Një pasaportë dixhitale e produktit nuk tregon të njëjtat informacione për të gjithë. Një blerës sheh të dhënat publike. Një punëtori riparimi ose rikondicionues sheh më shumë. Një autoritet mbikëqyrës i tregut sheh gjithçka. Kjo është sqaruar, dhe standardet evropiane tani e përcaktojnë shprehimisht.
Pyetja më interesante është më e hollë: nëse dikujt i jepet qasje në fusha të mbrojtura përtej të dhënave publike, a mund të verifikojë që këto fusha specifike janë autentike? Apo duhet të besojë që platforma i ka zgjedhur saktë dhe i ka përcjellë pa ndryshuar?
Imagjinoni një noter që nuk e certifikon letrën si një tërësi, por çdo paragraf veç e veç. Të gjithë marrin versionin publik të letrës. Kushdo që ka të drejtë për më shumë, merr paragrafët shtesë, dhe secili prej tyre mban ende vulën e të njëjtit noter. Kështu e kemi ndërtuar platformën tonë. Për shumicën e platformave, përgjigjja e sinqertë ndaj pyetjes së mësipërme është: besimi. Për ne, është: prova, për çdo fushë që i shtohet vetëm në kohën e zbulimit. Ky artikull shpjegon pse kjo ndryshim ka rëndësi dhe pse kemi zgjedhur qasjen më të lodhshme.
Të gjithë respektojnë rregullën e aksesit në të njëjtën mënyrë
EN 18239, standardi evropian për të drejtat e aksesit, sigurinë dhe konfidencialitetin në DPP, kërkon që aksesin të kontrollohet fushë për fushë: për çdo fushë, ekziston një rregull që përcakton se kush është i lejuar ta shikojë atë. Kjo është kërkesa e duhur, dhe nuk është e vështirë ta përmbushësh. Ne kemi përshkruar statusin e këtyre standardeve në artikullin tonë mbi standardet e harmonizuara.
Mënyra e zakonshme për ta arritur këtë është përmes një filtri në server. Serveri e di kush po bën kërkesën, kontrollon se çfarë është i autorizuar të shohë ai person dhe kthen pikërisht atë pjesë. Standardi nuk kërkon më shumë. Lexuesi duhet të besojë se serveri ka zgjedhur përmbajtjen me ndershmëri dhe nuk ka ndryshuar asgjë gjatë rrugës. Për një fletëpalosje informuese publike, kjo është e pranueshme. Por për një vlerë mbi të cilën një riciklues bazon çmimin e një baterie të përdorur, kjo është shumë për t’u besuar verbërisht.
Ekziston një problem që standardi nuk e adreson: fragmenti i të dhënave arrin pa vulë.
Zgjidhja e dukshme është të nënshkruhet data. Për dy skajet e spektrit, një nënshkrim standard funksionon mirë: nënshkruani pamjen publike; nënshkruani grupin e plotë të të dhënave. Si funksionon kjo në detaje shpjegohet në ‘Nënshkrimet dhe Certifikatat’ në DPP. Ajo dështon në mes. Një nënshkrim që mbulon tërë dokumentin mbulon saktësisht ato fusha që ishin të pranishme në kohën e nënshkrimit. Nëse një fushë e mbrojtur i zbulohet gjithashtu një lexuesi të autorizuar, ajo fushë ndodhet jashtë grupit të nënshkruar dhe i arrin ata e pa nënshkruar. Askush nuk nënshkruan paraprakisht çdo kombinim të mundshëm ‘kush-sheh-çfarë’; numri i kombinimeve rritet eksponencialisht. Kthehemi te filtri pa vulë, dhe niveli i mesëm sërish mbështetet te besimi.
Nënshkrimi i çdo fushe veçmas
Ekziston një dizajn më i mirë, dhe ky është ai mbi të cilin po ndërtojmë platformën. Në vend që të nënshkruhet dokumenti i përfunduar si një bllok i vetëm, krijuesi specifikon secilën fushë veçmas në një proces të vetëm (për ata që janë të njohur me standardet: procedura W3C ecdsa-sd-2023).
Prandaj, çdo pamje fillon me të njëjtat fusha publike. Çdo gjë tjetër që një lexues sheh i shtohet fushë pas fushe, dhe secila prej këtyre fushave vazhdon të gjurmohet te çelësi publik i krijuesit, jashtë linje, pa nevojën për nënshkrim të ri dhe pa u mbështetur te entiteti që kompiloji pamjen. Fushat pa një pretendim thjesht mungojnë. Nuk janë redaktuar, por nuk ekzistojnë fare, dhe asgjë rreth tyre nuk bëhet e ditur.
