Produkta digitālā pase ne visiem rāda to pašu. Pircēja redz publiski pieejamos datus. Remonta darbnīca vai pārstrādātājs redz vairāk. Tirgus uzraudzības iestāde redz visu. Tas ir noskaidrots, un Eiropas standarti to tagad skaidri nosaka.
Interesantākais jautājums ir mazāk pamanāms: ja kādam ir pieejami ne tikai publiskie dati, bet arī aizsargātie lauki, vai viņš var pierādīt, ka tieši šie lauki ir autentiski? Vai arī viņam ir jāpaļaujas uz to, ka platforma tos ir pareizi atlasījusi un nodevusi tālāk nemainītā veidā?
Iedomāsimies notāru, kurš neapliecina vēstuli kopumā, bet katru rindkopu atsevišķi. Publisko vēstuli saņem ikviens. Kam ir tiesības uz vairāk, tas saņem papildu rindkopas, un katra no tām joprojām ir apzīmogota ar tā paša notāra zīmogu. Tā mēs esam izveidojuši savu platformu. Lielākajā daļā platformu godīgā atbilde uz iepriekš minēto jautājumu ir: uzticēšanās. Mūsu gadījumā tā ir: pierādījums par katru lauku, kas tiek pievienots tikai atklāšanas brīdī. Šis raksts izskaidro, kāpēc šī atšķirība ir svarīga un kāpēc mēs esam izvēlējušies šo sarežģītāko ceļu.
Piekļuves noteikumus visi ievēro vienādi
EN 18239, Eiropas standarts par piekļuves tiesībām, drošību un konfidencialitāti DPP, prasa, lai piekļuve katram laukam tiktu kontrolēta: katram laukam ir noteikums, kurš to drīkst redzēt. Tā ir pareiza prasība, un to nav grūti izpildīt. Kāds vispār ir šo standartu statuss, mēs esam izklāstījuši mūsu rakstā par saskaņotajiem standartiem.
Parastais veids, kā to panākt, ir filtrs uz servera. Serveris zina, kas veic pieprasījumu, pārbauda, ko šī persona drīkst redzēt, un atgriež tieši šo fragmentu. Standarts neparedz neko vairāk. Lasītājam ir jāuzticas, ka serveris ir godīgi veicis atlasi un ceļā neko nav mainījis. Publiskai informatīvai brošūrai tas ir pietiekami. Taču, ja runa ir par vērtību, uz kuras pamata pārstrādātājs nosaka lietotas baterijas cenu, tas prasa pārāk lielu uzticēšanos.
Ir viens trūkums, par kuru standarts nerūpējas: izvilkums tiek nosūtīts bez zīmoga.
Loģisks risinājums ir parakstīt datus. Abos skalas galos labi darbojas parasts paraksts: parakstīt publisko skatu, parakstīt pilno datu kopu. Kā tas notiek sīkāk, ir aprakstīts sada ļā „Paraksti un sertifikāti” DPP. Problēma rodas vidusposmā. Paraksts uz visa dokumenta aptver tieši tos laukus, kas bija klāt parakstīšanas brīdī. Ja pilnvarotam lasītājam papildus atklāj aizsargātu lauku, šis lauks atrodas ārpus parakstītā kopuma un nonāk pie viņa neaizsargāts. Neviens neparaksta iepriekš visas iespējamās „kas ko redz” kombinācijas, jo to skaits strauji pieaug. Tādējādi atgriežamies pie filtra bez zīmoga, un vidējais līmenis atkal balstās uz uzticēšanos.
Katrs lauks jāparaksta atsevišķi
Ir labāka konstrukcija, un uz tās mēs veidojam platformu. Tā vietā, lai parakstītu gatavo dokumentu kā vienu bloku, izveidotājs vienā reizē nosaka katru lauku atsevišķi (tiem, kas pārzina standartus: W3C procedūra ecdsa-sd-2023).
Katra skatīšana sākas ar tiem pašiem publiskajiem laukiem. Tas, ko lasītājs redz papildus, tiek pievienots lauks pēc lauka, un katrs no šiem laukiem joprojām ved atpakaļ uz izstrādātāja publisko atslēgu - bezsaistē, bez atkārtotas parakstīšanas un bez uzticēšanās iestādei, kas skatījumu ir izveidojusi. Lauki bez prasībām vienkārši trūkst. Tie nav aizkrāsoti, bet vispār nav klāt, un par tiem nekas neizpaužas.
