Ένα ψηφιακό δελτίο προϊόντος δεν εμφανίζει τα ίδια στοιχεία σε όλους. Μια αγοράστρια βλέπει τα δημόσια δεδομένα. Ένα συνεργείο επισκευών ή μια επιχείρηση ανακύκλωσης βλέπει περισσότερα. Μια αρχή εποπτείας της αγοράς βλέπει τα πάντα. Αυτό έχει διευκρινιστεί, και τα ευρωπαϊκά πρότυπα το ορίζουν πλέον ρητά.
Το ενδιαφέρον ερώτημα είναι πιο διακριτικό: όταν κάποιος έχει πρόσβαση σε πεδία που προστατεύονται πέρα από τα δημόσια δεδομένα, μπορεί να αποδείξει ότι ακριβώς αυτά τα πεδία είναι αυθεντικά; Ή πρέπει να εμπιστευτεί ότι η πλατφόρμα τα επέλεξε σωστά και τα διαβίβασε χωρίς αλλοιώσεις;
Φανταστείτε έναν συμβολαιογράφο που δεν επικυρώνει την επιστολή στο σύνολό της, αλλά κάθε παράγραφο ξεχωριστά. Όλοι λαμβάνουν τη δημόσια επιστολή. Όποιος έχει δικαίωμα σε περισσότερα, λαμβάνει και τις επιπλέον παραγράφους, και κάθε μία από αυτές φέρει εξακολουθεί να φέρει τη σφραγίδα του ίδιου συμβολαιογράφου. Έτσι έχουμε κατασκευάσει την πλατφόρμα μας. Στις περισσότερες πλατφόρμες, η ειλικρινής απάντηση στην παραπάνω ερώτηση είναι: εμπιστοσύνη. Στην περίπτωσή μας, είναι: απόδειξη, για κάθε πεδίο που προστίθεται μόνο κατά τη δημοσιοποίηση. Αυτό το άρθρο εξηγεί γιατί αυτή η διαφορά έχει σημασία και γιατί επιλέξαμε τον πιο επίπονο δρόμο.
Όλοι πληρούν τον κανόνα πρόσβασης με τον ίδιο τρόπο
Το EN 18239, το ευρωπαϊκό πρότυπο για τα δικαιώματα πρόσβασης, την ασφάλεια και την εμπιστευτικότητα στο DPP, απαιτεί η πρόσβαση να ελέγχεται ανά πεδίο: για κάθε πεδίο υπάρχει ένας κανόνας που καθορίζει ποιος μπορεί να το δει. Αυτή είναι η σωστή απαίτηση και δεν είναι δύσκολο να ικανοποιηθεί. Σχετικά με το καθεστώς που έχουν αυτά τα πρότυπα, το έχουμε αναλύσει στο άρθρο μας για τα εναρμονισμένα πρότυπα.
Ο συνήθης τρόπος για να επιτευχθεί αυτό είναι ένα φίλτρο στον διακομιστή. Ο διακομιστής γνωρίζει ποιος υποβάλλει το αίτημα, ελέγχει τι επιτρέπεται να δει το συγκεκριμένο άτομο και επιστρέφει ακριβώς αυτό το απόσπασμα. Το πρότυπο δεν απαιτεί τίποτα περισσότερο. Υπάρχει όμως ένα μειονέκτημα, το οποίο το πρότυπο δεν λαμβάνει υπόψη: το απόσπασμα παραδίδεται χωρίς σφραγίδα. Ο αναγνώστης πρέπει να πιστέψει ότι ο διακομιστής επέλεξε το απόσπασμα με ειλικρίνεια και δεν άλλαξε τίποτα κατά τη μεταφορά. Για ένα δημόσιο ενημερωτικό δελτίο, αυτό είναι αποδεκτό. Για μια τιμή στην οποία ένας επεξεργαστής βασίζει αμέσως την τιμή μιας μεταχειρισμένης μπαταρίας, απαιτείται μεγάλη εμπιστοσύνη.
