уповноважений видавець, що діє від його імені, видає цифрове посвідчення, що відображає поточне право на водіння.
3. Гаманець власника. Водію потрібен захищений гаманець, який зберігає посвідчення, захищає приватні ключі, автентифікує власника та представляє посвідчення перевіряючим.
4. Перевіряючий або зчитувач. Це може бути поліцейський пристрій, зчитувач на стійці прокату, онлайн-система або інший авторизований перевіряючий.
5. Реєстр довіри. Перевіряючим потрібен надійний спосіб отримання публічних ключів і метаданих довіри від легітимних видавців.
6. Рівень статусу. Має існувати спосіб, що зберігає приватність, для відображення призупинення, відкликання, закінчення терміну дії або зміни статусу.
7. Фізичний резервний варіант. Розряджені акумулятори, погане підключення, пошкоджені пристрої, консервативні юрисдикції та перехідні умови — це звичайна реальність, а не граничні випадки.

Розкриття на основі ролей: одне посвідчення, різні аудиторії

Одна з найбільших помилок проектування у системах ідентифікації — припущення, що одне посвідчення означає одне розкриття. Це протилежність гарного дизайну.

Поліцейський на узбіччі дороги не має тих самих законних потреб, що й стійка прокату. Стійка прокату не має тих самих потреб, що й роботодавець. Роботодавець не має тих самих потреб, що й система онлайн-попередньої перевірки.

Майбутнє МВП має підтримувати різні набори розкриття для різних категорій перевіряючих:

• Зупинка на дорозі: особистість, фото, категорії та права, обмеження, статус дійсності. За замовчуванням нічого більше.
• Стійка прокату: особистість, фото, категорії водіння, дати видачі та закінчення, можливо інформація про вік — але не кожне поле посвідчення.
• Онлайн-попередня перевірка: підтвердження особистості, підтвердження відповідного права на водіння, підтвердження поточної дійсності, можливо підтвердження, пов’язане з бронюванням.
• Роботодавець або відповідність автопарку: окремий, явно погоджений робочий процес, а не той самий профіль розкриття, що й при перевірці під час подорожі.

Стандарти вже підтримують цю модель. Поточний проект мDL від НІСТІ описує запити, що дозволяють перевіряючим вказувати, які атрибути вони запитують. Настанови щодо впровадження від AAMVA вимагають, щоб застосунок чітко показував, які дані були запитані, та надавав власнику повний контроль над тим, які елементи даних передаються.

Майбутнє МВП не повинно бути цифровою карткою. Воно має бути інструментом контрольованого розкриття.

Миттєва перевірка не повинна стати миттєвим стеженням

Саме тут багато проектів цифрової ідентифікації йдуть хибним шляхом. Вони описують «перевірку в режимі реального часу», ніби це автоматично означає прогрес. Це не так.

Перевіряючому потрібна своєчасна довіра. Але видавцю не потрібно знати кожне місце і кожен момент, коли власник представляє посвідчення. Ця відмінність є суттєвою.

Архітектура та довідкова база ЄС чітко вказує на це. Екземпляри сторони, що покладається, не повинні запитувати відповідний список статусів щоразу, коли представляється посвідчення. Натомість:

• Оновлені списки слід завантажувати окремо, у часи та з місць, не пов’язаних із конкретним представленням користувача.
• Позиції в списку статусів мають бути рандомізовані з достатньою кількістю записів для забезпечення колективної приватності.
• Запити списків не повинні ставати сигналами відстеження конкретних власників.

Поточний проект mDL від НІСТІ описує перевірку верифікатором на основі підписів видавця та публічних ключів без необхідності безпосередньо зв’язуватися з видавцем. Настанови AAMVA забороняють отримання даних із сервера у своїх рекомендаціях щодо впровадження та зосереджуються на отриманні даних із пристрою та розподілі публічних ключів через довірчий сервіс.

Майбутнє МВП має підтримувати миттєву перевірку — не створюючи при цьому глобального запису про те, де і коли водій підтвердив свою особу.

Розподіл довіри: управління у машиночитаній формі

Багато хто обговорює гаманці та криптографію. Значно менше — інфраструктуру, яка насправді забезпечує довіру, але саме інфраструктура є визначальною частиною.

Верифікатор може довіряти посвідченню лише тоді, коли він може надійно виявити публічні ключі видавця та пов’язані метадані і довіряти їм. Екосистемі майбутнього МВП потрібна машиночитана, керована відповідь на такі питання:

• Які видавці є легітимними?
• Які публічні ключі є поточними?
• Які видавці уповноважені для яких юрисдикцій?
• Які категорії верифікаторів зареєстровані або акредитовані?
• Що відбувається, коли видавець ротує ключі або змінює політику?

