Transpareo Time Machine

Mesin waktu untuk DPP

Bayangkan Anda memegang sebuah produk di tangan dan memindai kode QR yang tertera di atasnya. Alih-alih file PDF, sebuah aplikasi kecil pun terbuka. Anda dapat melihat informasi terkini tentang produk tersebut: bahan pembuatannya, asal usulnya, serta hal-hal yang perlu diperhatikan. Dengan satu gerakan menggeser, Anda dapat menelusuri kembali ke masa lalu - setiap versi yang pernah dirilis dapat dilihat.

Inilah Transpareo Time Machine, aplikasi konsumen sumber terbuka kami untuk setiap Paspor Produk Digital. Kode sumbernya tersedia di bawah lisensi GPL v3 di GitHub.

Kami mengembangkannya karena Peraturan UE tentang Paspor Produk Digital dirancang untuk konsumen - bagi orang yang memegang produk tersebut. Sebagian besar penyedia mengubahnya menjadi formulir kepatuhan yang tidak pernah dibuka dua kali oleh siapa pun. Kami mengubahnya menjadi aplikasi yang benar-benar dibuka oleh konsumen.

Contoh

Lihat sendiri

Contoh paspor produk ini sudah lengkap dan berisi data fiktif: Telusuri riwayat versi dan buka stiker sertifikasi - langsung di browser, tanpa perlu membuat akun.

Saat digunakan

Fungsi aplikasi ini

Empat titik interaksi dari sudut pandang orang yang memegang produk tersebut. Tanpa perlu login, tanpa perlu menginstal aplikasi.

Memindai

Pindai kode QR menggunakan kamera ponsel pintar. Aplikasi akan terbuka di peramban.

Lihat berita terbaru

Produk ini hadir di masa kini - komponen, bahan, asal usul, perawatan, dan daur ulang.

Membaca sejarah

Dengan satu gerakan mengusap, Anda dapat menelusuri kembali ke masa lalu. Setiap versi sebelumnya disertai tanggal dan alasan perubahannya.

Setiap versi memiliki tautan tersendiri. Seseorang membagikan versi tertentu kepada teman-teman atau pihak berwenang.

Mengapa sih

Peraturan Uni Eropa tentang Paspor Produk Digital merupakan perubahan terbesar menuju transparansi produk dalam beberapa dekade terakhir. Jika teks dasarnya dibaca dengan saksama, peraturan ini secara eksplisit ditujukan bagi konsumen. Pihak berwenang, perusahaan daur ulang, dan bengkel juga turut terlibat; namun, penerima utamanya adalah orang yang memegang produk tersebut.

Dari segi angka, hal ini sangat jelas. Rata-rata warga Eropa pada akhir dekade ini akan dapat memindai puluhan hingga ratusan paspor produk per tahun. Jika dihitung berdasarkan 200 juta rumah tangga, hal ini berarti miliaran interaksi konsumen setiap tahun. Dibandingkan dengan itu, dunia instansi pemerintah dan perusahaan daur ulang secara numerik sangatlah kecil.

Jika peraturan ini ingin sampai ke konsumen, maka sisi konsumen harus dibangun dengan baik - cepat, menarik, dan koheren. Jika tidak, peraturan ini akan meleset dari tujuannya.

Kami telah memutuskan untuk membangun sisi konsumen ini dengan kode sumber terbuka, agar tidak bergantung pada satu penyedia layanan saja.

Jalannya adalah aturan, manifesto ini adalah milik kita

Paspor produk dapat berubah: perbaikan, persentase bahan daur ulang baru, atau penarikan produk. Oleh karena itu, persyaratan mengharuskan versi-versi sebelumnya tetap dapat diakses: Standar penyimpanan membekukan setiap versi, sedangkan standar antarmuka memastikan bahwa setiap versi dapat dibaca secara spesifik. Yang tidak diatur dalam persyaratan adalah bagian di antaranya: sebuah daftar yang menghubungkan semua versi sebuah paspor menjadi sebuah riwayat. Transpareo menerbitkannya sebagai manifesto untuk setiap pas, yang ditandatangani, dengan setiap versi dirantai ke versi sebelumnya melalui sidik jari digital. Dengan demikian, “mesin waktu” ini menelusuri sejarah suatu produk, dan pembaca tidak hanya dapat memverifikasi keaslian suatu versi, tetapi juga memastikan bahwa versi tersebut merupakan versi terkini dari rangkaian yang utuh.