Η προφανής λύση είναι η υπογραφή των δεδομένων. Για τα δύο άκρα της κλίμακας, μια συνηθισμένη υπογραφή λειτουργεί καλά: υπογραφή της δημόσιας προβολής, υπογραφή του πλήρους συνόλου δεδομένων. Ο τρόπος με τον οποίο αυτό λειτουργεί λεπτομερώς περιγράφεται στην ενότητα «Υπογραφές και πιστοποιητικά» του DPP. Στο μέσο, όμως, το σύστημα παρουσιάζει πρόβλημα. Μια υπογραφή σε ολόκληρο το έγγραφο καλύπτει ακριβώς τα πεδία που υπήρχαν κατά την υπογραφή. Αν αποκαλυφθεί επιπλέον ένα προστατευμένο πεδίο σε έναν εξουσιοδοτημένο αναγνώστη, αυτό το πεδίο βρίσκεται εκτός του υπογεγραμμένου συνόλου και φτάνει σε αυτόν χωρίς κάλυψη. Κανείς δεν υπογράφει εκ των προτέρων κάθε πιθανό συνδυασμό «ποιος βλέπει τι», καθώς ο αριθμός των συνδυασμών αυξάνεται εκθετικά. Επιστρέφουμε στο φίλτρο χωρίς σφραγίδα, και το μεσαίο επίπεδο βασίζεται και πάλι στην εμπιστοσύνη.
Υπογραφή κάθε πεδίου ξεχωριστά
Υπάρχει μια καλύτερη δομή, και πάνω σε αυτήν χτίζουμε την πλατφόρμα. Αντί να υπογράφει το τελικό έγγραφο ως ένα ενιαίο σύνολο, ο δημιουργός καθορίζει κάθε πεδίο ξεχωριστά σε μία μόνο διαδικασία (για τους γνώστες των προτύπων: η διαδικασία του W3C ecdsa-sd-2023).
Κάθε προβολή ξεκινά με τα ίδια δημόσια πεδία. Ό,τι επιπλέον βλέπει ο αναγνώστης προστίθεται πεδίο προς πεδίο, και κάθε ένα από αυτά τα πεδία εξακολουθεί να οδηγεί στο δημόσιο κλειδί του δημιουργού, εκτός σύνδεσης, χωρίς εκ νέου υπογραφή και χωρίς εμπιστοσύνη στον φορέα που συνέθεσε την προβολή. Τα πεδία για τα οποία δεν υπάρχει δικαίωμα απλώς απουσιάζουν. Δεν είναι μαυρισμένα, αλλά δεν υπάρχουν καθόλου, και δεν διαρρέει καμία πληροφορία σχετικά με αυτά.
Ένας κύκλος: το συνεργείο επισκευών
Ένα συνεργείο επισκευών έχει δηλώσει έννομο συμφέρον για μια μπαταρία, ένα από τα επίπεδα πρόσβασης που προβλέπει ρητά ο κανονισμός για τις μπαταρίες. Το σύστημα του συνεργείου συνδέεται στη διεπαφή μας με το κλειδί του και ανακτά το πιστοποιητικό. Η απάντηση είναι το ίδιο δημόσιο πιστοποιητικό που βλέπει και η αγοράστρια, εμπλουτισμένο με ένα ακριβώς πεδίο: τις οδηγίες αποσυναρμολόγησης, οι οποίες αποκαλύπτονται μόνο σε εξουσιοδοτημένους αναγνώστες. Κανένα δεύτερο έγγραφο, καμία ειδική έκδοση.
Πριν η επιχείρηση βασιστεί σε αυτό το πεδίο, το λογισμικό της επαληθεύει τη συνοδευτική σφραγίδα σε σχέση με το δημόσιο κλειδί του κατασκευαστή. Εάν ο έλεγχος επιβεβαιωθεί, συμπεριλαμβανομένου και του πρόσθετου πεδίου, γνωρίζει: Αυτές οι οδηγίες προέρχονται ακριβώς από τον κατασκευαστή, και κανείς κατά τη διαδρομή δεν τις έχει τροποποιήσει. Αν ο έλεγχος αποτύχει, παραμερίζει το αρχείο στο σύνολό του. Το να λαμβάνει ακριβώς τα πεδία που δικαιούται παραμένει αρμοδιότητα του συστήματος ελέγχου πρόσβασης που διαθέτουμε. Νέο είναι το επόμενο βήμα: ο ίδιος ελέγχει αν αυτό που λαμβάνει είναι γνήσιο, χωρίς να μας ρωτήσει.
