Gebruikshandleiding

Bewijs

Dronetrake houdt niet zomaar een logboek bij: het houdt bewijs bij. Het verschil is concreet. Een logboek kan worden gecorrigeerd door wie toegang heeft tot de database, en niemand merkt het. Bewijs is zo gebouwd dat manipulatie zichtbaar wordt, en dat de datum van een feit wordt gegarandeerd door iemand die wij niet zijn. Dit hoofdstuk legt uit wat als bewijs geldt, hoe het werkt, wat het kost en — even belangrijk — wat bewijs niet bewijst.

Wat het betekent, in één zin

Een feit is bewijs wanneer drie dingen tegelijk gelden:

1. het staat in een regel die niet wordt herschreven (of die, als hij wordt verwijderd, een spoor achterlaat);
2. de regel draagt een vingerafdruk (SHA-256), berekend over de inhoud plus de vingerafdruk van de vorige regel: dat is de keten;
3. de kop van de keten krijgt, met vaste regelmaat, een tijdstempel van een onafhankelijke aanbieder.

Vanaf dat moment kan iedereen, ook zonder ons te vertrouwen, de keten narekenen en vaststellen dat dat feit bestond, zoals het is, vóór dat tijdstip. De vraag "wie deed wat, en wanneer?" heeft een documentair antwoord, geen antwoord uit het geheugen.

De ketens

Elke organisatie heeft vijf ketens, één per familie van feiten:

• Vluchten: het logboek. Drone, piloot, start en landing, plaatsen, VLOS/BVLOS, afwijkingen (zie het hoofdstuk Vluchten).
• Opnamen: de versleutelde opnamen van livestreams, met de vingerafdruk van het bestand en de starttijd.
• Missiebestanden: opleveringen, documenten, NOTAM's. In de keten gaan de bytes (vingerafdruk, grootte, type) en het tijdstip van uploaden; de bestandsnaam, het soort oplevering en de gekoppelde missie zijn labels die je kunt corrigeren zonder iets te breken.
• Verslagen van checklists: elke ondertekende checklist levert op het moment van ondertekenen een verslag op met de afgevinkte punten, wie tekende en wanneer. Het verslag is de regel in de keten, en het overleeft de missie.
• Opleidingsattesten: voor vliegscholen het dossier van een ingeleverde opdracht (zie Team en de gids voor scholen).

Er is ook een zesde keten, van het platform: het register van handelingen — geslaagde en mislukte aanmeldingen, rolwijzigingen, toetredingen tot en vertrek uit organisaties, planwijzigingen, schorsingen, ingetrokken links en sleutels, handelingen van het team. Het is één keten, de onze, elke nacht verzegeld, en we leveren hem op verzoek wanneer gereconstrueerd moet worden wie wat heeft gedaan.

In de vingerafdruk gaan de feiten; corrigeerbare labels blijven erbuiten. Een label corrigeren breekt niets; aan een feit komen wel, zichtbaar.

De twee niveaus

Niveau 1 — de keten en het nachtelijke zegel. De keten is er altijd en voor iedereen, zonder kosten en zonder keuze: vanaf het gratis plan ontstaat elke regel met zijn schakel. Het nachtelijke zegel zet je aan in het profiel van de organisatie, met de schakelaar "Nachtelijk zegel met tijdstempel": het is gratis, en vanaf dan krijgt elke nacht de kop van elke keten de tijdstempel van een onafhankelijke aanbieder. Het is een niet-gekwalificeerde tijdstempel: hij bewijst dat de keten op dat moment precies die was, en dat is ruim voldoende voor je eigen archief, voor een klant, voor een interne verantwoording. Met de schakelaar aan verschijnt in het paneel de pagina Bewijs.

Niveau 2 — de gekwalificeerde eIDAS-tijdstempel. Dit is de datum die tegenover derden standhoudt: hij wordt gezet door een gekwalificeerde vertrouwensdienst volgens de Europese eIDAS-verordening, onafhankelijk van ons, en zijn naam verschijnt op de pagina Bewijs zodra de eerste tijdstempel is afgegeven. Dit is een keuze, met getelde tijdstempels, en je maakt hem op drie manieren:

• "Als bewijs markeren" bij een vlucht, in het vluchtregister: wanneer die vlucht tegenover iemand moet standhouden;
• een opname als bewijs markeren, in de lijst met opnamen;
• de missieschakelaar "Moet standhouden tegenover derden": vanaf dan ontstaan de vluchten van de missie, de opnamen van haar kanaal binnen het tijdvenster van de operatie (tot twee uur na het einde), de verslagen van checklists en de bestanden al gemarkeerd. Zet je hem achteraf aan, dan haalt wat er al is de achterstand in.

Eén gekwalificeerde tijdstempel dekt alles wat die dag is gemarkeerd op die keten: de kosten zijn per nacht en per keten, niet per regel. Het maandplafond hangt af van het plan: Solo en School geen gekwalificeerde tijdstempels, Pilot vijftien per maand, Crew en Ops zonder plafond (de nachtelijke ronde zelf is de grens). Zijn de tijdstempels op, dan gaat er niets verloren: de vlucht, opname of het bestand blijft op niveau 1, en de pagina Bewijs toont het wachtende verzoek.

