I 2036 afleveres et batteri hos en genvindingsvirksomhed. Virksomheden scanner den kode, der blev trykt på kabinettet i 2026, og får produktpasset. Den virksomhed, der dengang gemte passet, eksisterer måske ikke længere. Scanningen skal alligevel bevise, at dataene er ægte: at de stammer fra producenten, og at ingen siden da har ændret noget ved dem.
Det er kernen i sagen. Et digitalt produktpas skal forblive verificerbart i ti år eller længere. En softwareplatform holder sjældent så længe. Derfor må tilliden ikke afhænge af udbyderen. Den skal være knyttet til selve datasættet.
Denne artikel forklarer, hvordan Transpareo løser dette: med to segl på hver version af et pas, med Transpareo Proofchain, der kæder hver version sammen med den forrige, med en udstederidentifikation på vores eget domæne, med et arkiv, der overlever udbyderen, og med en verifikation, som alle kan udføre i browseren uden at spørge os.
Hver version bærer to segl
Inden et pas offentliggøres, kontrollerer Transpareo, om alle obligatoriske felter i dets produktkategori er til stede. Mangler der et, afvises offentliggørelsen.
Kun et fuldstændigt certifikat signeres.
Derefter låser Transpareo indholdet fast som en version og forsyner den med to uafhængige signaturer: én fra producenten og én fra Transpareo. Producenten kan selv opbevare sin nøgle og drive sin egen signaturtjeneste. Transpareo ser aldrig denne private nøgle og tilføjer kun sin egen medsignatur. Producentens signatur er dermed en, som vi selv ikke ville kunne generere.
Signaturen gælder for hver enkelt oplysning. Derfor bærer de felter, som et værksted eller en myndighed får at se ud over det, fortsat den samme signatur, uden at der skal signeres på ny. Hvorfor det er vigtigt for os, kan du læse på Offentliggørelse uden at miste signaturen.
Kontrollen foregår i brugerens browser. Transpareo Time Machine, vores open source-visningsapp, indlæser passet, beregner dets fingeraftryk på ny og kontrollerer begge signaturer selv. Hvis man er mistænksom, kan man læse koden.
Transpareo Proofchain: hver version henviser til den forrige
Et pas forbliver sjældent, som det var den første dag. Lad os antage, at producenten af vores batteri i 2029 konstaterer, at han har angivet en for høj andel af genanvendt kobolt, og korrigerer denne. I Transpareo overskriver denne korrektion ikke noget. Den bliver en ny version, og den hidtidige forbliver fastfrosset ved siden af.
Der tilføjes en rettelse, mens den tidligere angivelse forbliver uændret.
Hver ny version bærer fingeraftrykket fra sin forgænger, beregnet ud fra dennes offentlige del. Denne henvisning findes i det signerede indhold, så begge signaturer dækker den. På den måde strækker kæden sig fra den første version til den aktuelle: Transpareo Proofchain.
Hvis nogen efterfølgende ændrer en oplysning i en tidligere version, stemmer signaturerne ikke længere overens, og det kan enhver kontrollør se. Kun den, der er i besiddelse af nøglerne, kan underskrive den på ny, og selv da afslører fingeraftrykket i den næste version enhver ændring i den offentlige del. Hvis du selv er i besiddelse af din nøgle, kan ikke engang Transpareo underskrive en version af dit pas på ny.
Kæden kan kontrolleres uden os. Transpareo Time Machine gennemgår den i browseren fra den aktuelle version tilbage til den første, beregner fingeraftrykket for hver forgænger ud fra dens egne data og sammenligner det med henvisningen fra efterfølgeren. I 2036 kan genvindingsvirksomheden altså se begge oplysninger om kobolt - den oprindelige og den korrigerede - og selv kontrollere, at ingen af dem er blevet ændret efterfølgende.
Vi kunne have kaldt det en blockchain. Det er bevidst bygget enklere op: en kæde af fingeraftryk i selve pasene, som alle kan kontrollere ved hjælp af åbne procedurer uden at skulle tilslutte sig et netværk.
Udstederidentifikationen findes på dit eget domæne
For at en verificator kan finde de offentlige nøgler, offentliggør hver producent sin identifikator på sit eget domæne under en fast adresse, som alle verificatorer kender (for dem, der er fortrolige med standarder: i henhold til W3C-standarden DID:web). Certifikatkæder, den klassiske metode, udløber i løbet af årtier; en adresse på ens eget domæne forbliver robust og under ens egen kontrol.
