Цифровият продуктов паспорт трябва да остава достъпен за проверка в продължение на десет години и повече. Софтуерната платформа рядко издържа толкова дълго. Това противоречие има ясна последица: доверието в цифровия продуктов паспорт не трябва да зависи от доставчика, а трябва да е свързано със самия набор от данни. Доверие в артефакта, а не в компанията.
Как изглежда това на практика, може да се илюстрира с четири основни елемента.
Всяка версия на DPP се подписва
Преди фиксирането Transpareo проверява набора от данни спрямо задължителните полета за съответната категория (SHACL-валидиране). Ако тази проверка се провали, публикуването се отказва - подписва се само пълен паспорт, отговарящ на правилата.
Когато DPP бъде публикуван, Transpareo „замразява“ съдържанието му като версия на DPP и го подписва с два независими ключа: един на издателя и един на Transpareo. С „Bring Your Own Key“ (BYOK) производителят управлява собствен краен пункт за подписване - Transpareo никога не съхранява частния ключ и добавя само независимия контраподпис, така че подписът на издателя е такъв, който Transpareo само не може да генерира.
Използва се алгоритъмът Ed25519 чрез канонична форма на набора от данни ( JSON Canonicalization Scheme, RFC 8785). Два подписа, два независими един от друг авторитета.
Проверката се извършва в браузъра на потребителя. Отвореният рендер Transpareo Time Machine зарежда байтовете, изчислява хеш-стойността наново и проверява и двете подписи, без да се свързва с наш сървър. Който се съмнява, може да прочете кода.
Идентичността на издателя се намира на собствения му домейн
За да може проверяващият да намери публичните ключове, всеки издател публикува своята идентичност като DID:web на собствения си домейн, достъпна чрез добре дефиниран адрес в /.well-known/. Умишлено не се използва класически сертификат в смисъла на X.509: веригите от сертификати изтичат в продължение на десетилетия, докато HTTPS адресът на собствения домейн остава стабилен и под вашия контрол.
Когато даден ключ се сменя, по-старите подписи остават проверими - старият ключ продължава да удостоверява това, което някога е подписал, без да подписва нови документи. И тъй като издателят може да пренесе домейна си при смяна на доставчика, Transpareo огледално копира всеки публичен ключ към постоянен адрес в момента на публикуването му. По този начин всяка версия на DPP остава проверима, дори ако първоначалният хост изчезне в даден момент.
Регистрацията в ЕС носи квалифициран електронен печат
Подаването на заявка за предстоящия регистър на ЕС за DPP изисква повече от обикновен подпис: Всяка регистрация трябва да бъде придружена от квалифициран електронен печат (QES) съгласно Регламента eIDAS 910/2014. QES се поддържа от хардуер и е свързан с проверено юридическо лице - най-високото ниво на доверие, признато от законодателството на ЕС.
Тази възможност за квалифицирано печат ще бъде въведена, веднага щом законодателният акт по eIDAS и интерфейсът на регистъра бъдат окончателно утвърдени. За тази цел Transpareo ще управлява собствена услуга за подписване с устройство за подписване, което се поддържа от самата компания, и квалифициран сертификат от D-Trust - квалифициран доставчик на услуги за доверие - така че производителите, които сами не управляват инфраструктура за подписване, да могат да изпълнят изискването за QES без собствен хардуер.
Архив, който ще преживее доставчика
Веднага щом DPP-те бъдат регистрирани в регистъра на ЕС, всяка версия на DPP ще бъде архивирана в неизменен вид за допълнителен период от десет години - нито производителят, нито Transpareo ще могат да я променят впоследствие. За да остане този архив достъпен дори ако един ден Transpareo вече не съществува, неговото финансиране е гарантирано чрез нотариално депозиране в Швейцария. Така че обещанието е насочено към дългосрочност не само от техническа, но и от договорна гледна точка.
Ето как трета страна проверява паспорта - изцяло без наше участие
Решаващият тест за доверието в артефакта е дали някой може да провери паспорта без нашата инфраструктура. Процесът:
- Изтегляне на байтовете на DPP-версията от произволен източник (CDN, публичен архив, регистъра на ЕС или архив на трета страна)
- Канонизиране на набора от данни и изчисляване на хеша му
- Извличане на публичните ключове на издателя и Transpareo чрез адресите, посочени в паспорта
- Проверяват се и двата подписа спрямо хеш-кода - ако и двата съвпадат, паспортът е автентичен и непроменен
Без влизане в система, без обаждане до Transpareo, без зависимост от действаща платформа.
Какво функционира днес и какво е в процес на подготовка
Подписите, проверката чрез браузър, DID:web-идентичността и Bring Your Own Key (BYOK) са в употреба. Непроменимото десетгодишно архивно хранилище е създадено и ще започне да функционира, веднага щом DPP-те бъдат регистрирани в регистъра на ЕС. Предвижда се въвеждането на квалифицираната електронна подписка (QES) за регистрация в ЕС, веднага щом законодателният акт eIDAS и интерфейсът на регистъра бъдат финализирани.
Принципът остава един и същ във всеки случай: това, което веднъж е подписано и архивирано, остава подлежащо на проверка, независимо от това кой ще управлява платформата утре.