Kod QR lesen memandu mudah alih: ISO/IEC 18013-5

Apakah piawaiannya

ISO/IEC 18013-5:2021, Pengenalan peribadi, Lesen memandu yang mematuhi ISO, Bahagian 5: Aplikasi lesen memandu mudah alih (mDL). Piawaian antarabangsa yang menentukan cara lesen memandu digital dikeluarkan, disimpan, dipindahkan kepada pengesah, dan disahkan luar talian. Permukaan kod QR (bahagian yang kebanyakan orang lihat) adalah seksyen 8.2 “Pengambilan peranti, penglibatan kod QR”. Piawaian pendamping, ISO/IEC 18013-7, merangkumi pengambilan dalam talian (pengesah bertanya kepada pengeluar secara langsung dengan persetujuan pemegang).

Penggunaan sudah pun berjalan dengan baik: selusin negeri AS mempunyai mDL pengeluaran penuh atau perintis dalam Apple Wallet dan Google Wallet; mDL California tersedia secara umum; TSA menerima mDL di keselamatan di kebanyakan lapangan terbang utama AS; EU sedang melancarkan variannya ke dalam EUDI Wallet di bawah eIDAS 2.0 (peraturan berkuat kuasa akhir 2024, dompet dijangka 2026-2027). Piawaian ini juga merupakan asas untuk ISO/IEC 23220 (rangka kerja bukti kelayakan mudah alih umum, merangkumi perkara di luar lesen memandu).

Apa yang sebenarnya ada di dalam QR

QR mDL mengekodkan struktur CBOR DeviceEngagement. CBOR (Concise Binary Object Representation, RFC 8949) adalah alternatif binari yang ringkas kepada JSON. Struktur yang didekod kelihatan lebih kurang seperti:

{
  0: "1.0",                         // version
  1: [1, 2, [eDeviceKey bytes]],    // security: cipher suite 1, EC P-256 key
  2: [                              // device retrieval methods
    [1, 1, {...NFC options...}],
    [2, 1, {...BLE options...}],
    [3, 1, {...Wi-Fi Aware options...}]
  ],
  3: {...optional server retrieval...}
}

Medan utama, didekod:

Bagaimana ini berbeza daripada AAMVA PDF417 pada kad plastik?

Ia adalah kategori bukti kelayakan yang berbeza. Kod bar AAMVA PDF417 pada belakang lesen plastik AS membawa setiap atribut pada kad dalam teks biasa — nama, alamat, tarikh lahir, nombor lesen, tinggi, berat, warna mata, sekatan, bendera penderma organ. Mana-mana pengimbas boleh membaca semuanya. Kad adalah bukti kelayakan “semua atau tiada”: sama ada anda menyerahkannya dan mendedahkan segalanya, atau tidak.

mDL membalikkan itu. QR tidak membawa atribut — hanya jabat tangan. Pengesah perlu meminta atribut tertentu (given_name, family_name, birth_date, age_over_21, portrait, document_number, driving_privileges, dll.), dompet menunjukkan kepada anda permintaan itu, dan hanya atribut yang anda luluskan dipindahkan. Pemindahan juga ditandatangani secara kriptografi oleh pihak berkuasa pengeluar (DMV negeri anda), supaya pengesah boleh mengesahkan atribut adalah benar tanpa menghubungi pelayan — pengesahan luar talian berfungsi.

Inilah mengapa orang yang mengambil berat tentang privasi lebih suka mDL walaupun piawaiannya lebih kompleks: ia membolehkan pendedahan yang ditetapkan mengikut transaksi. Pengawal kelab tidak memerlukan alamat anda; pegawai TSA tidak memerlukan status penderma organ anda; pekerja 7-Eleven tidak memerlukan nombor lesen anda.

Pendedahan selektif: tujuan sebenar

Piawaian mDL mentakrifkan set atribut terbitan yang membenarkan pengesah bertanya soalan ya/tidak dan bukannya mendapat nilai mentah. Yang utama:

• age_over_18, age_over_21, age_over_65 — untuk pembelian berkadar usia tanpa mendedahkan tarikh lahir.
• resident_state, untuk soalan “adakah anda penduduk negeri?” tanpa mendedahkan alamat.
• driving_privileges, kelas lesen yang dipegang, sekatan; untuk sewaan kereta.

Aplikasi pengesah yang direka dengan baik untuk bar hanya meminta age_over_21. Dompet menunjukkan “Bar XYZ ingin mengetahui sama ada anda berusia lebih 21 tahun.” Anda mengetuk Luluskan, satu boolean bertanda (“benar”) dikembalikan. Aplikasi bar mengesahkan tandatangan berbanding akar amanah mDL negeri yang diterbitkan. Selesai. Tiada tarikh lahir, tiada nama, tiada nombor lesen, tiada foto. Berbanding menyerahkan kad plastik, ini adalah peningkatan privasi yang besar.

