Stafrænn vörupassi sýnir ekki sömu upplýsingar fyrir alla. Kaupandi sér opinber gögn. Viðgerðar- eða endurnýjunaraðili sér meira. Markaðseftirlitsyfirvald sér allt. Þetta hefur verið skýrt og evrópskir staðlar kveða nú skýrt á um það.
Áhugaverðari spurningin er þó rólegri: ef einhver fær aðgang að vernduðum reitum handan opinberra gagna, getur hann staðfest að þessir tilteknu reitir séu ekta? Eða þarf hann að treysta því að vettvangurinn hafi valið þá rétt og miðlað þeim óbreyttum?
Ímyndaðu þér löggiltan sýslumann sem vottar ekki bréfið í heild, heldur hvern kafla fyrir sig. Allir fá opinbera útgáfu bréfsins. Sá sem á rétt á meira fær viðbótarkaflana, og hver og einn þeirra ber ennþá stimpl sama löggilda sýslumannsins. Svona höfum við byggt vettvanginn okkar. Fyrir flestar vélar er hreinskilna svarið við spurningunni hér að ofan: traust. Fyrir okkur er það: sönnun, fyrir hvert reit sem er aðeins bætt við við birtingu. Þessi grein útskýrir hvers vegna þessi munur skiptir máli og hvers vegna við höfum valið þann tímafrekari kost.
Allir fara eftir aðgangsreglunni á sama hátt
EN 18239, evrópskur staðall fyrir aðgangsréttindi, öryggi og trúnað í DPP, krefst þess að aðgangi sé stýrt reit fyrir reit: fyrir hvern reit er til regla sem kveður á um hverjum er heimilt að skoða hann. Þetta er rétt krafa og ekki erfitt að uppfylla. Við höfum lýst stöðu þessara staðla í grein okkar um samræmda staðla.
Algengasta leiðin til að framfylgja þessu er með síu á netþjóninum. Netþjónninn veit hver gerir beiðnina, athugar hvað viðkomandi hefur heimild til að sjá og skilar nákvæmlega þeim hluta. Staðallinn krefst ekki neins meira. Lesandinn þarf að treysta því að netþjónninn hafi valið efnið heiðarlega og breytt ekki neinu á leiðinni. Fyrir almennan upplýsingabækling er það ásættanlegt. En þegar um er að ræða gildi sem endurunnandi byggir verð á notaðri rafhlöðu á, er það mikið til að treysta á.
Það er einn hnökri sem staðallinn tekur ekki á: útdrátturinn berst án innsigs.
Augljósa lausnin er að undirrita gögnin. Í hvorum enda litrófsins virkar venjuleg undirskrift vel: undirrita almennu yfirlitið; undirrita heildar gagnasafnið. Hvernig þetta virkar nánar er útskýrt í kaflanum ” í DPP. Það er í miðjunni sem hlutirnir fara úrskeiðis. Undirskrift sem nær yfir allt skjalið nær nákvæmlega til þeirra reita sem voru til staðar þegar undirritað var. Ef verndaður reitur er aukalega afhentur heimildarlesanda, liggur sá reitur utan þess undirritaða settis og berst til hans óundirritaður. Enginn undirritar fyrirfram allar hugsanlegar ‘hver-sér-hvað’ samsetningar; fjöldi samsetninga eykst veldisvísislega. Þá er fallið aftur á síuna án stimplunar, og millistigið treystir á ný á traust.
Undirritun hvers reits fyrir sig
Það er til betri hönnun, og það er hún sem við byggjum vettvanginn á. Í stað þess að undirrita fullbúið skjal sem eina einingu tilgreinir höfundurinn hvert reit fyrir sig í einni ferð (fyrir þá sem þekkja staðla: W3C-ferlið ecdsa-sd-2023).
Skoðun byrjar því alltaf með sömu opinberu reitunum. Allt annað sem lesandi sér er bætt við reit fyrir reit, og hver og einn þessara reita rekja má áfram til opinbers lykils framleiðandans, utan netsins, án þess að þurfa að undirrita aftur og án þess að treysta á aðilann sem setti skoðunina saman. Reitirnir sem ekki hafa gilt kröfu eru einfaldlega fjarverandi. Ekki hulinir, heldur alveg horfnir, og ekkert um þá lekur í gegn.
