Η DPP έχει πρόβλημα παραδοσης. Το λύσαμε.

🇮🇹🇩🇪🇫🇷🇪🇸🇵🇹🇳🇱🇵🇱🇸🇪🇩🇰🇫🇮🇨🇿🇷🇴🇭🇺🇬🇷🇧🇬🇭🇷🇸🇰🇸🇮🇪🇪🇱🇹🇱🇻🇮🇪🇲🇹🇸🇦🇨🇳🇯🇵🇰🇷🇮🇳🇹🇷🇻🇳🇮🇩

Στις 16 Απριλίου 2026, ένα ψηφιακό διαβατήριο προϊόντος για ένα πραγματικό κλωστοϋφαντουργικό προϊόν ελήφθη από ένα κινητό πορτοφόλι, επαληθεύτηκε κρυπτογραφικά και αποθηκεύτηκε ως επαληθεύσιμο διαπιστευτήριο. Ο εκδότης ήταν ia.reeco.eco. Το πορτοφόλι το αναγνώρισε ως ✅ Επαληθεύτηκε.

Θα εξηγήσω τι σημαίνει αυτό τεχνικά, γιατί η υπόλοιπη αγορά δεν το έχει κάνει και γιατί έχει σημασία για το χρονοδιάγραμμα επιβολής που όλοι αγνοούν.

Ευχαριστώ για την ανάγνωση! Εγγραφείτε δωρεάν για να λαμβάνετε νέες αναρτήσεις και να υποστηρίζετε τη δουλειά μου.

Το πρόβλημα του μεταφορέα εξακολουθεί να είναι το πρόβλημα

Έγραψα τον Απρίλιο του 2026 ότι η επένδυση του κλάδου σε κωδικούς QR ως απόδειξη της "ετοιμότητας DPP" ήταν σφάλμα κατηγορίας. Ο φορέας είναι απαραίτητος αλλά όχι επαρκής.

Το πρόβλημα παράδοσης είναι η συνέχεια. Ένας κωδικός QR που ανοίγει μια ιστοσελίδα δεν είναι επαληθεύσιμο διαπιστευτήριο. Είναι μια διεύθυνση URL. Δεν έχει κρυπτογραφική απόδειξη προέλευσης. Δεν μπορεί να αποκαλυφθεί επιλεκτικά. Δεν μπορεί να αποθηκευτεί σε πορτοφόλι. Δεν μπορεί να παρουσιαστεί σε έναν επαληθευτή — μια τελωνειακή αρχή, έναν ανακυκλωτή, μια αγορά — με τρόπο αυτοματοποιημένο, συμβατό με τα πρότυπα και ανεξάρτητο από το χρόνο λειτουργίας του προμηθευτή.

Ζήτησα από επτά παρόχους DPP να μου δείξουν το τελικό σημείο έκδοσης διαπιστευτηρίων τους. Η ερώτηση προκαλεί μία από τις δύο αντιδράσεις: μια συγκεχυμένη σιωπή ή μια επίδειξη ενός κωδικού QR που ανοίγει έναν πίνακα ελέγχου.

Ένας πίνακας εργαλείων δεν είναι διαπιστευτήριο. Ένας πίνακας εργαλείων είναι μια ιστοσελίδα με σύνδεση.

Τι πραγματικά απαιτεί OID4VCI

Η υποδομή του πορτοφολιού ψηφιακής ταυτότητας της ΕΕ — η οποία θα είναι το υποχρεωτικό επίπεδο πρόσβασης για το DPP σύμφωνα με το πλαίσιο EUDIW — βασίζεται στο OID4VCI 1.0, που οριστικοποιήθηκε τον Σεπτέμβριο του 2025. Αυτό είναι το πρωτόκολλο που διέπει τον τρόπο έκδοσης ενός επαληθεύσιμου διαπιστευτηρίου σε ένα πορτοφόλι.

Απαιτεί τουλάχιστον:

Τελικό σημείο μεταδεδομένων εκδότη διαπιστευτηρίων στη διεύθυνση /.well-known/openid-credential-issuer. Ένα τελικό σημείο διακριτικού που υλοποιεί την προεγκεκριμένη ροή κώδικα. Ένα τελικό σημείο διαπιστευτηρίων που εκδίδει τα διαπιστευτήρια σε υπογεγραμμένη μορφή επιλεκτικής αποκάλυψης. Ένα τελικό σημείο JWKS που δημοσιεύει τα δημόσια κλειδιά του εκδότη.