Γιατί το «άθικτο» είναι το ζητούμενο
Μια άθικτη σφραγίδα δεν σημαίνει ότι το περιεχόμενο είναι αληθές. Λέει: Αυτό ακριβώς έγραψε ο δημιουργός, και από τότε κανείς δεν έχει αλλάξει ούτε ένα χαρακτήρα. Έτσι, αποκλείεται από το ζήτημα της εμπιστοσύνης όποιος απλώς διαβίβασε το έγγραφο: ο ενδιάμεσος αποθηκευτής, το δίκτυο, το αρχείο, εμείς. Δεν έχει πλέον σημασία ποιος σας έδωσε το διαβατήριο.
Και μια σφραγίδα είναι δυαδική. Είτε ισχύει είτε όχι, δεν υπάρχει κάτι μισοσπασμένο. Γι’ αυτό δεν αποτελεί διαβάθμιση το αν τα πρόσθετα πεδία φτάνουν σε εσάς με τη σφραγίδα τους ή χωρίς: χωρίς σφραγίδα δεν είναι ελαφρώς λιγότερο πλήρη, δεν είναι καθόλου πλήρη.
Και οι δύο μέθοδοι προβολής
Ο καθένας μπορεί να το ελέγξει μόνος του. Το Transpareo Time Machine είναι η εφαρμογή ανοιχτού κώδικα που χρησιμοποιούμε για την προβολή των πιστοποιητικών προϊόντων: περιηγείται στο ιστορικό εκδόσεων ενός πιστοποιητικού και επαληθεύει κάθε υπογραφή στον περιηγητή του χρήστη, χωρίς να απευθύνεται σε κάποιον από τους διακομιστές μας. Το πιστοποιητικό ενός μπλουζιού φέρει μια υπογραφή που καλύπτει ολόκληρο το έγγραφο, ενώ το πιστοποιητικό μιας μπαταρίας φέρει έγκριση ανά πεδίο.
Και τα δύο είναι ανοιχτά πρότυπα του W3C, τα οποία μπορεί να εφαρμόσει ο καθένας. Η υπογραφή που καλύπτει ολόκληρο το έγγραφο είναι σαφώς φθηνότερη στην κατασκευή και τη λειτουργία της, και όποιος παρέχει μόνο δημόσια δεδομένα, τα καταφέρνει με αυτήν. Το γεγονός ότι η Time Machine υποστηρίζει και τις δύο μεθόδους είναι σκόπιμο: το πιστοποιητικό παραμένει ένα συνηθισμένο τυποποιημένο μορφότυπο, τον οποίο μπορεί να ελέγξει κάθε κατάλληλο εργαλείο, όχι μόνο το δικό μας.
Σε ποιον ωφελεί αυτό και τι απαιτεί το πρότυπο
Σε ποιον γνωστοποιούνται πληροφορίες πέρα από τα δημόσια δεδομένα; Όχι στην περιστασιακή αγοραστή. Είναι ο επεξεργαστής που εκτιμά την αξία μιας μεταχειρισμένης μπαταρίας, ο ασφαλιστής που αποτιμά έναν κίνδυνο, ο ανακυκλωτής που διαχωρίζει τις χημικές ουσίες, η αρχή που καταρτίζει μια υπόθεση. Άτομα των οποίων οι αποφάσεις εξαρτώνται από το χρήμα ή την ασφάλεια. Και, σύμφωνα με τη συνήθη πρακτική, ακριβώς αυτοί οι αναγνώστες δεν λαμβάνουν σφραγίδα για τα πεδία στα οποία βασίζεται η απόφασή τους. Πιστεύουμε ότι μια σφραγίδα πιστοποίησης πρέπει να σημαίνει το ίδιο για όλους: κάθε πεδίο που εμφανίζεται προέρχεται από τον κατασκευαστή και δεν έχει υποστεί καμία παρέμβαση έκτοτε. Ένα σήμα που ισχύει μόνο για τα δημόσια πεδία είναι μισό σήμα.