Служба цифрової довіри AAMVA — один конкретний приклад: єдиний, захищений, стійкий спосіб для сторін, що покладаються, отримувати публічні ключі органів-видавців, доставлений через верифікований список центрів сертифікації видавців. Посібник ЄС з mDL описує повідомлення державами-членами Комісії про уповноважених видавців mDL, публікацію Комісією цього списку для цілей перевірки та реєстрацію сторін, що покладаються, у рамках структури довіри гаманця.

Саме в цьому напрямку потребує рухатись майбутнє МВП — не система, де всі сканують QR-код і довіряють результату без перевірки, а така, де довіра є розподіленою, версіонованою та машиночитаною.

Онлайн і на узбіччі дороги повинні мати єдину уніфіковану систему

Серйозне майбутнє МВП не може розділятися на окремі системи: одна для перевірок на дорозі, одна для прокату автомобілів, одна для дистанційного оформлення, одна для перевірки особи та ще одна для перевірки водійських прав. Саме така фрагментація є тим, від чого вже страждають користувачі.

Технічні стандарти вже існують, щоб уникнути цього:

• ISO/IEC 18013-5 визначає інтерфейси для представлення мобільного водійського посвідчення особисто.
• ISO/IEC 18013-7 розширює це до представлення через інтернет.
• Посібник ЄС з мобільного водійського посвідчення перераховує прокат автомобілів і перевірки на дорозі як сценарії верифікації та описує дистанційний обмін, а також перевірки за допомогою QR-потоків, Bluetooth, Wi-Fi Aware і NFC.

Майбутня система повинна підтримувати як онлайн-, так і особисті сценарії, тому що подорожі включають обидва. Мобільність включає обидва. Довіра вимагає обох.

Рівень веб-нативних протоколів тепер є зрілим

Роками однією з причин, через яку дискусії про ідентифікацію здавалися розмитими, була незавершеність рівня протоколів. Зараз це значною мірою не так:

• OpenID для видачі верифікованих посвідчень 1.0 визначає захищений OAuth API для видачі посвідчень, явно підтримуючи кілька форматів посвідчень, включаючи ISO mdoc, SD-JWT VC та посвідчення W3C VCDM.
• OpenID для верифікованих презентацій 1.0 визначає механізм для верифікаторів щодо запиту та отримання презентацій посвідчень.
• Модель даних верифікованих посвідчень W3C 2.0 формалізує тристоронню екосистему видавців, власників і верифікаторів.

Це змінює розмову. Майбутнє МВП вже не потрібно уявляти як єдиний урядовий застосунок із власноруч побудованими процесами. Його можна проектувати як керований профіль посвідчення поверх більш широкої інтероперабельної екосистеми.

Це не усуває потреби в публічному управлінні. Це усуває відмовку про відсутність сучасного стека протоколів для побудови.

Чому блокчейн є необов’язковим — але визнання є обов’язковим

Майбутнє МВП не потребує блокчейну як основи. Це не означає, що технологія розподіленого реєстру є марною — вона може бути корисною у специфічних ролях щодо прозорості або реєстрів — але не слід розглядати її як центр системи водійських посвідчень.

Модель даних W3C VC 2.0 прямо вказує, що реєстри верифікованих даних можуть набувати різних форм: надійні бази даних, децентралізовані бази даних, урядові бази даних ідентифікаційних даних або розподілені реєстри. DID Core так само прямо вказує, що багато, але не всі методи DID використовують розподілені реєстри. Стандарти не нав’язують архітектуру, орієнтовану на блокчейн.

Це правильна позиція, тому що найважчою частиною майбутнього МВП є не технологія. Найважчою частиною є:

• Правове визнання
• Управління видавцями
• Розгортання зчитувачів
• Акредитація верифікаторів
• Операції зі списками довіри
• Логіка відкликання
• Транскордонне узгодження політики

AAMVA побудував довірчий сервіс. Посібник ЄС включає публікацію видавців і реєстрацію сторін, що покладаються. Проекти ЄЕК ООН пов’язують електронні посвідчення з ISO/IEC 18013-5. Справжній виклик полягає не у відсутності криптографії — це виклик керованої інтероперабельності.

Реалістичний потік майбутнього МВП на практиці

Майбутнє МВП має бути простим на практиці. Ось як воно працює у трьох поширених сценаріях:

1. Видача або оновлення

Національний орган перевіряє базовий запис посвідчення і видає посвідчення в гаманець власника. Гаманець надійно зберігає його, захищає ключі та може пізніше оновити статус або отримати оновлені підтвердження через керований процес видачі. OpenID4VCI забезпечує придатний веб-нативний рівень видачі, тоді як настанови AAMVA вимагають шифрування в стані спокою, безпечного зберігання ключів та автентифікації власника під час доступу до даних або їх передачі.

