Aynı belgeyi iki yere göstermek: neden birbirine bağlanamaz?

Aynı belgeyi iki ayrı yere gösterdiğinde Tamga Wallet her birine belgenin farklı bir kopyasını gönderir. Kopyaların hepsini kurum imzalamıştır ama her biri telefonundaki ayrı bir anahtara bağlıdır. Bu yüzden iki yerin elinde "bu aynı kişi" demelerine yarayacak ortak bir teknik değer olmaz. Tamga ile giriş yaptığın sitelerde de her site aynı nedenle ayrı bir takma ad görür. Seni birbirine bağlayan tek şey, kendi seçtiğin bilgilerdir; örneğin adın.

Belge için "bağlanamaz" ne demek?

Öğrenci belgeni indirim için bir sinemaya, bir hafta sonra da bir yazılım mağazasına gösterdiğini düşün. İkisi de yalnız "bu kişi öğrenci" bilgisini alır. Peki ikisi de kayıt tutup sonra bu kayıtları karşılaştırsa, iki kaydın aynı kişiye ait olduğunu anlayabilirler mi?

Kâğıt kartta ya da PDF'te çoğu zaman anlarlar: aynı belge numarası, aynı fotoğraf, aynı dosya. Dijital imzalı belgede tehlike daha gizlidir. Yalnız "öğrenci" bilgisini açsan bile imzalı belge bazı teknik değerleri açıkta taşır: kurumun imzası, belgenin sana ait olduğunu kanıtlayan anahtarın açık kısmı, belgenin kurumun iptal listesindeki yeri. Bu değerler her seferinde aynı olsaydı gizli bir seri numarası gibi çalışırdı.

Bağlanamazlık, belgeni alan iki (ya da daha çok) tarafın, senin açmadığın hiçbir şey üzerinden kayıtlarını eşleştirememesidir. AB'nin dijital kimlik tüzüğü cüzdanlardan tam olarak bunu ister: 2024/1183 sayılı Tüzük'ün 5a(16) maddesi, kimliğin gerekmediği yerde bağlanamazlığı sağlayan gizlilik tekniklerini şart koşar; belgeyi verenin ya da başka birinin, belge verildikten sonra kullanıcının onu nasıl kullandığını izlemesini, bağlamasını yasaklar.

Tamga Wallet iki gösterimi nasıl ayrı tutar?

Cüzdan üç şey yapar.

Her belgeden birkaç kopya tutar

Bir kurumdan belge aldığında uygulamaya tek belge değil, bir paket gelir. İlerleme ekranında "10 kopya imzalatılıyor" yazısını görürsün. Ağın belge verme kuralları paketi 10 kopya olarak sabitler ve her kopya farklı bir cihaz anahtarına bağlanır. Kurum bunu denetler; anahtarları tekrar eden isteği reddeder. Çünkü aynı anahtarlı kopyalar birbirine bağlanabilirdi ve paketin anlamı kalmazdı.

İptal edilebilen belgelerde her kopyaya kurumun durum listesinde rastgele seçilmiş ayrı bir yer de verilir. Kurumun dışında kimse bu yerlerin aynı belgeye ait olduğunu bilemez.

Her doğrulayıcıya kendi kopyasını, aynı doğrulayıcıya hep aynı kopyayı gösterir

Kural basittir; uygulamada belge ayrıntılarında tek cümleyle yazar: "Her doğrulayıcıya ayrı bir kopya gider; aynı doğrulayıcı hep aynı kopyayı görür, böylece farklı doğrulayıcılar seni birbirine bağlayamaz."

Aynı yere neden aynı kopya? Çünkü daha önce belge gösterdiğin yer, orada bulunduğunu zaten biliyor. Yeni kopya ondan bir şey saklamaz, yalnız kopya harcar. Cüzdan paylaştığı alanları da tutarlı tutar: geçen sefer bir doğrulayıcıya altı alan verdiyse bu sefer sekiz vermez. Değişen alan sayısı neyin saklandığını ele verir.

Her siteye ayrı bir takma ad verir

"Tamga ile giriş" siteye kimlik numaranı ya da sabit bir hesap değeri göndermez. Cüzdan, güven listesinde kayıtlı her site için ayrı bir takma ad türetir. Site her dönüşünde seni tanır; iki site ise birbiriyle ilgisiz iki değer görür. Takma adlarını Ayarlar → Takma adlarım'da görür, yalnız senin göreceğin bir ad verebilir ya da silebilirsin: Takma adlarını yönet.

Takma adlar, kimlik servisinin senin kimliğinden türettiği bir tohumdan üretilir. Yeni telefonda kimliğini yeniden doğruladığında aynı takma adların geri gelmesi ve hesaplarının kaybolmaması bundandır.

Kopyalar biterse ne olur?

Kopya yalnız yeni bir doğrulayıcı için harcanır; daha önce gösterdiğin yerler kendi kopyalarını görmeye devam eder. Kopya azaldığında ana ekran haber verir; aynı belgenin yeni kopyalarını kurumdan alabilirsin.

Kopya kalmamışken yeni bir doğrulayıcı isterse cüzdan senin yerine karar vermez. Yenileyebilir ya da eski bir kopyayı yeniden kullanabilirsin. Yeniden kullanmayı seçersen ayrı bir bağlanabilirlik uyarısı çıkar: o kopyayı kaç doğrulayıcının gördüğünü ve bilgilerini birleştirirlerse seni aynı kişi olarak tanıyabileceklerini söyler.

