2036 yılında bir pil geri dönüşümcüsüne ulaşır. Geri dönüşümcü, 2026 yılında kasaya basılmış olan kodu tarar ve ürün pasaportunu alır. O zamanlar pasaportu kaydetmiş olan şirket artık var olmayabilir. Yine de tarama, verilerin gerçek olduğunu kanıtlamalıdır: verilerin üreticiden geldiğini ve o zamandan beri hiç kimse tarafından değiştirilmediğini.
Meselenin özü budur. Dijital ürün pasaportu, on yıl ve daha uzun süre boyunca doğrulanabilir durumda kalmalıdır. Bir yazılım platformu nadiren bu kadar uzun süre dayanır. Dolayısıyla güven, sağlayıcıya bağlı olmamalıdır. Veri setinin kendisine bağlı olmalıdır.
Bu makale, Transpareo’nun bunu nasıl çözdüğünü açıklıyor: her pasaport sürümünde iki mühür kullanarak, her sürümü bir öncekiyle birbirine bağlayan Transpareo Proofchain adresi aracılığıyla, kendi alan adınızda yer alan bir düzenleyici kimliği ile, sağlayıcının varlığından sonra da kalıcı olacak bir arşiv ve herkesin bize sormadan tarayıcısında gerçekleştirebileceği bir doğrulama süreciyle.
Her sürümde iki mühür bulunur
Bir pasaport yayınlanmadan önce Transpareo, ürün kategorisindeki tüm zorunlu alanların mevcut olup olmadığını kontrol eder. Bir tanesi eksikse yayın reddedilir.
Yalnızca eksiksiz bir Pass imzalanır.
Ardından Transpareo, içeriği bir sürüm olarak dondurur ve ona iki bağımsız imza ekler: biri üreticiden, diğeri Transpareo’dan. Üretici, anahtarını kendisi saklayabilir ve kendi imza hizmetini işletebilir. Transpareo bu özel anahtarı asla görmez ve yalnızca kendi karşı imzasını ekler. Böylece üretici imzası, bizim kendi başımıza oluşturamayacağımız bir imza haline gelir.
İmza, her bir bilgiye ayrı ayrı uygulanır. Bu nedenle, bir tamir atölyesi veya resmi kurumun ek olarak görebileceği alanlar da, yeniden imzalanmasına gerek kalmadan aynı kanıtı taşır. Bunun bizim için neden önemli olduğu, İmzayı kaybetmeden ifşa etmek adresinde açıklanmaktadır.
Doğrulama, kullanıcının tarayıcısında gerçekleştirilir. Transpareo Time MachineAçık kaynaklı görüntüleme uygulamamız olan , kartı yükler, parmak izini yeniden hesaplar ve bizim sunucularımızla bağlantı kurmadan her iki imzayı da doğrular. Şüphe duyanlar kodu okuyabilir.
Transpareo Proofchain: her sürüm bir önceki sürüme işaret eder
Bir pasaport, ilk günkü haliyle kalması nadirdir. Diyelim ki, pilimizin üreticisi 2029 yılında kobaltta geri dönüştürülmüş malzeme oranını fazla belirtmiş olduğunu fark eder ve bunu düzeltir. Transpareo’da bu düzeltme hiçbir şeyi silmez. Yeni bir sürüm oluşturur ve önceki sürüm bunun yanında dondurulmuş olarak kalır.
Buna bir düzeltme eklenmiştir; önceki bilgi geçerliliğini korumaktadır.
Her yeni sürüm, önceki sürümün açık kısmından hesaplanan parmak izini taşır. Bu referans, imzalanmış içeriğin içinde yer alır; dolayısıyla her iki imza da onu kapsar. Böylece ilk sürümden güncel sürüme kadar uzanan bir zincir oluşur: Transpareo Proofchain.
Birisi önceki bir sürümdeki bir bilgiyi sonradan değiştirirse, imzalar artık geçerli olmaz ve her denetçi bunu fark eder. Yalnızca anahtara sahip olanlar yeniden imzalayabilir; ancak bu durumda bile, bir sonraki sürümdeki parmak izi, açık kısımda yapılan her değişikliği ortaya çıkarır. Anahtarınızı kendiniz saklarsanız, Transpareo bile pasaportunuzun bir sürümünü yeniden imzalayamaz.
