OpenID for European Digital Identity: An architectural analysis of user-centric identity management
تنتقد هذه الورقة أطر عمل الهوية الرقمية الأوروبية الموحدة (EUDI) ومعايير (OpenID4VCI/VP) الحالية لاعتمادها على مفهوم للهوية متمحور حول الوثائق وهو مفهوم عفا عليه الزمن، ولإدخال آليات ثقة مركزية محفوفة بالمخاطر، داعية بدلاً من ذلك إلى تعريف أعمق للهوية وبدائل تقنية تدعم بشكل أفضل إدارة الهوية السيادية ذاتياً والمركزة حول المستخدم.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أن الاتحاد الأوروبي يحاول بناء "مفتاح رئيسي" للعالم الرقمي. هذا "المفتاح الرئيسي" (الذي يسمى الهوية الرقمية الأوروبية أو EUDI) من المفترض أن يسمح لكل مواطن بالدخول إلى أي متجر، أو بنك، أو مكتب حكومي عبر أوروبا دون الحاجة لحمل محفظة مادية، وإثبات هويته فوراً وبأمان.
لقد اختار مهندسو هذا النظام مخططاً معيناً يسمى OpenID. لقد وعدوا بأن هذا النظام الجديد سيكون ثورة: تمنحك سيطرة كاملة على بياناتك، وتحافظ على أسرارك وخصوصيتك، وتسمح لك بحمل هويتك إلى أي مكان (قابلية التنقل).
ومع ذلك، تجادل هذه الورقة بأن المخطط الذي اختاروه معيب. الأمر يشبه محاولة بناء سيارة مستقبلية ذاتية القيادة باستخدام محرك وهيكل سيارة من طراز التسعينيات. والنتيجة هي نظام متثاقل، ومحدود، ويجعلك في الواقع أقل أماناً وأقل تحكماً مما تعتقد.
إليك تفصيل حجج الورقة، باستخدام تشبيهات بسيطة:
1. خلط "الهوية" (مشكلة التعريف)
المشكلة: إن الأشخاص الذين يكتبون القوانين والمواصفات التقنية لم يتفقوا فعلياً على معنى كلمة "هوية".
التشبيه: تخيل طباخاً يحاول خبز "كعكة مثالية" لكنه لم يحدد أبداً ما هي الكعكة. هل هي كعكة إسفنجية؟ أم فطيرة؟ أم براوني؟ ولأنهم لم يعرفوا ماهيتها، انتهى بهم الأمر بخبز نوع واحد محدد جداً من الكعك (كب كيك فانيليا قياسي) وأطلقوا عليه اسم "الكعكة".
الواقع: النظام يفهم "الهوية" فقط كمجموعة ثابتة من الحقائق (مثل بطاقة الهوية الرقمية). إنه لا يفهم أن هويتك تتغير حسب الموقف (على سبيل المثال: أنت "أب" في المدرسة، أو "زبون" في متجر، أو "سائق" على الطريق). النظام جامد للغاية بحيث لا يمكنه التعامل مع هذه الأدوار المختلفة.
2. فخ "المحفظة" (القيود التقنية)
يعتمد النظام على تطبيق "محفظة رقمية" حيث تخزن بيانات اعتمادك. تجادل الورقة بأن هذه المحفظة هي في الواقع "قميص تثبيت" (سترة مقيدة)، وليست قوة خارقة.
- مشكلة "القائمة": في النظام الجيد، يجب أن تكون قادراً على طلب أي إثبات تحتاجه. أما في هذا النظام، فإن الجهة المصدرة (الحكومة أو البنك) تعطيك "قائمة" مطبوعة مسبقاً من الخيارات. يمكنك فقط اختيار ما هو موجود في القائمة، ولا يمكنك طلب مزيج مخصص من الحقائق.
- التشبيه: تخيل الذهاب إلى مطعم حيث يقول لك النادل: "نحن نقدم ثلاث وجبات ثابتة فقط. لا يمكنك خلط المكونات، ولا يمكنك طلب طبق مخصص".
- حاجز "اللغة": لطلب المعلومات، يستخدم النظام لغة غريبة ومخصصة لا تعمل إلا مع تنسيقات محددة. الأمر يشبه محاولة طلب الطعام باستخدام شفرة سرية لا يفهمها إلا الطاهي، بدلاً من التحدث بشكل طبيعي.
- عنق الزجاجة "البشري": يتطلب النظام أن تكون مستيقظاً وتضغط على "نعم" لكل معاملة على حد$. لا يمكنه الأتمتة.
- التشبيه: تخيل شراء قهوة حيث يتعين على "الباريستا" الاتصال بمديرك للاستئذان في كل مرة تريد فيها الحصول على "لاتيه". هذا يقتل الكفاءة.