Namun, aplikasi ini tidak bergantung pada hal tersebut. Jika pengguna menampilkan satu pas saja - seperti yang diterbitkan oleh setiap penyedia sesuai standar terbuka - bukan manifesto, aplikasi ini akan menampilkan versi tersebut, memverifikasi tanda tangannya (jika ada), dan mengabaikan garis waktu. Pass tanpa tanda tangan tidak dianggap sebagai kesalahan, melainkan hanya ditampilkan tanpa segel verifikasi. Dengan cara yang sama , aplikasi ini juga menampilkan pass yang belum pernah terdaftar di Transpareo.

Berganti penyedia layanan tanpa gangguan

Peraturan Uni Eropa tentang Paspor Produk Digital mewajibkan adanya paspor produk yang interoperabel dan dibangun berdasarkan standar terbuka - yang dapat dipindahkan antar layanan dan sistem, bukan terikat pada satu penyedia saja. Dengan demikian, kemandirian dari penyedia layanan bukanlah sekadar tambahan, melainkan bagian dari persyaratan.

Transpareo Time Machine adalah komponen yang mewujudkan persyaratan ini secara konkret. Karena setiap paspor produk disediakan dalam standar terbuka - identifikasi yang netral terhadap resolver, serialisasi kanonik, kunci yang dipublikasikan secara terbuka - dan renderer-nya bersifat open source di bawah lisensi GPL v3, tampilan paspor tidak pernah bergantung pada platform kami.

Pihak yang bertanggung jawab atas paspor produk adalah pelaku ekonomi - produsen, importir, atau wakil yang diberi kuasa. Jika ia memutuskan untuk meninggalkan Transpareo dan beralih ke penyedia lain, tampilan tetap stabil: Versi yang telah dipublikasikan beserta riwayatnya akan terus ditampilkan tanpa perubahan oleh renderer sumber terbuka yang sama, dan penyedia baru yang menggunakan standar terbuka yang sama akan ditampilkan oleh aplikasi yang persis sama.

Data ikut berpindah, konsumen tidak melihat adanya gangguan, dan tidak ada yang perlu menunggu proses migrasi.

Proses migrasi itu sendiri bukanlah sebuah proyek. Transpareo Time Machine adalah bundel statis: setelah dibuat, cukup disalin ke server web mana pun, dan selesai. Tata letak yang telah Anda atur di Transpareo untuk setiap paspor Anda akan ikut serta sebagai lembar gaya yang telah dipublikasikan bersama setiap paspor. Dengan demikian, tampilan paspor yang sudah biasa dilihat pelanggan Anda akan terlihat persis sama di server Anda sendiri, termasuk warna, font, dan logo.

Diverifikasi di peramban, bukan di server kami

Di bagian atas setiap paspor produk terdapat sebuah label: “Terverifikasi oleh Transpareo”. Label ini menunjukkan hasil verifikasi yang tidak dilakukan di server kami, melainkan di peramban pengunjung - berdasarkan byte yang dimuat dan kunci publik penerbit.

Setiap versi DPP ditandatangani oleh dua pihak yang independen satu sama lain: penerbit dan Transpareo. Kedua tanda tangan tersebut harus dapat diverifikasi agar label tersebut berubah menjadi hijau. Dengan Bring Your Own Key (BYOK), penerbit mengoperasikan titik akhir tanda tangan miliknya sendiri - Transpareo tidak pernah menyimpan kunci pribadi dan hanya menambahkan tanda tangan balasan yang independen. Dengan demikian, terciptalah tanda tangan penerbit yang tidak dapat dihasilkan oleh Transpareo sendiri.

Server yang disusupi tidak dapat memalsukan tanda centang tersebut, karena verifikasi dilakukan langsung oleh pengunjung.

Bagi yang ingin mengetahui secara detail, silakan klik lencana tersebut. Di baliknya, Anda akan melihat rantai tanda tangan, nilai hash, dan riwayat versi yang terhubung. Bagi yang hanya ingin mengetahui informasinya, abaikan saja bagian tersebut dan lanjutkan membaca di paspor produk.

Pemeriksaan yang sama juga tersedia sebagai halaman tersendiri: Di Verifikasi DPP, Anda dapat memasukkan URL manifest dari paspor produk apa pun dan melihat hasil pemeriksaan selengkapnya - tanpa perlu membuka paspor tersebut.