Τίποτα από αυτά δεν είναι ιστοσελίδα. Τίποτα από αυτά δεν είναι ταμπλό. Είναι μια κρυπτογραφική υποδομή που λαμβάνει μια αξίωση προϊόντος, την υπογράφει με το ιδιωτικό κλειδί του εκδότη και την παραδίδει σε ένα πορτοφόλι σε μορφή που οποιοσδήποτε επαληθευτής μπορεί να επαληθεύσει ανεξάρτητα — χωρίς να καλέσει τον προμηθευτή, χωρίς να έχει εμπορική σχέση με την πλατφόρμα, χωρίς να εξαρτάται από το SLA του προμηθευτή.

Η απαίτηση διατήρησης 10 ετών στο άρθρο 9 του κανονισμού ESPR δεν μπορεί να αντιμετωπιστεί από SLA προμηθευτή. Μπορεί να αντιμετωπιστεί με διαπιστευτήριο που μπορεί να επαληθευτεί ανεξάρτητα έναντι δημοσιευμένου δημόσιου κλειδιού. Πρόκειται για διαφορετικές αρχιτεκτονικές. Μόνο μία από αυτές είναι συμβατή με τον κανονισμό ESPR από την άποψη της επιβολής.

Τι χτίσαμε και τι απέδειξε

Ο OID4VCI εκδότης της Reeco λειτουργεί με https://ia.reeco.eco/dpp-issuer/ και εκθέτει το πλήρες σύνολο τελικών σημείων που απαιτείται από OID4VCI 1.0 Final. Η μορφή διαπιστευτηρίων είναι SD-JWT VC (dc+sd-jwt), υπογεγραμμένο με το ES256 (P-256) και το EdDSA (Ed25519).

Ο σχεδιασμός της επιλεκτικής γνωστοποίησης είναι σκόπιμος και έχει επιχειρησιακά κίνητρα. Οι ακόλουθοι ισχυρισμοί μπορούν να γνωστοποιηθούν επιλεκτικά — ο κάτοχος αποφασίζει τι θα αποκαλύψει ανά πλαίσιο:

Σύνθεση ινών με κάλυψη ισοζυγίου μάζας. Πιστοποιήσεις με ημερομηνίες ισχύος. Χώρα κατασκευής. Συμβάντα ιχνηλασιμότητας. Δείκτες βιωσιμότητας (Δείκτης Ανθεκτικότητας V1.02, Δείκτης Επισκευασιμότητας V3.1, Δείκτης Αποβλήτων V1.0 — Zenodo DOI 10.5281/zenodo.19206500). Επωνυμία και όνομα προμηθευτή.

Πάντα ορατά, ποτέ μη επεξεργασμένα: αναγνωριστικό προϊόντος, GTIN, όνομα προϊόντος, κατηγορία προϊόντος.

Αυτό σημαίνει ότι μια επωνυμία που παρουσιάζει το DPP στα τελωνεία μπορεί να αποκαλύψει την πλήρη σύνθεση και την αλυσίδα πιστοποίησης. Η ίδια επωνυμία που παρουσιάζεται σε έναν καταναλωτή μέσω ενός καναλιού λιανικής αποκαλύπτει δείκτες σύνθεσης και βιωσιμότητας, αλλά όχι το όνομα του προμηθευτή. Ίδιο διαπιστευτήριο. Ίδια κρυπτογραφική υπογραφή. Διαφορετική γνωστοποίηση. Ο επαληθευτής δεν μπορεί να πει τι έχει παρακρατηθεί — μόνο ότι αυτό που έχει αποκαλυφθεί είναι αυθεντικό.

Πρόκειται για επιλεκτική αποκάλυψη όπως έχει σχεδιαστεί στο RFC 9901. Δεν είναι επιλογή απορρήτου. Είναι μια δομική απαίτηση για οποιοδήποτε σύστημα DPP που εξυπηρετεί ταυτόχρονα την τελωνειακή επιβολή και τη διαφάνεια των καταναλωτών χωρίς να εκθέτει εμπορικά ευαίσθητα δεδομένα της εφοδιαστικής αλυσίδας.

