Transpareo Time Machine

DPP用のタイムマシン

ある製品を手に取り、そのQRコードをスキャンすると想像してみてください。PDFファイルが開く代わりに、小さなアプリが起動します。その製品に関する「今」の情報が表示されます - 素材、原産地、注意すべき点などです。スワイプするだけで時間を遡り、これまでにリリースされたすべてのバージョンを確認できます。

こちらが Transpareo Time Machine、あらゆるデジタル製品パスポートに対応した、私たちのオープンソースの消費者向けアプリです。ソースコードはGPL v3の下で、GitHubに公開されています。

私たちがこれを開発したのは、EUのデジタル製品パスポートに関する規制が、消費者 - つまり製品を手にしている人 - のために策定されたものだからです。多くのプロバイダーはこれを、誰も二度とスキャンすることのないコンプライアンス用の書類として扱っています。私たちは、消費者が実際に開いて使うアプリに仕上げました。

例

ぜひご自身の目でお確かめください

サンプル製品パスポートは完全な内容となっており、架空のデータが入力されています。バージョン履歴を閲覧したり、検査ステッカーを開いたりすることができます。アカウント登録なしで、ブラウザ上で直接ご利用いただけます。

使用方法

このアプリの機能

製品を手にしている人の視点から見た4つの接点。ログインもアプリのインストールも不要。

スキャン

スマートフォンのカメラでQRコードをスキャンしてください。ブラウザでアプリが開きます。

そもそもなぜ

EUの「デジタル製品パスポート」に関する規則は、ここ数十年間で製品の透明性に向けた最大の転換点です。その基礎となる文書を注意深く読めばわかるように、この規則は明確に消費者のために策定されたものです。行政機関、リサイクル業者、修理工場もこれに対応することになりますが、その主な対象となるのは、製品を手にしている消費者ご自身です。

数字の上では、事態は明らかです。この10年の終わり頃には、平均的なヨーロッパの一般市民は、年間数十から数百もの製品パスポートをスキャンできるようになるでしょう。 2億世帯で計算すると、年間で数十億件もの消費者とのやり取りが発生することになります。それに比べ、行政機関やリサイクル業者によるやり取りは、数の上ではごくわずかなものです。

この規則を消費者に浸透させるためには、消費者向けサイトが適切に構築されている必要があります - 迅速で、見やすく、一貫性があることが求められます。そうでなければ、その目的は達成されません。

私たちは、特定のプロバイダーに依存しないよう、この消費者向けサイトをオープンソースで構築することを決定しました。

その経緯は規定通りですが、マニフェストは私たちが作成したものです

製品パスポートの内容は変化します。修理、リサイクル率の変更、リコールなどがその例です。そのため、仕様では過去の状態を引き続き参照可能にしておくことが求められています。保存に関する規格では各バージョンを固定し、インターフェースに関する規格では各バージョンを個別に読み取れるように規定しています。しかし、仕様で明確にされていないのが、その「間」の部分、つまりパスポートの全バージョンを一つの歴史として結びつけるリストです。 Transpareoは、各パスについてこれをマニフェストとして公開しており、署名され、各バージョンはフィンガープリントによってその前のバージョンと連鎖されています。これにより、タイムマシンが製品の歴史を遡ることができ、読者はそのバージョンが本物であるかどうかだけでなく、それが途切れることのない一連のバージョンのうち、最新のものであるかどうかも確認することができます。

ただし、アプリはそれに固執するわけではありません。マニフェストの代わりに、各プロバイダーがオープンスタンダードに従って公開しているような単一のパスを見せると、アプリはその1つのバージョンを表示し、署名があればそれを検証し、タイムラインは単に省略します。署名のないパスはエラーとはみなされず、単に検証シールなしで表示されます。このように、このアプリはTranspareoに登録されたことのないパスも同様に表示します。

サービスプロバイダーの変更もスムーズ

EUの「デジタル製品パスポート」に関する規則では、相互運用可能でオープンスタンダードに基づいた製品パスポートが求められています。つまり、特定のプロバイダーに縛られることなく、サービスやシステム間で転送可能なものでなければなりません。したがって、サービスプロバイダーからの独立性は単なる付加機能ではなく、要件の一部なのです。

Transpareo Time Machine この作品は、その要件を具体的に具現化したものです。すべての製品パスポートがオープンスタンダードで提供されているため - リゾルバーに依存しない識別、正規化されたシリアライズ、公開された鍵 - 、またレンダラーがGPL v3の下でオープンソース化されているため、パスポートの表示は決して当社のプラットフォームに依存することはありません。

製品パスポートの責任を負うのは、経済事業者（製造業者、輸入業者、または指定代理人）です。仮にTranspareoを離れて別のプロバイダーに切り替えることを決定した場合でも、表示は安定して維持されます。すでに公開されたバージョンとその履歴は、同じオープンソースのレンダラーによって変更されることなく引き続き表示され、同じオープンスタンダードに対応する新しいプロバイダーも、まったく同じアプリによって表示されます。

データはそのまま移行されるため、消費者に不連続性は生じず、誰も移行を待つ必要はありません。

移行作業そのものはプロジェクトではありません。「Transpareo Time Machine 」は静的なバンドルです。一度ビルドして、任意のウェブサーバーにコピーすれば、完了です。 Transpareoでパス用に設定されたデザインは、公開されたスタイルシートとして各パスに組み込まれます。そのため、お客様が慣れ親しんだパスの表示は、色、フォント、ロゴを含め、ご自身のサーバー上でもまったく同じように表示されます。