Viens cikls: remonta darbnīca
Remonta darbnīca ir paziņojusi par pamatotu interesi attiecībā uz akumulatoru, kas ir viens no piekļuves līmeņiem, kurus bateriju regula skaidri paredz. Tās darbnīcas sistēma, izmantojot savu atslēgu, piesakās mūsu saskarnē un lejupielādē pasi. Atbilde ir tā pati publiskā pase, ko redz arī pircēja, tikai ar vienu lauku vairāk: demontāžas instrukciju, kas tiek atklāta tikai pilnvarotajiem lasītājiem. Nav ne otrā dokumenta, ne īpašas versijas.
Pirms uzņēmums paļaujas uz šo lauku, tā programmatūra salīdzina pievienoto parakstu ar ražotāja publisko atslēgu. Ja paraksta pārbaude izdodas, tostarp arī attiecībā uz papildu lauku, uzņēmums zina: šīs instrukcijas ir precīzi tādas pašas kā ražotāja sniegtās, un neviens ceļā tās nav mainījis. Ja pārbaude neizdodas, uzņēmums visu skatu atmet malā. Tas, lai uzņēmums saņemtu tieši tos laukus, uz kuriem tam ir tiesības, joprojām ir mūsu piekļuves kontroles uzdevums. Jaunums ir nākamais solis: vai saņemtā informācija ir autentiska, uzņēmums pārbauda pats, nejautājot mums.
Kāpēc «nesabojāts» ir vissvarīgākais
Nesabojāts zīmogs nenozīmē, ka saturs ir paties. Tas liecina: tieši to ir uzrakstījis izgatavotājs, un kopš tā laika neviens nav mainījis nevienu zīmi. Tādējādi no uzticamības jautājuma izkrīt ikviens, kurš dokumentu vienkārši ir nodevis tālāk: starpglabātava, tīkls, arhīvs, mēs.
Vairs nav nozīmes, kurš jums ir iedevis pasi.
Un plomba ir bināra. Tā vai nu ir neskarta, vai nav - pusi neskartas plombas nav. Tāpēc nav pakāpeniskas atšķirības, vai papildu lauki ar plombu nonāk pie jums vai bez tās: bez plombas tie nav tikai nedaudz vājāk aizpildīti, tie vispār nav aizpildīti.
Abas metodes apskatei
To ikviens var pārbaudīt pats. Transpareo Time Machine ir mūsu atvērtā koda lietotne produkta pasu apskatei: tā pārlūko produkta pases versiju vēsturi un aprēķina katru parakstu skatītāja pārlūkprogrammā, neuzdot jautājumu mūsu serverim. T-krekla sertifikātam ir paraksts, kas attiecas uz visu dokumentu, bet baterijas sertifikātam - apstiprinājums pa atsevišķiem laukiem.
Abi ir atklāti W3C standarti, un tos var ieviest ikviens. Visa dokumenta parakstīšana ir ievērojami lētāka gan izveidē, gan ekspluatācijā, un tiem, kas sniedz tikai publiskos datus, ar to pietiek. Tas, ka „ Transpareo Time Machine ” atbalsta abas metodes, ir apzināts lēmums: pase paliek parastā standarta formātā, ko var pārbaudīt ar jebkuru atbilstošu rīku, ne tikai ar mūsu rīku.
Kam tas noder un ko prasa standarts
Kam vispār tiek atklāta informācija ## ,kas pārsniedz publiskos datus? Ne jau gadījuma pircējai. Tie ir pārstrādātājs, kurš novērtē lietota akumulatoru bloka vērtību, apdrošinātājs, kurš aprēķina riska cenu, pārstrādātājs, kurš šķiro ķīmiskās vielas, un iestāde, kura veido lietu. Lasītāji, kuru lēmumi ir saistīti ar naudu vai drošību. Un, izmantojot parasto pieeju, tieši tie lasītāji, kuri par laukiem, uz kuriem balstās viņu lēmums, nesaņem zīmogu. Mēs uzskatām, ka pārbaudes zīmogam visiem jānozīmē viens un tas pats: katrs parādītais lauks nāk no ražotāja un kopš tā laika nav ticis aiztikts. Zīmogs, kas attiecas tikai uz publiskajiem laukiem, ir nepilnīgs zīmogs.
