Digitaalne tootepass ei näita kõigile sama teavet. Ostja näeb avalikku teavet. Remonditöökoda või taaskasutaja näeb rohkem. Turujärelevalveasutus näeb kõike. See on selge ja Euroopa standardid sätestavad seda nüüd selgesõnaliselt.
Huvitav küsimus on aga varjatum: kui keegi näeb lisaks avalikele andmetele ka kaitstud välju, kas ta suudab siis tõendada, et just need väljad on ehtsad? Või peab ta lootma, et platvorm on need õigesti välja valinud ja muutmata kujul edasi andnud?
Kujutagem ette notarit, kes ei kinnita kirja tervikuna, vaid iga lõiku eraldi. Avaliku kirja saab igaüks. Kes on õigustatud rohkemale, saab lisalõigud juurde, ja igaüks neist kannab endiselt sama notari pitserit. Nii oleme me oma platvormi üles ehitanud. Enamiku platvormide puhul on aus vastus eespool esitatud küsimusele: usaldus. Meie puhul on see: tõend iga välja kohta, mis lisatakse alles avalikustamisel. Käesolev artikkel selgitab, miks see erinevus on oluline ja miks me oleme selleks valinud keerulisema tee.
Juurdepääsureeglit täidavad kõik võrdselt
EN 18239, Euroopa standard juurdepääsuõiguste, turvalisuse ja konfidentsiaalsuse kohta DPP-s, nõuab, et juurdepääsu kontrollitaks iga välja puhul eraldi: iga välja jaoks on reegel, kes seda näha tohib. See on õige nõue ja seda ei ole raske täita. Milline on nende standardite staatus üldse, oleme lahti seletanud oma artiklis ühtlustatud standardite kohta.
Tavaliselt saavutatakse see serveris asuva filtri abil. Server teab, kes päringu esitab, kontrollib, mida see isik näha tohib, ja edastab tagasi just selle osa andmetest. Rohkemat standard ei nõua. Lugeja peab uskuma, et server on andmed ausalt valinud ega ole neid edastamise käigus muutnud. Avaliku juhendi puhul on see piisav. Väärtuse puhul, millele töötleja tugineb kasutatud aku hinna määramisel, on see aga liiga suur usaldus.
Siin on üks konks, mida standard ei arvesta: väljavõte saabub ilma pitserita.
Loomulik lahendus on andmed allkirjastada. Skaala mõlemas otsas toimib tavaline allkiri hästi: allkirjastada avalik vaade, allkirjastada täielik andmekogum. Kuidas see üksikasjalikult toimib, on kirjeldatud DPP-s peatükis „Allkirjad ja sertifikaadid”. Keskel tekib aga probleem. Kogu dokumendi allkirjastamine hõlmab täpselt neid välju, mis allkirjastamise hetkel olemas olid. Kui volitatud lugejale avatakse täiendavalt kaitstud väli, jääb see väli allkirjastatud kogumist välja ja jõuab temani kaitsmata kujul. Keegi ei hakka eelnevalt allkirjastama kõiki võimalikke „kes-näeb-mida” kombinatsioone, sest kombinatsioonide arv kasvab plahvatuslikult. Tuleb tagasi pöörduda pitserita filtri juurde ja keskmine tase tugineb jälle usaldusele.
Iga välja eraldi allkirjastamine
On olemas parem lahendus, millele me oma platvormi rajame. Selle asemel, et allkirjastada valmis dokument tervikuna, määrab looja ühe tööetapi jooksul iga välja eraldi kindlaks (standardite asjatundjatele: W3C-protseduur ecdsa-sd-2023).
Iga vaade algab seega samade avalikest väljadest. See, mida lugeja lisaks näeb, lisandub välihaaval, ja igaüks neist väljadest viib endiselt tagasi tootja avalikule võtmele - offline-režiimis, ilma uuesti allkirjastamiseta ja ilma usalduseta vaate koostanud asutuse vastu. Väljad, millele pole õigust, puuduvad lihtsalt. Neid ei ole mustaks tehtud, vaid neid pole üldse olemas, ja nende kohta ei lekita midagi.
