Nollatietotodisteet KYC- ja pakotetarkastuksissa

Kaksi palveluntarjoajaa voi kumpikin väittää tarjoavansa nollatietoon perustuvaa KYC-ratkaisua, vaikka niiden asiakkaalle antamat oikeudet poikkeavat huomattavasti. Yksi voi minimoida luovutettavat tiedot, toinen todistaa predikaatin ja kolmas tarjota jatkuvaa seurantaa. Käyttöliittymät voivat näyttää samanlaisilta, vaikka taloudelliset vaikutukset ovat erilaiset.

Nollatietotodisteella voidaan osoittaa väitteen todenperäisyys paljastamatta kaikkea sen taustalla olevaa tietoa. KYC- tai pakoteseulontaprosessissa asiakas voi esimerkiksi todistaa, että luotettu varmennus on voimassa, ikää tai lainkäyttöaluetta koskeva ehto täyttyy tai seulonnan tulos vastaa käytäntöä lähettämättä todentajalle koko henkilöllisyystietuetta.

Nollatieto suojaa tietojen paljastumiselta todisteen esittämisen aikana, mutta se ei takaa, että lähdetiedot ovat oikeita, ajan tasalla tai rehellisesti hankittuja. Järjestelmä tarvitsee edelleen luotetut myöntäjät, henkilöllisyyden sitomisen, mitätöintimenettelyn, käytäntöjen päivitykset, pakotetietojen päivitykset, poikkeusten käsittelyn ja tarvittaessa lainmukaisen pääsyn tietoihin.

Voit tarkastella nollatietoon perustuvaa KYC:tä osana Securities.io-sivuston laajempaa aihekokonaisuutta tutustumalla aiheisiin OnchainID ja digitaalinen identiteetti, KYC pankki- ja kryptovaluutta-alalla sekä uudelleenkäytettävä sijoittajaidentiteetti. Yhdessä oppaat havainnollistavat, miten sama vaatimustenmukaisuutta ja identiteettiä koskeva kysymys muuttuu, kun myöntäjä, omaisuuserä, sijoittajan oikeus tai toiminnan infrastruktuuri vaihtuu.

Luotettavien tietojen varmistamisesta päätöksen sitomiseen: nollatietoon perustuvan KYC:n ketju

Luotettavien tietojen varmistamisen vaiheessa valtuutettu myöntäjä tarkistaa henkilöllisyys- tai seulontatiedot ja luo kryptografisia sitoumuksia tai varmennustietoja. Tulosteesta tulee sitten käytännön määrittämisen syöte: todentaja määrittelee täsmällisen ehdon, joka on todistettava tarpeettomia tietoja paljastamatta. Tämä siirtymä on ensimmäinen kohta, jossa nollatietoon perustuvaa KYC:tä on syytä testata: vastaanottavan osapuolen on pystyttävä erottamaan valmis tilamuutos viestistä, arviosta tai alustavasta tietueesta. Sama testi on tehtävä jokaisessa myöhemmässä siirtymässä siihen asti, kunnes päätöksen sitominen tuottaa tuloksen, joka voidaan täsmäyttää riippumattomasti.

Lue kaaviota takaperin päätöksen sitomisesta lähtien. Lopputuloksen pitäisi johtaa myöntäjän luotettavuuden varmistamiseen, piirin määrittelyyn, julkisiin syötteisiin, todisteen todentamiseen, ajantasaisuuden ja mitätöintien tarkistamiseen sekä päätöstietueeseen. Niistä jäljityksen pitäisi jatkua väitteen todentamisessa käytettyyn auktoriteettiin, todisteen muodostamisessa syntyvään riskialtistukseen ja luotettavien tietojen varmistamisessa hyväksyttyihin syötteisiin. Jos ketju katkeaa, virheelliset lähtötiedot voivat näyttää valmiilta tapahtumalta, vaikka todiste olisi pätevä väärän tai vain heikosti varmennetun lähdeväitteen perusteella. Tämä jäljitys takaperin pitää analyysin painopisteen yksityisessä henkilöllisyystiedossa, täsmällisessä predikaatissa ja todisteeseen tukeutuvassa päätöksessä sen sijaan, että huomio kiinnittyisi palveluntarjoajan nimeen tai käyttöliittymän tilaan.