Një shembull praktik: punishtja e riparimit
Një punishtë riparimi ka deklaruar një interes legjitim për një bateri, një nga nivelet e aksesit të parashikuara shprehimisht në Rregulloren e Baterive. Sistemi i punishtës së saj hyn në ndërfaqen tonë duke përdorur çelësin e saj dhe merr kalimin. Përgjigjja është i njëjti kalim publik që e sheh blerësi, me saktësisht një fushë shtesë: udhëzimet për çmontim, të cilat zbulohen vetëm për lexuesit e autorizuar. Asnjë dokument i dytë, asnjë version i veçantë.
Para se biznesi të mbështetet në këtë fushë, softueri i tij verifikon vulën e furnizuar me çelësin publik të prodhuesit. Nëse verifikimi i nënshkrimit është i suksesshëm - përfshirë edhe fushën shtesë - ai e di që këto udhëzime burojnë pikërisht nga prodhuesi, dhe që askush gjatë rrugës nuk i ka ndryshuar në asnjë mënyrë. Nëse verifikimi dështon, ai lë mënjanë të gjithë pamjen. Mbetet detyrë e sistemit tonë të kontrollit të aksesit të sigurojë që ai të marrë pikërisht fushat për të cilat ka të drejtë. Ajo që është e re është hapi që vijon: ai kontrollon vetë nëse ajo që merr është e vërtetë, pa na konsultuar.
Pse ‘i paprekur’ është thelbi i çështjes
Një vulë e paprekur nuk do të thotë që përmbajtja është e vërtetë. Ai thotë: ky është pikërisht ajo që krijuesi shkroi, dhe askush nuk ka ndryshuar asnjë karakter që atëherë. Kjo do të thotë se çdo person që thjesht e ka kaluar dokumentin më tej përjashtohet nga çështja e besimit: cache-i, rrjeti, arkiva, ne.
Nuk ka më rëndësi se kush t’ua dha pasaportën.
Dhe një vulë është binare. Ose është e paprekur, ose nuk është; nuk ekziston diçka si një vulë gjysmë e thyer. Prandaj nuk është çështje shkalle nëse fushat shtesë arrijnë me ose pa vulën e tyre: pa vulë, ato nuk janë thjesht pak më pak të vlefshme - ato nuk janë fare të vlefshme.
Të dyja metodat për shikim
Kushdo mund ta verifikojë këtë vetë. Transpareo Time Machine është aplikacioni ynë me burim të hapur për shikimin e pasaporteve të produkteve: ai shfleton historikun e versioneve të një pasaporte ndërsa verifikon çdo nënshkrim në shfletuesin e shikuesit, pa pyetur njërin prej serverëve tanë. Pasaporta e një fanelle mban një nënshkrim që mbulon të gjithë dokumentin, ndërsa pasaporta e një baterie përdor verifikim fushë-për-fushë.
Të dyja janë standarde të hapura të W3C; kushdo mund t’i zbatojë. Një nënshkrim që mbulon tërë dokumentin është dukshëm më i lirë për t’u vendosur dhe mirëmbajtur, dhe çdo kush që ofron vetëm të dhëna publike do ta gjejë këtë të mjaftueshëm. Fakti që W3C- Transpareo Time Machine -i mbështet të dy metodat është i qëllimshëm: pasja mbetet një format standard që çdo mjet i përshtatshëm mund ta verifikojë, jo vetëm i yni.
Kush përfiton nga kjo, dhe çfarë kërkon standardi?
Kujt, përveç atyre që marrin të dhëna publike, i jepet me të vërtetë ndonjë informacion tjetër? Jo blerësit të rastësishëm. Është përpunuesi ai që vlerëson vlerën e një pakete baterish të përdorura, siguruesi ai që çmonton një rrezik, ricikuesi ai që ndan kimikatet, dhe autoriteti ai që ndërton një rast. Lexuesit e të cilëve vendimet u mbështeten në para ose siguri. Dhe, sipas qasjes së zakonshme, pikërisht këta janë lexuesit që nuk marrin një vulë për fushat mbi të cilat bazohen vendimet e tyre. Ne besojmë se një vulë cilësie duhet të thotë të njëjtën gjë për të gjithë: çdo fushë e shfaqur vjen nga prodhuesi dhe nuk është manipuluar që atëherë. Një vulë që mbulon vetëm fushat publike është vetëm gjysmë vule.