Eitt dæmi: viðgerðarstöðin
Viðgerðarstöð hefur lýst lögmætum hagsmunum varðandi rafhlöðu, einu af aðgangsstigum sem sérstaklega er kveðið á um í Reglugerð um rafhlöður. Verkstæðiskerfi þess skráir sig inn í viðmót okkar með lykli sínum og sækir aðgangslásinn. Svarið er sami almenni aðgangslásinn sem kaupandinn sér, með einu auka reit: leiðbeiningum um sundurliðun, sem eingöngu eru gerðar aðgengilegar löggiltum lesendum. Enginn annar skjali, engin sérútgáfa.
Áður en verkstæðið treystir á þetta reit, staðfestir hugbúnaður þess afhentan stimplunarlykil með opinbera lykli framleiðandans. Ef staðfestingin tekst - einnig fyrir viðbótarreitinn - veit það að þessar leiðbeiningar koma nákvæmlega frá framleiðandanum, staf fyrir staf, og að enginn á leiðinni hafi breytt þeim. Ef staðfestingin mistekst, setja þeir skjalið til hliðar í heild. Að tryggja að þeir fái nákvæmlega þau reiti sem þeim ber réttur til er áfram verkefni aðgangsstýringarkerfis okkar. Það sem er nýtt er skrefið sem tekur við: þeir athuga sjálfir hvort það sem þeir fá sé ekta, án þess að hafa samráð við okkur.
Af hverju er “órofin” meginmálið
Órofin innsigli þýðir ekki að efnið sé satt. Það segir: þetta er nákvæmlega það sem skapari skráarinnar skrifaði, og enginn hefur breytt einni einustu stöfu síðan þá. Þetta þýðir að allir sem einungis hafa miðlað skjalinu eru útilokaðir úr traustspurningunni: skyndiminnið, netið, skjalasafnið, við.
Það skiptir ekki lengur máli hver gaf þér vegabréfið.
Og innsigli er tvígilt. Annaðhvort er það ónært eða ekki; það er ekkert sem heitir hálfbrunnið innsigli. Þess vegna skiptir ekki máli hvort viðbótarreitirnir berist með eða án innsiglis síns: án innsiglis eru þeir ekki bara aðeins óöruggari - þeir eru alls ekki giltir.
Báðar aðferðirnar til skoðunar
Allir geta sannreynt þetta sjálfir. Transpareo Time Machine er opinn hugbúnaður okkar til að skoða vörupassa: hann flettir í gegnum útgáfusögu passans og endurreiknar allar undirskriftir í vafrinum hjá notandanum án þess að hafa samskipti við einn af netþjónum okkar. Ferðaskírteini T-skyrtunnar inniheldur undirskrift sem nær yfir allt skjalið, en ferðaskírteini rafhlöðunnar notar staðfestingu reit fyrir reit.
Báðir eru opnir W3C-staðlar; allir geta innleitt þá. Undirritunin sem nær yfir allt skjalið er mun ódýrari í uppsetningu og rekstri, og hver sem veitir eingöngu opinber gögn getur notað hana. Það er með vilja gert að Time Machine styður báðar aðferðirnar: ferðaskírteinið er áfram í staðlaðu sniði sem hvaða hentugt tæki sem er getur staðfest, ekki bara okkar.
Hver græðir á þessu og hvað krefst staðallinn?
Hverjum, fyrir utan þá sem fá aðgang að opinberum gögnum, er í raun veitt frekari upplýsinga? Ekki venjulegum kaupanda. Það er vinnsluaðilinn sem metur verðmæti notaðs rafhlöfubúnaðar, tryggingafélagið sem metur áhættu, endurvinnslufyrirtækið sem flokkar efni og yfirvöldin sem byggja upp mál. Lesendur sem ákvarðanir þeirra snúast um peninga eða öryggi. Og, samkvæmt venjulegri nálgun, eru þetta einmitt þeir lesendur sem fá ekki merki fyrir þau reiti sem ákvarðanir þeirra byggja á. Við teljum að gæðamerki eigi að merkja það sama fyrir alla: að hver reitur sem birtur er komi frá framleiðanda og að honum hafi ekki verið breytt síðan. Vottun sem gildir aðeins um opinberu reitina er aðeins hálf vottun.