Pengesah bermusuhan: model ancaman baharu

Model ancaman kad plastik adalah mudah: hilangkan, disalin, diteropong dari bahu. Model ancaman mDL adalah berbeza. Formatnya kukuh; kriptografinya kukuh; risiko beralih kepada aplikasi pengesah di sebelah lain transaksi.

Sesiapa sahaja boleh membina aplikasi pengesah. Tiada pihak berkuasa pelesenan pusat. Jadi sebuah bar mungkin menjalankan pengesah sedia guna yang dikonfigurasi untuk meminta tarikh lahir penuh, nama penuh, dan foto walaupun ia hanya memerlukan age_over_21. Pekerja sewaan kereta mungkin meminta segalanya “untuk fail.” Pekerja runcit mungkin meminta alamat. Tiada satupun ini dilarang secara teknikal oleh piawaian — piawaian hanya mengatakan dompet perlu menunjukkan kepada pemegang apa yang diminta dan memerlukan kelulusan eksplisit.

Jadi pertahanan adalah pada pihak pemegang: baca gesaan permintaan. Jika pengesah meminta lebih daripada yang diperlukan transaksi, tolak. Sesetengah dompet memberi amaran apabila pengesah tidak ada dalam senarai amanah yang diketahui; ISO/IEC 18013-5 menyokong pengesahan pengesah melalui sijil, tetapi infrastruktur senarai amanah masih matang (senarai setiap negeri di AS; senarai amanah EU di bawah eIDAS 2.0).

Perkara lain yang perlu diketahui: pengesah melihat eDeviceKey anda, suite cipher, dan kaedah pemindahan yang anda sokong — itu sahaja. Mereka tidak mendapat atribut daripada QR sahaja. Jadi mengimbas QR dari pelekat atau skrin seseorang dan pergi dengan itu tidak memberikan penyerang apa-apa yang berguna. Atribut hanya bergerak di dalam sesi yang disulitkan selepas jabat tangan.

Apa yang pengimbas kami tunjukkan kepada anda

Letakkan QR DeviceEngagement mDL (imej, tampal, atau kamera) ke dalam pengimbas kami. Keputusan menunjukkan:

• Piawaian — ISO/IEC 18013-5 §8.2 DeviceEngagement (CBOR).
• Versi — biasanya 1.0.
• Suite cipher — suite cipher yang dinamakan (P-256 / brainpool / dll.).
• Kaedah pemindahan — saluran yang dompet tawarkan (NFC, BLE, Wi-Fi Aware).
• Hos pengambilan pelayan — jika dompet menawarkan mod 18013-7, URL pengeluar mana yang akan mengendalikan permintaan atribut.
• Panjang eDeviceKey — mengesahkan kunci ada dan terbentuk dengan baik, tanpa menggema bait.

Kami TIDAK mendekod sebarang atribut — tiada atribut dalam QR, mengikut reka bentuk. Data lesen sebenar akan bergerak disulitkan melalui kaedah pemindahan yang dipilih kepada pengesah sebenar.

Penyahkodan berlaku dalam pelayar anda; hanya metadata struktur sampai ke pelayan kami untuk pengelasan keselamatan.

Sebelum anda meluluskan permintaan pengesah

• Baca gesaan permintaan. Dompet anda dikehendaki oleh piawaian untuk menunjukkan kepada anda senarai penuh atribut yang diminta. Bacanya.
• Adakah permintaan sepadan dengan transaksi? Pengurus bar yang meminta tarikh lahir penuh dan bukannya age_over_21 = tolak atau tanya mengapa. Pekerja sewaan kereta yang meminta status penderma organ = tolak.
• Adakah pengesah ada dalam senarai amanah? Sesetengah dompet menunjukkan tanda semak untuk pengesah yang dikenali (sijil yang dikeluarkan daripada akar amanah DMV negeri anda). Pengesah yang tidak diketahui harus membuat anda berhati-hati.
• Pengambilan dalam talian (18013-7) lebih berkuasa dan lebih menceroboh. Jika dompet bertanya sama ada hendak membenarkan pengesah menanyakan DMV negeri anda secara langsung, itu mewujudkan jejak audit di DMV. Baik untuk beberapa transaksi (TSA, semakan ID rasmi), tidak perlu untuk yang lain (membeli bir).
• Anda sentiasa boleh menolak. Keseluruhan tujuan pendedahan selektif adalah bahawa anda mengawal apa yang meninggalkan telefon anda. Jika pengesah tidak menerima pendedahan yang dikurangkan, anda boleh kembali ke kad plastik atau meninggalkan transaksi.

Berkaitan

• Lesen memandu AAMVA PDF417, kod bar kad plastik yang digantikan format ini.
• QR kunci laluan FIDO2, QR jabat tangan merentas peranti yang lain.
• Penipuan QR yang perlu diwaspadai pada 2026
• Semua piawaian QR yang kami semak
• Senarai liputan penuh