Rafrænn vörupassi sýnir ekki öllum sömu upplýsingar. Kaupandi sér opinber gögn. Viðgerðar- eða endurnýjunaraðili sér meira. Markaðseftirlitsyfirvald sér allt. Þetta hefur verið skýrt, og evrópskir staðlar kveða nú skýrt á um það.
Áhugaverða spurningin er flóknari: ef einhverjum er sýndur verndaður reitur auk opinberra gagna, getur hann staðfest að þessi tilteknu reitir séu ekta? Eða þarf hann að treysta því að vettvangurinn hafi valið þá rétt og miðlað þeim óbreyttum?
Fyrir flestar vélar er heiðarlega svarið: traust. Við höfum hannað okkar kerfi þannig að svarið er ‘sönnun’ - ekki aðeins fyrir almennu reitina, heldur fyrir hvern einasta reit sem bætist við í upplýsingagjöfinni. Af hverju þetta skiptir máli og hvers vegna við höfum valið þann vinnufrekari kost.
Allir fara eftir aðgangsreglunni á sama hátt
EN 18239, evrópskur staðall fyrir aðgengisrétti, öryggi og trúnað í DPP, krefst aðgangsstýringar á hvern gagnaþátt: fyrir hvert reiti er til regla sem kveður á um hverjum er heimilt að skoða hann. Þetta er rétt krafa og ekki erfitt að uppfylla. Við höfum lýst stöðu þessara staðla í smáatriðum undir samræmdum stöðlum.
Algengasta leiðin til að framfylgja þessu er með síun á þjónustuhliðinni. Þjónninn veit hver gerir beiðnina, athugar hvað viðkomandi hefur heimild til að sjá og skilar nákvæmlega þeim hluta. Aðgangsstýring: leyst. Staðallinn krefst ekki neins meira.
Það er þó einn hnökri sem staðallinn fjallar ekki um: Kaflinn berst óundirritaður. Lesandinn fær yfirsýn sem er sérsniðin að honum og þarf að treysta því að netþjónninn hafi valið hana heiðarlega og ekki breytt neinu á leiðinni. Fyrir almennan upplýsingablað er það í lagi. Fyrir gildi sem vinnsluvél notar sem grundvöll verðs á notaðri rafhlöðu krefst það mikillar trausts.
Þar sem eintaks undirskrift nær takmörkum sínum
Augljósa lausnin er að undirrita gögnin. Fyrir báða enda ferlisins hentar staðlað undirskriftarkerfi vel: undirrita almennu yfirlitið, undirrita heildar gagnasafnið og staðfesta bæði með almennu lykilorði án þess að netþjónn sé milliliður. Hvernig þetta virkar í smáatriðum er útskýrt í Signatures and Certificates in the DPP.
Vandamálið liggur í millinni. Skjalatrygging sem nær yfir allt skjalið nær nákvæmlega til eins setts reita, nefnilega þeirra sem voru til staðar þegar undirritað var. Ef löggiltur lesandi fær aðgang að viðbótar vernduðu reit, liggur sá reitur utan við undirritaða safnið og berst til hans óundirritaður. Ef hins vegar er undirritað allt gagnasafnið frá upphafi, nær undirritunin yfir allt, en þá þyrfti að sýna öllu öllum.
Miðstigin detta því í gegnum glufuna: viðgerðarstöðin, tryggingafélagið, endurvinnslufyrirtækið. Ef undirritaður yrði fyrirfram hver hugsanleg ‘hver-sér-hvað’ samsetning, þyrfti að hafa sérstakt undirritað skjal fyrir hverja samsetningu, og fjöldi samsetninga hækkar gífurlega með hverjum viðbættri aðgangsverði. Enginn gerir það. Maður grípur til óundirritaðs netþjónsíulers, og millistiginu er aftur treyst.
Undirritun hvers reits fyrir sig
Það er betri nálgun, og það er á þeirri nálgun sem við erum að byggja vettvanginn. Í stað þess að undirrita fullbúið skjal sem eina heild, tilgreinir útgefandinn hvert reit fyrir sig í einu undirritunarferli (fyrir þá sem þekkja staðla: W3C-staðalinn ecdsa-sd-2023 fyrir valbundna birtingu).
