Digitale Produktpässe: Identifikation & Sicherheit

Kritiker der von Cirpass vorgeschlagenen Lösung

Die Cirpass-Lösung schlägt GS1 Link als Standard für den HTTP-basierten Zugriff in digitalen Produktpässen vor und zielt darauf ab, eine universelle Kennung für Produktinformationen zu etablieren. Die Abhängigkeit von GS1 Link wirft jedoch Bedenken hinsichtlich eines Marktmonopols auf, da keine Alternative vorgestellt wurde, was die Flexibilität einschränkt und möglicherweise den Wettbewerb erstickt.

Als Reaktion auf diese Einschränkungen wird ein DID-basiertes (Decentralized Identifier) Zugriffsmodell vorgeschlagen, um die Marktanpassungsfähigkeit zu verbessern. Dieser Ansatz ermöglicht die Speicherung einzigartiger, unbegrenzter DID-Resolver in einem QR-Code. Beim Scannen führt der Code zu einer darin gespeicherten Resolver-URL. Falls die primäre URL nicht verfügbar ist, leitet das System automatisch zu einer Backup-URL weiter, was die Zuverlässigkeit erhöht und Datensilos verhindert.

Vorgeschlagene Lösung: Ein integrierter Ansatz für sichere digitale Identifizierung und Backup-Zugriff

Generieren digitaler Anmeldeinformationen

1. Beziehen Sie ein digitales Zertifikat: Sichern Sie ein Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle (CA), das einen öffentlichen und einen privaten Schlüssel enthält.
2. QR-Code-Daten signieren: Verwenden Sie den privaten Schlüssel, um QR-Code-Daten digital zu signieren und so die Authentizität sicherzustellen.

Benutzerüberprüfung

1. Anmeldeinformationen übermitteln: Unternehmen übermitteln ihre Anmeldeinformationen, beispielsweise ein digitales Zertifikat, über eine Webanwendung.
2. Backend-Verifizierung: Das Backend validiert die Anmeldeinformationen durch den Verifizierungsdienst der Zertifizierungsstelle.
3. Autorisierung: Nach erfolgreicher Verifizierung sind Unternehmen berechtigt, DID-Resolver zu erstellen und QR-Codes zu generieren.

Erstellen des DID-Dokuments

1. DID registrieren: Erstellen Sie eine DID mit einer von Polygon oder Ethereum unterstützten Methode.
2. Primäre und Backup-URLs: Fügen Sie sowohl primäre als auch Backup-URLs in das DID-Dokument ein.
3. Signatur: Signieren Sie das DID-Dokument mit dem privaten Schlüssel des Unternehmens.

Einbetten von Verifizierungsinformationen in das DID-Dokument

• Betten Sie die Zertifikats- und Signaturinformationen in das DID-Dokument zur dezentralen Speicherung auf IPFS ein und stellen Sie so die Integrität und Unveränderlichkeit des Dokuments sicher.

Integrierte Lösung mit IPFS und Ethereum/Polygon

• Speicherung auf IPFS: Speichern Sie das DID-Dokument sicher auf IPFS für einen kostengünstigen Abruf.
• Blockchain-Alternative: Unternehmen können das DID-Dokument alternativ über einen Smart Contract direkt auf Ethereum oder Polygon speichern und so das Dokument unveränderlich aufbewahren.

Veröffentlichen des IPFS-Hash auf Blockchain

• Der IPFS-Hash kann auf Ethereum oder Polygon gespeichert werden, wodurch Unveränderlichkeit und Rückverfolgbarkeit des DID-Dokuments gewährleistet werden.

QR-Code-Generierung

• Der QR-Code kodiert den DID-URI und die digitale Signatur und dient als Brücke zwischen dem physischen Produkt und seinem verifizierten digitalen Gegenstück.

Verifizierungsprozess

• Signaturüberprüfung: Der Resolver überprüft die Signatur mit dem öffentlichen Schlüssel beim Scannen des QR-Codes.
• DID-Dokumentabruf: Ruft das DID-Dokument von IPFS ab und validiert die URL, um einen sicheren Zugriff auf Produktinformationen zu gewährleisten.

So erkennen Sie gefälschte QR-Codes

• Verifizierung der digitalen Signatur: Nur der öffentliche Schlüssel des entsprechenden Unternehmens kann die digitale Signatur des QR-Codes validieren.
• Zertifikatsüberprüfung: Der öffentliche Schlüssel im von der Zertifizierungsstelle ausgestellten Zertifikat bestätigt die Legitimität des Unternehmens.
• Unveränderlicher IPFS-Speicher: Das Speichern des DID-Dokuments auf IPFS verhindert unbefugte Änderungen.
• Überprüfungsanwendung: Eine spezielle Anwendung scannt QR-Codes, überprüft digitale Signaturen und vergleicht Metadaten mit internen Datensätzen.
• IPFS-Hash-Überprüfung: Diese Überprüfung stellt sicher, dass das gespeicherte Dokument unverändert bleibt.
• Zusätzliche Metadaten: Das DID-Dokument kann produktspezifische Metadaten wie Herstellungsdetails enthalten, die die Überprüfung anhand der internen Datenbank des Unternehmens erleichtern.
• Öffentliches Hauptbuch: Veröffentlichen Sie einen Hash jedes DID-Dokuments in öffentlichen Hauptbüchern wie Ethereum oder Polygon, um die Authentizität des Dokuments weiter zu stärken.

Rollenbasierte Zugriffskontrolle mit digitalen Geldbörsen

• Rollenzuweisung: Verschiedene Rollen, wie Kunden, Behörden und Recycler, erhalten Zugriff auf unterschiedliche Ebenen von Produktinformationen.
• Europäische digitale Identität (eID): Diese Identitätsplattform hilft bei der Verwaltung von Rollen durch verifizierte Anmeldeinformationen.

Backup-URL-Benachrichtigungssystem

• Primärer URL-Zugriff: Zunächst sucht der Resolver nach der primären URL für den Datenabruf.
• Automatischer Backup-URL-Zugriff: Wenn die primäre URL nicht verfügbar ist, wechselt der Resolver zur Backup-URL.
• Benachrichtigungssystem: Ein Überwachungssystem warnt die Backup-URL vor Ausfallzeiten der primären URL, um einen reibungslosen Zugriff aufrechtzuerhalten.

Sicherstellung maschinenlesbarer Daten

• Das System stellt sicher, dass aufgelöste Daten in einem maschinenlesbaren Format zugänglich sind, wodurch digitale Verifizierungsprozesse optimiert werden.

Dieser integrierte DID-basierte Ansatz für digitale Produktpässe bietet eine sichere, flexible Alternative zu GS1 Link und fördert einen dezentralen Verifizierungsprozess, der monopolistische Einschränkungen minimiert und die Systemzuverlässigkeit erhöht.

ComplyMarket Services für den digitalen Produktpass 

Um zu verstehen, wie ComplyMarket Sie bei der Erstellung Ihres digitalen Produktpasses unterstützen kann, besuchen Sie diese Seite oder kontaktieren Sie uns direkt.

Warnung: ComplyMarket-Lösungen sind patentiert und jede Verwendung ohne schriftliche Genehmigung von ComplyMarket führt zu schwerwiegenden rechtlichen Konsequenzen.

geschrieben von: Alaa Rezk, leitender Softwareentwickler