Bazı kurum belgeleri kopyalarını kendiliğinden yenileyebilir; yalnız uygulama açık ve kilidi açıkken, rastgele bir gecikmeyle ve kurum bunu destekliyorsa. Bunu Ayarlar'dan ("Kopyaları otomatik yenile") kapatabilirsin. Kimlik ve iletişim belgeleri hiçbir zaman kendiliğinden yenilenmez; onları her zaman sen yenilersin.

Kurum, belgeyi nerede gösterdiğimi öğrenir mi?

Hayır. Doğrulayıcı belgeyi kuruma sormadan denetler (belge iptal edilince ne olur). İmzayı Tamga Network'ün imzalı güven listesine göre kontrol eder; iptal durumuna da kurumun durum listesinden bakar. Bu listeyi belirli aralıklarla indirip saklar. Ağın kuralları listenin doğrulama anında çekilmesini yasaklar: öyle olsaydı kurum "şu an biri benim belgelerimden birini denetliyor" bilgisini öğrenirdi, isteğin geldiği adres de doğrulayıcıyı ele verirdi.

Cüzdan da aynı düşünceyle çalışır. Belgelerinden birinin iptal edildiğini ya da süresinin dolmak üzere olduğunu fark etmek için herkese açık listeleri indirir; senin hakkında hiçbir bilgi gitmez ve bildirim telefonunda oluşturulur. Gösterim sırasında şema sunucusuna da istek atmaz.

İptal listesi nasıl gizli kalır?

Durum listesi uzun bir bit dizisidir; her kopyanın orada bir yeri vardır. Böyle bir liste sessizce bilgi sızdırabilir. Ağın durum listesi şartnamesi bu yüzden kurallar ekler:

• Yerler rastgele seçilir. Sırayla verilseydi kayıt sırası ortaya çıkardı: 12. yer, belgeyi alan 12. kişi olurdu.
• Bir listede en az 100.000 yer vardır. Geçerli bir belge ile kullanılmayan bir yer aynı değeri taşır; böylece yeni bir liste ilk sahiplerini öne çıkarmaz.
• Listenin adresi anlamsız, rastgele bir dizedir; yıl ya da fakülte adı gibi bir şey olamaz.
• Listeler bir şey değiştiği anda değil, sabit aralıklarla yayımlanır.

Bu kuralların arkasındaki fikrin adı sürü gizliliğidir: aynı listedeki pek çok kişinin arasında gizlenirsin. Dürüst bir sınırı da var ve şartname bunu kabul edilmiş sınır olarak yazar. 300 mezunu olan küçük bir okulda liste ne kadar büyük olursa olsun sürü 300 kişidir; belge zaten okulun adını açıkça taşır.

Hâlâ bağlanabilen ne var?

Bağlanamazlık senin açmadığın bilgiyi korur; açtığını saklayamaz.

• Paylaştığın bilgiler. Adını soyadını iki yerle paylaşırsan seni adından eşleştirebilirler. Cüzdanın olabildiğince az şey istemesi ve onaylamadan önce her alanı göstermesi bundandır: Seçici paylaşım.
• Belgeyi veren kurum. Kurumun kimliği her zaman görünür; doğrulayıcı kime güveneceğini böyle bilir.
• Yeniden kullandığın kopya. Kopyaların bitmişken birini yeni bir doğrulayıcı için yeniden kullanırsan, o kopyayı görmüş bütün doğrulayıcılar seni onun üzerinden eşleştirebilir. Cüzdan bunu yapmadan önce seni uyarır.
• Takma ad tohumu. Ağın karar kaydı bunu açıkça yazar: kimlik servisinin takma ad anahtarını ve kimlik numaranı birlikte elinde tutan biri, bir sitedeki takma adını hesaplayabilir. Bu, anahtar koruması ve denetimle sınırlanır; planlanan çözüm kimsenin hesaplayamayacağı sıfır bilgi yöntemidir.

Bugün en güçlü durum yaş kontrolüdür. Bir site yalnız "18 yaş üstü mü?" diye sorduğunda cüzdan bunu sıfır bilgi ispatıyla kanıtlayabilir: ne doğum tarihi ne belge görünür; iki ispat da birbirine bağlanamaz.

Sık sorulan sorular

Her doğrulayıcıya farklı bir belge mi gider?

Her doğrulayıcıya aynı belgenin farklı bir kopyası gider. İçerik aynıdır, her kopyayı kurum imzalamıştır; ama her birinin kendi anahtarı ve kendi durum yeri vardır. Aynı doğrulayıcıya hep aynı kopya gider.

Hangi kopyanın nereye gittiğini görebilir miyim?

Kiminle paylaştığını ve ona hangi alanların gittiğini Ayarlar → Paylaştığım kurumlar'da görürsün; belge ayrıntıları da kaç kullanım kaldığını gösterir: Paylaştığım kurumlar. Bu kayıt yalnız telefonunda durur.

Bir takma adı silersem ne olur?

O site seni o takma adla bir daha tanımaz. Oraya yeniden giriş yaparsan yeni bir takma ad oluşur; o sitedeki eski hesabın geri gelmez.

Kurum, her kopya kullanımımı görür mü?

Hayır. Kurum yalnız paketi verdiği anı görür, tek tek kullanımları görmez. Doğrulayıcılar iptal durumuna önceden indirdikleri listelerden bakar.

Bu anonimlik mi?

Hayır. Doğrulayıcı ona gösterdiğin bilgiyi yine öğrenir; belgeyi veren kurum da görünür. Bağlanamazlık, ayrı yerlerin gizli teknik değerler üzerinden hakkındaki kayıtları birleştirememesidir.