Tiết lộ thông tin mà không làm mất đi dấu ấn riêng

Một hộ chiếu sản phẩm kỹ thuật số không hiển thị cùng một nội dung cho tất cả mọi người. Một người mua hàng chỉ nhìn thấy dữ liệu công khai. Một cơ sở sửa chữa hoặc đơn vị tái chế sẽ nhìn thấy nhiều thông tin hơn. Cơ quan giám sát thị trường thì có thể xem toàn bộ thông tin. Điều này đã được làm rõ, và các tiêu chuẩn châu Âu hiện nay đã quy định rõ ràng về vấn đề này.

Câu hỏi thú vị hơn lại nằm ở chỗ khác: Nếu ai đó được xem các trường thông tin được bảo vệ ngoài dữ liệu công khai, liệu họ có thể chứng minh rằng chính những trường thông tin này là xác thực hay không? Hay họ phải tin tưởng rằng nền tảng đã chọn lọc chúng một cách chính xác và chuyển giao mà không thay đổi?

Hãy tưởng tượng một công chứng viên không chứng thực toàn bộ lá thư, mà chứng thực từng đoạn một. Ai cũng nhận được lá thư công khai. Ai có quyền truy cập thêm sẽ nhận được các đoạn bổ sung, và mỗi đoạn trong số đó vẫn mang con dấu của cùng một công chứng viên. Đó chính là cách chúng tôi xây dựng nền tảng của mình. Đối với hầu hết các nền tảng, câu trả lời trung thực cho câu hỏi trên là: Niềm tin. Còn với chúng tôi, câu trả lời là: Bằng chứng, đối với từng trường dữ liệu chỉ được bổ sung khi công bố. Bài viết này giải thích lý do tại sao sự khác biệt này lại quan trọng và tại sao chúng tôi đã chọn con đường tốn kém hơn để thực hiện điều đó.

Tất cả đều tuân thủ quy tắc truy cập như nhau

Tiêu chuẩnEN 18239 - tiêu chuẩn châu Âu về quyền truy cập, bảo mật và tính bảo mật trong DPP - yêu cầu việc kiểm soát truy cập phải được thực hiện theo từng trường dữ liệu: Mỗi trường dữ liệu đều có một quy tắc riêng quy định ai được phép xem. Đây là yêu cầu đúng đắn và không khó để đáp ứng. Về bản chất, các tiêu chuẩn này có vị thế như thế nào, chúng tôi đã phân tích chi tiết trong bài viết về các tiêu chuẩn hài hòa.

Cách thức thông thường để thực hiện điều này là sử dụng bộ lọc trên máy chủ. Máy chủ sẽ xác định người yêu cầu là ai, tra cứu xem người đó được phép xem những gì, và trả về chính xác phần thông tin đó. Tiêu chuẩn không yêu cầu gì thêm. Người đọc phải tin tưởng rằng máy chủ đã lựa chọn một cách trung thực và không thay đổi bất kỳ thông tin nào trong quá trình truyền tải. Đối với một tài liệu hướng dẫn công khai, điều này là chấp nhận được. Tuy nhiên, đối với một giá trị mà nhà xử lý dữ liệu dùng làm cơ sở để định giá một viên pin đã qua sử dụng, thì mức độ tin tưởng này là quá cao.

Có một vấn đề mà tiêu chuẩn này không đề cập đến: Phần nội dung được cung cấp không đi kèm con dấu xác thực.

Giải pháp hiển nhiên là ký số vào dữ liệu. Đối với hai đầu của thang đo, chữ ký thông thường hoạt động hiệu quả: ký vào phần hiển thị công khai, ký vào bộ dữ liệu đầy đủ. Quy trình chi tiết được trình bày trong phần “Chữ ký và Chứng chỉ” của DPP. Tuy nhiên, vấn đề nảy sinh ở phần giữa. Một chữ ký trên toàn bộ tài liệu chỉ bao phủ chính xác các trường dữ liệu có mặt tại thời điểm ký. Nếu người đọc được ủy quyền được mở thêm một trường dữ liệu được bảo vệ, trường này sẽ nằm ngoài tập hợp đã được ký và do đó sẽ được gửi đến họ mà không được bảo vệ. Không ai có thể ký trước mọi kết hợp có thể xảy ra về việc “ai xem được gì”, bởi số lượng kết hợp này sẽ tăng lên theo cấp số nhân. Chúng ta lại phải quay về phương án lọc mà không có con dấu, và cấp độ trung gian một lần nữa lại dựa trên sự tin tưởng.