Το λέμε ανοιχτά: Τίποτα από αυτά δεν είναι υποχρεωτικό. Το πρότυπο EN 18239 απαιτεί τον έλεγχο της πρόσβασης, και ένα φίλτρο στον διακομιστή το επιτυγχάνει άψογα. Το να κάνουμε τα πεδία που έχουν δημοσιοποιηθεί επαληθεύσιμα, το κάνουμε επιπλέον, επειδή ολόκληρος ο σκοπός ενός υπογεγραμμένου διαβατηρίου είναι να μην χρειάζεται κανείς να εμπιστεύεται την πλατφόρμα. Το να εξαιρέσουμε το μεσαίο επίπεδο, επαναφέρει ακριβώς την εμπιστοσύνη που η υπογραφή έπρεπε να εξαλείψει.
Η ίδια αρχή επιτρέπει την παράλειψη ενός πεδίου
Η απόφαση για κάθε πεδίο ξεχωριστά συνεπάγεται ένα δεύτερο χαρακτηριστικό, το οποίο απαιτείται πράγματι από το ευρωπαϊκό δίκαιο. Ο Γενικός Κανονισμός για την Προστασία Δεδομένων παρέχει στα άτομα το δικαίωμα να ζητήσουν τη διαγραφή των δεδομένων προσωπικού χαρακτήρα. Ένα σύνολο δεδομένων που έχει υπογραφεί ως ενιαίο σύνολο δεν μπορεί να συμμορφωθεί με αυτό χωρίς να καταστρέψει τη δική του υπογραφή.
Επειδή εδώ κάθε πεδίο είναι ανεξάρτητο, ένα μεμονωμένο πεδίο μπορεί να αφαιρεθεί, ενώ όλα τα υπόλοιπα εξακολουθούν να είναι έγκυρα. Εάν κατά λάθος καταχωρηθούν προσωπικά δεδομένα σε ένα διαβατήριο, αυτά αφαιρούνται πλήρως και το διαβατήριο παραμένει έγκυρο: δεν απαιτείται επανέκδοση, δεν διακόπτεται το ιστορικό. Τα πεδία που ο νόμος απαιτεί να διατηρηθούν παραμένουν· ό,τι μπορεί να διαγραφεί, μπορεί να διαγραφεί κατόπιν αιτήματος, ακόμη και χρόνια αργότερα.
Γιατί είναι δύσκολο αυτό και πώς το λύσαμε
Δεν εφεύραμε εμείς τη διαδικασία, είναι ένα δημόσιο πρότυπο του W3C. Το δύσκολο δεν είναι να έχεις την ιδέα. Το δύσκολο είναι να την υλοποιήσεις έτσι ώστε ένα διαβατήριο να εξακολουθεί να ελέγχεται ακόμα και σε δέκα χρόνια. Μια συνηθισμένη υπογραφή υπολογίζεται με βάση τα byte ενός εγγράφου. Η υπογραφή ανά πεδίο υπολογίζεται με βάση τα επιμέρους στοιχεία του, και γι’ αυτό το διαβατήριο, πριν από την υπογραφή, μετατρέπεται σε μια σταθερή μορφή, στην οποία κάθε στοιχείο εμφανίζεται ως ξεχωριστή πρόταση. Αυτή η μορφή πρέπει να αναπαραχθεί χαρακτήρα προς χαρακτήρα σε δέκα χρόνια, αλλιώς καμία σφραγίδα δεν θα ταιριάζει πλέον. Τρία ασήμαντα πράγματα στέκονται εμπόδιο σε αυτό, και τα έχουμε εξαλείψει και τα τρία από τη ρίζα.
Οι αριθμοί χάνουν τον τύπο τους. Μια τιμή όπως το 2,0, μετά από έναν κύκλο επεξεργασίας μέσω μιας συνήθους μορφής δεδομένων, επιστρέφει ως 2. Για έναν άνθρωπο είναι το ίδιο, για τη σταθερή μορφή γραφής όμως αποτελεί διαφορετική πρόταση. Στο σύστημά μας, κάθε τιμή αποθηκεύεται μαζί με τον τύπο της, και η δημοσίευση διακόπτεται μόλις εμφανιστεί έστω και ένας αριθμός χωρίς τύπο.
Οι ονομασίες δεν αποτελούν ακόμα νόημα. Κάθε όνομα πεδίου πρέπει να αντιστοιχεί σε μια μοναδική έννοια σε ένα λεξικό, αλλιώς το πεδίο εξαφανίζεται σιωπηλά κατά τη μετατροπή και η σφραγίδα δεν το καλύπτει. Στο σύστημά μας, κάθε λεξικό είναι διαθέσιμο τοπικά και δεν ανακτάται ποτέ μέσω του δικτύου· ένα άγνωστο όνομα πεδίου διακόπτει την υπογραφή, αντί να επιστρέφει σιωπηρά ένα κενό αποτέλεσμα.
