Digitālajam produktu pasam jābūt pārbaudāmam vismaz desmit gadus un ilgāk. Programmatūras platforma reti kad darbojas tik ilgi. Šai pretrunai ir skaidra sekas: uzticēšanās DPP nedrīkst būt atkarīga no pakalpojuma sniedzēja, bet gan jābūt saistītai ar pašu datu kopu. Uzticēšanās artefaktam, nevis uzņēmumam.
Kā tas izskatās praksē, var parādīt, izmantojot četrus pamatelementus.
Katra DPP versija tiek parakstīta
Pirms fiksēšanas Transpareo pārbauda datu kopu atbilstoši kategorijai specifiskajiem obligātajiem laukiem (SHACL validācija). Ja šī pārbaude neizdodas, publicēšana tiek atteikta - tiek parakstīts tikai pilnīgs, noteikumiem atbilstošs pases dokuments.
Ja DPP tiek publicēts, Transpareo iesaldē tā saturu kā DPP versiju un paraksta to ar divām neatkarīgām atslēgām: vienu no izdevēja, otru no Transpareo. Izmantojot „Bring Your Own Key“ (BYOK) metodi, izdevējs izmanto savu paraksta galapunktu - Transpareo nekad neuzglabā privāto atslēgu un pievieno tikai neatkarīgu pretparakstu, tādējādi izdevēja paraksts ir tāds, ko Transpareo pats nevar ģenerēt.
Tiek izmantota Ed25519 metode, izmantojot datu ieraksta kanonisko formu ( JSON kanonizācijas shēma, RFC 8785). Divas parakstīšanas, divas viena no otras neatkarīgas autoritātes.
Pārbaude notiek skatītāja pārlūkprogrammā. Atvērtā koda renderētājs „Transpareo Time Machine“ ielādē baitus, no jauna aprēķina hašu un pārbauda abas parakstus, nesazinoties ar mūsu serveri. Ja kādam rodas aizdomas, viņš var izlasīt kodu.
Izdevēja identitāte atrodas viņa paša domēnā
Lai pārbaudītājs varētu atrast publiskos atslēgas, katrs izdevējs publicē savu identitāti kā DID:web savā domēnā, kas ir pieejama caur skaidri definētu adresi /.well-known/. Apzināti nav izmantots klasisks sertifikāts X.509 izpratnē: sertifikātu ķēdes zaudē spēku gadu desmitu laikā, bet HTTPS adrese savā domēnā paliek stabila un jūsu kontrolē.
Ja atslēga tiek nomainīta, vecākie paraksti paliek pārbaudāmi - vecā atslēga turpina verificēt to, ko tā kādreiz ir parakstījusi, neparakstot jaunus dokumentus. Un tā kā izsniedzējs pēc pakalpojumu sniedzēja maiņas varētu pārnest savu domēnu, Transpareo katru publisko atslēgu publicēšanas brīdī atspoguļo uz pastāvīgu adresi. Tādējādi katra DPP versija paliek pārbaudāma, pat ja sākotnējais hosts kādreiz pazūd.
ES reģistrācijai ir nepieciešams kvalificēts elektroniskais zīmogs
Pieteikums gaidāmajam ES DPP reģistram prasa vairāk nekā parastu parakstu: Katrai reģistrācijai jābūt apzīmogotai ar kvalificētu elektronisko zīmogu (QES) saskaņā ar eIDAS regulu 910/2014. QES ir balstīts uz aparatūru un piesaistīts pārbaudītai juridiskai personai - tas ir augstākais uzticamības līmenis, kādu paredz ES tiesību akti.
Šī kvalificētā zīmoga funkcija tiks ieviesta, tiklīdz eIDAS tiesību akts un reģistra saskarne būs galīgi apstiprināti. Šim nolūkam „Transpareo“ nodrošinās savu paraksta pakalpojumu, izmantojot pašu pārvaldītu paraksta ierīci un kvalificētu sertifikātu no „D-Trust“ - kvalificēta uzticamības pakalpojumu sniedzēja - , lai ražotāji, kuri paši neapsaimnieko paraksta infrastruktūru, varētu izpildīt QES prasības bez savas aparatūras.
Arhīvs, kas izdzīvo ilgāk par pakalpojuma sniedzēju
Tiklīdz DPP ir reģistrēti ES reģistrā, katra DPP versija tiks arhivēta nemainīgā veidā vēl desmit gadus - ne ražotājs, ne Transpareo to vairs nevarēs mainīt. Lai šis arhīvs paliktu pieejams arī tad, ja kādu dienu Transpareo vairs nepastāvētu, tā finansējums ir nodrošināts ar notariāli apliecinātu noguldījumu Šveicē. Tātad šis solījums ir ne tikai tehnisks, bet arī līgumiski paredzēts ilgtermiņā.
Tādējādi trešā persona pārbauda pasi - pilnīgi bez mūsu iesaistīšanās
Izšķirošais pārbaudes kritērijs, lai uzticētos šim artefaktam, ir tas, vai kāds var pārbaudīt pasi bez mūsu infrastruktūras izmantošanas. Procedūra:
- Iegūt DPP versijas baitus no jebkura avota (CDN, publiskais arhīvs, ES reģistrs vai trešās puses arhīvs)
- Kanonizēt datu kopu un aprēķināt tās hašu
- Iegūt izdevēja un „Transpareo“ publiskos atslēgas, izmantojot pasē norādītās adreses
- Pārbaudīt abas parakstus, salīdzinot ar hašu - ja abi saskan, pase ir autentiska un nav mainīta
Nav nepieciešama pieteikšanās, nav jāzvana uz Transpareo, nav atkarības no darbojošās platformas.
Kas šobrīd darbojas un kas tiek gatavots
Paraksti, pārbaude pārlūkprogrammā, DID:web identitāte un „Bring Your Own Key” (BYOK) jau tiek izmantoti. Ir izveidots nemaināms desmit gadu arhīvs, kas sāks darboties, tiklīdz DPP tiks reģistrēti ES reģistrā. Kvalificētā elektroniskā paraksta (QES) iespēja ES reģistrācijai ir paredzēta, tiklīdz eIDAS tiesību akts un reģistra saskarne būs galīgi apstiprināti.
Princips jebkurā gadījumā paliek nemainīgs: tas, kas reiz ir parakstīts un arhivēts, paliek pārbaudāms neatkarīgi no tā, kas rīt pārvaldīs platformu.