Η αυτοματοποιημένη σουίτα δοκιμών εκτελεί 8 ελέγχους και αναφορές από άκρο σε άκρο OID4VCI flow COMPLIANT σε 0,09 δευτερόλεπτα. Η έκδοση διαπιστευτηρίων βάσει κύρτωσης παράγει μια έγκυρη dc+sd-jwt Ξεκινώντας με eyJ0eXAiOiJkYytzZC1qd3Qi — επαληθεύσιμα από οποιονδήποτε jwt.io.

Στις 16 Απριλίου 2026, στις 19:03 CET, το Sphereon Wallet σε μια συσκευή Android έλαβε ένα DPP για την παραγγελία sub-001 και εμφάνισε: https://ia.reeco.eco — ISSUER — ✅ Verified. Το ακατέργαστο διαπιστευτήριο δείχνει issuanceDate: 2026-04-16T16:57:21Z, credentialSubject με ισχυρισμούς προϊόντων και κρυπτογραφική απόδειξη με 5 κλειδιά.

Τι δεν λειτουργεί ακόμα — και γιατί αυτό είναι ένα κανονιστικό πρόβλημα, όχι τεχνικό

Η εφαρμογή αναφοράς του πορτοφολιού ψηφιακής ταυτότητας της ΕΕ απαιτεί από τους εκδότες να είναι εγγεγραμμένοι σε κατάλογο αξιόπιστων εκδοτών που τηρείται από την Ευρωπαϊκή Επιτροπή. Ο εν λόγω κατάλογος καλύπτει επί του παρόντος τα έγγραφα προσωπικής ταυτότητας που εκδίδονται από τα κράτη μέλη της ΕΕ.

Δεν καλύπτει βεβαιώσεις εκτός PID. Δεν υπάρχει καταχώριση DPP κλωστοϋφαντουργικών προϊόντων στη λίστα αξιόπιστων εκδοτών, επειδή η λίστα για βεβαιώσεις εκτός PID δεν υπάρχει ακόμη. Το παράρτημα 2 του ARF (Architecture Reference Framework) βρίσκεται στη διαδικασία καθορισμού του μηχανισμού. Η διαδικασία ενδιαφερόμενων μερών CIRPASS-2 — στην οποία συμμετέχω ως εμπειρογνώμονας των EWG1, EWG3 και EWG5 — είναι ένας από τους διαύλους μέσω των οποίων διαμορφώνεται αυτή η αρχιτεκτονική.

Όταν το πορτοφόλι αναφοράς EUDIW σαρώνει μια προσφορά Reeco DPP, ανακτά σωστά τα μεταδεδομένα, επαληθεύει τη μορφή διαπιστευτηρίων και, στη συνέχεια, ματαιώνει σιωπηλά επειδή δεν μπορεί να βρει τον εκδότη στη λίστα εμπιστοσύνης του. Αυτό δεν είναι σφάλμα στον εκδότη μας. Είναι ένα κενό στην κανονιστική υποδομή.

Το Sphereon Wallet, το οποίο λειτουργεί με πιο επιτρεπτό τρόπο για μη κυβερνητικά διαπιστευτήρια, ολοκληρώνει τη ροή και επισημαίνει τον εκδότη ως Επαληθευμένο. Τα διαπιστευτήρια βρίσκονται στο πορτοφόλι, τα δεδομένα υπάρχουν, η κρυπτογραφική απόδειξη είναι έγκυρη.

Το ερώτημα πότε θα ανοίξει το μητρώο αξιόπιστων εκδοτών της ΕΚ για βεβαιώσεις που δεν είναι PID είναι ρυθμιστικό ζήτημα και όχι τεχνικό. Η θέση μου για το CIRPASS-2 είναι ότι οι εκδότες DPP κλωστοϋφαντουργικών προϊόντων θα πρέπει να είναι επιλέξιμοι για καταχώριση στο ίδιο πλαίσιο εμπιστοσύνης που διέπει οποιονδήποτε άλλο εγκεκριμένο πάροχο βεβαίωσης — όχι ως ειδική περίπτωση, όχι μετά από ξεχωριστό νομοθετικό κύκλο, αλλά ως μέρος της αρχικής εφαρμογής του επιπέδου βεβαίωσης χωρίς PID.