Til að hafa það á hreinu: ekkert af þessu er skylda. EN 18239 krefst þess að aðgangi sé stjórnað, og síuvirkni á netþjóninum gerir það fullkomlega. Við leggjum okkur fram um að gera birtu reitina staðfestanlega, því meginmarkmiðið með undirritaðri heimild er að enginn þurfi að treysta vettvanginum. Að undanskilja millilagið endurvekur einmitt það traust sem undirskriftin var ætluð til að útrýma.
Sama meginregla gerir kleift að sleppa reit
Að tilgreina hvern ## reitfyrir sig felur í sér aðra einkenni, og þetta er í raun krafist samkvæmt evrópskum lögum. Almenn persónuverndarreglugerð veitir fólki rétt til að persónuupplýsingar þess verði eytt. Gagnaskrá sem undirrituð er sem ein heild getur ekki uppfyllt þetta án þess að eyðileggja eigin undirritun.
Þar sem hvert reit er hér sjálfstætt er hægt að fjarlægja einn reit á meðan allt annað er áfram gilt. Ef persónuupplýsingar berast fyrir slysni í vegabréf er hægt að fjarlægja þær hreint út og vegabréfið gildir áfram: ekki þarf að endurgefa það og engin truflun verður á sögu þess. Reitir sem lög krefjast að varðveita eru áfram á sínum stað; allt sem hægt er að eyða má eyða eftir beiðni, jafnvel mörgum árum síðar.
Af hverju þetta er erfitt og hvernig við leystum það
Við fundum ekki upp ferlið; það er opinber W3C-staðall. Það er ekki erfitt að koma með hugmyndina. Erfiðleikarnir felast í því að byggja það upp á þann hátt að vegabréf verði enn gilt eftir tíu ár. Staðlað undirskrift er reiknað út frá bætum skjals. Undirskriftin fyrir hvert reit er reiknuð út frá einstökum smáatriðum þeirra, og til þess er vegabréfið umbreytt í fast snið áður en undirritað er, þar sem hvert smáatriði birtist sem sérstök setning. Þetta snið þarf að endurskapa staf fyrir staf eftir tíu ár; annars mun enginn stimplun passa. Þrír áberalausir þættir standa í vegi fyrir þetta, og við höfum tekist á við alla þrjá frá rót.
Tölur missa tegund sína. Gildi eins og 2.0 skilar sér sem 2 eftir að hafa farið í gegnum staðlað gagnsnið. Fyrir manninn er þetta það sama; fyrir fasta tákningu er þetta hins vegar annað gildi. Með kerfi okkar er hvert gildi vistað með tegund sinni, og birtingu er hætt um leið og ein einasta tala án tegundar kemur fram.
Viðmiðin ein og sér mynda ekki merkingu. Hvert reitnafn verður að vísa til einstaks merkis í orðasafni; annars hverfur reiturinn hljóðlega við umbreytingu og stimplunin nær ekki til hans. Hjá okkur er hvert orðasafn geymt staðbundið og er aldrei sótt yfir netið; Óþekkt reitnafn stöðvar undirskriftarferlið, í stað þess að skila þögullega tómum niðurstöðum.
Færslur krefjast föstu nafna. Hver færsla í skjalinu hefur fasta auðkenningu, sem tryggir að skráningin sé sú sama í hverri keyrslu, í stað þess að úthluta nýjum tímabundnum nöfnum í hvert sinn.
Flóknasta hlutverkið felst í eigin lykli framleiðandans. Fyrir hverja útgáfu þarf aukalykil sem gildir skamman tíma, sem notaður er til að undirrita hvert birtivert reiti fyrir sig. Framleiðandinn býr til þennan lykil og hleypur frá honum sjálfur. Ef við ættum hann gætum við búið til einstaka reiti afturvirkt. Öll vegabréf bera tvö slík innsigli: eitt frá framleiðandanum og eitt frá Transpareo, jafnvel fyrir eitt einasta reit sem birtur er.
Fyrir okkur er þetta vel þess virði. Hvert vegabréf er undirritað við útgáfu og keðjuð við fyrri útgáfu, og óumbreytanleg tíu ára skjalasafn tekur gildi um leið og vegabréfin eru skráð í EU DPP-skrána. Að undirrita hvert reiti fyrir sig fremur en allan blokkinn er framlenging á þessum kjarnareglum, ekki viðbót.