Allar yfirsýnir byrja á opinbera kjarna
Öll yfirsýn byrjar því á sömu opinberu reitunum. Það sem lesandi sér umfram það er bætt við reit fyrir reit, og hver og einn þessara reita rekst enn til opinbera lykils útgefandans - utan nets, án endurundirritunar og án þess að treysta á aðilann sem samdi yfirsýnina. Reitirnir sem ekki innihalda kröfu eru einfaldlega fjarverandi. Ekki afmáðir, heldur alls ekki til staðar, og ekkert um þá lekur í gegn.
Stígleiðsögn: viðgerðarstöðin
Stígleiðsögn sýnir hvernig þetta virkar í framkvæmd. Viðgerðarverkstæði hefur skráð lögmæta hagsmuni í rafhlöðu, einu af aðgangsstigum sem sérstaklega er kveðið á um í rafhlöðureglugerðinni. Verkstæðiskerfið skráir sig inn í viðmót okkar með API-lyklinum sínum og sækir ferilskjalið.
Svarið er sama opinbera skjalið sem kaupandinn sér, með nákvæmlega einu viðbótarsviði: leiðbeiningum um sundurliðun, sem aðeins er veittur heimildum lesendum aðgangur að. Enginn annar skjali, engin sérútgáfa - bara sama skjalið með einu viðbótarsviði.
Áður en fyrirtækið treystir á þetta reit, staðfestir hugbúnaður þess framlagða sönnun með opinberu lykilútgáfu útgefandans. Ef staðfestingin tekst - einnig fyrir viðbótarreitinn - veit það: þessar leiðbeiningar koma beint frá framleiðandanum, og hvorki við né nokkur annar á leiðinni hefur breytt þeim á nokkurn hátt. Ef staðfestingin mistekst, veit það það jafn örugglega og setur skjalið til hliðar í heild.
Hlutverk okkar í þessu er með ásetningi lágmarkshlutverk. Að tryggja að það fái nákvæmlega þau reiti sem því ber er verkefni aðgangsstýringar okkar; hver netþjónsíllari gerir nákvæmlega það sama. Það sem er nýtt er skrefið sem tekur við: hann sannreynir sjálfur hvort það sem berst sé ekta, án þess að spyrja okkur.
Hvers vegna “órofin” er kjarni málsins
Ímyndaðu þér löggiltan sýslumann sem votta ekki bréfið í heild, heldur hvern málsgrein fyrir sig. Allir fá opinbera bréfið. Allir sem eiga rétt á fleiru fá viðbótarkaflana, og hver og einn þeirra ber ennþá sama stimplinn frá sama notera.
Af hverju “órofin” er kjarni málsins
Ímyndaðu þér notera sem votta ekki bréfið í heild, heldur votta hvern kafla fyrir sig. Allir fá opinbera bréfið. Það segir: þetta er nákvæmlega það sem útgefandinn skrifaði, og enginn hefur breytt einum einasta staf frá því. Þetta þýðir að hver sá sem hefur einungis miðlað skjalinu áfram - milliliðurinn, netið, skjalasafnið, við - er útilokaður frá traustspurningunni. Það skiptir ekki lengur máli hver gaf þér vegabréfið.
Og stimplun er tvískipt. Hún annaðhvort stendur eða hún stendur ekki; það er ekkert slíkt sem hálfbrjótinn stimplun. Ef hún brýst, munt þú ekki vita hvaða setningu hefur verið breytt, aðeins að þú getir ekki lengur treyst öllu skjalinu. Þess vegna er ekki um neitt stigsmun að ræða hvort viðbótarreitirnir berast með stimplun sinni eða án hennar: Án stimpls eru þau ekki bara örlítið erfiðari í staðfestingu; þau eru óstaðfestanleg.
Báðar skoðunaraðferðirnar
Allir geta sannreynt þetta sjálfir. Transpareo Time Machine er opinn hugbúnaður okkar ### til að skoðavöruskírteini: Það flettir í gegnum útgáfusögu vegabréfsins og endurreiknar hverja undirskrift í vafranum hjá notandanum án þess að senda fyrirspurn á einn af netþjónum okkar. Tveir sýnishornsvegabréf eru opinberlega aðgengilegir í forritinu. Vegabréfið fyrir T-skyrtu ber undirskrift sem nær yfir allt skjalið, á meðan vegabréfið fyrir rafhlöðu sýnir upplýsingar reit fyrir reit.