Kuka hallitsee nollatietoon perustuvan KYC:n keskeisiä tietueita?

Henkilöllisyys- tai seulontatietojen myöntäjä ja todisteen muodostaja ovat toimintaketjun eri puolilla. Myöntäjä vahvistaa yksityisiä tietoja tavanomaisen huolellisuustarkastuksen jälkeen, kun taas todisteen muodostaja luo todisteen salaisista tiedoista tai varmennustiedoista. Niiden tietueiden—lähdetietojen tarkistusten, varmennustiedon, päivitysaikataulun ja vastuun sekä avainten hallinnan, ohjelmiston eheyden, nonce-arvon ja henkilöön sitomisen—pitäisi kuvata samaa tapahtumaa olematta yhden toimittajan tietokannan kopioita. Todentaja, kryptografinen järjestelmä ja vaatimustenmukaisuudesta vastaava taho tuovat erillisiä päätöksiä tai näyttöä; jos näitä toimintoja pidetään keskenään vaihdettavina, jää piiloon, missä harkintavalta, likviditeetti tai oikeudellinen vastuu tulee mukaan.

Kryptografisen järjestelmän katkos on käytännön vastuutesti nollatietoon perustuvalle KYC:lle. Järjestelmä toteuttaa kryptografiset sitoumukset, todisteet ja parametrit. Kysymys on siitä, voivatko henkilöllisyys- tai seulontatietojen myöntäjä ja todisteen muodostaja edelleen rekonstruoida tilanteen avoimen määrittelyn, auditointien, käyttöönottoa koskevien oletusten ja version perusteella. Sopimuksilla voidaan jakaa tehtäviä, mutta asiakkaalle annetusta lupauksesta, omaisuuserästä tai velvoitteesta vastaava osapuoli ei voi korvata näyttöä ulkoistamislausekkeella. Häiriönsietokykyinen ratkaisu nimeää varatietueen ja henkilön, jolla on valtuudet ratkaista ristiriita.

Miten Zero-Knowledge KYC:n tila muuttuu käytännössä

1. Varmista luotettavat tiedot: määritä nollatietoon perustuvan KYC:n lähtötila

Valtuutettu myöntäjä tarkistaa henkilöllisyys- tai seulontatiedot ja luo kryptografisia sitoumuksia tai varmennustietoja. Tässä nollatietoon perustuvan KYC:n vaiheessa vahvistetaan ehdot, joihin käytännön koodaaminen voi perustua. Henkilöllisyys- tai seulontatietojen myöntäjä on keskeinen, koska se vahvistaa yksityisiä tietoja tavanomaisen huolellisuustarkastuksen jälkeen. Työtietueessa tulee säilyttää lähdetietojen tarkistukset, varmennustieto, päivitysaikataulu ja vastuu.

Tässä testattava virhetilanne on virheellinen lähtötieto: todiste on pätevä väärän tai vain heikosti varmennetun lähdeväitteen perusteella. Testaa tätä vaihetta tallentamalla tulos käyttäen samaa ajankohtaa, laajuutta ja sovellettavia ehtoja ja muuttamalla sitten yhtä oletusta ennen käytännön koodaamista. Nollatietoon perustuvassa KYC:ssä puolustettavissa oleva luovutus kertoo, kuka hyväksyi sen, mikä tietue muuttui, mikä on yhä peruutettavissa ja kuka kantaa tappion, jos seuraava osapuoli hylkää näytön.

2. Koodaa käytäntö: tunnista nollatietoon perustuvan KYC:n päätössääntö

Todentaja määrittelee täsmällisen ehdon, joka on todistettava tarpeettomia arvoja paljastamatta. Tässä nollatietoon perustuvan KYC:n vaiheessa seulotaan ehdot, joihin todisteen muodostaminen voi perustua. Todisteen muodostaja on keskeinen, koska se muodostaa todisteen salaisista tiedoista tai varmennustiedoista. Työtietueessa tulee säilyttää avainten hallinta, ohjelmiston eheys, nonce ja henkilöön sitominen.