Mēs to sakām atklāti: nekas no tā nav obligāti noteikts. Standarts EN 18239 prasa, lai piekļuve tiktu kontrolēta, un filtrs uz servera to dara nevainojami. Mēs papildus nodrošinām, lai atklātie lauki būtu pārbaudāmi, jo parakstītas pases galvenā jēga ir tā, ka nevienam nav jāuzticas platformai. Vidējā līmeņa izslēgšana kā izņēmums atgriež tieši to uzticību, kuru paraksts bija paredzēts likvidēt.
Tas pats princips ļauj aizmirst par lauku
Konkrēta pieeja katram laukam atsevišķi rada otru īpašību, un to faktiski prasa Eiropas tiesību akti. Vispārīgā datu aizsardzības regula piešķir cilvēkiem tiesības pieprasīt personas datu dzēšanu. Datu kopums, kas parakstīts kā viens bloks, nevar izpildīt šo prasību, neiznīcinot paša parakstu.
Tā kā šeit katrs lauks ir atsevišķs, ir iespējams izņemt vienu lauku, kamēr pārējie joprojām tiek pārbaudīti. Ja personas dati nejauši nonāk pasē, tos var pilnībā izņemt, un pase paliek derīga: nav nepieciešama jaunas pases izsniegšana, nav pārtraukta vēsture. Lauki, kurus likums prasa saglabāt, paliek nemainīgi; to, ko var dzēst, pēc pieprasījuma var dzēst pat pēc gadiem.
Kāpēc tas ir grūti un kā mēs to atrisinājām
Mēs neesam izgudrojuši šo procedūru - tā ir publiski pieejams W3C standarts. Grūti nav nākt klajā ar ideju. Grūti ir to izstrādāt tā, lai pase joprojām būtu derīga pārbaudei pēc desmit gadiem. Parastais paraksts tiek aprēķināts, ņemot vērā dokumenta baitus. Paraksts pa laukiem tiek aprēķināts, ņemot vērā atsevišķos datus, un tādēļ pirms parakstīšanas pase tiek pārveidota fiksētā formātā, kurā katrs dati ir atsevišķs teikums. Šim formātam pēc desmit gadiem ir jāparādās atpakaļ zīme pēc zīmes, citādi zīmogs vairs nederēs. Tam ceļā stāv trīs neuzkrītošas lietas, un mēs esam novērsuši visas trīs jau to saknē.
Skaitļi zaudē savu tipu. Vērtība, piemēram, 2,0, pēc apstrādes ar parasto datu formātu atgriežas kā 2. Cilvēkam tas ir viens un tas pats, bet fiksētajai formātai - cits teikums. Mūsu sistēmā katra vērtība tiek saglabāta kopā ar savu tipu, un publicēšana tiek pārtraukta, tiklīdz parādās pat viens skaitlis bez tipa.
Nosaukumi vēl nenozīmē jēgu. Katram lauka nosaukumam ir jābūt saistītam ar unikālu nozīmi vārdnīcā, citādi lauks pārveidošanas laikā klusi pazūd, un zīmogs to neaptver. Mūsu sistēmā katra vārdnīca atrodas lokāli un nekad netiek lejupielādēta no tīkla; nezināms lauka nosaukums aptur parakstīšanu, nevis klusi atgriež tukšu rezultātu.
Ierakstiem ir nepieciešami fiksēti nosaukumi. Katram ierakstam dokumentā pie mums ir fiksēts identifikators, lai rakstība katrā ciklā paliktu nemainīga, nevis katru reizi būtu jāpiešķir jauni palīgnosaukumi.
Visdelikātākā daļa saistīta ar paša ražotāja atslēgu. Katrai izsniegšanai ir nepieciešama papildu, īslaicīga atslēga, ar kuru atsevišķi tiek parakstīti atklājamie lauki. Šo atslēgu ražotājs pats ģenerē un iznīcina. Ja tā atrastos pie mums, mēs varētu pēc tam izdomāt atsevišķus laukus. Katram pasam ir divi šādi zīmogi - viens no ražotāja un viens no „Transpareo” -, pat ja tiek atklāts tikai viens lauks.
Mūsuprāt, šis ieguldījums ir pamatots. Izmantojot „ Transpareo Proofchain ”, katrs pases eksemplārs publicēšanas brīdī tiek parakstīts un saistīts ar iepriekšējo versiju, savukārt „ Transpareo Vault ” - nemaināmais desmit gadu arhīvs - sāk darboties, tiklīdz pases tiek reģistrētas ES reģistrā. Katras atsevišķas ailes parakstīšana, nevis visa bloka, ir šīs pamatfunkcijas paplašinājums, nevis papildinājums.