Báðar eru opin W3C-tæknilýsingar: eddsa-jcs-2022 fyrir undirritun sem nær yfir allt skjalið, og ecdsa-sd-2023 fyrir upplýsingagjöf reit fyrir reit. Allir sem vilja geta innleitt þær. Vandamálið er fyrirhöfnin sem þarf til þess: undirritunin sem nær yfir allt skjalið er mun ódýrari í uppsetningu og rekstri, og hver sem birtir eingöngu opinber gögn getur komist af með hana.
Það er með ásetningi að Time Machine styður báðar aðferðirnar og svo verður áfram. Hún tilheyrir engum vettvangi. Staðfestir sem samþykkir eingöngu dýrari aðferðina væri tæki fyrir okkur og engan annan.
Opinberun verndaðra reita
Það borgar sig að spyrja ## hverjum, umfram almenning, nokkuð## séopinberað. Ekki venjulegur kaupandi - hún fær opinbera vottorðið. Það er vinnsluaðilinn sem metur verðmæti notaðs rafhlöðupakkans, tryggingafélagið sem metur áhættu, endurvinnslufyrirtækið sem flokkar efni og yfirvöldin sem byggja mál. Þetta eru þeir lesendur sem ákvarðanir þeirra snúast um peninga eða öryggi.
Og þetta eru einmitt þær upplýsingar sem eru ekki gerðar opinberar samkvæmt venjulegri nálgun. Þeir sem hafa mestan áhuga á dulkóðunarstaðfestingu fá hana ekki, einmitt fyrir þær upplýsingar sem liggja til grundvallar ákvörðun þeirra.
Við teljum að vottunarmerki eigi að merkja hið sama fyrir alla. “Staðfest af Transpareo” merkir hið sama í ítarlegu skýrslu viðgerðarverkstæðis og á opinberu vottorði kaupanda: öll reitir sem birtast koma frá útgefanda og ekki hefur verið hnikað við þeim síðan. Þumstagt sem nær aðeins yfir opinberu reitina er aðeins hálft þumstagt.
Meira en staðallinn krefst
Skulum gera okkur ljóst: ekkert af þessu er skylda. EN 18239 krefst þess að aðgangi sé stjórnað, og síuvirkni á þjónustuhliðinni stýrir aðgangi fullkomlega vel. Að gera birtu reitina dulkóðunarvænlega staðfestan er líka eitthvað sem við gerum ofan á það; það er ekki bara hakaatriði sem reglugerðin krefst af okkur.
Þess vegna er einmitt þess virði að skrifa þetta niður. Meginmarkmiðið með undirritaðan aðgang er að enginn þurfi að treysta vettvanginum. Að fjarlægja milliliðinn sem undantekningu endurheimtir einmitt það traust sem undirskriftin var ætluð til að útrýma.
Sama meginreglan gerir kleift að gleyma reit
Að tilgreina hvern reit fyrir sig kynnir aðra einkenni, og þetta er í raun krafist samkvæmt evrópskum lögum. Almenn persónuverndarreglugerð veitir fólki rétt til að persónuupplýsingar þess verði eytt. Gagnaskrá sem undirrituð er sem ein eining getur ekki uppfyllt þetta án þess að eyðileggja eigin undirskrift.
Þar sem hvert reit er hér sjálfstætt er hægt að fjarlægja einn reit á meðan allt annað er áfram staðfestanlegt. Ef persónuupplýsingar berast fyrir slysni í vegabréf er hægt að fjarlægja þær hreint út og vegabréfið gildir áfram: ekki þarf að endurgefa það og engin truflun verður á sögu þess. Reglugerðarreitir sem lög krefjast að séu varðveittir verða áfram til staðar; allt sem hægt er að eyða má fjarlægja eftir beiðni, jafnvel mörgum árum síðar.
Þrátt fyrir það er þetta alveg venjulegt vegabréf
Ekkert af þessu gerir vegabréfið að sérstökum hlut sem aðeins okkar verkfæri geta opnað. Það er áfram staðfestanleg réttindaskírteini í JSON-LD, sniði sem vefstaðlannaheimurinn er að færast yfir í, og sama sniðið sem Sameinuðu þjóðirnar nota í gegnsæissamskiptareglunum sínum (Transparency Protocol) og víðara W3C-vistkerfið.