Tässä testattava virhetilanne on vanhentunut pakotilanne: todiste siitä, ettei vastaavuutta luettelon merkintään ole, perustuu vanhentuneeseen luetteloon tai varmennustietoon. Testaa tätä vaihetta laskemalla tulos uudelleen käyttäen samaa ajankohtaa, laajuutta ja sovellettavia ehtoja ja muuttamalla sitten yhtä oletusta ennen todisteen muodostamista. Nollatietoon perustuvassa KYC:ssä puolustettavissa oleva luovutus kertoo, kuka hyväksyi sen, mikä tietue muuttui, mikä on yhä peruutettavissa ja kuka kantaa tappion, jos seuraava osapuoli hylkää näytön.

3. Muodosta todiste: mittaa riskin siirtymistä nollatietoon perustuvassa KYC:ssä

Tietojen haltija tai palvelu laskee todisteen yksityisistä syötteistä ja julkisista parametreista. Tässä nollatietoon perustuvan KYC:n vaiheessa jaetaan uudelleen ehdot, joihin väitteen todentaminen voi perustua. Todentaja on keskeinen, koska se hyväksyy päätöstä varten tarkasti määritellyn väitteen. Työtietueessa tulee säilyttää piiri tai käytäntö, julkiset syötteet, luotettujen tahojen luettelo ja todennusloki.

Tässä testattava virhetilanne on henkilön vaihtuminen: joku muu kuin varmennettu henkilö käyttää pätevää todistetta uudelleen. Testaa tulosta stressiolosuhteissa käyttäen samaa ajankohtaa, laajuutta ja sovellettavia ehtoja ja muuttamalla sitten yhtä oletusta ennen väitteen todentamista. Nollatietoon perustuvassa KYC:ssä puolustettavissa oleva luovutus kertoo, kuka hyväksyi sen, mikä tietue muuttui, mikä on yhä peruutettavissa ja kuka kantaa tappion, jos seuraava osapuoli hylkää näytön.

4. Todenna väite: täsmäytä nollatietoon perustuvan KYC:n auktoritatiivinen tietue

Todisteeseen tukeutuva osapuoli tarkistaa todisteen pätevyyden, myöntäjän luotettavuuden, ajantasaisuuden ja mitätöinnit. Tässä nollatietoon perustuvan KYC:n vaiheessa täsmäytetään ehdot, joihin päätöksen sitominen voi perustua. Kryptografinen järjestelmä on keskeinen, koska se toteuttaa kryptografiset sitoumukset, todisteet ja parametrit. Työtietueessa tulee säilyttää avoin määrittely, auditoinnit, käyttöönottoa koskevat oletukset ja versio.

Tässä testattava virhetilanne on piirivirhe: koodattu käytäntö jättää ehdon pois tai toteuttaa sen virheellisesti. Testaa tätä vaihetta vertaamalla tulosta käyttäen samaa ajankohtaa, laajuutta ja sovellettavia ehtoja ja muuttamalla sitten yhtä oletusta ennen päätöksen sitomista. Nollatietoon perustuvassa KYC:ssä puolustettavissa oleva luovutus kertoo, kuka hyväksyi sen, mikä tietue muuttui, mikä on yhä peruutettavissa ja kuka kantaa tappion, jos seuraava osapuoli hylkää näytön.

5. Sido päätös: testaa nollatietoon perustuvan KYC:n lopputulos

Tulos sidotaan tiliin, tapahtumaan, ajankohtaan ja seurantavelvoitteeseen. Tässä nollatietoon perustuvan KYC:n vaiheessa päätetään ketju ehdoista, joihin kirjattu lopputulos voi perustua. Vaatimustenmukaisuudesta vastaava taho on keskeinen, koska se määrittää, täyttääkö näyttö lainsäädännön ja valvonnan vaatimukset. Työtietueessa tulee säilyttää käytäntöjen vastaavuuksien määrittely, säilytys, selitettävyys ja pääsymenettely.

Tässä testattava virhetilanne on se, ettei poikkeusta voida arvioida: tutkijat eivät saa käyttöönsä riittävästi lainmukaista asiayhteyttä riskin selvittämiseksi. Testaa tätä vaihetta todistamalla tulos käyttäen samaa ajankohtaa, laajuutta ja sovellettavia ehtoja ja muuttamalla sitten yhtä oletusta ennen tuloksen kirjaamista. Nollatietoon perustuvassa KYC:ssä puolustettavissa oleva tiedon ja vastuun luovutus kertoo, kuka hyväksyi sen, mikä tieto muuttui, mikä on yhä peruutettavissa ja kuka kantaa tappion, jos seuraava osapuoli hylkää todisteet.

