Skaitmeninis produkto pasas turi išlikti patikrinamas dešimt metų ir ilgiau. Programinės įrangos platforma retai veikia taip ilgai. Šis prieštaravimas turi aiškią pasekmę: pasitikėjimas DPP neturi priklausyti nuo tiekėjo, o turi būti susietas su pačiu duomenų rinkiniu. Pasitikėjimas artefaktui, o ne įmonei.
Kaip tai atrodo praktikoje, galima parodyti remiantis keturiais pagrindiniais elementais.
Kiekviena DPP versija yra pasirašoma
Prieš įšaldymą „Transpareo“ patikrina duomenų rinkinį pagal kategorijai būdingus privalomus laukelius (SHACL patvirtinimas). Jei šis patikrinimas nepavyksta, paskelbimas atmetamas - pasirašomas tik išsamus, taisykles atitinkantis pasas.
Paskelbus DPP, „Transpareo“ įšaldo jo turinį kaip DPP versiją ir pasirašo ją dviem nepriklausomais raktas: vienu - išdavėjo, kitu - „Transpareo“. Naudodamas „Bring Your Own Key“ (BYOK) funkciją, išdavėjas valdo savo paties parašo galinį tašką - „Transpareo“ niekada nesaugo privataus rakto ir tik prideda nepriklausomą priešingą parašą, todėl išdavėjo parašas yra toks, kurio „Transpareo“ pats negali sukurti.
Naudojamas W3C sertifikatas ecdsa-sd-2023 su ECDSA, taikant P-256 kreivę, apskaičiuotą pagal duomenų rinkinio kanoninę formą (RDF kanonizacija į N-Quads). Dvi parašai, dvi viena nuo kitos nepriklausomos institucijos.
Ši procedūra taikoma kiekvienam duomenų rinkinio teiginiui atskirai, o ne visam dokumentui kaip vienam blokui. Todėl net ir laukai, kurie papildomai atskleidžiami remonto įmonei ar valdžios institucijai, toliau turi tą patį įrodymą - be pakartotinio pasirašymo. Kodėl mums tai svarbu, paaiškinta straipsnyje selektyvus atskleidimas.
Patikrinimas atliekamas peržiūrinčiojo naršyklėje. Atviro kodo rendereris „Transpareo Time Machine“ įkelia baitus, iš naujo apskaičiuoja hashą ir patikrina abu parašus, nesikreipdamas į mūsų serverį. Kas nori, gali perskaityti kodą.
Išduotojo tapatybė nurodyta jo pačio domeno svetainėje
Kad tikrintojas galėtų rasti viešuosius raktus, kiekvienas išdavėjas savo tapatybę skelbia kaip DID:web savo domeno svetainėje, kurią galima rasti pagal aiškiai apibrėžtą adresą /.well-known/. Sąmoningai nenaudojamas klasikinis X.509 tipo sertifikatas: sertifikatų grandinės netenka galiojimo per dešimtmečius, o HTTPS adresas savo domeno svetainėje išlieka patikimas ir jūsų kontroliuojamas.
Jei raktas keičiamas, senesni parašai išlieka patikrinami - senasis raktas ir toliau patvirtina tai, ką jis kadaise pasirašė, tačiau nepasirašo naujų dokumentų. O kadangi išdavėjas, pakeitęs paslaugų teikėją, galėtų perkelti savo domeną, „Transpareo“ kiekvieną viešąjį raktą jo paskelbimo metu atspindi nuolatinėje vietoje. Taigi kiekviena DPP versija išlieka patikrinama, net jei pradinis serveris kada nors išnyks.
ES registracija turi kvalifikuotą elektroninį antspaudą
Pateikimas į būsimą ES DPP registrą reikalauja daugiau nei įprasto parašo: Kiekviena registracija turi būti patvirtinta kvalifikuotu elektroniniu antspaudu (QES) pagal eIDAS reglamentą 910/2014. QES yra pagrįstas aparatine įranga ir susietas su patikrintu juridiniu asmeniu - tai aukščiausias pasitikėjimo lygis, numatytas ES teisėje.
Ši kvalifikuotojo elektroninio parašo funkcija bus įdiegta, kai tik bus galutinai patvirtintas eIDAS teisės aktas ir registro sąsaja. „Transpareo“ šiam tikslui teiks savo antspaudo paslaugą, naudodama nuosavą antspaudo įrenginį ir kvalifikuotą sertifikatą, išduotą „D-Trust“ - kvalifikuoto pasitikėjimo paslaugų teikėjo, - kad išdavėjai, kurie patys nevaldo antspaudo infrastruktūros, galėtų įvykdyti QES reikalavimus be savo aparatinės įrangos.
Archyvas, kuris išliks ilgiau nei paslaugos teikėjas
Kai tik DPP bus užregistruoti ES registre, kiekviena DPP versija bus papildomai archyvuojama dešimt metų be galimybės keisti - nei išdavėjas, nei „Transpareo“ negalės jos pakeisti vėliau. Kad šis archyvas išliktų prieinamas net ir tuo atveju, jei vieną dieną „Transpareo“ nebeegzistuotų, jo finansavimas užtikrinamas notariškai patvirtintu indėliu Šveicarijoje. Taigi šis įsipareigojimas dėl ilgalaikiškumo yra ne tik techninis, bet ir sutartinis.
Kaip trečioji šalis tikrina pasą - visiškai be mūsų
Lemiamas pasitikėjimo šiuo artefaktu testas yra tai, ar kas nors gali patikrinti pasą be mūsų infrastruktūros. Eiga:
- Gauti DPP versijos baitus iš bet kurio šaltinio (CDN, viešojo archyvo, ES registro ar trečiosios šalies archyvo)
- Duomenų rinkinį paversti kanonine forma (RDF kanonizacija į N-Quads) ir apskaičiuoti jo hashą
- Atsisiųsti išdavėjo ir „Transpareo“ viešuosius raktus naudodamiesi pase nurodytais adresais
- Patikrinti abu parašus pagal hashą - jei abu sutampa, pasas yra autentiškas ir nepakeistas
Nereikia prisijungti, skambinti į „Transpareo“, nepriklausoma nuo veikiančios platformos.
Kas veikia šiandien ir kas yra paruošta
Parašai, naršyklės patikrinimas, „DID:web“ tapatybė ir „Bring Your Own Key“ (BYOK) jau naudojami. Sukurtas nepakeičiamas dešimties metų archyvas, kuris pradės veikti, kai tik DPP bus įregistruoti ES registre. Kvalifikuoto elektroninio parašo (QES) galimybė ES registracijai bus numatyta, kai tik bus galutinai patvirtintas eIDAS teisės aktas ir registro sąsaja.
Bet kuriuo atveju principas išlieka tas pats: kas kartą pasirašyta ir archyvuota, lieka patikrinama, nepriklausomai nuo to, kas rytoj valdys platformą.