3. وهم "الخصوصية"
يعدك النظام بأنك ستحصل على خصوصية أكبر لأن بياناتك تبقى في محفظتك، وليس في خادم الحكومة. تقول الورقة إن هذا خدعة سحرية.
- نقل الوسيط: في النظام القديم، كانت الحكومة (الجهة المصدرة) تعرف أنك تشتري قهوة من المتجر (الجهة الموثقة). في النظام الجديد، لا تعرف الحكومة ذلك، ولكن الآن تطبيق المحفظة يعرف كل شيء.
- التشبيه: الأمر يشبه نقل مذكراتك من غرفة نومك (الحكومة) إلى منزل صديق (تطبيق المحفظة). تعتقد أنك أكثر أماناً، لكنك قمت فقط باستبدال شخص يقرأ مذكراتك بشخص آخر.
- قاعدة "المرة الواحدة": لكي تكون خاصاً حقاً، يخبرك النظام أن تتخلص من هويتك الرقمية بعد كل استخدام وتحصل على واحدة جديدة. هذا أمر مزعج، وصعب الإدارة، ولا يمنع النظام فعلياً من تتبعك إذا لم تكن حذراً.
4. مشكلة "حارس البوابة" (السياسة)
هذا هو الجزء الأكثر خطورة. للحصول على هوية رقمية، يجب أن تكون على "قائمة موثوقة" تديرها الحكومة. الشركات والبنوك المعتمدة فقط هي التي يمكنها إصدار هذه الهويات.
- عضوية النادي: تخيل نادياً ضخماً حيث لا يمكن الدخول إليه إلا للأعضاء الموجودين في "القائمة المعتمدة". إذا كنت شركة ناشئة صغيرة أو مبتكراً جديداً، فلا يمكنك الانضمام ما لم توافق الحكومة على ذلك.
- المخاطر: هذا يخلق احتكاراً. الشركات الكبيرة والغنية تدخل، بينما يتم استبعاد اللاعبين الصغار.
- خطر المراقبة: بما أن الحكومة تسيطر على القائمة، يمكنها أيضاً التحكم في من يمكنه رؤية بياناتك. تحذر الورقة من أن هذا قد يؤدي إلى نظام حيث يمكن للحكومة مراقبة ما تفعله، ومع من تتحدث، وماذا تشتري، تحت غطاء "الأمان".
- التشبيه: الأمر يشبه تسليم الحكومة مفاتيح منزلك، لكنها تحتفظ بقائمة رئيسية لكل مرة تفتح فيها الباب ومن سمحت له بالدخول. يدعون أن ذلك من أجل السلامة، لكنه يبدو كدولة مراقبة.
5. الحل: "افتح الباب"
يقترح المؤلفون أننا لسنا بحاجة لإعادة اختراع العجلة. لدينا بالفعل أدوات أفضل.
- استخدم "الريموت العالمي": بدلاً من بناء جهاز تحكم جديد ومتثاقل (OpenID)، يجب أن نستخدم جهاز التحكم العالمي المرن الموجود بالفعل (OAuth وغيرها من المعايير المفتوحة) والذي يعمل بالفعل مع كل الأجهزة.
- دع المستخدمين يقودون: بدلاً من نظام تملي فيه الحكومة القواعد، نحتاج إلى نظام يمكنك فيه (أنت المستخدم) اختيار من تثق به، تماماً كما تختار التطبيقات التي تثبتها على هاتفك اليوم.
- أوقف "قائمة الموثوقين": نحن بحاجة إلى إزالة سلطة الحكومة في العمل كحارس بوابة وحيد. إذا تركنا السوق والمعايير المفتوحة تقرر من هو جدير بالثقة، فسنحصل على مزيد من الابتكار ومخاطر أقل.
الخلاصة
تحاول الهوية الرقمية الأوروبية حل مشكلة كبيرة، لكنها تستخدم صندوق أدوات صغيراً وعفا عليه الزمن.
- تعدك بالحرية لكنها تعطيك مقوداً (سلسلة).
- تعدك بالخصوصية لكنها تخلق جاسوساً جديداً (مزود المحفظة).
- تعدك بالابتكار لكنها تبني جدراناً حول من يمكنه المشاركة.
تخلص الورقة إلى أنه ما لم تتغير القواعد لإزالة سلطة الحكومة كـ "حارس بوابة" ويتم تحديث المواصفات التقنية لتكون أكثر مرونة، فإن هذا النظام الجديد سيفشل في حمايتنا وقد يجعل حياتنا الرقمية أكثر تقييداً ومراقبة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.