De pagina Bewijs

Je vindt hem in het cluster Compliance, wanneer het nachtelijke zegel aanstaat. Hij toont:

• Wie de datum zet: de gekwalificeerde aanbieder, zodra er minstens één tijdstempel is afgegeven; anders de zin die uitlegt hoe je er een krijgt. En hoeveel gekwalificeerde tijdstempels deze maand nog over zijn.
• Gemarkeerde vluchten, elk met zijn status: Wacht op tijdstempel (vannacht gedekt) of Gestempeld op … door ….
• Gemarkeerde opnamen, met de status van de kopie buiten de server.
• Ondertekende checklists, missiebestanden en, voor scholen, attesten: elk met het zegel dat het dekt of Wacht op het nachtelijke zegel.

Eén regel geldt voor alles: een tijdstempel dekt wat vóór hem bestond. Wat daarna ontstaat wacht op de volgende. Daarom noemt de pagina altijd het tijdvenster: de tijdstempel komt met de nachtelijke ronde, niet meteen.

Opnamen die als bewijs zijn gemarkeerd

Een als bewijs gemarkeerde opname verandert van aard: de bewaartermijn snoeit hem niet meer, hij krijgt een kopie buiten de server (de pagina zegt of die klaar is of loopt), en hij kan niet worden verwijderd vanuit het paneel. Om hem te verwijderen moet hij eerst worden teruggezet naar gewoon, en er blijft staan wie dat deed en wanneer. Het is het geval waarin de automatiek beschermt tegen toeval, en het model tegen de mens.

Ondertekende checklists

Een checklist wordt ingevuld, gecorrigeerd en ondertekend. Na de ondertekening wordt hij niet meer gewijzigd en niet op zichzelf verwijderd: langs geen enkele weg, ook niet vanuit de console. Bij de ondertekening ontstaat het verslag — de afgevinkte punten, de ondertekenaar, het tijdstip, de missie — dat in de keten gaat. Wordt de missie ooit verwijderd, dan gaat de checklist met haar mee en laat een grafsteen achter, maar het verslag blijft, met zijn vingerafdruk en het zegel dat het dekt.

Verwijderen, en wat blijft

Verwijderen kan, behalve waar het bewijs het verbiedt: logboekregels jonger dan drie jaar, als bewijs gemarkeerde opnamen, verslagen, attesten. Maar niets verdwijnt in stilte: elke verwijdering laat een grafsteen achter met wat het was, wanneer, volgens welke regel (handmatig, bewaartermijn, opschoning) en door wiens hand. De grafsteen bewaart ook de schakel van de verwijderde regel: daarom houdt de keten ook zonder hem stand, en blijft de verificatie kloppen.

Een verwijdering die stiekem gebeurt, buiten het product, laat geen grafsteen achter: de keten breekt, en de verificatie zegt het. Dat is precies het werk dat ze moet doen.

Verifiëren

Van binnenuit: de pagina Bewijs, en in de detailkaart van elke vlucht de volledige vingerafdruk, om te kopiëren.

Van buitenaf, zonder account: de QR-code op missierapporten opent een openbare pagina die bij elk bezoek de keten van nul narekent, vlucht voor vlucht, en de vingerafdrukken van de opgeleverde bestanden toont. Hetzelfde geldt voor het historiecertificaat van een drone, het attest van een piloot en het opleidingsattest van een leerling: wie het document ontvangt, verifieert zelf en ziet het resultaat, niet jouw interne gegevens.

Aan onze kant: elke nacht verifieert het systeem alle ooit afgegeven zegels opnieuw, door elke keten tot aan de gestempelde kop na te rekenen; klopt er iets niet, dan weten wij het vóór iedereen. En elke achttien maanden worden de tijdstempels vernieuwd — een boom van vingerafdrukken over alle tokens, en één tijdstempel op de wortel — omdat de geldigheid van een tijdstempel niet eeuwig is.

Bij sluiting

Sluit de organisatie, dan ontvangt ze het overdrachtsdossier: het volledige logboek met vingerafdrukken en ondertekende inhoud, de zegels met de tijdstempel-tokens, en een LEESMIJ die uitlegt hoe alles offline opnieuw te verifiëren is, met standaardgereedschap, zonder Dronetrake. Daarna opent een venster om het te downloaden; is het venster verstreken, dan worden de gegevens verwijderd — het bewaren van de registers is een plicht van de exploitant, en vanaf dat moment ligt het in zijn handen. Bij ons blijven de zegels en de grafstenen van de verwijderde regels: ze bevestigen dat het register heeft bestaan, tot welke kop en wanneer het is verwijderd, zonder uw gegevens te bevatten. Wie wil, kan kiezen voor bewaring: de registers blijven bij ons, verzegeld, alleen-lezen, elke nacht geverifieerd en met vernieuwde tijdstempels, zolang de bewaring betaald is; stopt die, dan opent het venster van 90 dagen en gaat de cyclus vandaar verder.

Wat bewijs niet is

• Het certificeert geen naleving: het zet de feiten op een rij en maakt ze verifieerbaar; het oordeel blijft bij wie het moet vellen.
• Het zegt niet dat een feit waar is: het zegt dat het zo is vastgelegd, en vóór dat tijdstip. Een fout gegeven dat een mens heeft ingevoerd blijft in de keten, fout en verifieerbaar — en wordt gecorrigeerd met een rectificatie, niet door het te herschrijven.
• De gratis tijdstempel is geen gekwalificeerde tijdstempel: hij bewijst de volgorde en het tijdstip met de garantie van een onafhankelijke aanbieder, maar de datum die tegenover derden standhoudt, in de zin van de eIDAS-verordening, is alleen de gekwalificeerde.
• Het archief is van jou: verwijder je met grafsteen, sluit je, laat je een bewaartermijn verlopen, dan vertelt het bewijs het zonder opsmuk. Dat is de reden waarom het iets waard is.