Hvis en nøgle skiftes ud, forbliver ældre signaturer verificerbare. Den gamle nøgle bekræfter fortsat det, den engang har underskrevet; den underskriver blot ikke noget nyt længere. Og fordi en udbyder på et tidspunkt kunne opgive sit domæne, spejler Transpareo hver offentlig nøgle til en permanent adresse på tidspunktet for offentliggørelsen. Således forbliver hver version verificerbar, selvom den oprindelige adresse en dag ikke længere svarer.
EU-registreringen er forsynet med et kvalificeret segl
Registrering i EU-registeret, der har været i drift siden den 20. juli 2026, kræver mere end en almindelig signatur: Du skal bevise din identitet via eIDAS, den EU-dækkende forordning om elektroniske signaturer, og et kvalificeret elektronisk segl i henhold til eIDAS-forordningen 910/2014 er et af de godkendte midler. Et sådant segl er hardwarebaseret og knyttet til en godkendt juridisk person, hvilket er det højeste tillidsniveau, som EU-retten kender.
Denne funktion vil blive tilgængelig, så snart eIDAS-forordningen er endelig vedtaget, og registret begynder at acceptere pas. Transpareo planlægger i den forbindelse at oprette en egen segltjeneste med en egen seglenhed og et kvalificeret certifikat fra en anerkendt tillidstjenesteudbyder, så producenter uden egen seglinfrastruktur kan forsegle deres pas uden egen hardware.
Et arkiv, der overlever udbyderen
Så snart certifikaterne er registreret i EU-registret, arkiveres hver version desuden uændret i ti år på Transpareo Vault. Hverken producenten eller Transpareo kan ændre dem efterfølgende. Hvis producenten selv ophører med sin virksomhed, vil den offentlige del af hans certifikater fortsat være tilgængelig på de samme adresser.
Også det selskab, der driver dette arkiv, er oprettet med henblik på langsigtet drift: 51 procent af aktiekapitalen i Transpareo AG overgår til den almennyttige Transpareo-fond i Zug (under oprettelse, status oktober 2026). Når fonden er oprettet, vil BVG- og fondstilsynet i Zentralschweiz (ZBSA) føre tilsyn med, at den opfylder sit formål.
Sådan kontrollerer en tredjepart passet, helt uden os
Den afgørende test er, om nogen kan kontrollere passet uden vores infrastruktur. Fremgangsmåden:
- Hent passet fra en vilkårlig kilde: fra CDN, fra det offentlige arkiv, fra EU-registeret eller fra et tredjepartsarkiv.
- Sæt datasættet i en fast rækkefølge og beregn dets fingeraftryk.
- Hent de offentlige nøgler fra producenten og Transpareo på de adresser, der er angivet i passet.
- Sammenlign begge signaturer med fingeraftrykket. Hvis begge stemmer overens, er passet ægte og uændret.
Intet login, intet opkald til Transpareo, ingen afhængighed af en kørende platform. Hvilken metode der anvendes, fremgår af spørgsmålene i slutningen.
Hvad der fungerer i dag, og hvad der er under forberedelse
Signaturer, sammenkædning af versioner i Transpareo Proofchain, verifikation i browseren, udstederidentifikation på eget domæne og producentens egen nøgle er i brug. Det uforanderlige tiårige arkiv er oprettet og træder i kraft, så snart pasene er registreret i EU-registeret. Det kvalificerede segl til EU-registrering er planlagt, så snart eIDAS-lovgivningen er endelig, og EU-registeret accepterer pas.
Det, der en gang er signeret og arkiveret, forbliver verificerbart, uanset hvem der driver platformen i fremtiden.
Spørgsmål til dette indlæg
Hvem har vores signaturnøgle?
Det kan du selv, hvis du ønsker det. Producenten kan drive sin egen signaturtjeneste, og Transpareo opbevarer aldrig den private nøgle, men tilføjer blot den uafhængige modsignatur. Hver passversion bærer dermed to signaturer fra to indbyrdes uafhængige instanser, og producentens signatur er en, som Transpareo selv ikke kan generere.
Kan vi rette en offentliggjort oplysning?
