OpenID for European Digital Identity: An architectural analysis of user-centric identity management
यह शोध पत्र वर्तमान EUDI और OpenID4VCI/VP ढांचों की आलोचना करता है क्योंकि वे पहचान की एक पुरानी, दस्तावेज़-केंद्रित अवधारणा पर निर्भर हैं और जोखिम भरे केंद्रीकृत विश्वास तंत्र पेश करते हैं, और इसके बजाय पहचान की एक गहरी परिभाषा और ऐसे तकनीकी विकल्पों का तर्क देता है जो वास्तविक स्व-संप्रभु (self-sovereign) और उपयोगकर्ता-केंद्रित पहचान प्रबंधन का बेहतर समर्थन करते हैं।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि यूरोपीय संघ डिजिटल दुनिया के लिए एक मास्टर की (Master Key) बनाने की कोशिश कर रहा है। यह "मास्टर की" (जिसे यूरोपीय डिजिटल पहचान या EUDI कहा जाता है) ऐसी होनी चाहिए जिससे यूरोप का हर नागरिक अपना भौतिक वॉलेट (physical wallet) साथ रखे बिना, किसी भी दुकान, बैंक या सरकारी कार्यालय में जाकर तुरंत और सुरक्षित रूप से अपनी पहचान साबित कर सके।
इस सिस्टम के वास्तुकारों (architects) ने OpenID नामक एक विशिष्ट ब्लूप्रिंट चुना है। उन्होंने वादा किया था कि यह नया सिस्टम एक क्रांति होगा: जो आपको अपने डेटा पर पूर्ण नियंत्रण देगा, आपके रहस्यों को निजी रखेगा और आपको अपनी पहचान कहीं भी ले जाने की स्वतंत्रता (portability) देगा।
हालाँकि, यह शोध पत्र तर्क देता है कि चुना गया ब्लूप्रिंट दोषपूर्ण है। यह ऐसा है जैसे एक भविष्यवादी, स्व-चालित कार बनाने के लिए 1990 के दशक की सेडान के इंजन और चेसिस का उपयोग करना। परिणाम स्वरूप, यह एक ऐसा सिस्टम बनेगा जो बोझिल, सीमित और वास्तव में आपको आपकी सोच से कहीं अधिक असुरक्षित और कम नियंत्रित बना देगा।
शोध पत्र के तर्कों का विवरण, सरल उपमाओं (analogies) का उपयोग करते हुए यहाँ दिया गया है:
1. "पहचान" का भ्रम (परिभाषा की समस्या)
समस्या: कानून लिखने वाले और तकनीकी विवरण तैयार करने वाले लोग वास्तव में इस बात पर कभी सहमत ही नहीं हुए कि "पहचान" (Identity) का अर्थ क्या है।
उपमा: कल्पना कीजिए कि एक शेफ एक "परफेक्ट केक" बनाने की कोशिश कर रहा है, लेकिन उसने कभी यह परिभाषित ही नहीं किया कि केक क्या है। क्या यह स्पंज है? पाई है? या ब्राउनी है? क्योंकि उन्होंने इसे परिभाषित नहीं किया, इसलिए वे अंततः केवल एक बहुत ही विशिष्ट प्रकार का केक (एक मानक वैनिला कप केक) बना पाए और उसे "केक" कह दिया।
वास्तविकता: यह सिस्टम "पहचान" को केवल तथ्यों की एक स्थिर सूची (जैसे एक डिजिटल आईडी कार्ड) के रूप में समझता है। यह यह नहीं समझता कि आपकी पहचान स्थिति के आधार पर बदलती रहती है (उदाहरण के लिए, आप स्कूल में एक "अभिभावक" हैं, एक स्टोर में "ग्राहक" हैं, या सड़क पर "ड्राइवर" हैं)। यह सिस्टम इन विभिन्न भूमिकाओं को संभालने के लिए बहुत कठोर है।
2. "वॉलेट" का जाल (तकनीकी सीमाएँ)