Ký từng trường riêng lẻ

Có một cơ chế thiết kế tốt hơn, và chúng tôi xây dựng nền tảng dựa trên cơ chế đó. Thay vì ký toàn bộ tài liệu đã hoàn thiện dưới dạng một khối duy nhất, nhà sản xuất sẽ xác định từng trường riêng lẻ trong một lần xử lý duy nhất (đối với những ai am hiểu về tiêu chuẩn: quy trình ecdsa-sd-2023 của W3C).

Mỗi chế độ xem đều bắt đầu từ cùng các trường công khai này. Những gì người đọc nhìn thấy thêm vào đó sẽ được bổ sung từng trường một, và mỗi trường này vẫn dẫn về khóa công khai của nhà sản xuất, ngay cả khi ngoại tuyến, mà không cần ký lại và không cần phải tin tưởng vào đơn vị đã tổng hợp chế độ xem đó. Các trường không có quyền truy cập đơn giản là không xuất hiện. Không bị che mờ, mà hoàn toàn vắng mặt, và không có thông tin nào về chúng bị rò rỉ.

Một quy trình: cơ sở sửa chữa

Một cơ sở sửa chữa đã đăng ký quyền lợi hợp pháp đối với một viên pin - đây là một trong các cấp độ truy cập mà Quy định về pin quy định rõ ràng. Hệ thống xưởng sửa chữa của họ sử dụng khóa riêng để đăng nhập vào giao diện của chúng tôi và truy xuất thông tin chứng nhận. Kết quả trả về chính là thông tin chứng nhận công khai mà người mua cũng nhìn thấy, nhưng được bổ sung thêm đúng một trường thông tin: hướng dẫn tháo lắp, chỉ được tiết lộ cho những người đọc có quyền truy cập. Không có tài liệu thứ hai, cũng không có phiên bản đặc biệt nào.

Trước khi doanh nghiệp tin tưởng vào trường thông tin này, phần mềm của họ sẽ đối chiếu chữ ký đi kèm với khóa công khai của nhà sản xuất. Nếu quá trình xác minh chữ ký thành công, bao gồm cả trường thông tin bổ sung, doanh nghiệp sẽ biết chắc chắn rằng: Hướng dẫn này hoàn toàn chính xác đến từng ký tự từ nhà sản xuất, và không ai trong quá trình truyền tải đã thay đổi bất kỳ nội dung nào. Nếu quá trình xác minh không thành công, hệ thống sẽ loại bỏ toàn bộ nội dung đó. Việc đảm bảo hệ thống chỉ nhận được chính xác những trường dữ liệu mà nó được phép truy cập vẫn là nhiệm vụ của hệ thống kiểm soát truy cập của chúng tôi. Điểm mới nằm ở bước tiếp theo: Hệ thống sẽ tự mình xác minh tính xác thực của dữ liệu nhận được mà không cần hỏi ý kiến chúng tôi.

Tại sao “vẫn nguyên vẹn” lại là vấn đề cốt lõi

Một con dấu còn nguyên vẹn không có nghĩa là nội dung bên trong là đúng sự thật. Nó khẳng định: Chính xác đây là những gì nhà sản xuất đã ghi, và kể từ đó không ai thay đổi bất kỳ ký tự nào trong đó. Như vậy, bất kỳ ai chỉ đóng vai trò trung gian chuyển tiếp tài liệu đều không còn liên quan đến vấn đề tin cậy: bộ nhớ đệm, mạng lưới, kho lưu trữ, và cả chúng tôi.

Việc ai đã trao hộ chiếu cho quý vị giờ đây không còn quan trọng nữa.

Và con dấu là một yếu tố nhị phân. Nó hoặc còn nguyên vẹn, hoặc đã bị phá vỡ; không tồn tại khái niệm “bị phá vỡ một nửa”. Do đó, việc các trường thông tin bổ sung có kèm theo con dấu khi đến tay quý vị hay không không phải là sự khác biệt theo mức độ: Nếu không có con dấu, các trường đó không phải là có độ tin cậy thấp hơn một chút, mà là hoàn toàn không có thông tin.

