मोबाइल ड्राइवर लाइसेंस QR कोड: ISO/IEC 18013-5

मानक क्या है

ISO/IEC 18013-5:2021, व्यक्तिगत पहचान, ISO-अनुपालित ड्राइविंग लाइसेंस, भाग 5: मोबाइल ड्राइविंग लाइसेंस (mDL) एप्लिकेशन। अंतर्राष्ट्रीय मानक जो निर्दिष्ट करता है कि डिजिटल ड्राइवर लाइसेंस कैसे जारी, संग्रहीत, वेरिफ़ायर को स्थानांतरित, और ऑफ़लाइन सत्यापित किए जाते हैं। QR-कोड सतह (जो अधिकांश लोग देखते हैं) खंड 8.2 "Device retrieval, QR code engagement" है। एक साथी मानक, ISO/IEC 18013-7, ऑनलाइन रिट्रीवल को कवर करता है।

अपनाना अच्छी तरह चल रहा है: एक दर्जन US राज्यों के पास Apple Wallet और Google Wallet में उत्पादन-जारी या पायलट mDL हैं; California का mDL सामान्य उपलब्धता में है; TSA अधिकांश प्रमुख US हवाई अड्डों पर सुरक्षा में mDL स्वीकार करता है; EU eIDAS 2.0 के तहत EUDI Wallet में अपना संस्करण शुरू कर रहा है। मानक ISO/IEC 23220 का भी आधार है।

QR के अंदर वास्तव में क्या है

mDL QR एक DeviceEngagement CBOR संरचना एन्कोड करता है। CBOR (संक्षिप्त बाइनरी ऑब्जेक्ट रिप्रेजेंटेशन, RFC 8949) JSON का एक कॉम्पैक्ट बाइनरी विकल्प है। डिकोडेड संरचना लगभग इस तरह दिखती है:

{
  0: "1.0",                         // version
  1: [1, 2, [eDeviceKey bytes]],    // security: cipher suite 1, EC P-256 key
  2: [                              // device retrieval methods
    [1, 1, {...NFC options...}],
    [2, 1, {...BLE options...}],
    [3, 1, {...Wi-Fi Aware options...}]
  ],
  3: {...optional server retrieval...}
}

मुख्य फ़ील्ड, डिकोडेड:

यह प्लास्टिक कार्ड के AAMVA PDF417 से कैसे अलग है?

यह एक अलग श्रेणी का क्रेडेंशियल है। US प्लास्टिक लाइसेंस के पीछे AAMVA PDF417 बारकोड सभी विशेषताएँ सादे टेक्स्ट में रखता है — नाम, पता, DOB, लाइसेंस नंबर, ऊँचाई, वजन, आँखों का रंग, प्रतिबंध, अंग-दाता फ्लैग। कोई भी स्कैनर इसे पढ़ सकता है। कार्ड एक "सब या कुछ नहीं" क्रेडेंशियल है: आप इसे सौंपते हैं और सब कुछ प्रकट होता है, या आप नहीं सौंपते।

mDL इसे पलट देता है। QR में कोई विशेषताएँ नहीं — केवल एक हैंडशेक। वेरिफ़ायर को विशिष्ट विशेषताओं (given_name, family_name, birth_date, age_over_21, portrait, document_number, driving_privileges, आदि) के लिए अनुरोध करना होगा, वॉलेट आपको अनुरोध दिखाता है, और केवल आपके अनुमोदित विशेषताएँ स्थानांतरित होती हैं। हस्तांतरण जारीकर्ता प्राधिकरण (आपके राज्य DMV) द्वारा क्रिप्टोग्राफिक रूप से हस्ताक्षरित है, इसलिए वेरिफ़ायर ऑफ़लाइन पुष्टि कर सकता है कि विशेषताएँ वास्तविक हैं।

इसीलिए गोपनीयता की परवाह करने वाले लोग mDL को पसंद करते हैं, भले ही मानक अधिक जटिल हो: यह लेन-देन के दायरे में प्रकटीकरण सक्षम करता है। बाउंसर को आपका पता नहीं चाहिए; TSA अधिकारी को आपकी अंग-दाता स्थिति नहीं चाहिए; 7-Eleven क्लर्क को आपका लाइसेंस नंबर नहीं चाहिए।

