एक डिजिटल उत्पाद पासपोर्ट को दस साल या उससे अधिक समय तक सत्यापन योग्य रहना चाहिए। एक सॉफ्टवेयर प्लेटफॉर्म शायद ही इतना लंबा चलता है। इस विरोधाभास का एक स्पष्ट निहितार्थ है: एक डीपीपी में विश्वास प्रदाता पर निर्भर नहीं होना चाहिए, बल्कि यह स्वयं डेटासेट से जुड़ा होना चाहिए। उत्पाद पर भरोसा करें, कंपनी पर नहीं।
चार प्रमुख तत्व यह दर्शाते हैं कि यह व्यवहार में कैसे काम करता है।
प्रत्येक DPP संस्करण पर हस्ताक्षर किए जाते हैं
डेटा को फ्रीज़ करने से पहले, Transpareo डेटासेट की श्रेणी-विशिष्ट अनिवार्य फ़ील्ड (SHACL सत्यापन) के विरुद्ध जाँच करता है। यदि यह जाँच विफल हो जाती है, तो प्रकाशन से इनकार कर दिया जाता है - केवल एक पूर्ण, अनुरूप पासपोर्ट पर हस्ताक्षर किया जाता है।
जब कोई DPP प्रकाशित होता है, तो Transpareo इसकी सामग्री को एक DPP संस्करण के रूप में फ्रीज करता है और दो स्वतंत्र कुंजियों के साथ इस पर हस्ताक्षर करता है: एक जारीकर्ता की, और एक Transpareo की। ब्रिंग योर ओन की (BYOK) के साथ, जारीकर्ता अपना स्वयं का हस्ताक्षर एंडपॉइंट संचालित करता है - ट्रांसपेरियो कभी भी निजी कुंजी को धारण नहीं करता है और केवल स्वतंत्र सह-हस्ताक्षर जोड़ता है, यह सुनिश्चित करते हुए कि जारीकर्ता का हस्ताक्षर ऐसा है जिसे ट्रांसपेरियो स्वयं उत्पन्न नहीं कर सकता।
Ed25519 योजना डेटा सेट के एक मानक रूप (the JSON कैनोनिकलाइज़ेशन स्कीम, RFC 8785). दो हस्ताक्षर, दो स्वतंत्र प्राधिकरण।
सत्यापन व्यूअर के ब्राउज़र में होता है। ओपन-सोर्स Transpareo Time Machine रेंडरर बाइट्स को लोड करता है, हैश को फिर से गणना करता है और हमारे किसी भी सर्वर से संपर्क किए बिना दोनों हस्ताक्षरों का सत्यापन करता है। कोई भी संशयवादी कोड पढ़ सकता है।
जारीकर्ता की पहचान उनके अपने डोमेन पर होस्ट की जाती है
सत्यापनकर्ता को सार्वजनिक कुंजियाँ खोजने में सक्षम बनाने के लिए, प्रत्येक जारीकर्ता अपनी पहचान अपने स्वयं के डोमेन पर एक DID:web के रूप में प्रकाशित करता है, जो /.well-known/ पर एक सुव्यवस्थित पते के माध्यम से सुलभ है। यह जानबूझकर X.509 की दृष्टि से एक पारंपरिक प्रमाणपत्र नहीं है: प्रमाणपत्र श्रृंखलाएं दशकों में समाप्त हो जाती हैं, जबकि आपके अपने डोमेन पर एक HTTPS पता मजबूत बना रहता है और आपके नियंत्रण में रहता है।
जब कोई कुंजी बदली जाती है, तो पुराने हस्ताक्षर सत्यापन योग्य बने रहते हैं - पुरानी कुंजी बिना किसी नए प्रमाणपत्र पर हस्ताक्षर किए, जो उसने पहले हस्ताक्षर किया था, उसका सत्यापन करना जारी रखती है। और चूँकि कोई जारीकर्ता प्रदाताओं को बदलने के बाद अपना डोमेन अपने साथ ले जा सकता है, Transpareo प्रकाशन के समय प्रत्येक सार्वजनिक कुंजी को एक स्थायी पते पर दर्पणित करता है। यह सुनिश्चित करता है कि प्रत्येक DPP संस्करण सत्यापन योग्य बना रहे, भले ही मूल होस्ट किसी समय गायब हो जाए।
EU पंजीकरण में एक योग्यइलेक्ट## ्रॉनिक सील होती है
