Ett digitalt produktpass måste kunna verifieras i tio år eller längre. En mjukvaruplattform håller sällan så länge. Denna motsättning har en tydlig konsekvens: Förtroendet för ett DPP får inte vara beroende av leverantören, utan måste vara knutet till själva datauppsättningen. Förtroende för artefakten, inte för företaget.
Hur detta ser ut i praktiken kan illustreras med fyra byggstenar.
Varje DPP-version signeras
Innan frysningen kontrollerar Transpareo datamängden mot de kategorispecifika obligatoriska fälten (SHACL-validering). Om denna kontroll misslyckas nekas publiceringen - endast ett fullständigt, regelkonformt pass signeras.
När ett DPP publiceras fryser Transpareo dess innehåll som en DPP-version och signerar den med två oberoende nycklar: en från utfärdaren och en från Transpareo. Med Bring Your Own Key (BYOK) driver utfärdaren en egen signaturändpunkt - Transpareo förvarar aldrig den privata nyckeln och lägger endast till den oberoende motsignaturen, så att utfärdarens signatur blir en som Transpareo själv inte kan generera.
Den metod som används är Ed25519 via en kanonisk form av dataposten ( JSON Canonicalization Scheme, RFC 8785). Två signaturer, två oberoende auktoriteter.
Verifieringen sker i betraktarens webbläsare. Den öppen källkodsbaserade renderaren Transpareo Time Machine laddar in byten, beräknar hashvärdet på nytt och verifierar båda signaturerna utan att kontakta någon av våra servrar. Den som är misstänksam kan läsa koden.
Utfärdarens identitet finns på den egna domänen
För att en granskare ska kunna hitta de offentliga nycklarna publicerar varje utfärdare sin identitet som DID:web på sin egen domän, som kan nås via en väldefinierad adress under /.well-known/. Medvetet inget klassiskt certifikat i X.509-bemärkelse: certifikatkedjor förfaller under årtionden, medan en HTTPS-adress på den egna domänen förblir robust och under din kontroll.
Om en nyckel roteras förblir äldre signaturer verifierbara - den gamla nyckeln verifierar fortfarande det den en gång signerade, utan att signera nya certifikat. Och eftersom en utfärdare kan ta med sig sin domän vid ett byte av leverantör speglar Transpareo varje offentlig nyckel till en permanent adress vid tidpunkten för publiceringen. På så sätt förblir varje DPP-version verifierbar, även om den ursprungliga värden någon gång försvinner.
EU-registreringen bär en kvalificerad elektronisk signatur
Inlämningen till det kommande EU-DPP-registret kräver mer än en vanlig signatur: Varje registrering måste förses med en kvalificerad elektronisk signatur (QES) enligt eIDAS-förordningen 910/2014. En QES är hårdvarubaserad och knuten till en granskad juridisk person - den högsta tillitsnivån som EU-rätten känner till.
Denna möjlighet till kvalificerad signering planeras att införas så snart eIDAS-förordningen och registergränssnittet är färdigställda. Transpareo kommer för detta ändamål att driva en egen signaturtjänst med en egen signaturenhet och ett kvalificerat certifikat från D-Trust, en kvalificerad leverantör av förtroendetjänster - så att tillverkare som inte själva driver någon signaturinfrastruktur kan uppfylla QES-kravet utan egen hårdvara.
Ett arkiv som överlever leverantören
Så snart DPP:erna har registrerats i EU-registret kommer varje DPP-version dessutom att arkiveras oföränderligt i tio år - varken tillverkaren eller Transpareo kan ändra dem i efterhand. För att detta arkiv ska förbli tillgängligt även om Transpareo en dag skulle upphöra att existera, säkerställs dess finansiering genom en notariell deponering i Schweiz. Löftet är alltså inte bara tekniskt, utan även avtalsmässigt utformat för långsiktig hållbarhet.
Så här kontrollerar en tredje part passet - helt utan vår inblandning
Det avgörande testet för förtroendet för artefakten är om någon kan kontrollera passet utan vår infrastruktur. Så här går det till:
- Hämta byten för DPP-versionen från valfri källa (CDN, offentligt arkiv, EU-registret eller ett tredjepartsarkiv)
- Kanonisera datamängden och beräkna dess hash
- Hämta utfärdarens och Transpareos offentliga nycklar via de adresser som anges i passet
- Kontrollera båda signaturerna mot hashvärdet - stämmer båda, är passet äkta och oförändrat
Ingen inloggning, inget samtal till Transpareo, inget beroende av en aktiv plattform.
Vad som fungerar idag och vad som är under förberedelse
Signaturer, webbläsarkontroll, DID:web-identitet och Bring Your Own Key (BYOK) är i bruk. Det oföränderliga tioåriga arkivet är upprättat och träder i kraft så snart DPP:erna är registrerade hos EU-registret. Den kvalificerade elektroniska signaturen (QES) för EU-registrering planeras att införas så snart eIDAS-förordningen och registergränssnittet är färdigställda.
Principen förblir i alla fall densamma: Det som en gång har signerats och arkiverats förblir verifierbart, oavsett vem som driver plattformen i framtiden.