Kolme nollatietoon perustuvassa KYC:ssä usein sekoitettavaa tilaa

Tietojen minimointi tarkoittaa, että jaetaan päätöstä varten vain tarvittavat väittämät eikä kokonaisia asiakirjoja tai kaikkia tietoja. Predikaattitodistuksessa puolestaan todistetaan ehto, kuten tietyn ikärajan ylittäminen tai listaan kuulumattomuus. Jatkuva seuranta lisää kolmannen ehdon: muuttuvat pakotetiedot, omistustiedot ja käyttäytymistä koskevat tiedot on päivitettävä, sillä kertaluonteinen todiste ei kata tulevia riskejä. Eroilla on merkitystä, koska kahdella käyttäjällä voi olla samankaltainen vahvistus, vaikka heidän oikeutensa ja aikataulunsa poikkeavat toisistaan tai he ovat riippuvaisia eri instituutioista. Nollatietoon perustuvassa KYC:ssä hyödyllisessä vertailussa yksilöidään kunkin tilan osalta auktoritatiivinen tietue ja tappion kantaja.

Vertaa tietojen minimointia, predikaattitodistusta ja jatkuvaa seurantaa samojen mittareiden avulla: määrä, aika, käytetty likviditeetti, peruutettavuus, oikeudellinen vaatimus ja jäljelle jäävä tappio. Nollatietoon perustuvassa KYC:ssä nopeampi nimike ei automaattisesti tarkoita lopullisempaa tilaa, eikä tasaisemmalta näyttävä raportoitu tuotto automaattisesti merkitse pienempää taloudellista riskiä. Yhtenäinen mittaustapa estää pitämästä ajoitus- tai kirjanpitoeroja todellisena parannuksena.

Nollatietoon perustuvan KYC:n kustannukset, kannustimet ja tasevaikutukset

Nollatietojärjestelmät voivat pienentää tietomurroille altistumista ja toistuvan varmentamisen kustannuksia, mutta todisteiden muodostaminen, lompakkotuki, myöntäjien hallinnointi ja poikkeustilanteiden käsittely eivät ole maksuttomia. Hyödyt kasvavat, kun monet todentajat hyväksyvät samat varmennustieto- ja predikaattistandardit.

Yksityisyys voi parantaa konversiota, kun pyydettävien tietojen määrä vähenee, mutta liian läpinäkymättömät päätökset voivat lisätä sääntelyyn ja asiakastukeen liittyviä kustannuksia. Järjestelmän pitäisi tuoda esiin riittävästi perusteluja ja lainmukaisia todisteita, jotta kielteisen päätöksen voi riitauttaa tai sitä voidaan tutkia paljastamatta asiaan liittymättömiä tietoja.

Laskennan kustannukset laskevat, mutta institutionaalinen luottamus on edelleen niukka resurssi. Matemaattisesti pätevä todistus, joka perustuu epäluotettavaan myöntäjään tai vanhentuneeseen listaan, on taloudellisesti vähäarvoinen; varmistamiseen käytettävät varat pitäisi kohdistaa koko todistusketjuun.

Missä nollatietoon perustuva KYC pettää – ja mitä kannattaa testata ensin

• Virheelliset lähtötiedot: Todistus on pätevä, vaikka sen lähdeväite on väärä tai vain heikosti varmennettu. Keskeytä luotettavien tietojen muodostaminen siten, että henkilöllisyys- tai seulontatietojen myöntäjällä säilyy sen tavanomainen velvollisuus. Tarkista sitten, vastaako tietojen minimointi edelleen edellä kuvattua merkitystä.
• Vanhentunut pakotilanne: Ei-osumaa osoittava todiste perustuu vanhentuneeseen listaan tai tunnistetietoon. Keskeytä käytännön koodaaminen siten, että todisteen tuottajalla säilyy sen tavanomainen velvollisuus. Tarkista sitten, vastaako predikaattitodistus edelleen edellä kuvattua merkitystä.
• Henkilön vaihtuminen: Joku muu kuin varmennettu henkilö käyttää pätevää todistetta uudelleen. Keskeytä todisteen muodostaminen siten, että todentajalla säilyy sen tavanomainen velvollisuus. Tarkista sitten, vastaako jatkuva seuranta edelleen edellä kuvattua merkitystä.
• Piirivirhe: Koodattu käytäntö jättää jonkin ehdon pois tai toteuttaa sen virheellisesti. Keskeytä väittämän todentaminen siten, että kryptografisella järjestelmällä säilyy sen tavanomainen velvollisuus. Tarkista sitten, vastaako tietojen minimointi edelleen edellä kuvattua merkitystä.
• Arvioimiskelvoton poikkeus: Tutkijat eivät saa käyttöönsä riittävästi lainmukaista asiayhteyttä riskin selvittämiseksi. Keskeytä päätöksen sitominen siten, että vaatimustenmukaisuudesta vastaavalla taholla säilyy sen tavanomainen velvollisuus. Tarkista sitten, vastaako predikaattitodistus edelleen edellä kuvattua merkitystä.