Kami merilis kode tersebut

Transpareo Time Machine dirilis di bawah lisensi GPL v3 di GitHub. Modifikasi yang dipublikasikan harus juga dirilis di bawah lisensi GPL v3, agar setiap pengembangan lebih lanjut dapat bermanfaat bagi masyarakat umum.

Mengkloning, membuat fork, atau menghosting sendiri - semuanya diperbolehkan.

Cara mengintegrasikan aplikasi ini, baik dengan satu baris kode di halaman web, sebagai paket dalam aplikasi Anda sendiri, atau dihosting sepenuhnya sendiri, dijelaskan dalam berkas README di sana. Di sana Anda juga akan menemukan komponen serupa untuk verifikasi tanda tangan saja, yang saat ini berjalan secara langsung di Verifikasi DPP.

Siapa saja yang menggunakan aplikasi ini dengan bijak

Aplikasi ini awalnya dirancang untuk konsumen. Namun, aplikasi ini juga dapat digunakan oleh siapa saja yang ingin melihat atau memverifikasi data produk secara mandiri.

Konsumen akhir dapat memindai, melihat, menelusuri, dan membagikan. Tanpa perlu login, tanpa pelacak.
Pihak pengawas pasar dan otoritas dapat melihat paspor produk dalam perangkat lunak yang kode sumbernya dapat diaudit secara publik.
Bengkel dan perusahaan daur ulang dapat melihat komposisi bahan serta petunjuk pembongkaran langsung pada produk.
Merek dan operator fork dapat menyesuaikan paket tersebut dengan merek mereka sendiri - token CSS, komponen khusus, dan hosting mandiri.

Apa yang akan terjadi jika Transpareo tidak ada lagi?

Uni Eropa mewajibkan agar paspor produk yang terdaftar tetap tersedia setidaknya selama sepuluh tahun - bahkan setelah penerbitnya bangkrut atau dilikuidasi. Penyedia layanan SaaS jarang bertahan selama itu. Oleh karena itu, kami merancang platform ini sejak awal agar paspor produk tetap dapat digunakan secara independen dari kami:

Setiap versi DPP yang telah ditandatangani disimpan dalam penyimpanan yang dapat dibaca publik. Byte data beserta kunci publik yang dipublikasikan sudah cukup untuk verifikasi di kemudian hari.
Segera setelah paspor produk terdaftar di registri UE, penyimpanan cadangan kedua yang dilindungi dari penulisan akan menyimpan salinan setiap versi DPP dan log peristiwa selama sepuluh tahun. Tidak ada seorang pun - termasuk kami - yang dapat mengubah salinan cadangan ini di kemudian hari.
Setelah layanan dihentikan, URL singkat paspor produk tetap dapat diakses melalui pengalihan di platform Transpareo.
Transpareo Time Machine tetap berjalan tanpa perubahan, bahkan terhadap data yang telah diarsipkan. Bundel tersebut tidak memanggil kami kembali saat runtime; ia hanya membutuhkan byte dan kunci.

Jika platform Transpareo menghilang besok, versi DPP dan renderer sumber terbuka akan tetap ada.

Bagi para pecinta teknologi

Inilah yang terjadi di balik layar. Bagi yang tidak perlu mengetahui detailnya, bagian ini dapat dilewati - aplikasi tetap akan berfungsi.

GS1 Digital Link (ISO/IEC 18975): URL paspor produk memuat identifikasi produk dalam bentuk yang terstandarisasi - netral terhadap resolver, dan dapat dipertukarkan antarpenyedia.
JSON Canonicalization Scheme (RFC 8785): Serialisasi deterministik. Dengan demikian, hash tetap dapat direproduksi terlepas dari urutan bidang atau spasi kosong - siapa pun dapat menghitungnya sendiri.
W3C Data Integrity Proofs (eddsa-jcs-2022): Tanda tangan Ed25519 atas bentuk kanonik (JCS).
/.well-known/dpp-keys/ (RFC 8615): Kunci publik penerbit berada di bawah jalur yang terstandarisasi - tidak perlu menghubungi Transpareo, setiap verifikator dapat menemukannya sendiri.

Semuanya telah didokumentasikan dalam README di GitHub - termasuk arsitektur frontend (inti reaktif buatan sendiri, tanpa kerangka kerja eksternal) dan panduan pembuatan untuk penghostingan mandiri.