Vegabréfið sem kaupandi skannar í vafranum sínum er því sama skjalið sem samstarfsaðili gagnageymslu getur lesið, og hvaða staðalsamræmdur staðfestir sem er getur staðfest það, ekki bara okkar. Viðbótaröryggið kostar lesandann ekkert og bindur engan við okkur.
Af hverju þetta er tæknilega krefjandi
Fyrst og fremst, til að forðast allan misskilning: við fundum þessa aðferð ekki upp. ecdsa-sd-2023 er opinber W3C-staðalauppsetning; dulkóðunarkerfið á bak við hana er ekki okkar eigið, og hver sem er vill innleiða það getur kynnt sér það. Það er ekki erfitt að koma með hugmyndina. Erfiðleikarnir felast í því að byggja hana upp á þann hátt að undirskriftin verði enn gild eftir tíu ár. Þar liggur vinnan, og nokkuð gagnlegt er hægt að segja um það.
Munurinn kann að hljóma smávægilegur, en hann breytir grundvallar nálguninni: staðlað undirskriftarkerfi framkvæmir útreikninga á bætum skjals. Valmenskur uppljóstrunarreikningur er reiknaður út frá yfirlýsingum sínum. Áður en undirritað er er vegabréfið umbreytt í staðlað form þar sem hver upplýsingaatriði er sett fram sem aðskilin, sjálfstæð yfirlýsing. Einungis þá er hægt að sleppa yfirlýsingu án þess að ógna gildi restarinnar.
Þetta skapar vandamál sem undirritun byggð á bætum hefur ekki: sama staðlaða formið verður að vera endurskapað nákvæmlega eftir tíu ár. Ekki að hluta til, heldur staf fyrir staf; annars verður sönnunin ógild. Þrír hlutir standa í vegi fyrir þetta, og allir þrír eru ósýnilegir.
Tölur missa tegund sína. Ef þú skrifar tölur sem venjulegan JSON-textann, glatast upplýsingarnar um hvaða tegund tölunnar var á leiðinni. Gildi eins og 2.0 kemur út sem 2 eftir vinnslu í JSON. Fyrir manninn er það það sama; fyrir staðlaða formið er það hins vegar önnur yfirlýsing, og staðfestingin mistekst.
Viðmiðin ein og sér mynda ekki merkingu. Til þess að staðlaða formið komi fram þarf hvert reitnafn að vísa til einstakrar merkingar. Ef eitthvað vantar hverfur reiturinn hljóðlega við umbreytingu. Hann birtist þá í vegabréfinu, en sönnunin nær ekki til hans og enginn tekur eftir því.
Merkingar finnast yfirleitt á netinu. Þessi kortlagning er í orðasafni sem flest verkfæri sækja af vefnum við staðfestingu. Sá sem gerir þetta gerir gildi vegabréfs síns háð því að þriðji aðili haldi áfram að svara eftir tíu ár - og að ekkert breytist.
Hvernig við leystum það
Við leystum þrjú vandamálin við upptökuna, fremur en að reyna að finna þau síðar.
Gerðir. Gildi er skráð með gerð sinni, og útgáfu er hætt um leið og eitt einasta talgildi án gerðar birtist í staðlaða sniðið. Villa er þannig greind þar sem hún kostar aðeins eina kóðalínu, frekar en árum síðar sem óútskýrður staðfestingarbilun.
Orðaforða. Allur orðaforði sem vísað er til í lykli er geymdur staðbundið í kerfinu okkar og er aldrei sóttur af internetinu. Óþekkt heimilisfang veldur hörðum stöðvun við undirritun, fremur en þögulu falli á tóma niðurstöðu.
Auðkenni. Hver hnútur í skjalinu ber stöðugt auðkenni, sem tryggir að staðlaða formið haldist endurgeranlegt, fremur en að úthluta nýjum aukanafnum við hverja keyrslu.