Hyödyllinen nollatietoon perustuvan KYC:n stressitesti yhdistää virheelliset lähtötiedot todisteen käyttämiseen uudelleen muun kuin varmennetun henkilön toimesta sen sijaan, että kumpaakin testattaisiin erikseen. Jäädytä todistuksen muodostaminen tai viivästytä sitä, tee kryptografinen järjestelmä käyttökelvottomaksi ja edellytä, että vaatimustenmukaisuudesta vastaava taho selvittää tuloksen käytäntöjen vastaavuuksien määrittelyn, säilytyksen, selitettävyyden ja pääsymenettelyn perusteella. Suunnittelu läpäisee testin vain, jos päätöksen sitominen johtaa yhteen selitettävään tilaan, predikaatin todistamiseen liittyvät oikeudet säilyvät ja mahdolliset vajaukset kohdennetaan ennen häiriötä voimassa olleiden sääntöjen mukaisesti.

Esimerkki: yhden nollatietoon perustuvan KYC-tapahtuman kulku alusta loppuun

Alustan on varmistettava, että sijoittaja on yli 18-vuotias eikä asu kielletyllä lainkäyttöalueella. Luotettu myöntäjä vahvistaa henkilöllisyyden ja antaa sijoittajalle tunnistetiedon. Sijoittaja muodostaa molempien predikaattien todisteen paljastamatta syntymäaikaansa tai koko osoitettaan. Alusta tarkistaa todisteen, myöntäjän, kertakäyttöisen nonce-arvon ja mahdollisen mitätöinnin. Alusta kerää silti tilin hoitamiseen tarvittavat tiedot ja valvoo myöhempiä tapahtumia; todiste vähentää luovutettavien tietojen määrää, mutta ei poista vaatimustenmukaisuusvelvoitteita.

Esimerkin voi osoittaa vääräksi muuttamalla käytäntöjen koodaamisessa käytettyä oletusta tai poistamalla todentajan toimittamat todisteet. Jäljitä muutos todisteen muodostamisen, väitteen tarkistamisen ja päätöksen sitomisen kautta; älä hyppää suoraan lähtötiedoista päätulokseen. Jos uutta nollatietoon perustuvan KYC:n tulosta ei voida toistaa myöntäjän luotettavuuden varmistamisen, piirin määrittelyn, julkisten syötteiden, todisteen tarkistamisen, ajantasaisuuden ja mitätöintitarkistusten sekä päätöstietueen perusteella, prosessi nojaa dokumentoimattomaan harkintaan tai tietueeseen.

Miksi nollatietoon perustuva KYC on ajankohtaista juuri nyt

Yksityisyyttä parantavat teknologiat ovat siirtymässä tutkimuksesta säänneltyihin pilotteihin, kun tietojen minimoinnista ja uudelleenkäytettävästä digitaalisesta identiteetistä on tullut painopisteitä. Käyttöönotto riippuu standardoiduista predikaateista, auditoitavista toteutuksista, käyttäjän toimintaa paljastamattomasta mitätöinnistä ja valvontaviranomaisten hyväksynnästä. Vahvimmissa käyttötapauksissa todistetaan pysyviä ominaisuuksia, kun taas nopeasti muuttuvat riskisignaalit jätetään jatkuvan valvonnan piiriin.

