Standar · Surat Izin Mengemudi digital (mDL)

QR code SIM digital: ISO/IEC 18013-5

Ketika bartender, petugas TSA, atau petugas penyewaan mobil memindai QR di aplikasi SIM ponsel Anda, QR itu bukan SIM-nya. Itu adalah jabat tangan. Atribut sebenarnya hanya berpindah setelah verifier mereka meminta kolom tertentu dan Anda menyetujui pelepasannya di ponsel Anda. Jika dilakukan dengan benar, mDL jauh lebih sedikit membocorkan informasi daripada kartu plastik. Jika dilakukan dengan salah (verifier yang tidak jujur, persetujuan menyeluruh), bocornya sama banyak atau lebih buruk. Inilah cara membedakannya.

Periksa QR mDL → Semua standar →

Apa standarnya

ISO/IEC 18013-5:2021, Identifikasi pribadi, SIM sesuai ISO, Bagian 5: Aplikasi SIM digital (mDL). Standar internasional yang menetapkan cara SIM digital diterbitkan, disimpan, ditransfer ke verifier, dan diverifikasi secara offline. Permukaan QR code (bagian yang paling banyak dilihat orang) ada di bagian 8.2 "Pengambilan perangkat, keterlibatan QR code". Standar pendamping, ISO/IEC 18013-7, mencakup pengambilan online (verifier bertanya langsung ke penerbit dengan persetujuan pemegang).

Adopsi sudah berlangsung pesat: selusin negara bagian AS memiliki mDL produksi atau pilot di Apple Wallet dan Google Wallet; mDL California sudah tersedia umum; TSA menerima mDL di pemeriksaan keamanan di sebagian besar bandara utama AS; UE sedang menggulirkan variannya ke dalam EUDI Wallet di bawah eIDAS 2.0 (regulasi berlaku akhir 2024, dompet diperkirakan 2026-2027). Standar ini juga menjadi dasar ISO/IEC 23220 (kerangka kredensial mobile umum, mencakup hal di luar SIM).

Apa yang sebenarnya ada di dalam QR

QR mDL mengkodekan struktur CBOR DeviceEngagement. CBOR (Concise Binary Object Representation, RFC 8949) adalah alternatif biner ringkas untuk JSON. Struktur yang didekode kira-kira terlihat seperti:

{
  0: "1.0",                         // version
  1: [1, 2, [eDeviceKey bytes]],    // security: cipher suite 1, EC P-256 key
  2: [                              // device retrieval methods
    [1, 1, {...NFC options...}],
    [2, 1, {...BLE options...}],
    [3, 1, {...Wi-Fi Aware options...}]
  ],
  3: {...optional server retrieval...}
}

Kolom utama, setelah didekode:

Versi

Selalu "1.0" untuk deployment saat ini. Revisi mendatang mungkin akan diubah.

Suite sandi

Saat ini selalu 1: perjanjian kunci ECDH pada P-256, enkripsi sesi AES-GCM. Suite sandi 2 dicadangkan untuk brainpoolP320r1 (kasus penggunaan UE).

eDeviceKey

Kunci publik EC sementara yang dibuat per sesi oleh dompet. Digunakan oleh verifier untuk membuat sesi terenkripsi. Dihapus setelah transaksi. Pemindai kami menampilkan panjang kolom ini tetapi tidak pernah menampilkan byte kunci — mereka bersifat sementara dan hanya bermakna untuk sesi verifier yang sedang berlangsung.

Metode transfer

Dompet memberi tahu verifier saluran mana yang bersedianya digunakan untuk transfer atribut sebenarnya: NFC (tap), Bluetooth LE, atau Wi-Fi Aware (Wi-Fi peer-to-peer tanpa access point). Sebagian besar mDL menawarkan BLE dan NFC; Wi-Fi Aware terbatas pada platform tertentu.

Pengambilan server (opsional)

Jika ada, dompet mendukung mode 18013-7: verifier dapat meminta atribut dari API online penerbit alih-alih langsung dari dompet. QR menyertakan URL penerbit. Pemindai kami mengekstrak ini dan menampilkan otoritas mana yang akan menerima permintaan.

Apa bedanya dengan barcode PDF417 AAMVA di kartu plastik?