Flóknasti hlutinn felst í ‘Bring Your Own Key’. Fyrir hverja útgáfu þarf aukalykil sem er skammlífur, og með honum er undirritað hvert reit fyrir sig sem á að birta. Útgáfuaðilinn býr til þennan lykil og hleypur frá honum sjálfur. Ef við héldum lyklinum gætum við búið til einstök reiti afturvirkt, og sjálfstæði undirskriftar útgefandans væri ekki annað en fullyrðing. Við sannreynum sönnunina sem skilað er með því að bera hana saman við geymda opinbera lykilinn áður en við treystum henni.
Hver vegabréf ber með sér tvö slík sönnunargögn: eitt frá útgefanda og eitt frá Transpareo, og hvorugt er háð hinu við staðfestingu fyrir lesanda. Tvær undirskriftir, tvær sjálfstæðar yfirvöld - jafnvel fyrir eina birta reit.
Fyrir okkur er þetta vel þess virði. Við bættum ekki við staðfestanleika sem eftirhugsun; vettvangurinn var byggður upp í kringum þessa meginreglu frá fyrstu útgáfu. Öll vegabréf eru undirrituð við birtingu og keðju tengd við fyrri útgáfu. Óumbreytanleg tíu ára skjalasafnið er stofnað og tekur gildi um leið og vegabréfin eru skráð hjá EU DPP Register. Að undirrita hvert reit frekar en allan blokkinn er útvíkkun á þessari kjarnaaðgerð, ekki viðbót við eitthvað sem aldrei var ætlað í þessu skyni.
Staðan okkar
Við höfum valið sönnun fyrir hvern lesanda, því stimplun ætti að merkja eitt og hið sama, óháð því hver lítur á hana. Fyrir þá sem vilja sjá þetta í verki: hægt er að staðfesta tvær kynningarnar sem vísað er til hér að ofan beint í vafranum, án þess að senda fyrirspurn á netþjón.
Spurningar um þessa færslu
Kveður staðall á um undirritun reit fyrir reit?
Nei. EN 18239 krefst þess að aðgangur sé stýrtur fyrir hvert gagnatriði, og netþjónahliðarsíu uppfyllir þessa kröfu að fullu. Að gera birtu reitina staðfestan umfram þetta er okkar ákvörðun og ekki einungis formsatriði sem krafist er af neinni eftirlitsstofnun. Við teljum að fyrirhöfnin sé réttlætanleg, því meginmarkmið undirritaðs vegabréfs er að enginn þurfi að treysta vettvangi - með því að fjarlægja milliliðinn endurheimtir maður einmitt það traust. Staða þessara staðla er rakin í grein okkar um samræmda staðla.
Hvað er eiginlega öðruvísi við þennan netþjónahliðar síu?
Það skiptir ekki máli hver sér hvað, heldur hvað er móttekið. Báðar aðferðirnar sýna lesandanum nákvæmlega þau svæði sem hann hefur rétt á. Með netþjónasíun berst útdrátturinn óundirritaður, svo lesandinn þarf að treysta því að netþjónninn hafi verið valinn í góðri trú og að ekkert hafi verið breytt á leiðinni. Með staðfestingu reit fyrir reit berst sama útdrátturinn með staðfestingu sem hægt er að rekja utan netsins aftur til opinbers lykils útgefandans, án þess að nokkur þurfi að spyrja okkur. Fyrir almennan upplýsingablað er munurinn hreint fræðilegur; en fyrir verðmatið sem endurvinnslufyrirtæki byggir verð á notaðri rafhlöðu á, er þetta kjarni málsins.
Þurfa lesendur sérstakan hugbúnað fyrir þetta?
Nei. Aðgangurinn er áfram staðfestanlegur skilríkki í JSON-LD, og sönnunin er opinber W3C dulkóðunarsafn ‘ecdsa-sd-2023’, svo hvaða staðlað samhæft staðfestitæki sem er getur staðfest það. Opna forritið okkar til að skoða skjöl, Transpareo Time Machine, staðfestir hverja undirskrift í vafranum hjá lesandanum án þess að hafa samskipti við einn af netþjónum okkar, og er sérstaklega hannað til að takast á við einfaldar undirskriftir í öllu skjalinu. Staðfestingartæki sem samþykkir eingöngu aðferð okkar væri tæki fyrir okkur og engan annan.
Fyrir hvern eru vernduðu reitirnir í raun afhentir?