Të jemi të qartë: asgjë nga kjo nuk është e detyrueshme. EN 18239 kërkon që qasja të kontrollohet, dhe një filtër në server e bën këtë në mënyrë të përkryer. Ne bëjmë përpjekjen shtesë për t’i bërë fushat e zbuluara të verifikueshme, sepse e gjithë qëllimi i një pasaporte të nënshkruar është që askush të mos duhet t’i besojë platformës. Përjashtimi i shtresës së mesme rivendos pikërisht besimin që nënshkrimi kishte për qëllim ta eleminonte.
E njëjta parim lejon që një fushë të anashkalohet
Specifikimi i çdo fushe veç e veç sjell me vete një karakteristikë të dytë, dhe kjo në fakt kërkohet nga ligji evropian. Rregullorja e Përgjithshme për Mbrojtjen e të Dhënave u jep njerëzve të drejtën që të dhënat e tyre personale të fshihen. Një regjistër të dhënash i nënshkruar si një bllok i vetëm nuk mund t’i përmbushë këto kërkesa pa shkatërruar nënshkrimin e tij.
Për shkak se çdo fushë këtu qëndron e pavarur, mund të hiqet një fushë e vetme ndërsa gjithçka tjetër mbetet e vlefshme. Nëse të dhënat personale përfundojnë gabimisht në një pasaportë, ato mund të hiqen në mënyrë të pastër, dhe pasaporta mbetet e vlefshme: nuk ka nevojë për lëshimin e një pasaporte të re, dhe nuk ndërpritet historia e saj. Fushat që ligji kërkon të ruhen mbeten në vend; çdo gjë që mund të fshihet mund të fshihet me kërkesë, edhe pas shumë vitesh.
Pse kjo është e vështirë, dhe si e zgjidhmë
Nenuk e shpikëm këtë proces; ai është një standard publik i W3C. Nuk është e vështirë të mendosh për idenë. Vështirësia qëndron në ndërtimin e tij në një mënyrë që pasaporta të jetë ende e vlefshme pas dhjetë vjetësh. Një nënshkrim standard llogaritet bazuar në bajtet e një dokumenti. Nënshkrimi fushë për fushë llogaritet bazuar në detajet e tij individuale, dhe për ta arritur këtë, pasaporta konvertohet në një format të fikse para nënshkrimit, në të cilin çdo detaj shfaqet si një fjali e veçantë. Ky format duhet të riprodhohet karakter për karakter pas dhjetë vjetësh; përndryshe, asnjë vulë nuk do të përputhet. Tre faktorë që duken të parëndësishëm e pengojnë këtë, dhe ne i kemi adresuar të tre në rrënjë.
Numrat humbasin tipin e tyre. Një vlerë si 2.0 kthehet si 2 pasi kalon nëpër një format të standardizuar të të dhënave. Për një njeri, kjo është e njëjta gjë; për notacionin e fikse, është një vlerë e ndryshme. Me sistemin tonë, çdo vlerë ruhet me tipin e saj, dhe publikimi ndalet sapo të shfaqet edhe vetëm një numër pa tip.
Etiketat ende nuk përbëjnë kuptim. Çdo emër fushe duhet të korrespondojë me një kuptim unik në një fjalor; përndryshe, fusha zhduket heshturazi gjatë konvertimit dhe vulosja nuk e mbulon atë. Tek ne, çdo fjalor ruhet lokalisht dhe kurrë nuk merret përmes rrjetit; një emër fushe i panjohur ndalon procesin e nënshkrimit, në vend që të kthejë heshturazi një rezultat bosh.
Hyrjet kërkojnë emra të fikse. Çdo hyrje në dokument ka një identifikues të fikse, që siguron që notacioni të mbetet i njëjtë në çdo ekzekutim, në vend që t’u caktohen emra ndihmës të rinj çdo herë.
Pjesa më e ndërlikuar qëndron te çelësi i vetë prodhuesit. Për çdo lëshim, kërkohet një çelës shtesë, me jetë të shkurtër, me të cilin fushat që mund të zbulohen nënshkruhen individualisht. Prodhuesi gjeneron dhe e hedh vetë këtë çelës. Sikur ta mbanim ne, mund të shpiknim fusha individuale me prapavijë. Çdo pasaportë mban dy vula të tilla: një nga prodhuesi dhe një nga Transpareo, madje edhe për një fushë të vetme që bëhet publike.
Për ne, ky përpjekje ia vlen. Me Transpareo Proofchain, çdo pasaportë nënshkruhet sapo publikohet dhe lidhet me versionin e mëparshëm, dhe Transpareo Vault - arkiva e pandryshueshme dhjetëvjeçare - hyn në fuqi sapo pasaportat regjistrohen në Regjistrin DPP të BE-së. Nënshkrimi i çdo fushe, në vend të të gjithë bllokut, është një zgjerim i këtij funksionaliteti themelor, jo një shtesë.