चयनात्मक प्रकटीकरण: असली बात

mDL मानक व्युत्पन्न विशेषताएँ का एक सेट परिभाषित करता है जो वेरिफ़ायर को कच्चे मूल्य के बजाय हाँ/नहीं प्रश्न पूछने देती हैं। मुख्य हैं:

• age_over_18, age_over_21, age_over_65 — DOB प्रकट किए बिना आयु-नियंत्रित खरीदारी के लिए।
• resident_state — पता प्रकट किए बिना "क्या आप राज्य के निवासी हैं?" प्रश्नों के लिए।
• driving_privileges — लाइसेंस की क्लास, प्रतिबंध; कार किराए के लिए।

एक बार के लिए अच्छी तरह से डिज़ाइन किया गया वेरिफ़ायर ऐप केवल age_over_21 माँगता है। वॉलेट दिखाता है "Bar XYZ जानना चाहता है कि क्या आप 21 से ऊपर हैं।" आप अनुमोदन टैप करते हैं, एक हस्ताक्षरित बूलियन ("सत्य") वापस जाता है। बार का ऐप आपके राज्य के प्रकाशित mDL ट्रस्ट रूट के विरुद्ध हस्ताक्षर सत्यापित करता है। हो गया। कोई DOB नहीं, कोई नाम नहीं, कोई लाइसेंस नंबर नहीं, कोई फोटो नहीं। प्लास्टिक कार्ड सौंपने की तुलना में यह एक बड़ा गोपनीयता सुधार है।

शत्रुतापूर्ण वेरिफ़ायर: नया थ्रेट मॉडल

प्लास्टिक-कार्ड थ्रेट मॉडल सरल था: इसे खोना, कॉपी करना, शोल्डर-सर्फ करना। mDL थ्रेट मॉडल अलग है। फ़ॉर्मेट मजबूत है; क्रिप्टोग्राफी ठोस है; जोखिम लेन-देन के दूसरी तरफ वेरिफ़ायर ऐप की ओर स्थानांतरित हो जाता है।

कोई भी वेरिफ़ायर ऐप बना सकता है। कोई केंद्रीय लाइसेंसिंग प्राधिकरण नहीं है। इसलिए एक बार ऑफ-द-शेल्फ वेरिफ़ायर का उपयोग कर सकता है जो पूरा DOB, पूरा नाम, और फोटो माँगने के लिए कॉन्फ़िगर किया गया हो, भले ही उसे केवल age_over_21 चाहिए। कार-रेंटल क्लर्क "फाइल के लिए" सब कुछ माँग सकता है। रिटेल क्लर्क पता माँग सकता है। इनमें से कोई भी मानक द्वारा तकनीकी रूप से प्रतिबंधित नहीं है — मानक केवल यह कहता है कि वॉलेट को धारक को दिखाना होगा कि क्या अनुरोध किया जा रहा है और स्पष्ट अनुमोदन आवश्यक है।

इसलिए बचाव धारक की तरफ है: अनुरोध प्रॉम्प्ट पढ़ें। यदि वेरिफ़ायर लेन-देन से अधिक माँग रहा है, तो अस्वीकार करें। कुछ वॉलेट तब चेतावनी देते हैं जब वेरिफ़ायर ज्ञात ट्रस्ट सूची पर नहीं है; ISO/IEC 18013-5 प्रमाणपत्रों के माध्यम से वेरिफ़ायर प्रमाणीकरण का समर्थन करता है, लेकिन ट्रस्ट-सूची बुनियादी ढाँचा अभी परिपक्व हो रहा है (US में प्रति-राज्य सूचियाँ; eIDAS 2.0 के तहत EU ट्रस्ट सूची)।

यह भी जानने योग्य है: वेरिफ़ायर आपका eDeviceKey, सिफर सुइट, और आप कौन से हस्तांतरण विधि समर्थन करते हैं — बस यही देखता है। वे QR से अकेले कोई विशेषताएँ नहीं पाते। इसलिए किसी स्टीकर या किसी की स्क्रीन से QR स्कैन करके चले जाने से हमलावर को कुछ उपयोगी नहीं मिलता। विशेषताएँ केवल हैंडशेक के बाद एन्क्रिप्टेड सेशन में जाती हैं।

