Un registre de fidélité des données est un ensemble d’informations appartenant à une organisation. Chaque information est reliée à sa source publique et scellée pour pouvoir être vérifiée.
Un registre est construit à partir des sources publiques sur l’organisation, une information à la fois, en cinq étapes.
Curation
Un registre commence par une décision sur les informations qu’il doit inclure, ou pas. Les informations publiques sur l’organisation sont choisies et délimitées : communiqués de résultats, dépôts, immatriculations officielles. Un lecteur sait ainsi exactement ce que le registre couvre, et ce qu’il ne couvre pas.
Extraction et structuration
Chaque information est extraite de sa source et structurée : sa valeur, son unité, la période qu’elle couvre, le passage exact dont elle provient, et l’adresse de la source. Un modèle d’IA extrait chaque information ; un second modèle d’IA, configuré séparément, la contrôle dans le passage cité ; puis un humain vérifie le tout. Une information n’est admise que lorsque sa source l’établit clairement ; ce qu’une source n’étaye pas est écarté.
Scellement
Chaque information est réduite aux six éléments qui lui donnent son sens, et une empreinte SHA-256 est calculée à partir de ces six éléments. Modifier l’un d’eux revient à briser le sceau, ce qui rend toute altération détectable. Le sceau porte sur ce que l’information affirme, non sur la manière dont elle est affichée : le registre peut être réorganisé ou réaffiché différemment sans qu’aucun sceau soit brisé.
Publication et ancrage
Le registre est publié sous une adresse web qui appartient à l’organisation, sous forme de fichiers. Les empreintes d’une publication sont combinées en une seule valeur au moyen d’un arbre de Merkle, et cette valeur est signée puis déposée dans Rekor, le journal de transparence public de Sigstore, qu’Apparat ne contrôle pas. N’importe qui peut alors confirmer de façon indépendante que la publication a existé et qu’elle n’a pas changé.
Vérification et maintenance
N’importe qui peut vérifier un registre sans rien demander à Apparat : recalculer les empreintes à partir des informations publiées, reconstruire le sceau global, et le retrouver dans le journal public. Si toutes les étapes concordent, le registre est exactement ce qui a été publié, inchangé. À mesure que l’organisation publie de nouvelles informations, elles sont ajoutées, reliées à leur source et scellées comme les autres. Les corrections ne sont jamais silencieuses : elles prennent la forme de nouvelles publications, l’historique restant accessible.
Ci-dessous, une entrée unique, présentée pour rendre la forme évidente. Un registre peut comporter plusieurs centaines d’entrées, publiées ensemble sous l’adresse web de l’organisation.
Cette entrée est une information réelle, extraite du registre de Believe. Le sceau est une empreinte SHA-256 calculée à partir des six éléments de l’information : toute modification ultérieure de la valeur, de la période, de la citation ou de la source est donc détectable. Chaque information porte le sien.
Les informations d’une publication sont scellées ensemble, et la publication elle-même est ancrée pour que l’ensemble soit inaltérable :
Les sceaux individuels sont combinés en une empreinte unique, le sceau global, au moyen d’un arbre de Merkle ; ce sceau est signé puis déposé dans un journal public. N’importe qui peut confirmer que l’entrée existe dans ce journal, indépendamment d’Apparat.
Consulter un DFR réel dans son intégralité : lignes, sources et sceau vérifiable.
Spécification
Vérificateur
Normes
Apparat conçoit et exploite des registres de fidélité des données pour les organisations. Le point de départ est une conversation courte sur ce que votre registre couvrirait.
Engager la conversation