Ekki hinn tilviljunarkenndi kaupandi - henni er útvegað almenningsleyfi. Þetta er viðgerðarverkstæðið með skráða lögmæta hagsmuni, endurnýjunaraðilinn sem metur verðmæti notaðs rafhlöðupakka, endurvinnsluaðilinn sem flokkar efnafræðileg efni, tryggingafélagið sem verðleggur áhættu og yfirvöldin sem byggja mál - hagsmunaaðilar sem ákvarðanir þeirra byggjast á peningum eða öryggi. Reglugerð ESB um rafhlöður gerir ráð fyrir einmitt þessum stigum. Á sama tíma eru þetta einmitt þeir hagsmunaaðilar sem, samkvæmt hefðbundinni nálgun, fá engin gögn um þau svæði sem ákvarðanir þeirra byggjast á.
Við birtum aðeins opinber gögn. Þurfum við að gera það?
Líklega ekki, og við erum nokkuð opin um það. Undirskrift sem nær yfir allt skjalið, með eddsa-jcs-2022 dulkóðunarpakkanum, nær yfir passu sem öll reitir þess eru opinberir, og hún er mun ódýrari í uppsetningu og rekstri. Opinberun reit fyrir reit verður þess virði um leið og annar markhópur kemur inn í myndina, svo sem viðgerðanet, endurvinnslufyrirtæki eða opinber yfirvöld sem annars fengju óundirritaða útdrætti. Báðar aðferðirnar eru opnar W3C-tilgreiningar og báðar eru nú þegar í notkun í Time Machine, á “passporti” T-skyrtunnar og á “passporti” rafhlöðunnar.
Er hægt að eyða persónuupplýsingum síðar án þess að ógilda vegabréfið?
Já, og þessi þáttur er í raun krafist samkvæmt Evrópulögum. Almenna persónuverndarreglugerðin veitir fólki rétt til að persónuupplýsingar þess verði eytt, og gagnaskrá sem er undirrituð sem “block” getur ekki uppfyllt þessa kröfu án þess að eyðileggja eigin undirskrift. Vegna þess að hvert reiti er hér skilgreindur sérstaklega er hægt að fjarlægja einn reit á meðan allt annað er áfram staðfestanlegt - engin endurútgáfa, engin sundurleit útgáfusaga. Reglugerðarreitir sem lögin krefjast að séu varðveittir haldast óbreyttir.
Hver heldur undirskriftarlyklinum?
Hver passi inniheldur tvö sönnunargögn, og eitt þeirra getur orðið þitt. Hver útgáfa krefst einnig skammtímalegs lykils sem undirritar einstök reiti sem á að birta; útgefandinn býr til þennan lykil og hleypur frá honum sjálfur, því ef við héldum honum gætum við búið til einstaka reiti afturvirkt, og sjálfstæði undirskriftar útgefandans væri einungis fullyrt. Við staðfestum sönnunina sem berst með því að bera hana saman við geymda opinbera lykilinn áður en við treystum henni. Hver vegabréf ber því tvær sannanir frá tveimur sjálfstæðum yfirvöldum, bæði fyrir einstaklingsbundið birt svið og fyrir allt gagnasafnið.
Verður vegabréf enn gildt eftir tíu ár?
Þetta er einmitt þar sem vinnan liggur. Válokkun birtingar byggir á efni skjals frekar en á bætum þess; því þarf sama staðlaða sniðið að vera endurskapað staf fyrir staf tíu árum síðar. Þrír þættir brjóta þetta reglu, og við höfum stöðvað alla þrjá í fæðingu - hvert gildi er skrifað með gerð sinni, og birtingu er hætt ef ógerðartala kemur fyrir; hvert orðasafn er geymt staðbundið og er aldrei sótt yfir netið; og hver hnútur ber stöðugan auðkenni til að tryggja að staðlaða formið haldist endurgeranlegt. Óbreytanlegi tíu ára skjalasafnið hefur verið sett upp og tekur gildi um leið og vegabréfin eru skráð í ESB-skrána, sem hefur verið í rekstri frá 20. júlí 2026 samkvæmt framkvæmdarreglugerð (ESB) 2026/1778. Lesið meira um þetta í greiningu okkar á Reglugerðinni um skráningu.