Οι εγγραφές χρειάζονται σταθερά ονόματα. Κάθε εγγραφή στο έγγραφο φέρει στα συστήματά μας ένα σταθερό αναγνωριστικό, ώστε η γραφή να παραμένει η ίδια σε κάθε κύκλο επεξεργασίας, αντί να απονέμονται κάθε φορά νέα βοηθητικά ονόματα.
Το πιο ευαίσθητο σημείο αφορά το δικό του κλειδί του κατασκευαστή. Για κάθε έκδοση απαιτείται ένα επιπλέον, βραχύβιο κλειδί, με το οποίο υπογράφονται μεμονωμένα τα πεδία που μπορούν να αποκαλυφθούν. Αυτό το κλειδί το δημιουργεί και το απορρίπτει ο ίδιος ο κατασκευαστής. Αν βρισκόταν στη διάθεσή μας, θα μπορούσαμε να επινοήσουμε μεμονωμένα πεδία εκ των υστέρων. Κάθε διαβατήριο φέρει δύο τέτοιες σφραγίδες, μία του κατασκευαστή και μία της Transpareo, ακόμη και για ένα πεδίο που δημοσιοποιείται μεμονωμένα.
Για εμάς, αυτή η προσπάθεια είναι απολύτως δικαιολογημένη. Κάθε διαβατήριο υπογράφεται κατά τη δημοσίευσή του και συνδέεται με την προηγούμενη έκδοση, ενώ το αμετάβλητο αρχείο δεκαετίας τίθεται σε ισχύ μόλις τα διαβατήρια καταχωριστούν στο μητρώο EU-DPP. Η υπογραφή κάθε πεδίου αντί ολόκληρου του μπλοκ αποτελεί επέκταση αυτού του πυρήνα, όχι πρόσθετο στοιχείο.
Πού βρισκόμαστε
Επιλέξαμε την απόδειξη, για κάθε αναγνώστη, επειδή μια σφραγίδα πρέπει να σημαίνει το ίδιο πράγμα, ανεξάρτητα από το ποιος την βλέπει. Όποιος θέλει να δει πώς λειτουργεί: Τα δύο παραδείγματα πιστοποιητικών που παρατίθενται παραπάνω μπορούν να ελεγχθούν απευθείας στον περιηγητή, χωρίς να απαιτείται επικοινωνία με διακομιστή.
Ερωτήσεις σχετικά με αυτό το άρθρο
Υπάρχει κάποιο πρότυπο που ορίζει τη δομή ανά πεδίο;
Όχι. Το πρότυπο EN 18239, το ευρωπαϊκό πρότυπο για τα δικαιώματα πρόσβασης στο DPP, απαιτεί ο έλεγχος της πρόσβασης να γίνεται ανά πεδίο, και ένα φίλτρο στον διακομιστή το ικανοποιεί πλήρως. Το να καταστούν ελέγξιμα τα πεδία που δημοσιοποιούνται πέραν αυτού είναι δική μας απόφαση και όχι μια απλή απαίτηση που επιβάλλει ο κανονισμός σε οποιονδήποτε. Θεωρούμε ότι ο κόπος αυτός δικαιολογείται, καθώς ολόκληρος ο σκοπός ενός υπογεγραμμένου διαβατηρίου έγκειται στο ότι κανείς δεν χρειάζεται να εμπιστεύεται την πλατφόρμα. Όσον αφορά το καθεστώς που έχουν αυτά τα πρότυπα, αναφέρεται στο άρθρο μας σχετικά με τα εναρμονισμένα πρότυπα.