Ini adalah kategori kredensial yang berbeda. Barcode PDF417 AAMVA di bagian belakang SIM plastik AS membawa setiap atribut pada kartu dalam teks biasa — nama, alamat, tanggal lahir, nomor SIM, tinggi badan, berat badan, warna mata, pembatasan, flag donor organ. Pemindai mana pun dapat membaca semuanya. Kartu itu adalah kredensial "semua atau tidak sama sekali": Anda menyerahkannya dan mengungkapkan segalanya, atau tidak.

mDL membalikkan itu. QR tidak membawa atribut — hanya jabat tangan. Verifier harus meminta atribut tertentu (given_name, family_name, birth_date, age_over_21, portrait, document_number, driving_privileges, dll.), dompet menampilkan permintaan kepada Anda, dan hanya atribut yang Anda setujui yang ditransfer. Transfernya juga ditandatangani secara kriptografi oleh otoritas penerbit (DMV negara bagian Anda), sehingga verifier dapat mengonfirmasi atribut tersebut nyata tanpa menelepon pusat — verifikasi offline berfungsi.

Inilah mengapa orang yang peduli privasi lebih memilih mDL meskipun standarnya lebih kompleks: ini memungkinkan pengungkapan yang disesuaikan dengan transaksi. Seorang penjaga pintu tidak memerlukan alamat Anda; petugas TSA tidak memerlukan status donor organ Anda; kasir 7-Eleven tidak memerlukan nomor SIM Anda.

Pengungkapan selektif: tujuan sebenarnya

Standar mDL mendefinisikan sekumpulan atribut turunan yang memungkinkan verifier mengajukan pertanyaan ya/tidak alih-alih mendapatkan nilai mentah. Yang utama:

Aplikasi verifier yang dirancang dengan baik untuk sebuah bar hanya meminta age_over_21. Dompet menampilkan "Bar XYZ ingin mengetahui apakah Anda berusia di atas 21 tahun." Anda mengetuk Setuju, satu boolean bertanda tangan ("true") dikirim kembali. Aplikasi bar memverifikasi tanda tangan terhadap root kepercayaan mDL yang diterbitkan negara bagian Anda. Selesai. Tidak ada tanggal lahir, tidak ada nama, tidak ada nomor SIM, tidak ada foto. Dibandingkan menyerahkan kartu plastik, ini adalah peningkatan privasi yang besar.

Verifier yang tidak jujur: model ancaman baru

Model ancaman kartu plastik sederhana: hilang, disalin, dilihat orang lain. Model ancaman mDL berbeda. Formatnya kuat; kriptografinya solid; risikonya bergeser ke aplikasi verifier di sisi lain transaksi.

Siapa pun bisa membangun aplikasi verifier. Tidak ada otoritas perizinan terpusat. Jadi sebuah bar mungkin menjalankan verifier siap pakai yang dikonfigurasi untuk meminta tanggal lahir lengkap, nama lengkap, dan foto meskipun hanya membutuhkan age_over_21. Petugas penyewaan mobil mungkin meminta segalanya "untuk arsip". Petugas ritel mungkin meminta alamat. Tidak ada yang secara teknis dilarang oleh standar — standar hanya menyatakan bahwa dompet harus menampilkan kepada pemegang apa yang diminta dan memerlukan persetujuan eksplisit.

Jadi pertahanannya ada di sisi pemegang: baca permintaan yang ditampilkan. Jika verifier meminta lebih dari yang dibutuhkan transaksi, tolak. Beberapa dompet memperingatkan ketika verifier tidak ada di daftar kepercayaan yang dikenal; ISO/IEC 18013-5 mendukung autentikasi verifier melalui sertifikat, tetapi infrastruktur daftar kepercayaan masih berkembang (daftar per negara bagian di AS; daftar kepercayaan UE di bawah eIDAS 2.0).

Penting juga untuk diketahui: verifier melihat eDeviceKey Anda, suite sandi, dan metode transfer yang Anda dukung — hanya itu. Mereka tidak mendapat atribut dari QR saja. Jadi memindai QR dari stiker atau layar seseorang dan pergi tidak memberikan penyerang hal yang berguna. Atribut hanya berpindah di dalam sesi terenkripsi setelah jabat tangan.

Apa yang ditampilkan pemindai kami

Masukkan QR DeviceEngagement mDL (gambar, tempel, atau kamera) ke pemindai kami. Hasilnya menampilkan:

Kami TIDAK mendekode atribut apa pun — tidak ada atribut dalam QR, secara desain. Data SIM sebenarnya akan berpindah terenkripsi melalui metode transfer yang dipilih ke verifier nyata.

Dekoding terjadi di browser Anda; hanya metadata struktural yang mencapai server kami untuk klasifikasi keamanan.

Sebelum Anda menyetujui permintaan verifier

Terkait

Periksa QR DeviceEngagement mDL

Masukkan QR (gambar, tempel, atau kamera). Hasilnya menampilkan versi, suite sandi, metode transfer, dan URL pengambilan server opsional. Tidak ada atribut — atribut tersebut hanya berpindah di dalam sesi pasca-jabat-tangan terenkripsi ke verifier nyata.

Buka pemindai →