यह सिस्टम एक "डिजिटल वॉलेट" ऐप पर निर्भर करता है जहाँ आप अपने क्रेडेंशियल्स को स्टोर करते हैं। शोध पत्र का तर्क है कि यह वॉलेट वास्तव में एक सुपरपावर नहीं, बल्कि एक जकड़ने वाला बंधन (straitjacket) है।
- "मेन्यू" की समस्या: एक अच्छे सिस्टम में, आप जो भी प्रमाण चाहें, उसकी मांग कर सकते हैं। इस सिस्टम में, जारीकर्ता (सरकार या बैंक) आपको विकल्पों का एक पूर्व-मुद्रित "मेन्यू" देता है। आप केवल वही चुन सकते हैं जो मेन्यू में है। आप तथ्यों का कस्टम संयोजन (custom combination) नहीं मांग सकते।
- उपमा: एक ऐसे रेस्तरां में जाने की कल्पना करें जहाँ वेटर कहता है, "हम केवल तीन निश्चित भोजन परोसते हैं। आप सामग्री को मिला-जुला नहीं सकते, और आप कोई कस्टम डिश भी नहीं मांग सकते।"
- "भाषा" की बाधा: जानकारी मांगने के लिए, सिस्टम एक अजीब, कस्टम भाषा का उपयोग करता है जो केवल विशिष्ट प्रारूपों के साथ काम करती है। यह ऐसा है जैसे भोजन ऑर्डर करने के लिए एक गुप्त कोड का उपयोग करना जिसे केवल शेफ समझता है, न कि सामान्य रूप से बोलना।
- "मानवीय" बाधा: इस सिस्टम के लिए आवश्यक है कि आप हर एक लेनदेन के लिए जागृत रहें और "हाँ" पर क्लिक करें। यह चीजों को स्वचालित (automate) नहीं कर सकता।
- उपमा: कल्पना कीजिए कि आप कॉफी खरीद रहे हैं जहाँ बारिस्टा को हर बार लैटे के लिए आपसे अनुमति लेने के लिए आपके बॉस को फोन करना पड़ता है। यह दक्षता को खत्म कर देता है।
3. "गोपनीयता" का भ्रम
सिस्टम वादा करता है कि आपकी गोपनीयता अधिक होगी क्योंकि आपका डेटा आपके वॉलेट में रहता है, सरकार के सर्वर पर नहीं। शोध पत्र कहता है कि यह एक जादुई ट्रिक है।
- बिचौलिये का बदलाव: पुराने सिस्टम में, सरकार (जारीकर्ता) को पता होता था कि आप दुकान (सत्यापनकर्ता) पर कॉफी खरीद रहे हैं। नए सिस्टम में, सरकार को नहीं पता होता, लेकिन अब वॉलेट ऐप सब कुछ जानता है।
- उपमा: यह अपनी डायरी को अपने बेडरूम (सरकार) से हटाकर एक दोस्त के घर (वॉलेट ऐप) ले जाने जैसा है। आपको लगता है कि आप अधिक सुरक्षित हैं, लेकिन आपने केवल एक व्यक्ति को जिसने आपकी डायरी पढ़ी, उसे दूसरे से बदल दिया है जो उसे पढ़ सकता है।
- "एक-बार" का नियम: वास्तव में निजी होने के लिए, सिस्टम आपको हर उपयोग के बाद अपनी डिजिटल आईडी फेंक देने और एक नई आईडी लेने के लिए कहता है। यह परेशान करने वाला है, प्रबंधित करना कठिन है, और यदि आप सावधान नहीं हैं तो यह वास्तव में आपको ट्रैक करने से नहीं रोकता है।
4. "द्वारपाल" की समस्या (राजनीति)
यह सबसे खतरनाक हिस्सा है। डिजिटल आईडी प्राप्त करने के लिए, आपको सरकार द्वारा बनाए रखी जाने वाली एक "विश्वसनीय सूची" (Trusted List) पर होना चाहिए। केवल सरकार द्वारा अनुमोदित कंपनियां और बैंक ही ये आईडी जारी कर सकते हैं।