Nollatietoon perustuvan KYC:n pysyvä opetus on, etteivät luotettujen tietojen vahvistaminen ja päätöksen sitominen ole sama tapahtuma. Niiden välissä tehtävät päätökset määrittävät yksityisen henkilöllisyystiedon, täsmällisen predikaatin ja todisteeseen tukeutuvan päätöksen, ja henkilöllisyys- tai seulontatietojen myöntäjä sekä vaatimustenmukaisuudesta vastaava taho voivat nähdä tietueesta eri osia. Automaatio on hyödyllistä, kun se tekee näiden päätösten tarkistamisesta edullisempaa; se on vaarallista, jos päätökset niputetaan yhdeksi tilatiedoksi, joka peittää arvioimiskelvottoman poikkeuksen.

Nollatietoon perustuvan KYC:n taustalla oleva näyttö

Nollatietoon perustuvan KYC:n keskeisiä lähteitä ovat FATF:n ohjeistus digitaalisesta identiteetistä, NIST:n yksityisyyttä parantava kryptografia ja W3C:n varmennettavien todistusten tietomalli. Niitä kannattaa lukea toisiaan täydentävinä kerroksina: sääntöinä ja määritelminä, institutionaalisena tai markkinoiden rakenteena sekä toimintaa koskevana näyttönä, jonka avulla voidaan testata konkreettista väitettä. Mikään näistä ei korvaa edellä kuvattuja tuoteasiakirjoja, tilejä tai tapahtumatietueita.

Kysymyksiä, joita kannattaa esittää ennen nollatietoon perustuvaan KYC:hen luottamista

• Voiko henkilöllisyys- tai seulontatietojen myöntäjä osoittaa lähdetarkistukset, tunnistetiedon, päivitysaikataulun ja vastuun ennen käytäntöjen koodaamista?
• Mikä tietue ratkaisee, jos todisteen muodostaja ja kryptografinen järjestelmä ovat eri mieltä?
• Kuka rahoittaa tai kantaa todisteen muodostamisesta aiheutuvan riskin?
• Miten predikaatin todistaminen eroaa tietojen minimoinnista oikeudelliselta ja taloudelliselta kannalta?
• Miten järjestelmä havaitsee vanhentuneet pakotetiedot ennen päätöksen sitomista?
• Mitä tapahtuu, jos todentaja ei ole käytettävissä tai sen näyttö on vanhentunutta?
• Voiko riippumaton arvioija täsmäyttää tuloksen myöntäjän luotettavuuden varmistamiseen, piirin määrittelyyn, julkisiin syötteisiin, todisteen tarkistamiseen, ajantasaisuus- ja mitätöintitarkistuksiin sekä päätöstietueeseen?

Nollatietoon perustuvan KYC:n yhteydessä ilmaukset kuten ”alusta hoitaa asian” kannattaa korvata nimetyillä tileillä, sopimuksilla, aikaleimoilla, hyväksymissäännöillä ja vastuussa olevilla tahoilla. Täydellisen vastauksen pitäisi auttaa arvioijaa jäljittämään päätöksen sitominen takaisin luotettujen tietojen vahvistamiseen, tunnistamaan kunkin tietueen omistaja ja laskemaan, kuka kantaa tappion ennen poikkeuksen syntymistä.

Nollatietoon perustuvan KYC:n keskeinen periaate

Nollatietoon perustuva KYC on helpointa ymmärtää, kun analyysissa seurataan yksityistä henkilöllisyystietoa, täsmällistä predikaattia ja todisteeseen tukeutuvaa päätöstä viiden toimintavaiheen läpi ja tulosta verrataan myöntäjän luotettavuuden varmistamiseen, piirin määrittelyyn, julkisiin syötteisiin, todisteen tarkistamiseen, ajantasaisuus- ja mitätöintitarkistuksiin sekä päätöstietueeseen. Tapahtumaketju selittää, mikä muuttuu; osapuolitaulukko kertoo, kuka voi hyväksyä muutoksen; kolmen tilan vertailu estää erilaisten väitteiden sekoittamisen; ja vikatilannekartta osoittaa, missä luottamuksen pitäisi heikentyä. Yhdessä nämä erottavat todellisen parannuksen siitä, että kitka tai riski vain siirtyy vähemmän näkyvään kerrokseen.

Nollatietoon perustuvan KYC:n ensisijaiset lähteet

• FATF:n ohjeistus digitaalisesta identiteetistä
• NIST:n yksityisyyttä parantava kryptografia
• W3C:n varmennettavien todistusten tietomalli