Zincir, biz olmadan da doğrulanabilir. Transpareo Time Machine adresi, tarayıcıda mevcut sürümden ilk sürüme kadar geriye doğru gider, her bir önceki sürümün parmak izini kendi verilerinden yeniden hesaplar ve bunu sonraki sürümün referansıyla karşılaştırır. Böylece, geri dönüşümcü 2036 yılında kobaltla ilgili hem orijinal hem de düzeltilmiş verileri görebilir ve bunların hiçbirinin sonradan değiştirilmediğini kendisi hesaplayabilir.
Buna bir blok zinciri diyebilirdik. Ancak kasıtlı olarak daha basit bir şekilde tasarlandı: pasaportların içinde yer alan ve herkesin bir ağa katılmadan açık yöntemlerle doğrulayabileceği bir parmak izi zinciri.
İhraççı kimliği kendi alan adınızda bulunur
Bir denetçinin açık anahtarları bulabilmesi için, her üretici kendi etki alanında, tüm denetçilerin bildiği sabit bir adres altında kimliğini yayınlar (standartlara aşina olanlar için: W3C DID:web standardına göre). Klasik yöntem olan sertifika zincirleri on yıllar içinde geçerliliğini yitirir; kendi alan adınızdaki bir adres ise sağlam kalır ve sizin kontrolünüz altında olur.
Bir anahtar değişirse, eski imzalar doğrulanabilir olmaya devam eder. Eski anahtar, bir zamanlar imzaladığı şeyleri hâlâ onaylar; sadece yeni bir şey imzalamaz. Ayrıca, bir sağlayıcının bir gün kendi alan adını terk etme olasılığı bulunduğundan, Transpareo her açık anahtarı yayınlandığı anda kalıcı bir adrese yansıtmaktadır. Böylece, orijinal adres bir gün yanıt vermez hale gelse bile her sürüm doğrulanabilir kalır.
AB kaydı, nitelikli bir mühür içerir
20 Temmuz 2026 tarihinden itibaren faaliyete geçen AB sicili’ne kayıt olmak için sıradan bir imzadan daha fazlası gereklidir: Kimliğinizi, AB çapında geçerli elektronik imza düzenlemesi olan eIDAS aracılığıyla kanıtlamanız gerekir; eIDAS Yönetmeliği 910/2014 uyarınca nitelikli bir elektronik mühür, kabul edilen araçlardan biridir. Bu tür bir mühür donanım tabanlıdır ve denetlenmiş bir tüzel kişiliğe bağlıdır; bu, AB hukukunda tanınan en yüksek güven seviyesidir.
Bu özellik, eIDAS mevzuatı ve kayıt defteri arayüzü nihai hale getirildiğinde kullanıma sunulacaktır. Transpareo, bu amaçla kendi mühür cihazına ve tanınmış bir güven hizmeti sağlayıcısından alınan nitelikli bir sertifikaya sahip özel bir mühür hizmeti sunmayı planlamaktadır; böylece, kendi mühür altyapısı olmayan üreticiler, kendi donanımlarına ihtiyaç duymadan pasaportlarını mühürleyebileceklerdir.
Sağlayıcıdan daha uzun ömürlü bir arşiv
Pasaportlar AB sicili’ne kaydedilir kaydedilmez, her bir sürüm ayrıca Transpareo Vault adresinde on yıl boyunca değiştirilemez şekilde arşivlenir. Ne üretici ne de Transpareo bunları sonradan değiştiremez. Üretici faaliyetlerini durdurursa bile, pasaportlarının kamuya açık kısmı aynı adresler üzerinden yanıt vermeye devam eder.