हमारा स्कैनर आपको क्या दिखाता है

हमारे स्कैनर में mDL DeviceEngagement QR डालें (छवि, पेस्ट, या कैमरा)। वर्डिक्ट दिखाता है:

• मानक — ISO/IEC 18013-5 §8.2 DeviceEngagement (CBOR)।
• संस्करण — आमतौर पर 1.0।
• सिफर सुइट — नामित सिफर सुइट (P-256 / brainpool / आदि)।
• हस्तांतरण विधियाँ — वॉलेट कौन से चैनल प्रदान करता है (NFC, BLE, Wi-Fi Aware)।
• सर्वर रिट्रीवल होस्ट — यदि वॉलेट 18013-7 मोड प्रदान करता है, तो कौन सा जारीकर्ता URL विशेषता अनुरोध संभालेगा।
• eDeviceKey लंबाई — पुष्टि करता है कि की मौजूद और सही-ढंग से बनी है, बिना बाइट्स प्रतिध्वनित किए।

हम कोई भी विशेषताएँ डिकोड नहीं करते — QR में डिज़ाइन से कोई विशेषताएँ नहीं हैं। वास्तविक लाइसेंस डेटा चुने गए हस्तांतरण विधि पर एन्क्रिप्टेड होकर वास्तविक वेरिफ़ायर तक जाएगा।

डिकोडिंग आपके ब्राउज़र में होती है; केवल संरचनात्मक मेटाडेटा सुरक्षा वर्गीकरण के लिए हमारे सर्वर तक पहुँचता है।

वेरिफ़ायर अनुरोध को अनुमोदित करने से पहले

• अनुरोध प्रॉम्प्ट पढ़ें। मानक के अनुसार आपके वॉलेट को अनुरोधित विशेषताओं की पूरी सूची दिखानी आवश्यक है। इसे पढ़ें।
• क्या अनुरोध लेन-देन से मेल खाता है? बारटेंडर पूरे DOB के बजाय age_over_21 माँग रहा है = अस्वीकार करें या पूछें क्यों। कार-रेंटल क्लर्क अंग-दाता स्थिति माँग रहा है = अस्वीकार करें।
• क्या वेरिफ़ायर ट्रस्ट सूची पर है? कुछ वॉलेट ज्ञात वेरिफ़ायर के लिए चेकमार्क दिखाते हैं (आपके राज्य DMV के ट्रस्ट रूट से जारी प्रमाणपत्र)। अज्ञात वेरिफ़ायर आपको रुकने पर मजबूर करना चाहिए।
• ऑनलाइन रिट्रीवल (18013-7) अधिक शक्तिशाली और अधिक दखलंदाज़ है। यदि वॉलेट पूछता है कि क्या वेरिफ़ायर को आपके राज्य DMV से सीधे पूछताछ करने दें, तो यह DMV पर ऑडिट ट्रेल बनाता है। कुछ लेन-देन के लिए ठीक है (TSA, आधिकारिक ID जाँच), अन्य के लिए अनावश्यक (बीयर खरीदना)।
• आप हमेशा ना कह सकते हैं। चयनात्मक प्रकटीकरण का पूरा उद्देश्य यह है कि आप नियंत्रित करें कि आपके फोन से क्या बाहर जाता है। यदि कोई वेरिफ़ायर कम प्रकटीकरण स्वीकार नहीं करेगा, तो आप प्लास्टिक कार्ड पर वापस जा सकते हैं या लेन-देन से बाहर हो सकते हैं।

संबंधित

• AAMVA ड्राइवर लाइसेंस PDF417, वह प्लास्टिक-कार्ड बारकोड जिसे यह फ़ॉर्मेट प्रतिस्थापित करता है।
• FIDO2 पासकी QR, एक और क्रॉस-डिवाइस हैंडशेक QR।
• 2026 में देखने योग्य QR घोटाले
• हम जो QR मानक जाँचते हैं
• पूर्ण कवरेज सूची