Üks läbiviimine: remonditöökoda
Remonditöökoda on aku suhtes deklareerinud õigustatud huvi - see on üks juurdepääsutasemetest, mida patareimäärus selgesõnaliselt ette näeb. Töökoda logib oma võtmega meie liidesesse sisse ja laadib passi alla. Vastuseks saadakse sama avalik pass, mida näeb ka ostja, kuid millele on lisatud veel üks väli: demonteerimisjuhend, mis avaldatakse ainult volitatud lugejatele. Ei mingit teist dokumenti ega eriversiooni.
Enne kui ettevõte sellele väljale tugineb, kontrollib tema tarkvara kaasasolevat allkirja tootja avalikku võtit kasutades. Kui allkirja kontrollimine õnnestub, sealhulgas ka täiendava välja puhul, teab ta: need juhised pärinevad täpselt tootjalt ja keegi vahepeal pole neid muutnud. Kui kontroll ei õnnestu, jätab ta kogu vaate kõrvale. See, et ta saab täpselt need väljad, mis talle kuuluvad, jääb meie juurdepääsukontrolli ülesandeks. Uus on järgnev samm: kas saadud andmed on ehtsad, kontrollib ta ise, ilma meilt küsimata.
Miks „katkematu“ ongi kogu asja tuum
Terviklik pitser ei tähenda, et sisu on tõene. See ütleb: just seda on tootja kirjutanud ja sellest ajast peale pole keegi selles midagi muutnud. Seega jääb usaldusküsimusest välja igaüks, kes on dokumenti lihtsalt edasi andnud: vahemälu, võrk, arhiiv, meie.
Kes teile passi andis, ei ole enam oluline.
Ja pitser on binaarne. See kehtib või ei kehti, poolikult rikutud pitserit ei ole olemas. Seetõttu ei ole see astmeline erinevus, kas lisaväljad jõuavad teieni koos pitseriga või ilma: ilma pitserita ei ole need mitte veidi nõrgemalt täidetud, vaid üldse mitte täidetud.
Mõlema meetodi vaatamine
Igaüks saab seda ise kontrollida. Transpareo Time Machine on meie avatud lähtekoodiga rakendus tootepasside ## vaatamiseks: see lehitsetab passi versioonilugu ja arvutab sealjuures iga allkirja vaataja brauseris uuesti läbi, ilma et meie serverilt midagi küsiks. T-särgi passi puhul on allkiri kogu dokumendi ulatuses, aku passi puhul aga väljahaaval.
Mõlemad on avatud W3C-standardid, mida igaüks saab rakendada. Kogu dokumendi allkirjastamine on märkimisväärselt odavam luua ja hallata, ning neile, kes edastavad ainult avalikku teavet, piisab sellest. Asjaolu, et Transpareo Time Machine toetab mõlemat meetodit, on taotluslik: pass jääb tavaliseks standardformaadiks, mida suudab kontrollida iga sobiv tööriist, mitte ainult meie oma.
Kellele see kasu toob ja mida standard nõuab
Kellele avalikustatakse üldse midagi lisaks avalikele andmetele? Mitte juhuslikule ostjale. Need on töötleja, kes hindab kasutatud akupaki väärtust; kindlustusandja, kes hindab riski; ringlussevõtja, kes sorteerib kemikaale; ametiasutus, kes koostab juhtumi toimikut. Lugejad, kelle otsused sõltuvad rahast või turvalisusest. Ja tavapärase lähenemise puhul just need lugejad, kes ei saa pitserit nende väljade kohta, millel nende otsus põhineb. Meie arvates peaks kontrollpitser kõigile sama tähendama: iga näidatud väli pärineb tootjalt ja seda pole sellest ajast saadik puudutatud. Pitser, mis kehtib ainult avalikele väljadele, on poolik pitser.