- क्लब की सदस्यता: एक विशाल क्लब की कल्पना करें जहाँ केवल "अनुमोदित सूची" के सदस्य ही प्रवेश कर सकते हैं। यदि आप एक छोटा स्टार्टअप या नया नवाचार करने वाले हैं, तो आप तब तक शामिल नहीं हो सकते जब तक सरकार अनुमति न दे।
- जोखिम: यह एक एकाधिकार (monopoly) पैदा करता है। बड़ी, अमीर कंपनियां अंदर आती हैं; छोटे खिलाड़ी बाहर रह जाते हैं।
- निगरानी का जोखिम: क्योंकि सरकार सूची को नियंत्रित करती है, इसलिए वे यह भी नियंत्रित कर सकते हैं कि आपका डेटा कौन देख सकता है। शोध पत्र चेतावनी देता है कि इससे एक ऐसा सिस्टम बन सकता है जहाँ सरकार यह निगरानी कर सकती है कि आप क्या करते हैं, किससे बात करते हैं, और क्या खरीदते हैं, जिसे "सुरक्षा" का नाम दिया जाता है।
- उपमा: यह सरकार द्वारा आपके घर की चाबियाँ बांटने जैसा है, लेकिन यह भी एक मास्टर लिस्ट रखती है कि आप कितनी बार दरवाजा खोलते हैं और आप किसे अंदर आने देते हैं। वे दावा करते हैं कि यह सुरक्षा के लिए है, लेकिन यह एक निगरानी राज्य (surveillance state) जैसा महसूस होता है।
5. समाधान: "दरवाजा खोलें"
लेखकों का सुझाव है कि हमें पहिए का पुनरुद्धार करने की आवश्यकता नहीं है। हमारे पास पहले से ही बेहतर उपकरण मौजूद हैं।
- "यूनिवर्सल रिमोट" का उपयोग करें: एक नया, बोझिल रिमोट (OpenID) बनाने के बजाय, हमें मौजूदा, लचीले यूनिवर्सल रिमोट (OAuth और अन्य ओपन स्टैंडर्ड्स) का उपयोग करना चाहिए जो पहले से ही हर डिवाइस के साथ काम करता है।
- उपयोगकर्ताओं को चलाने दें: एक ऐसे सिस्टम के बजाय जहाँ सरकार नियम तय करती है, हमें एक ऐसे सिस्टम की आवश्यकता है जहाँ आप (उपयोगकर्ता) यह चुन सकें कि आप किस पर भरोसा करते हैं, ठीक वैसे ही जैसे आप आज अपने फोन में ऐप्स इंस्टॉल करना चुनते हैं।
- "विश्वसनीय सूची" को समाप्त करें: हमें सरकार की एकमात्र द्वारपाल (gatekeeper) के रूप में कार्य करने की शक्ति को हटाने की आवश्यकता है। यदि हम बाजार और ओपन स्टैंडर्ड्स को यह तय करने देते हैं कि कौन भरोसेमंद है, तो हमें अधिक नवाचार और कम जोखिम मिलेगा।
निष्कर्ष (The Bottom Line)
यूरोपीय डिजिटल पहचान एक बड़ी समस्या को हल करने की कोशिश कर रही है, लेकिन यह एक छोटे, पुराने टूलबॉक्स का उपयोग कर रही है।
- यह आपको स्वतंत्रता का वादा करती है लेकिन आपको एक पट्टे (leash) में बांध देती है।
- यह गोपनीयता का वादा करती है लेकिन एक नया जासूस (वॉलेट प्रदाता) पैदा करती है।
- यह नवाचार का वादा करती है लेकिन भागीदारी करने वालों के चारों ओर दीवारें खड़ी करती है।
शोध पत्र निष्कर्ष निकालता है कि जब तक नियमों में बदलाव करके सरकार की "द्वारपाल" शक्ति को नहीं हटाया जाता और तकनीकी विशिष्टताओं को अधिक लचीला बनाने के लिए अपडेट नहीं किया जाता, तब तक यह नया सिस्टम हमारी रक्षा करने में विफल रहेगा और वास्तव में हमारे डिजिटल जीवन को अधिक प्रतिबंधित और निगरानी योग्य बना सकता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।