Bu arşivi işleten şirket de uzun vadeli bir yapıya sahiptir: Transpareo AG’nin sermayesinin yüzde 51’i, İsviçre’nin Zug kentinde bulunan ve İsviçre Federal Vakıf Denetim Kurumu’na tabi olan, kâr amacı gütmeyen Transpareo Vakfı’na aittir. Bir vakıf, varlıklarını elden çıkaramaz; dolayısıyla şirketin çoğunluk hissesi asla el değiştiremez. Böylelikle Transpareo’nun varlığı ve pasaportlarınıza uzun vadeli erişim yapısal olarak güvence altına alınmıştır.
İşte bir üçüncü taraf, biz olmadan pasaportu nasıl doğrular?
Asıl önemli test, birinin bizim altyapımız olmadan pasaportu doğrulayabilip doğrulayamayacağıdır. Süreç şöyledir:
- Pasaportu herhangi bir kaynaktan alın: CDN’den, kamu arşivinden, AB sicilinden veya bir üçüncü taraf arşivinden.
- Veri setini sabit bir sıraya getirin ve parmak izini hesaplayın.
- Pasaportta belirtilen adreslerden üreticiye ve Transpareo’ya ait açık anahtarları alın.
- Her iki imzayı da parmak iziyle karşılaştırın. İkisi de uyuyorsa, pasaport gerçek ve değiştirilmemiştir.
Giriş yapmaya gerek yok, Transpareo’yu aramaya gerek yok, çalışan bir platforma bağımlılık yok. Bu süreçte hangi yöntemin kullanıldığı, sonundaki sorularda belirtilmiştir.
Şu anda çalışan ve hazırlanan unsurlar
Transpareo Proofchain ’daki sürümlerin zincirlenmesi, tarayıcıda doğrulama, kendi etki alanında yayıncı kimliği ve üreticinin kendi anahtarı kullanıma sunulmuştur. Değiştirilemez on yıllık arşiv oluşturulmuştur ve pasaportlar AB sicili’ne kaydedilir kaydedilmez devreye girecektir. eIDAS mevzuatı ve kayıt arayüzü nihai hale gelir gelmez, AB sicili için nitelikli mühür kullanıma sunulacaktır.
Bir kez imzalanıp arşivlenen her şey, yarın platformu kim işletirse işletsin, doğrulanabilir durumda kalır.
Bu yazıyla ilgili sorular
İmza anahtarımız kimde bulunuyor?
İsterseniz bunu kendiniz de yapabilirsiniz. Üretici kendi imza hizmetini yürütebilir ve Transpareo hiçbir zaman özel anahtarı elinde tutmaz; yalnızca bağımsız karşı imzayı ekler. Böylece her bir geçiş kartı sürümü, birbirinden bağımsız iki kurumdan gelen iki imzayı taşır ve üretici imzası, Transpareo’nun kendisinin oluşturamayacağı bir imzadır.
Yayınlanmış bir bilgiyi düzeltebilir miyiz?
Evet, yeni sürüm olarak. Düzeltme hiçbir şeyi üzerine yazmaz; önceki sürüm, yanında dondurulmuş halde kalır. Yeni sürüm, imzalı içeriğinde önceki sürümün parmak izini taşır ve böylece ilk sürümden güncel sürüme kadar bir zincir oluşur; bu zincir, Transpareo Proofchain adresinde görülebilir. Daha önceki bir sürümü sonradan değiştiren kişi, o sürümün imzalarını veya zinciri bozar ve Transpareo Time Machine adresi, herhangi bir denetçinin bize sormasına gerek kalmadan bunu herkese gösterir.
Transpareo artık yok olursa pasaportlarımıza ne olacak?
Veriler, güvenin veri setinin kendisine bağlı olması nedeniyle doğrulanabilir kalır. Her sürüm, pasaportta belirtilen adreslerde yayınlanan anahtarlarla imzalanır ve Transpareo, her açık anahtarı yayınlandığı anda kalıcı bir adrese yansıtır; böylece orijinal adres ortadan kalksa bile doğrulama işlemi devam eder. AB kaydından itibaren her sürüm, Transpareo Vault adresindeki on yıllık arşivde değiştirilemez bir şekilde saklanır. Şirketin kendisi de uzun vadeli bir yapıya sahiptir; zira Transpareo AG’nin sermayesinin yüzde 51’i, İsviçre Federal Vakıf Denetleme Kurumu’na tabi olan Zug’daki kar amacı gütmeyen Transpareo Vakfı’na aittir. Bir vakıf, varlıklarını elden çıkaramaz; dolayısıyla şirketin çoğunluk hissesi hiçbir zaman el değiştiremez.
