UN/CEFACT izstrādātais Apvienoto Nāciju Organizācijas pārredzamības protokols (UNTP) ir topošais pasaules standarts, kas nosaka, kā veido, paraksta un pārbauda digitālās produktu pases un pārbaudāmus apliecinājumus. Tas ir apzināti izstrādāts vienkāršs un ražotājam neitrāls - kopīga valoda, uz kuras pamata var balstīties reģionālie obligātie regulējumi, piemēram, ES produktu pase, nevis katrai jurisdikcijai un katram pakalpojumu sniedzējam izgudrot savu formātu.
UNTP ir nodevis versiju 0.7.0 publiskai pārbaudei. Līdz versijas 1.0 apstiprināšanai ikviena persona un organizācija var sniegt atsauksmes, izmantojot atvērtu reģistru. Mēs esam iesnieguši sešas atsauksmes. Uz divām no tām darba grupa jau ir sniegusi atbildi - un viena no tām ir izmainījusi mūsu pašu kodu.
To nedrīkst sajaukt ar ES apspriešanu, kurā mēs arī piedalījāmies: tur runa bija par ES Komisijas saistošo DPP reģistru. UNTP ir nākamais slānis - globāla, tehniska pamatstruktūra, uz kuras var balstīties ES reģistrs un citas sistēmas.
Kāpēc mēs piedalāmies pasaules standarta izstrādē
Produkta pase, ko var nolasīt un pārbaudīt tikai viena piegādātāja programmatūra, nav pase - tā ir „silo” ar labāku nosaukumu. DPP jēga ir tāda, ka pircējs, pārstrādātājs vai tirgus uzraudzības iestāde var pārbaudīt informāciju ar jebkuru atbilstošu rīku, nevis tikai ar mūsu rīku. Kur tieši tiek definēta šī atbilstība, tiek noteikts standartā. Mēs labāk piedalāmies tā izstrādē, nekā vēlāk to pārņemam.
1. Apliecinājumi, kas izturēs desmitgadēm (#678)
Pašreizējais UNTP profils nosaka ietverošus apliecinājumus saskaņā ar W3C VC-JOSE-COSE: paraksts ietver dokumentu kā JWT. Dokumentam, kas desmit gadus jāarhivē, jāspoguļo un jāatrod pēc tā satura adreses, šai alternatīvai ir skaidras priekšrocības. Iegultie apliecinājumi saskaņā ar W3C Data Integrity paliek pašā dokumentā, iztur jebkādu tālāku izplatīšanu, un kanonizācija, izmantojot JSON Canonicalization Scheme (RFC 8785) nodrošina stabilu satura hašu versiju izsekošanai. Mēs esam ierosinājuši atļaut kriptosvītu eddsa-jcs-2022 kā līdzvērtīgu atbilstības opciju. Kāpēc sertifikātam vispār ir jāizdzīvo ilgāk par tā izdevēju un kā to nodrošina kriptogrāfiskie pierādījumi, mēs sīkāk izklāstījām rakstā par parakstiem un sertifikātiem.
Šis komentārs ne tikai saņēma atbildi - tas mainīja mūsu pašu verificētāju. Ar „Transpareo Time Machine 2.0.0“ (2026. gada 20. jūnijs) mēs esam pārejuši no samazināta pašu izstrādātā profila uz standartam atbilstošo W3C kriptogrāfisko komplektu eddsa-jcs-2022. Tādējādi jebkurš datu integritātes verificētājs var pārbaudīt Transpareo pasi, ne tikai mūsu pašu rīks. Mēs ne tikai pieprasījām savietojamību, mēs to arī nodrošinājām.
Tajā pašā komentārā mēs ierosinājām divus saistītus punktus: stingras prasības par to, cik ilgi statusa sarakstam jāpaliek pieejamam, ar iespēju nepieciešamības gadījumā rekonstruēt atsaukšanas statusu, balstoties uz dzīves cikla notikumiem; un idempotentu attēlojumu no semantiski bagāta datu modeļa, lai ikviens atbilstošs renderētājs vienu un to pašu pasi attēlotu vienādi, bez pievienotām attēlošanas instrukcijām.
2. Vienots algoritms visai uzticamības ķēdei (#683)
Tas, kā pārbaudītājs no izdevēja DID caur digitālās identitātes enkuru nonāk līdz reģistram un tālāk līdz ražotnei, šodien ir izklāstīts vairākās lappusēs prozas formā - taču ne kā viens vienots algoritms. Mēs esam ierosinājuši soli pa solim izstrādātu verifikācijas algoritmu visai uzticamības ķēdei: integritātes pārbaude, izdevēja DID saistīšana ar Anchor un reģistru, atbilstības kritēriju salīdzināšana, ražotnes identifikācija. Bez šāda vienota saistoša apraksta neatkarīgas īstenošanas interpretē izkliedētos punktus atšķirīgi un nonāk pie atšķirīgiem secinājumiem par to, vai sertifikāts ir autentisks. Arī šis komentārs izraisīja darba grupas atbildi.