Γιατί αυτό έχει σημασία πριν από την ύπαρξη του μητρώου

Οι μάρκες που κατασκευάζουν υποδομές DPP το 2026 κάνουν μια αρχιτεκτονική επιλογή που θα τους κοστίσει ξανά το 2027 εάν το κάνουν λάθος.

Ένα DPP που υλοποιείται ως στατική ιστοσελίδα απαιτεί πλήρη ανακατασκευή όταν η παράδοση βάσει πορτοφολιού καθίσταται υποχρεωτική. Η ανακατασκευή δεν είναι μετεγκατάσταση. Το μοντέλο δεδομένων είναι διαφορετικό, η υποδομή υπογραφής είναι διαφορετική, το πρωτόκολλο παράδοσης είναι διαφορετικό. Το κόστος δεν είναι ασήμαντο.

Ένα DPP που υλοποιείται σήμερα ως OID4VCI επαληθεύσιμο διαπιστευτήριο — το οποίο εκδίδει η Reeco — είναι ήδη στη σωστή μορφή. Όταν ανοίξει το μητρώο αξιόπιστων εκδοτών, προσθέτετε μια εγγραφή. Δεν ξαναχτίζετε.

Δεν έχω βρει άλλη πλατφόρμα κλωστοϋφαντουργικών προϊόντων DPP που να εκδίδει επί του παρόντος διαπιστευτήρια SD-JWT VC μέσω OID4VCI 1.0. Αν υπάρχει και μου έχει λείψει, χαίρομαι να με διορθώσουν.

Η ευθυγράμμιση του UNTP

Η Reeco είναι εγγεγραμμένη στο μητρώο λογισμικού UNTP (MR !732, UNICC GitLab, εγκρίθηκε τον Απρίλιο του 2026) ως συμβατή υλοποίηση του σχήματος UNTP DigitalProductPassport. Η προδιαγραφή UNTP ορίζει τι πρέπει να περιέχει ένα DPP. Δεν ορίζει πώς πρέπει να παραδίδεται.

OID4VCI είναι το επίπεδο υλοποίησης που λείπει επί του παρόντος από το UNTP. Μια συμβολή στην uncefact/spec-untp Η πρόταση OID4VCI ως τυπικού μηχανισμού παράδοσης για το UNTP DPP — με τη Reeco ως εφαρμογή αναφοράς — βρίσκεται στο στάδιο της προετοιμασίας.

Για την αγορά

Ο εκδότης είναι ζωντανός. Η μορφή προσφοράς διαπιστευτηρίων είναι τυπική OID4VCI και το JWKS είναι δημόσιο στη διεύθυνση https://ia.reeco.eco/dpp-issuer/jwks. Οποιαδήποτε επωνυμία, επαληθευτής ή πάροχος πορτοφολιού μπορεί να το δοκιμάσει χωρίς να ζητήσει άδεια.

Εάν είστε πάροχος DPP και δεν μπορείτε να εμφανίσετε το δικό σας /.well-known/openid-credential-issuer τελική στιγμή, η πλατφόρμα σας δεν είναι έτοιμη για πορτοφόλι. Μπορεί να είναι χρήσιμο για άλλους σκοπούς. Δεν είναι έτοιμο για την υποδομή επιβολής που απαιτεί ο ESPR.

Αυτός είναι ένας διαψεύσιμος ισχυρισμός. Το τελικό σημείο είτε υπάρχει είτε δεν υπάρχει.

Ο Stefano Cipriani είναι ο ιδρυτής των Reeco® και Stefano Cipriani Studio (Πράτο, Ιταλία). Εμπειρογνώμονας CIRPASS-2 EWG1, EWG3, EWG5. Εγγεγραμμένος ενδιαφερόμενος φορέας του JRC, Μονάδα B5 Σεβίλλη. ORCID: 0009-0001-3423-9402. Wikidata: Q138773743. Ευρεσιτεχνία

Ευχαριστώ για την ανάγνωση! Εγγραφείτε δωρεάν για να λαμβάνετε νέες αναρτήσεις και να υποστηρίζετε τη δουλειά μου.