Cả hai phương thức để xem

Bất kỳ ai cũng có thể tự kiểm tra điều này. Transpareo Time Machine là ứng dụng hiển thị mã nguồn mở của chúng tôi dành cho các hộ chiếu sản phẩm: Ứng dụng này cho phép người dùng lướt qua lịch sử các phiên bản của một hộ chiếu sản phẩm và đồng thời tính toán lại từng chữ ký ngay trong trình duyệt của người dùng, mà không cần truy vấn máy chủ của chúng tôi. Giấy chứng nhận của một chiếc áo thun có chữ ký bao trùm toàn bộ tài liệu, còn giấy chứng nhận của một viên pin thì có xác nhận theo từng trường dữ liệu.

Cả hai đều là các tiêu chuẩn mở của W3C, bất kỳ ai cũng có thể triển khai. Việc tạo và duy trì chữ ký cho toàn bộ tài liệu có chi phí thấp hơn đáng kể, và những ai chỉ cung cấp dữ liệu công khai thì phương pháp này là đủ. Việc Transpareo Time Machine hỗ trợ cả hai phương thức này là có chủ đích: Thẻ này vẫn giữ nguyên định dạng tiêu chuẩn thông thường, cho phép bất kỳ công cụ phù hợp nào cũng có thể kiểm tra, không chỉ riêng công cụ của chúng tôi.

Điều này mang lại lợi ích cho ai, và tiêu chuẩn yêu cầu những gì

Ngoài dữ liệu công khai, còn có thông tin nào khác được tiết lộ cho ai? Chắc chắn không phải là người mua hàng bình thường. Đó là những người xử lý dữ liệu - những người đánh giá giá trị của một bộ pin đã qua sử dụng; các công ty bảo hiểm - những người định giá rủi ro; các đơn vị tái chế - những người phân loại các chất hóa học; và các cơ quan chức năng - những người xây dựng hồ sơ vụ việc. Đó là những người đọc mà quyết định của họ liên quan trực tiếp đến tiền bạc hoặc an toàn. Và theo cách tiếp cận thông thường, chính những đối tượng này lại không nhận được bất kỳ dấu chứng nhận nào cho các trường dữ liệu mà quyết định của họ dựa vào. Chúng tôi cho rằng một dấu chứng nhận phải mang ý nghĩa như nhau đối với tất cả mọi người: Mỗi trường dữ liệu được hiển thị đều xuất phát từ nhà sản xuất và chưa từng bị can thiệp kể từ đó. Một con dấu chỉ áp dụng cho các trường công khai thì chỉ là con dấu nửa vời.

Chúng tôi xin nói thẳng: Không có quy định nào bắt buộc điều này cả. Tiêu chuẩn EN 18239 yêu cầu việc truy cập phải được kiểm soát, và bộ lọc trên máy chủ thực hiện điều này một cách hoàn hảo. Việc đảm bảo các trường được công khai có thể kiểm chứng được là điều chúng tôi thực hiện thêm, bởi lẽ ý nghĩa cốt lõi của một hộ chiếu có chữ ký số chính là để không ai phải tin tưởng vào nền tảng đó. Việc loại trừ cấp độ trung gian như một ngoại lệ lại chính là điều lấy lại niềm tin mà chữ ký số lẽ ra phải loại bỏ.

Nguyên tắc tương tự cũng cho phép bỏ qua một trường dữ liệu

Việc xác định từng trường dữ liệu riêng lẻ mang lại một đặc tính thứ hai, và điều này thực sự được pháp luật châu Âu yêu cầu. Quy định chung về bảo vệ dữ liệu trao cho mọi người quyền yêu cầu xóa dữ liệu cá nhân. Một bộ dữ liệu được ký kết dưới dạng một khối duy nhất không thể đáp ứng yêu cầu này mà không làm hỏng chính chữ ký của chính nó.

Vì ở đây mỗi trường dữ liệu đều độc lập, nên có thể loại bỏ một trường riêng lẻ trong khi phần còn lại vẫn duy trì tính hợp lệ. Nếu vô tình có dữ liệu cá nhân lọt vào hộ chiếu, chúng sẽ được loại bỏ một cách triệt để mà không làm ảnh hưởng đến tính hợp lệ của hộ chiếu: không cần cấp lại, lịch sử dữ liệu vẫn được bảo toàn. Các trường dữ liệu mà pháp luật yêu cầu phải lưu giữ sẽ được giữ nguyên; những thông tin có thể xóa sẽ được xóa theo yêu cầu, ngay cả nhiều năm sau đó.