Ja, som en ny version. Rettelsen overskriver ikke noget; den hidtidige version forbliver frosset og står ved siden af. Den nye version bærer sin forgængers fingeraftryk i det signerede indhold, og på den måde opstår der en kæde fra den første til den aktuelle version, som Transpareo Proofchain. Hvis man efterfølgende ændrer en tidligere version, bryder man dens signaturer eller kæden, og Transpareo Time Machine viser dette til enhver kontrollør, uden at vedkommende behøver at spørge os.
Hvad sker der med vores pas, når Transpareo en dag ikke længere eksisterer?
De forbliver verificerbare, fordi tilliden er knyttet til selve datasættet. Hver version er signeret med nøgler, der er offentliggjort på de adresser, der er angivet i passet, og Transpareo spejler hver offentlig nøgle til en permanent adresse på tidspunktet for offentliggørelsen, så verifikationen også overlever, selvom den oprindelige adresse forsvinder. Fra og med EU-registreringen opbevares hver version desuden uændret i Transpareo Vault, det tiårige arkiv. Selve virksomheden er også oprettet med henblik på langsigtet drift, da 51 procent af aktiekapitalen i Transpareo AG går til den almennyttige Transpareo-fond i Zug (under oprettelse, status oktober 2026). Efter stiftelsen vil BVG- og fondstilsynet i Zentralschweiz (ZBSA) overvåge, at den opfylder sit formål.
Hvorfor står udstiller-id’et på ens eget domæne?
Fordi certifikatkæder udløber over flere årtier, og et pas skal kunne kontrolleres i ti år eller længere. Udstederen offentliggør sin identifikator på en fast adresse i /.well-known/ på sit eget domæne (i henhold til W3C-standarden DID:web), og denne forbliver stabil og under din kontrol, også selvom du skifter udbyder. En verificator henter de offentlige nøgler derfra uden at skulle bede nogen om tilladelse.
Hvad sker der med de gamle pas, når vi skifter nøgle?
De forbliver verificerbare. Den gamle nøgle bekræfter fortsat det, den engang har underskrevet, men den underskriver blot ikke længere nye certifikater. Da hver offentlig nøgle ved offentliggørelsen spejles permanent, kan en kontrollør også år senere finde den rigtige nøgle. Netop det gør skiftet til en rutinehandling, der lader historikken forblive uberørt.
Har vi brug for et særskilt kvalificeret segl til EU-registeret?
Det er ikke obligatorisk. Registreringen er en handling, du selv foretager, og du bekræfter din identitet via eIDAS ved hjælp af en kvalificeret elektronisk signatur, et segl eller en kvalificeret attributattest. Transpareo vil til dette formål drive sin egen segltjeneste med en egen seglenhed og et kvalificeret certifikat fra en anerkendt tillidstjenesteudbyder, så producenter uden egen seglinfrastruktur kan opfylde forpligtelsen uden egen hardware. Denne mulighed vil være tilgængelig, så snart eIDAS-forordningen er endelig, og registret accepterer pas.
Hvad sker der, hvis en pass er ufuldstændig ved offentliggørelsen?
Den bliver ikke underskrevet. Inden fastfrysningen kontrolleres datasættet i forhold til de obligatoriske felter i dets produktkategori, og hvis denne validering mislykkes, afvises offentliggørelsen. Kun et fuldstændigt Pass, der overholder reglerne, fastlægges som en version. En signatur på et Transpareo-Pass angiver dermed også, at de obligatoriske felter var til stede.
Ødelægger offentliggørelsen af yderligere felter signaturen?
Nej, og det er netop det, den anvendte metode er beregnet til. Signaturen gælder for hver enkelt oplysning i datasættet, og derfor bærer de felter, der yderligere videregives til et værksted eller en myndighed, fortsat den samme bevisværdi uden at skulle signeres på ny. Læs mere herom på Offentliggørelse uden at miste signaturen.
Kan en kunde kontrollere et pas uden vores medvirken?
Ja, og det er den afgørende test. Hent passet fra en vilkårlig kilde, sæt datasættet i den faste rækkefølge og beregn fingeraftrykket, hent de offentlige nøgler fra producenten og Transpareo via de adresser, der er angivet i passet, og kontroller derefter begge signaturer mod fingeraftrykket. Metoden bagved er den åbne W3C-standard ecdsa-sd-2023. Intet login, intet opkald til os, ingen afhængighed af en kørende platform. Transpareo Time Machine, vores open source-visningsapp, gør netop det i brugerens browser.