Ütleme seda otse: midagi sellest ei ole kohustuslik. Standard EN 18239 nõuab, et juurdepääsu kontrollitaks, ja serveris olev filter teeb seda veatult. Avalikustatud väljade kontrollitavaks muutmine on meie poolt lisameede, sest allkirjastatud passi kogu mõte seisneb selles, et keegi ei pea platvormi usaldama. Keskmise taseme erandina välja jätmine taastab just selle usalduse, mille allkiri pidi kõrvaldama.
Sama põhimõte võimaldab ühe välja unustada
Iga ## väljaeraldi määratlemine toob kaasa teise omaduse, mida Euroopa õigus tegelikult nõuab. Isikuandmete kaitse üldmäärus annab inimestele õiguse isikuandmete kustutamiseks. Ühe plokina allkirjastatud andmekogum ei suuda seda nõuet täita ilma oma allkirja hävitamata.
Kuna siin on iga väli eraldi, saab ühe väli eemaldada, samal ajal kui ülejäänud osa jääb endiselt kehtivaks. Kui isikuandmed satuvad juhuslikult passi, saab need sealt puhtalt eemaldada ja pass jääb kehtivaks: pole vaja uut passi väljastada ega ajalugu katkestada. Väljad, mida seadus nõuab säilitada, jäävad alles; see, mis on kustutatav, saab soovi korral kustutada isegi aastaid hiljem.
Miks see on keeruline ja kuidas me selle lahendasime
Me ei ole seda meetodit ise leiutanud, tegemist on avalikult kättesaadava W3C-standardiga. Keeruline ei ole idee leidmine. Keeruline on see nii ehitada, et pass toimiks veel kümne aasta pärast. Tavaline allkiri arvutab dokumendi baitide põhjal. Väljapõhine allkiri arvutab selle üksikute andmete põhjal, ja selleks vormistatakse pass enne allkirjastamist kindlasse vormi, kus iga andmeväli on eraldi lause. See vorm peab kümne aasta pärast tähemärgihaaval taastuma, vastasel juhul ei sobi pitser enam kokku. Selle teostamisel takistavad kolm tähtsusetut asja, ja me oleme need kõik kolm juurest lahendanud.
Arvud kaotavad oma tüübi. Väärtus nagu 2,0 tuleb tavalise andmevormingu läbimise järel tagasi kui 2. Inimese jaoks on see sama, kuid kindla kirjutamisviisi jaoks on see teine lause. Meie süsteemis salvestatakse iga väärtus koos oma tüübiga ning avaldamine katkeb niipea, kui ilmub kasvõi üksainus tüübita arv.
Nimetused ei tähenda veel midagi. Iga väljanimi peab viitama sõnastikus olevale ühesele tähendusele, vastasel juhul kaob väli teisendamisel märkamatult ja pitser seda ei kata. Meie süsteemis asub iga sõnastik kohalikult ja seda ei laadita kunagi võrgust alla; tundmatu väljanimi peatab allkirjastamise, selle asemel et vaikselt tühja tulemust anda.
Kirjed vajavad kindlaid nimesid. Igal dokumendi kirjel on meie süsteemis kindel tunnus, et kirjutamisviis jääks iga läbiviimise korral samaks, selle asemel et iga kord uusi abinimesid anda.
Kõige delikaatsem osa peitub tootja enda võtmes. Iga väljastamise jaoks on vaja täiendavat, lühiajalist võtit, millega avalikustatavad väljad ükshaaval allkirjastatakse. Selle võtme genereerib ja hävitab tootja ise. Kui see oleks meie käes, saaksime üksikuid välju hiljem ise välja mõelda. Igal passil on kaks sellist pitserit: üks tootjalt ja teine Transpareolt, isegi üksiku avalikustatava välja puhul.
Meie jaoks on see vaev õigustatud. „ Transpareo Proofchain ” abil allkirjastatakse iga pass avaldamisel ja seotakse see eelmise versiooniga, ning „ Transpareo Vault ” - muutumatu kümneaastane arhiiv - hakkab toimima niipea, kui passid on registreeritud EL-registeris. Iga välja allkirjastamine terve ploki asemel on selle tuuma laiendus, mitte lisand.