Δημοσιεύουμε μόνο δεδομένα που είναι δημόσια. Το χρειαζόμαστε αυτό;
Πιθανότατα όχι, και το λέμε ξεκάθαρα. Μια υπογραφή που καλύπτει ολόκληρο το έγγραφο καλύπτει ένα διαβατήριο, τα πεδία του οποίου είναι όλα δημόσια, και η δημιουργία και η λειτουργία της είναι σαφώς φθηνότερη. Η έγκριση ανά πεδίο αξίζει τον κόπο μόλις προστεθεί μια δεύτερη ομάδα-στόχος, όπως ένα δίκτυο επισκευών, μια εταιρεία ανακύκλωσης ή μια αρμόδια αρχή, στην οποία διαφορετικά θα παρέχατε αποσπάσματα χωρίς σφραγίδα. Και οι δύο μέθοδοι είναι ανοιχτά πρότυπα του W3C (ecdsa-sd-2023 για την υπογραφή ανά πεδίο), κάθε εργαλείο που υποστηρίζει το πρότυπο μπορεί να τις επαληθεύσει, και οι δύο λειτουργούν σήμερα στο Transpareo Time Machine, στο «διαβατήριο» ενός μπλουζιού και στο «διαβατήριο» μιας μπαταρίας.
Μπορούν τα προσωπικά δεδομένα να διαγραφούν αργότερα, χωρίς να ακυρωθεί το διαβατήριο;
Ναι, και αυτό το μέρος απαιτείται πράγματι από το ευρωπαϊκό δίκαιο. Ο Γενικός Κανονισμός για την Προστασία Δεδομένων παρέχει στα άτομα το δικαίωμα να ζητήσουν τη διαγραφή των προσωπικών τους δεδομένων, και ένα σύνολο δεδομένων που έχει υπογραφεί ως μπλοκ δεν μπορεί να ικανοποιήσει αυτό το αίτημα χωρίς να καταστρέψει τη δική του υπογραφή. Επειδή εδώ κάθε πεδίο ορίζεται ξεχωριστά, είναι δυνατό να αφαιρεθεί ένα μεμονωμένο πεδίο, ενώ όλα τα υπόλοιπα εξακολουθούν να είναι έγκυρα, χωρίς να απαιτείται επανέκδοση και χωρίς να διαταράσσεται το ιστορικό εκδόσεων. Τα πεδία που ο νόμος απαιτεί να διατηρηθούν παραμένουν ως έχουν.
Ποιος κατέχει το κλειδί υπογραφής;
Κάθε διαβατήριο φέρει δύο σφραγίδες, και μία από αυτές μπορεί να είναι δική σας. Κάθε έκδοση απαιτεί επιπλέον ένα κλειδί μικρής διάρκειας, το οποίο υπογράφει ξεχωριστά τα πεδία που μπορούν να δημοσιοποιηθούν· αυτό το δημιουργεί και το καταστρέφει ο ίδιος ο κατασκευαστής, διότι αν βρισκόταν στα χέρια μας, θα μπορούσαμε να επινοήσουμε μεμονωμένα πεδία εκ των υστέρων. Ελέγχουμε τη σφραγίδα που επιστρέφεται σε σχέση με το κατατεθειμένο δημόσιο κλειδί, προτού την θεωρήσουμε αξιόπιστη. Κάθε διαβατήριο φέρει έτσι δύο σφραγίδες από δύο ανεξάρτητους φορείς, τόσο για κάθε πεδίο που δημοσιοποιείται ξεχωριστά όσο και για το σύνολο των δεδομένων.
Θα ισχύει ακόμα ένα διαβατήριο σε δέκα χρόνια;
Ακριβώς εκεί βρίσκεται η δυσκολία. Η υπογραφή ανά πεδίο υπολογίζεται με βάση τα επιμέρους στοιχεία ενός εγγράφου και όχι με βάση τα byte του, οπότε η ίδια σταθερή μορφή πρέπει να αναπαράγεται, ένα χρόνο μετά, χαρακτήρα προς χαρακτήρα. Τρία πράγματα διαταράσσουν αυτή τη διαδικασία, και τα έχουμε εξαλείψει και τα τρία από τη ρίζα. Κάθε τιμή αποθηκεύεται μαζί με τον τύπο της, κάθε λεξικό βρίσκεται στους διακομιστές μας και δεν ανακτάται ποτέ μέσω του διαδικτύου, ενώ κάθε καταχώριση φέρει ένα σταθερό αναγνωριστικό. Το αμετάβλητο αρχείο δεκαετίας έχει δημιουργηθεί και τίθεται σε ισχύ μόλις τα διαβατήρια καταχωριστούν στο μητρώο της ΕΕ. Περισσότερα σχετικά με αυτό στην ανάλυσή μας για τον κανονισμό περί μητρώου.