当社のサーバーではなく、ブラウザ上で検証済み

各製品パスポート上部には、「 Transpareoによる検証済み」というバッジが表示されます。これは、当社のサーバー上ではなく、訪問者のブラウザ上で、読み込まれたバイトデータと発行者の公開鍵に基づいて行われる検証の結果を示しています。

各DPPバージョンには、発行者とTranspareoという、互いに独立した2つの機関による署名が付与されています。バッジが緑色になるためには、両方の署名が検証可能でなければなりません。「Bring Your Own Key（BYOK）」方式により、発行者は独自の署名エンドポイントを運用しています。Transpareoは秘密鍵を一切保持せず、独立した対署名のみを追加します。これにより、Transpareo自体では生成できない発行者署名が作成されます。

サーバーが侵害されても、チェックマークを偽造することはできません。なぜなら、検証は訪問者自身によって行われるからです。

詳細を知りたい方は、バッジをクリックしてください。クリックすると、署名チェーン、ハッシュ値、および連鎖されたバージョン履歴が表示されます。情報だけを知りたい方は、それを無視して、製品パスポートの続きをお読みください。

この検証機能は、独立したページとしてもご利用いただけます。DPP検証に、任意の製品パスポートのマニフェストURLを入力するだけで、パス自体を開くことなく、完全な検証結果を確認できます。

このコードを公開します

Transpareo Time Machineは、GitHub上のGPL v3の下で公開されています。公開された改変版もGPL v3の下で公開される必要があり、それによってさらなる開発が一般に役立つようにするためです。

クローン、フォーク、自己ホスティング - すべて許可されています。

アプリをどのように組み込むか（ページに1行追加する場合、独自のアプリケーションにパッケージとして組み込む場合、あるいは完全に自己ホスティングする場合など）については、そちらのREADMEに記載されています。また、READMEには、DPP検証で稼働中の、署名検証のみを行う姉妹プロジェクトについても記載されています。

このアプリを効果的に活用している人

このアプリは、主に一般消費者向けに開発されました。しかし、製品データを独自に確認・検証したい方ならどなたでもご利用いただけます。

一般消費者は、スキャン、閲覧、スクロール、共有が可能です。ログイン不要、トラッカーも一切ありません。
市場監視機関や行政機関は、ソースコードが公に監査可能なソフトウェア上で製品パスポートを確認できます。
修理店やリサイクル業者は、製品本体で直接、材料構成や分解手順を確認できます。
ブランドやフォーク運営者は、CSSトークン、独自のコンポーネント、セルフホスティングなどを活用して、バンドルを自社ブランドに合わせてカスタマイズできます。

もしTranspareoがなくなったらどうなるのでしょうか

EUでは、登録された製品パスポートは、発行者の破産や清算後も、少なくとも10年間は利用可能であることが求められています。SaaSプロバイダーがこれほど長く存続することはめったにありません。そのため、当社は当初から、当社とは無関係に製品パスポートが利用し続けられるよう、プラットフォームを構築しています：

署名済みの各DPPバージョンは、誰でも閲覧可能なストレージに保存されます。データ（バイト）と公開鍵さえあれば、後日検証を行うのに十分です。
製品パスポートがEU登録簿に登録されると、書き込み禁止のセカンドストレージが、各DPPバージョンおよびイベントログをさらに10年間にわたりミラーリングします。当社を含め、いかなる者も、これらのミラーコピーを事後に変更することはできません。
解約後も、短い製品パスポートURLは、リダイレクトを通じてTranspareoプラットフォーム上で引き続きアクセス可能です。
Transpareo Time Machineは、アーカイブされたデータに対しても変更なく動作します。このバンドルは実行時に当社を呼び戻すことはなく、必要なのはバイトデータと鍵だけです。

仮に明日Transpareoプラットフォームが消滅したとしても、DPPの各バージョンとオープンソースのレンダラーは残ります。

テクノロジーに興味のある方へ

ここでは、内部で何が起きているかを説明します。詳細を知る必要がない方は、このセクションをスキップしても構いません。アプリは問題なく動作します。

GS1 Digital Link(ISO/IEC 18975)：製品パスポートURLには、標準化された形式で製品識別子が含まれています。これはリゾルバーに依存せず、プロバイダー間で互換性があります。
JSON Canonicalization Scheme(RFC 8785)：決定論的なシリアライゼーションです。これにより、フィールドの順序や空白に関係なくハッシュを再現可能にし、誰でも自分で再計算できるようになります。
W3C Data Integrity Proofs(eddsa-jcs-2022)：正規化された形式（JCS）に対するEd25519署名。
/.well-known/dpp-keys/(RFC 8615): 発行者の公開鍵は標準化されたパス下に配置されており、Transpareoへの問い合わせは不要で、検証者は誰でも自分で見つけることができます。

すべてはGitHub上のREADMEに記述されています。これには、フロントエンドのアーキテクチャ（独自のリアクティブコアを採用し、外部フレームワークは一切使用していません）や、セルフホスティングのためのビルド手順も含まれています。