Ku qëndrojmë
Nekemi zgjedhur provën, për çdo lexues, sepse një vulë duhet të thotë një gjë, pavarësisht se kush e shikon. Për ata që duan ta shohin në veprim: dy pasaportat shembull të lidhura më sipër mund të verifikohen drejtpërdrejt në shfletues, pa pyetur një server.
Pyetje rreth këtij postimi
A përcakton një standard nënshkrimin fushë për fushë?
Jo. EN 18239, standardi evropian për të drejtat e aksesit në DPP, kërkon që aksesin të kontrollohet fushë për fushë, dhe një filtër në server plotëson plotësisht këtë kërkesë. Bërja e fushave të zbuluara të verifikueshme përtej kësaj është vendimi ynë dhe jo një kërkesë që rregulloret e kujtdo na detyrojnë ta përmbushim. Ne e konsiderojmë këtë përpjekje të justifikuar sepse e gjithë qëllimi i një pasaporte të nënshkruar është që askush të mos duhet t’i besojë platformës. Statusi i këtyre standardeve është përcaktuar në artikullin tonë mbi standardet e harmonizuara.
Ne publikojmë vetëm të dhëna publike. A duhet ta bëjmë këtë?
Me shumë gjasa jo, dhe ne jemi mjaft të hapur për këtë. Një nënshkrim që mbulon tërë dokumentin mbulon një pasaportë, të gjitha fushat e së cilës janë publike, dhe është dukshëm më e lirë për t’u krijuar dhe operuar. Nënshkrimi fushë-për-fushë bëhet i vlefshëm sapo të përfshihet një grup i dytë synimi, si një rrjet riparimi, një riciklist ose një autoritet publik, të cilit ndryshe do t’i ofronit nxjerrje pa vulë. Të dyja metodat janë standarde të hapura të W3C (ecdsa-sd-2023 për nënshkrimin fushë-për-fushë); çdo mjet që mbështet standardin mund t’i verifikojë ato, dhe të dyja aktualisht funksionojnë në Transpareo Time Machine, në ‘pasaportën’ e një fanelle dhe në ‘pasaportën’ e një baterie.
A mund të fshihen të dhënat personale më vonë pa anuluar pasaportën?
Po, dhe ky aspekt në fakt kërkohet nga ligji evropian. Rregullorja e Përgjithshme për Mbrojtjen e të Dhënave u jep njerëzve të drejtën që të fshihen të dhënat e tyre personale, dhe një regjistër të dhënash i nënshkruar si bllok nuk mund t’i përmbushë këtë pa shkatërruar nënshkrimin e vet. Sepse çdo fushë përcaktohet në mënyrë të pavarur këtu, një fushë e vetme mund të hiqet ndërsa gjithçka tjetër mbetet e vlefshme, pa nevojën e riemetimit dhe pa ndërprerë historikun e versioneve. Fushat që ligji kërkon të ruhen mbeten në vend.
Kush e mban çelësin e nënshkrimit?
Çdo pasaportë mban dy vula, dhe njëra prej tyre mund të jetë e juaja. Çdo lëshim gjithashtu kërkon një çelës me jetë të shkurtër që nënshkruan individualisht fushat që do të zbulohen; prodhuesi gjeneron dhe hedh vetë këtë çelës, sepse nëse do ta mbanim ne, mund të shpikinim fusha individuale me prapavështrim. Ne verifikojmë vulën e kthyer kundrejt çelësit publik të ruajtur para se t’i besojmë asaj. Çdo pasaportë kështu mban dy vula nga dy organe të pavarura, njëra për një fushë të zbuluar individuale dhe tjetra për të gjithë grupin e të dhënave.
A do të jetë pasaporta ende e vlefshme pas dhjetë vjetësh?
Kjo është pikërisht aty ku qëndron përpjekja. Nënshkrimi fushë për fushë llogaritet bazuar në detajet individuale të një dokumenti, jo në bajtet e tij; prandaj, e njëjta përfaqësim e fiksuar duhet të riprodhohet karakter për karakter një dekadë më vonë. Tre gjëra cenojnë këtë integritet, dhe ne i kemi adresuar të tria në rrënjë. Çdo vlerë ruhet me tipin e saj; çdo fjalor hoston në serverët tanë dhe kurrë nuk rikthehet përmes internetit; dhe çdo hyrje mban një identifikues të fikse. Arkiva e pandryshueshme dhjetëvjeçare është në vend dhe do të hyjë në fuqi sapo pasaportat të regjistrohen në Regjistrin e BE-së. Lexoni më shumë rreth kësaj në analizën tonë të Rregullores së Regjistrit.