आगामी EU DPP रजिस्टर में प्रस्तुति के लिए एक मानक हस्ताक्षर से अधिक की आवश्यकता होती है: प्रत्येक पंजीकरण के साथ eIDAS विनियम 910/2014. एक QES हार्डवेयर-आधारित होता है और एक सत्यापित कानूनी इकाई से जुड़ा होता है - जो EU कानून के तहत मान्यता प्राप्त विश्वास का उच्चतम स्तर है।
eIDAS कानून और रजिस्टर इंटरफ़ेस के अंतिम रूप से तैयार होते ही इस योग्य सील क्षमता को लागू करने की योजना है। इस उद्देश्य के लिए, ट्रांसपेरियो एक इन-हाउस सीलिंग डिवाइस और डी-ट्रस्ट, जो एक योग्य ट्रस्ट सेवा प्रदाता है, से प्राप्त एक योग्य प्रमाणपत्र का उपयोग करके अपनी स्वयं की सीलिंग सेवा संचालित करेगा - जिससे वे निर्माता जो अपना स्वयं का सीलिंग इंफ्रास्ट्रक्चर संचालित नहीं करते हैं, उन्हें अपने स्वयं के हार्डवेयर की आवश्यकता के बिना QES आवश्यकता का अनुपालन करने में सक्षम बनाया जा सके।
एक ऐसा अभिलेखागार जो प्रदाता से भी अधिक समय तक चले
एक बार जब DPPs को EU रजिस्टर के साथ पंजीकृत कर दिया जाता है, तो प्रत्येक DPP संस्करण को दस वर्षों के लिए एक अपरिवर्तनीय रूप में संग्रहीत किया जाएगा - न तो निर्माता और न ही Transpareo उन्हें पूर्वव्यापी रूप से संशोधित कर पाएंगे। यह सुनिश्चित करने के लिए कि यह आर्काइव तब भी सुलभ बना रहे, जब ट्रांसपेरियो एक दिन अस्तित्व में न रहे, इसके वित्तपोषण को स्विट्जरलैंड में एक नोटरी जमा के माध्यम से सुरक्षित किया गया है। इसलिए यह प्रतिबद्धता न केवल तकनीकी रूप से बल्कि अनुबंधात्मक रूप से भी दीर्घायु के लिए बनाई गई है।
तीसरी पार्टी पास का सत्यापन कैसे करती है - पूरी तरह से हमारे बिना
आर्टिफैक्ट में विश्वास का निर्णायक परीक्षण यह है कि क्या कोई हमारे इंफ्रास्ट्रक्चर के बिना पास का सत्यापन कर सकता है। प्रक्रिया:
- किसी भी स्रोत (सीडीएन, सार्वजनिक अभिलेखागार, ईयू रजिस्टर या किसी तीसरे पक्ष के अभिलेखागार) से डीपीपी संस्करण के बाइट्स प्राप्त करें
- डेटा सेट को कैननाइज़ करें और उसका हैश निकालें
- पास में निर्दिष्ट पतों के माध्यम से जारीकर्ता और ट्रांसपेरियो की सार्वजनिक कुंजियाँ प्राप्त करें
- हैश के खिलाफ दोनों हस्ताक्षरों का सत्यापन करें - यदि दोनों मेल खाते हैं, तो पासपोर्ट असली और अपरिवर्तित है
कोई लॉगिन नहीं, Transpareo को कॉल करने की कोई आवश्यकता नहीं, किसी सक्रिय प्लेटफॉर्म पर कोई निर्भरता नहीं।
वर्तमान में क्या चालू है और क्या आने वाला है
हस्ताक्षर, ब्राउज़र सत्यापन, DID:web पहचान और अपनी कुंजी स्वयं लाएँ (BYOK) का उपयोग किया जा रहा है। अपरिवर्तनीय दस-वर्षीय अभिलेखागार स्थापित किया गया है और यह EU रजिस्टर के साथ DPPs के पंजीकृत होते ही चालू हो जाएगा। जैसे ही ईआईडीएएस विनियमन और रजिस्ट्री इंटरफ़ेस को अंतिम रूप दे दिया जाता है, यूरोपीय संघ पंजीकरण के लिए योग्य इलेक्ट्रॉनिक हस्ताक्षर (QES) क्षमता की योजना बनाई गई है।
सभी मामलों में सिद्धांत वही रहता है: एक बार किसी चीज़ पर हस्ताक्षर और उसे संग्रहीत कर दिए जाने के बाद, यह सत्यापनीय बनी रहती है, चाहे भविष्य में प्लेटफ़ॉर्म कोई भी संचालित करे।