Kus me oleme
Oleme otsustanud tõendi kasuks iga lugeja jaoks, sest pitser peaks tähendama üht ja sama asja, olenemata sellest, kes seda vaatab. Kes soovib näha, kuidas see töötab: kahte eespool lingitud näidispassi saab kontrollida otse brauseris, ilma serverilt küsimata.
Küsimused selle postituse kohta
Kas mõni standard nõuab väljapõhise allkirja kasutamist?
Ei. EN 18239, Euroopa standard, mis käsitleb juurdepääsuõigusi DPP-s, nõuab, et juurdepääsu kontrollitaks iga välja puhul eraldi, ning serveripõhine filter täidab seda nõuet täielikult. Avalikustatud väljade kontrollitavaks muutmine on meie otsus, mitte mingi nõue, mida keegi meilt regulatsiooni raames nõuaks. Me peame seda vaeva õigustatuks, sest allkirjastatud passi kogu mõte seisneb selles, et keegi ei pea platvormi usaldama. Milline on nende standardite staatus üldse, on kirjas meie artiklis ühtlustatud standardite kohta.
Me avaldame ainult avalikku teavet. Kas meil on seda vaja?
Tõenäoliselt mitte, ja seda me ka ütleme. Kogu dokumendi hõlmav allkiri katab passi, mille kõik väljad on avalikud, ning selle loomine ja haldamine on märkimisväärselt odavam. Väljapõhine allkirjastamine tasub end ära niipea, kui lisandub teine sihtrühm, näiteks remondivõrgustik, ringlussevõtja või ametiasutus, kellele te muidu annaksite kätte pitserita väljavõtteid. Mõlemad meetodid on avatud W3C-standardid (ecdsa-sd-2023 väljapõhise allkirja jaoks), iga seda standardit toetav tööriist suudab neid kontrollida ning mõlemad töötavad täna Transpareo Time Machine’is, nii T-särgi passi kui ka aku passi puhul.
Kas isikuandmeid on hiljem võimalik kustutada ilma passi kehtetuks tunnistamata?
Jah, ja seda nõuabki Euroopa õigus. Isikuandmete kaitse üldmäärus annab inimestele õiguse lasta isikuandmed kustutada, kuid plokina allkirjastatud andmekogum ei saa seda nõuet täita ilma oma allkirja hävitamata. Kuna siin on iga väli eraldi määratletud, on võimalik üksik väli eemaldada, samal ajal kui kõik ülejäänu jääb kehtima, ilma et oleks vaja dokumenti uuesti väljastada ja ilma versiooniajaloo katkemiseta. Väljad, mida seadus nõuab säilitada, jäävad alles.
Kes hoiab allkirjastamisvõtit?
Igal passil on kaks pitserit, millest üks võib olla teie oma. Iga väljastamine vajab lisaks lühiajalist võtit, mis allkirjastab avalikustatavad väljad eraldi; selle genereerib ja tühistab tootja ise, sest kui see oleks meie käes, võiksime üksikuid välju hiljem välja mõelda. Enne kui me tagastatud pitserile usaldame, kontrollime seda salvestatud avalikuga võtmega. Seega on igal passil kaks pitserit kahelt sõltumatult asutuselt, nii iga eraldi avalikustatava välja kui ka kogu andmekogumi jaoks.
Kas pass kehtib veel kümne aasta pärast?
Just selles peitubki vaev. Väljapõhine allkiri arvutab dokumendi üksikute andmete põhjal, mitte selle baitide põhjal, seega peab sama kindel kirjutamisviis kümme aastat hiljem tähemärgihaaval uuesti välja tulema. Kolm asja rikuvad seda süsteemi ja me oleme kõik kolm juurest lahendanud. Iga väärtus salvestatakse koos oma tüübiga, iga sõnastik asub meie juures ega laadita kunagi võrgust alla ning iga kanne kannab kindlat identifikaatorit. Muutumatu kümneaastane arhiiv on loodud ja hakkab toimima niipea, kui passid on registreeritud EL-registeris. Rohkem infot selle kohta leiate meie registrimääruse analüüsist.