3. Viena sertifikāta pakāpeniska publiskošana (#679)
Regulētai pasai ir jāapkalpo vairākas mērķa grupas: plašā sabiedrība, pilnvarotie ieinteresētie, piemēram, pārstrādātāji un iestādes, redz atšķirīgus viena un tā paša pases fragmentus - tieši to nosaka ES bateriju regula. Mēs ierosinājām šo pakāpenisko informācijas atklāšanu uzskatīt par pirmās klases standarta gadījumu, nevis to pēc tam ieviest kā šifrēšanu atbilstoši katram saņēmējam.
4. Daudzvalodu saturs tieši datu modelī (#680)
Šobrīd UNTP cilvēkiem saprotamu informāciju glabā kā vienvalodīgas rakstzīmju virknes. Regulētos, daudzvalodu tirgos ar to nepietiek - sertifikātam, kas ir derīgs visā ES, teksti ir nepieciešami vairākās valodās vienlaikus. Mēs esam ierosinājuši izmantot JSON-LD valodu kartes, lai viena atsevišķa vērtība ietvertu visas tās valodu versijas. „Transpareo“ šobrīd izsniedz pases 39 valodās - šo trūkumu mēs izjūtam ik dienas. To, kā mēs vispār tiekam galā ar šo valodu daudzveidību, aprakstām rakstā par AI tulkošanu.
5. Ilgtermiņa pārbaudāmība kā arhitektūras jautājums (#681)
Saistīts ar pirmo punktu, bet būtiskāks: apliecinājumi, DID dokumenti un statusa saraksti ir jāspēj atrast vēl pēc desmit gadiem, citādi kādu brīdi vairs nebūs iespējams pārbaudīt vecu pasi, lai gan tā bija derīga. Mēs esam lūguši izstrādāt nenormatīvas vadlīnijas par to, kā nodrošināt, lai atslēgas, DID dokumenti un statusa saraksti būtu pastāvīgi pieejami - šis jautājums aktualizēsies tikai pēc gadiem, un tieši tādēļ tas jau šodien ir jāiekļauj standartā.
6. Tilts uz ES produktu pasi (#682)
UNTP ir apzināti izstrādāts kā vienkāršots B2B pases formāts. ES produktu pase ir saistoša sistēma ar savu atribūtu sarakstu. Īstenotājiem ir nepieciešama skaidra saistība starp abiem - profils, kas parāda, kā UNTP pase aizpilda regulatīvās pases obligātos laukus. Mēs jau ikdienā strādājam tieši pie šīs saskares, tāpēc esam pieprasījuši šo tiltu.
Kāpēc mēs to darām
Standarts kļūst labāks, ja viedokli izsaka tie, kuri faktiski paraksta un pārbauda pases, nevis tikai tie, kuri par tām raksta. Uz diviem no mūsu sešiem komentāriem jau ir saņemta atbilde, viens no tiem ir panācis, ka mūsu verifikators ir pārgājis uz standartam atbilstošu kriptogrāfisko komplektu. Tādējādi mēs vairs neesam malā, bet gan esam iekļuvuši piegādes ķēdes darba grupas ekspertu lokā.
Mūsu klientiem tas nav pašmērķis. Jo precīzāks un ražotājam neitrālāks ir pasaules standarts, jo drošāka paliek viņu investīcija: viņu pasu dati paliek eksportējami un pārbaudāmi ar jebkuru atbilstošu rīku. Nav „lock-in”, nav formāta, kas ir atkarīgs no viena vienīga piegādātāja.
Kas vēlas piedalīties
Publiskā pārbaude turpinās. Visi iesniegtie jautājumi ir publiski pieejami UNTP publiskajā problēmu reģistrā. Piegādes ķēdes darba grupa regulāri tiekas videokonferencēs; sanāksmju datumi ir norādīti UNTP pārvaldības lapā. Tiem, kas nākotnē izsniegs vai pārbaudīs produktu pases - ražotājiem, pakalpojumu sniedzējiem, pārstrādātājiem, iestādēm - , vismaz reizi būtu jāiepazīstas ar neatrisinātajiem jautājumiem. Arī īsa, tehniski precīza atsauksme ir noderīga.
Un tie, kas jau šodien vēlas neatkarīgi pārbaudīt „Transpareo“ pasi, to var izdarīt, izmantojot „Transpareo Time Machine“ - kopš versijas 2.0.0 ar tieši to šifrēšanas pakotni, ko mēs esam reklamējuši UNTP profilā.