Neden katılımcı kimliği kendi alan adında yer alıyor?
Çünkü sertifika zincirleri on yıllar içinde geçerliliğini yitirirken, bir kimlik belgesinin on yıl veya daha uzun süre doğrulanabilir kalması gerekir. Üretici, kendi etki alanındaki /.well-known/ dizininde sabit bir adreste kimlik bilgilerini yayınlar (W3C DID:web standardına göre) ve bu adres, sağlayıcı değişikliği durumunda bile sağlam kalır ve sizin kontrolünüz altında kalır. Bir denetçi, kimseye izin istemek zorunda kalmadan buradan açık anahtarları alır.
Anahtarı değiştirdiğimizde eski anahtarlara ne olur?
Bunlar doğrulanabilir kalır. Eski anahtar, bir zamanlar imzaladığı şeyleri hâlâ onaylamaya devam eder; sadece yeni sertifikaları imzalamaz. Her açık anahtar yayınlandığında kalıcı olarak yedeklendiği için, bir denetçi yıllar sonra bile doğru anahtarı bulabilir. İşte bu, geçişi geçmişi bozmayan rutin bir işlem haline getirir.
AB sicili için ayrı bir onay mührüne ihtiyacımız var mı?
Zorunlu değildir. Kayıt işlemi sizin tarafınızdan gerçekleştirilir ve kimliğinizi eIDAS kapsamında nitelikli elektronik imza, mühür veya nitelikli öznitelik sertifikası ile kanıtlarsınız. Transpareo, bu amaçla kendi mühür cihazına ve tanınmış bir güven hizmeti sağlayıcısından alınan nitelikli sertifikaya sahip özel bir mühür hizmeti sunacak; böylece kendi mühür altyapısı olmayan üreticiler, kendi donanımlarına sahip olmadan da bu yükümlülüğü yerine getirebilecekler. Bu imkân, eIDAS mevzuatı ve kayıt arayüzü kesinleştiğinde sunulacaktır.
Yayınlama sırasında bir geçiş belgesi eksikse ne olur?
İmzalanmaz. Dondurma işleminden önce, veri kaydı ürün kategorisinin zorunlu alanlarına göre kontrol edilir ve bu doğrulama başarısız olursa yayın reddedilir. Yalnızca eksiksiz ve kurallara uygun bir Pass, sürüm olarak kaydedilir. Dolayısıyla, bir Transpareo Pass üzerindeki imza, zorunlu alanların mevcut olduğunu da gösterir.
Ek alanların açıklanması imzayı bozar mı?
Hayır, ve kullanılan yöntem tam da bu amaç için tasarlanmıştır. İmza, veri kaydındaki her bir bilgiye sabitlenir; bu nedenle, bir tamir atölyesine veya resmi makama ek olarak açıklanan alanlar da yeniden imzalanmaya gerek kalmadan aynı kanıtı taşımaya devam eder. Daha fazla bilgi için İmzayı kaybetmeden ifşa etmek adresini ziyaret edin.
Bir müşteri, bizim yardımımız olmadan bir pasaportu kontrol edebilir mi?
Evet, işte bu da belirleyici test. Pasaportu herhangi bir kaynaktan alın, veri setini sabit sırasına göre düzenleyin ve parmak izini hesaplayın; üretici ile Transpareo’nun açık anahtarlarını pasaportta belirtilen adreslerden alın, ardından her iki imzayı da parmak iziyle karşılaştırın. Bunun arkasındaki yöntem, açık kaynaklı W3C sertifikası ecdsa-sd-2023’tür. Giriş yapmanıza gerek yok, bizi aramanıza gerek yok, çalışan bir platforma bağımlı değilsiniz. Transpareo Time Machine, açık kaynaklı görüntüleme uygulamamız, tam da bunu kullanıcının tarayıcısında gerçekleştirir.