Kāda ir mūsu pašreizējā situācija
Mēs esam izvēlējušies pierādījumu, kas ir saprotams ikvienam lasītājam, jo zīmogam ir jānozīmē viena un tā pati lieta neatkarīgi no tā, kurš to apskata. Tie, kas vēlas redzēt, kā tas darbojas: abi iepriekš minētie paraugpases var pārbaudīt tieši pārlūkprogrammā, neizmantojot serveri.
Jautājumi par šo ierakstu
Vai kāds standarts nosaka parakstīšanu pa laukiem?
Nē. EN 18239, Eiropas standarts par piekļuves tiesībām DPP, nosaka, ka piekļuve ir jākontrolē katram laukam atsevišķi, un filtrs uz servera to pilnībā nodrošina. Padarīt publiski pieejamos laukus pārbaudāmus ir mūsu lēmums, nevis kāds punkts, ko kāds regulējums prasa. Mēs uzskatām, ka šis ieguldījums ir pamatots, jo parakstītas pases galvenā jēga ir tā, ka nevienam nav jāuzticas platformai. Par to, kāds statuss vispār ir šīm normām, lasiet mūsu rakstā par saskaņotajām normām.
Mēs publicējam tikai publiski pieejamus datus. Vai mums tas ir vajadzīgs?
Visticamāk, nē, un mēs to arī tā sakām. Paraksts, kas attiecas uz visu dokumentu, aptver pasi, kuras visi lauki ir publiski pieejami, un tā izveide un uzturēšana ir ievērojami lētāka. Lauku pa laukam veiktā apstiprināšana ir lietderīga, tiklīdz pievienojas otrā mērķauditorija, piemēram, remonta tīkls, pārstrādes uzņēmums vai iestāde, kurai citādi jūs nodotu izrakstus bez zīmoga. Abas metodes ir atvērtie W3C standarti (ecdsa-sd-2023 lauku parakstam), ikviens rīks, kas atbalsta šo standartu, var tos pārbaudīt, un abas šobrīd darbojas „Transpareo Time Machine”, piemēram, uz T-krekla pases un baterijas pases.
Vai personas datus vēlāk var dzēst, neanulējot pasi?
Jā, un šo prasību patiešām nosaka Eiropas tiesību akti. Vispārīgā datu aizsardzības regula piešķir cilvēkiem tiesības pieprasīt personas datu dzēšanu, un datu ieraksts, kas parakstīts kā bloks, nevar izpildīt šo prasību, neiznīcinot savu parakstu. Tā kā šeit katrs lauks ir definēts atsevišķi, ir iespējams izņemt vienu lauku, kamēr pārējie joprojām tiek pārbaudīti, bez nepieciešamības izdot jaunu versiju un bez pārtrauktas versiju vēstures. Lauki, kurus likums prasa saglabāt, paliek nemainīgi.
Kas glabā paraksta atslēgu?
Katram sertifikātam ir divi zīmogi, un viens no tiem var būt jūsu. Katram sertifikātam papildus ir nepieciešama īslaicīga atslēga, kas atsevišķi paraksta atklājamos laukus; to izveido un iznīcina pats izgatavotājs, jo, ja tā atrastos pie mums, mēs varētu pēc tam izdomāt atsevišķus laukus. Pirms mēs uzticamies atgrieztajam zīmogam, mēs to pārbaudām, salīdzinot ar reģistrēto publisko atslēgu. Tādējādi katrā pasē ir divi zīmogi no divām neatkarīgām iestādēm - gan atsevišķi atklātajam laukam, gan visam datu kopumam.
Vai pase būs derīga arī pēc desmit gadiem?
Tieši tur slēpjas sarežģītība. Lauku paraksts aprēķina, balstoties uz atsevišķiem dokumenta datiem, nevis tā baitiem, tāpēc tai pašai fiksētajai rakstībai desmit gadus vēlāk ir jāparādās zīme pēc zīmes. Trīs faktori traucē šo procesu, un mēs esam novērsuši visus trīs jau to saknē. Katra vērtība tiek saglabāta kopā ar tās tipu, katrs vārdnīcas ieraksts atrodas pie mums un nekad netiek lejupielādēts no tīkla, un katram ierakstam ir fiksēts identifikators. Nemainīgais desmit gadu arhīvs ir izveidots un sāk darboties, tiklīdz pases tiek reģistrētas ES reģistrā. Vairāk par to lasiet mūsu analīzē par Reģistra regulu.