2. Дистанційна попередня перевірка при прокаті автомобіля

Платформа прокату надсилає автентифікований запит на мінімальний набір прав на водіння. Гаманець показує запит власнику, який його схвалює. Верифікатор отримує презентацію через інтернет-сумісний потік, перевіряє підпис видавця та матеріал ключів, перевіряє локально доступну інформацію про довіру та статус і попередньо схвалює бронювання. Посібник ЄС з mDL вже описує дистанційний обмін при прокаті автомобілів; проект НІСТІ описує запити атрибутів на основі запитів; OpenID4VP та ISO/IEC 18013-7 забезпечують загальний напрямок представлення для інтернет-потоків.

3. Зупинка на дорозі

Офіцер запитує набір розкриття для дорожніх перевірок. Власник представляє його через потік ближнього зв’язку. Зчитувач перевіряє посвідчення локально, перевіряє права на водіння та дійсність і бачить не більше, ніж потрібно. За замовчуванням видавець не контактується. Посібник ЄС описує перевірку на дорозі через QR-коди, Bluetooth, Wi-Fi Aware та NFC, тоді як ISO/IEC 18013-5 та настанови AAMVA зосереджуються на зв’язку поруч і отриманні даних із пристрою, а не на зв’язку з видавцем у реальному часі.

Це правильний досвід користувача: швидкий, верифікований, мінімально інвазивний і простий.

Чим майбутнє МВП не є

Для ясності, майбутнє МВП — це не:

• самостійне водійське посвідчення;
• зображення картки;
• універсальна колекція ідентифікаційних даних;
• канал стеження, керований верифікатором;
• папір у цифровому форматі;
• система довіри, залежна від блокчейну.

Це ретельно керований рівень представлення поверх національно виданих водійських прав. Це менш драматично — і значно більш реалістично.

Чому шлях міграції має таке ж значення, як і архітектура

Найкраща архітектура марна, якщо шлях міграції не є реалістичним. Уряди не замінять усі паперові процеси за одну ніч — і не повинні.

Реалістичний шлях виглядає так:

1. Фаза 1: Залишити папір. Додати захищений цифровий супутній документ.
2. Фаза 2: Стандартизувати списки довіри видавців та категорії верифікаторів.
3. Фаза 3: Підтримати як ближнє, так і дистанційне представлення.
4. Фаза 4: Перевести звичайні перевірки та прокат на цифрові потоки.
5. Фаза 5: Перевести паперовий буклет до резервного статусу замість основного.

Цей шлях відповідає напрямку, в якому вже рухаються стандарти та офіційна робота з екосистеми: логіка одного документу від ISO, інфраструктура довірчого сервісу AAMVA, випадки використання mDL на основі гаманця EUDI та рух ЄЕК ООН до моделей електронних посвідчень, узгоджених з ISO/IEC 18013-5.

Основний аргумент в одному реченні

Ось аргумент у стислому вигляді: Майбутнє МВП — це не цифровий буклет. Це керована відповідь на проблему транскордонної довіри.

Не краща версія старого документу — краща система. Система, де:

• законне право все ще походить від національного органу;
• власник контролює представлення;
• верифікатор отримує лише те, що йому потрібно;
• довіру можна перевірити без стеження за замовчуванням;
• дистанційне та особисте використання мають одну архітектуру;
• папір залишається лише там, де він ще має практичну цінність.

Ось стандарт, до якого слід прагнути.

Як тільки ви бачите проблему таким чином, цікаве питання полягає вже не в тому, чи повинне МВП стати цифровим. Цікаве питання стає таким: хто готовий проектувати рівень ідентифікації транскордонних водіїв достатньо серйозно, щоб замінити папір, не відтворюючи його слабкостей — і не додаючи нових?

Жодне з цього не є спекулятивним. Поточна робота НІСТІ з mDL описує гаманець під контролем користувача, верифікатор, що перевіряє автентичність без необхідності безпосередньо зв’язуватися з видавцем, та екосистему посвідчень, побудовану навколо видавців, гаманців і верифікаторів. Служба цифрової довіри AAMVA вже існує для розподілу публічних ключів органів-видавців. Посібник ЄС з мобільного водійського посвідчення описує списки авторизованих видавців та реєстрацію сторін, що покладаються, у рамках більш широкої структури довіри.