Tại sao điều này lại khó thực hiện, và cách chúng tôi đã giải quyết vấn đề

Chúng tôi không phải là người phát minh ra quy trình này; đây là một tiêu chuẩn công khai của W3C. Khó khăn không nằm ở việc nảy sinh ý tưởng. Khó khăn nằm ở việc xây dựng hệ thống sao cho hộ chiếu vẫn đảm bảo tính xác thực sau mười năm. Một chữ ký thông thường được tính toán dựa trên các byte của tài liệu. Trong khi đó, chữ ký theo từng trường được tính toán dựa trên từng thông tin riêng lẻ; do đó, trước khi ký, hộ chiếu phải được chuyển sang một định dạng cố định, trong đó mỗi thông tin được trình bày dưới dạng một câu riêng biệt. Cách trình bày này phải được tái tạo lại từng ký tự một sau mười năm, nếu không thì con dấu sẽ không còn khớp nữa. Có ba yếu tố tưởng chừng như không đáng kể đang cản trở điều này, và chúng tôi đã giải quyết tận gốc cả ba vấn đề đó.

Các số sẽ mất đi kiểu dữ liệu của chúng. Một giá trị như 2.0 sau khi trải qua một vòng xử lý theo định dạng dữ liệu thông thường sẽ trở thành 2. Đối với con người thì đó là cùng một giá trị, nhưng đối với định dạng cố định thì lại là một câu khác. Hệ thống của chúng tôi lưu trữ mỗi giá trị kèm theo kiểu dữ liệu của nó, và quá trình công bố sẽ bị ngừng lại ngay khi chỉ cần xuất hiện một con số nào đó không có kiểu dữ liệu.

Tên gọi chưa phải là ý nghĩa. Mỗi tên trường phải được liên kết với một ý nghĩa duy nhất trong từ điển; nếu không, trường đó sẽ tự động biến mất trong quá trình chuyển đổi và con dấu sẽ không bao phủ được nó. Ở hệ thống của chúng tôi, mọi từ điển đều được lưu trữ cục bộ và không bao giờ được truy xuất qua mạng; một tên trường không xác định sẽ khiến quá trình ký kết dừng lại, thay vì âm thầm trả về kết quả trống.

Các mục nhập cần có tên cố định. Mỗi mục nhập trong tài liệu của chúng tôi đều mang một mã định danh cố định, để cách viết luôn nhất quán qua từng lần xử lý, thay vì phải gán tên tạm thời mới mỗi lần.

Phần nhạy cảm nhất nằm ở khóa riêng của nhà sản xuất. Đối với mỗi lần cấp phát, cần có một khóa bổ sung có thời hạn ngắn, dùng để ký riêng lẻ cho từng trường thông tin có thể công khai. Chính nhà sản xuất tự tạo ra và hủy bỏ khóa này. Nếu khóa đó nằm trong tay chúng tôi, chúng tôi có thể tự ý thêm các trường thông tin riêng lẻ sau này. Mỗi hộ chiếu đều mang hai con dấu như vậy, một của nhà sản xuất và một của Transpareo, ngay cả đối với một trường thông tin được công khai riêng lẻ.

Đối với chúng tôi, nỗ lực này là hoàn toàn xứng đáng. Với Transpareo Proofchain, mỗi bản thông hành sẽ được ký điện tử khi công bố và được liên kết với phiên bản trước đó; đồng thời, Transpareo Vault - kho lưu trữ không thể thay đổi trong vòng mười năm - sẽ có hiệu lực ngay khi các bản thông hành được đăng ký tại sổ đăng ký EU. Việc ký từng trường dữ liệu thay vì toàn bộ khối dữ liệu là một sự mở rộng của cơ chế cốt lõi này, chứ không phải là một phần bổ sung.

Tình hình hiện tại

Chúng tôiđã quyết định áp dụng phương thức chứng thực này cho mọi độc giả, bởi vì một con dấu phải mang cùng một ý nghĩa, bất kể ai xem nó. Nếu quý vị muốn xem nó hoạt động như thế nào: Hai mẫu giấy thông hành được liên kết ở trên có thể được kiểm tra trực tiếp ngay trong trình duyệt, mà không cần truy vấn máy chủ.