Staða okkar
Við höfum valið sönnun fyrir hvern lesanda, því stimplun ætti að merkja eitt og hið sama, óháð því hver skoðar hana. Fyrir þá sem vilja sjá þetta í verki: hægt er að staðfesta tvö sýnishorns-passaskjöl sem tengd eru hér að ofan beint í vafranum, án þess að senda fyrirspurn á netþjón.
Spurningar um þessa færslu
Kveður staðall á um undirritun reit fyrir reit?
Nei. EN 18239, evrópskur staðall um aðgangsréttindi í DPP, krefst þess að aðgangi sé stjórnað reit fyrir reit, og síu á netþjóninum uppfyllir þetta skilyrði að fullu. Að gera birta reiti staðfestanlegra umfram þetta er okkar ákvörðun og ekki krafa neins eftirlitsaðila sem við verðum að uppfylla. Við teljum að fyrirhöfnin sé réttlætanleg, því meginmarkmið undirritaðs aðgangs er að enginn þurfi að treysta vettvanginum. Staða þessara staðla er rakin í grein okkar um samræmda staðla.
Við birtum aðeins opinber gögn. Þurfum við að gera það?
Líklega ekki, og við erum nokkuð opin um það. Undirskrift sem nær yfir allt skjalið felur í sér vegabréf, þar sem öll reitir eru opinberir, og það er mun ódýrara í uppsetningu og rekstri. Undirritun reits fyrir reit verður hagkvæm um leið og annar markhópur kemur inn, til dæmis viðgerðanet, endurvinnslufyrirtæki eða opinber yfirvöld, sem annars fengju afhenta útdrætti án innsigs. Báðar aðferðirnar eru opnar W3C-staðlar (ecdsa-sd-2023 fyrir undirritun reit fyrir reit); hvaða tól sem styður staðalinn getur staðfest þær, og báðar eru nú í gangi í Transpareo Time Machine - á “passporti” T-skyrtunnar og á “passporti” rafhlöðunnar.
Er hægt að eyða persónuupplýsingum síðar án þess að ógilda vegabréfið?
Já, og þessi þáttur er í raun krafist samkvæmt evrópskum lögum. Almenn persónuverndarreglugerð veitir einstaklingum rétt til að persónuupplýsingar þeirra verði eytt, og gagnaskrá sem er undirrituð sem “block” getur ekki uppfyllt þessa kröfu án þess að eyðileggja eigin undirritun. Vegna þess að hvert reiti er hér skilgreint sérstaklega er hægt að fjarlægja einn reit á meðan allt annað helst gilt, án þess að þurfa endurútgáfu eða trufla útgáfusögu. Reitirnir sem lögin krefjast að halda til haga verða áfram til staðar.
Hver heldur undirskriftarlyklinum?
Hvert vegabréf ber tvö stimplamerki, og eitt þeirra getur orðið þitt. Hver útgáfa krefst einnig skammlífs lykils sem undirritar hvert reit sem á að birta fyrir sig; framleiðandinn býr til þennan lykil og hentar honum burt sjálfur, því ef við ættum hann gætum við búið til einstaka reiti afturvirkt. Við staðfestum endurkomna stimplunina með því að bera hana saman við geymda opinbera lykilinn áður en við treystum henni. Þannig ber hvert vegabréf tvo stimpla frá tveimur sjálfstæðum aðilum, annars vegar fyrir einstaklingsbundið birt svið og hins vegar fyrir allt gagnasafnið.
Verður vegabréf enn gildt eftir tíu ár?
Þetta er einmitt þar sem viðleitnin liggur. Undirskriftin reiknuð fyrir hvert svið er byggð á einstökum smáatriðum skjalsins fremur en á байтunum; því þarf sama fasta framsetningin að vera endursköpuð staf fyrir staf tíu árum síðar. Þrír þættir ógna þessu, og við höfum tekist á við alla þrjá í kjarna þeirra. Öll gildi eru geymd með tegund sinni; öll orðasöfn eru hýst á netþjónum okkar og eru aldrei sótt yfir internetið; og hver færsla ber fasta auðkenningu. Óumbreytanlegi tíu ára skjalasafnið er nú komið á fót og tekur gildi um leið og vegabréfin verða skráð í ESB-skrána. Lestu meira um þetta í greiningu okkar á Reglugerð um skrá.
