Digitālajam produktu pasam jābūt pārbaudāmam vismaz desmit gadus un ilgāk. Programmatūras platforma reti kad darbojas tik ilgi. Šai pretrunai ir skaidra sekas: uzticēšanās DPP nedrīkst būt atkarīga no pakalpojuma sniedzēja, bet gan no paša datu kopuma. Uzticēšanās ir jābūt veltīta artefaktam, nevis uzņēmumam.
Kā tas izskatās praksē, var parādīt, izmantojot četrus pamatelementus.
Katra DPP versija tiek parakstīta
Pirms fiksēšanas Transpareo pārbauda datu kopu atbilstoši kategorijai specifiskajiem obligātajiem laukiem (SHACL validācija). Ja šī pārbaude neizdodas, publicēšana tiek atteikta - tiek parakstīts tikai pilnīgs, noteikumiem atbilstošs pases dokuments.
Ja DPP tiek publicēts, Transpareo fiksē tā saturu kā DPP versiju un paraksta to ar divām neatkarīgām atslēgām: vienu no izdevēja, otru no Transpareo. Izmantojot „Bring Your Own Key” (BYOK) metodi, izdevējs izmanto savu paraksta galapunktu - Transpareo nekad neuzglabā privāto atslēgu un pievieno tikai neatkarīgo pretparakstu, tādējādi izdevēja paraksts ir tāds, ko Transpareo pats nevar ģenerēt.
Tiek izmantots W3C sertifikāts ecdsa-sd-2023 ar ECDSA, izmantojot P-256 līkni, kas aprēķināta, izmantojot datu kopas kanonisko formu (RDF kanonizācija uz N-Quads). Divas parakstīšanas, divas viena no otras neatkarīgas iestādes.
Šī procedūra attiecas uz katru atsevišķu datu kopas apgalvojumu, nevis uz dokumentu kā vienotu vienību. Tāpēc arī laukiem, kas tiek papildu atklāti remontdarbu veicējam vai iestādei, joprojām tiek pievienots tas pats pierādījums - bez atkārtotas parakstīšanas. Kāpēc mums tas ir svarīgi, ir izklāstīts sadaļā selektīva atklāšana.
Pārbaude notiek skatītāja pārlūkprogrammā. Atvērtā koda renderētājs „Transpareo Time Machine“ ielādē baitus, no jauna aprēķina hašu un pārbauda abus parakstus, nesazinoties ar mūsu serveri. Kas ir aizdomīgs, var izlasīt kodu.
Izdevēja identitāte atrodas viņa paša domēnā
Lai pārbaudītājs varētu atrast publiskos atslēgas, katrs izdevējs publicē savu identitāti kā DID:web savā domēnā, kas ir pieejama caur skaidri definētu adresi /.well-known/. Apzināti nav izmantots klasisks sertifikāts X.509 izpratnē: sertifikātu ķēdes zaudē spēku gadu desmitu laikā, savukārt HTTPS adrese savā domēnā paliek stabila un jūsu kontrolē.
Ja atslēga tiek nomainīta, vecākie paraksti paliek pārbaudāmi - vecā atslēga turpina verificēt to, ko tā kādreiz ir parakstījusi, neparakstot jaunus dokumentus. Un tā kā izdevējs pēc pakalpojuma sniedzēja maiņas varētu pārnest savu domēnu, Transpareo katru publisko atslēgu publicēšanas brīdī atspoguļo uz pastāvīgu adresi. Tādējādi katra DPP versija paliek pārbaudāma, pat ja sākotnējais hosts kādreiz pazūd.
ES reģistrācijai ir nepieciešams kvalificēts elektroniskais zīmogs
Pieteikums gaidāmajam ES DPP reģistram prasa vairāk nekā parastu parakstu: katrai reģistrācijai jābūt apstiprinātai ar kvalificētu elektronisko zīmogu (QES) saskaņā ar eIDAS regulu 910/2014. QES ir balstīts uz aparatūru un piesaistīts pārbaudītai juridiskai personai - tas ir augstākais uzticamības līmenis, kādu paredz ES tiesību akti.
Šī kvalificētā zīmoga funkcija tiks ieviesta, tiklīdz eIDAS tiesību akts un reģistra saskarne būs galīgi apstiprināti. Šim nolūkam „Transpareo“ nodrošinās savu paraksta pakalpojumu, izmantojot pašu pārvaldītu paraksta ierīci un kvalificētu sertifikātu no „D-Trust“ - kvalificēta uzticamības pakalpojumu sniedzēja - , lai izdevēji, kuri paši neapsaimnieko paraksta infrastruktūru, varēs izpildīt QES prasības bez savas aparatūras.
Arhīvs, kas izdzīvos ilgāk par pakalpojuma sniedzēju
Tiklīdz DPP būs reģistrēti ES reģistrā, katra DPP versija tiks arhivēta nemainīgā veidā vēl desmit gadus - ne izdevējs, ne Transpareo to vairs nevarēs mainīt. Lai šis arhīvs paliktu pieejams arī tad, ja kādu dienu Transpareo vairs nepastāvētu, tā finansējums ir nodrošināts ar notariāli apliecinātu noguldījumu Šveicē. Tātad solījums par ilgtspēju ir ne tikai tehnisks, bet arī līgumiski fiksēts.
Tādējādi trešā persona pārbauda pasi - pilnīgi bez mūsu iesaistīšanās
Izšķirošais pārbaudes kritērijs, lai uzticētos šim artefaktam, ir tas, vai kāds var pārbaudīt pasi bez mūsu infrastruktūras. Process:
- Iegūt DPP versijas baitus no jebkura avota (CDN, publiskais arhīvs, ES reģistrs vai trešās puses arhīvs)
- Pārveidot datu kopu kanoniskajā formā (RDF kanonizācija uz N-Quads) un aprēķināt tās hašu
- Iegūt izdevēja un „Transpareo“ publiskos atslēgas, izmantojot pasē norādītās adreses
- Pārbaudīt abas parakstus, salīdzinot ar hašu - ja abi saskan, pase ir autentiska un nemainīta
Nav nepieciešama pieteikšanās, nav jāzvana uz „Transpareo”, nav atkarības no kādas konkrētas platformas.
Kas šobrīd darbojas un kas tiek gatavots
Tiek izmantoti paraksti, pārlūka pārbaude, DID:web identitāte un „Bring Your Own Key” (BYOK). Ir izveidots nemaināms desmit gadu arhīvs, kas sāks darboties, tiklīdz DPP tiks reģistrēti ES reģistrā. Kvalificētā elektroniskā paraksta (QES) iespēja ES reģistrācijai ir paredzēta, tiklīdz eIDAS tiesību akts un reģistra saskarne būs galīgi apstiprināti.
Princips jebkurā gadījumā paliek nemainīgs: tas, kas reiz ir parakstīts un arhivēts, paliek pārbaudāms neatkarīgi no tā, kas rīt pārvaldīs platformu.