PŘÍLOHA I
V příloze I prováděcího rozhodnutí (EU) 2021/1073 se doplňuje nový oddíl 9, který zní:
„9. Řešení pro zneplatnění certifikátů
9.1. Poskytování seznamu zneplatněných DCC („DRL“)
Brána poskytuje koncové body a funkce pro uchovávání a správu seznamů zneplatněných certifikátů:
9.2. Model důvěry
Veškerá připojení se navazují podle standardního modelu důvěry DCCG s využitím certifikátů NBTLS a NBUP (viz správa certifikátů). Veškeré informace jsou zabaleny a nahrávány ve formě CMS zpráv, aby byla zajištěna integrita.
9.3. Konstrukce dávek
9.3.1. Dávka (Batch)
Každý seznam zneplatněných certifikátů obsahuje jednu nebo více položek a zabalí se do dávek obsahujících sadu hodnot hash a jejich metadata. Dávka je neměnná (immutable) a definuje datum skončení platnosti, které udává, kdy může být dávka smazána. Datum skončení platnosti všech položek v dávce musí být totožné – to znamená, že dávky se musí seskupovat podle data skončení platnosti a podle podepisujícího DSC. Každá dávka obsahuje nejvýše 1 000 položek. Pokud seznam zneplatněných certifikátů obsahuje více než 1 000 položek, vytvoří se více dávek. Každá položka se může vyskytovat nejvýše v jedné dávce. Dávka se zabalí do struktury CMS a podepíše se certifikátem NBup nahrávající země.
9.3.2. Index dávek (Batch Index)
Když se vytvoří dávka, brána jí přidělí unikátní ID a dávka se automaticky přidá do indexu. Index dávek je řazen podle data poslední změny ve vzestupném chronologickém pořadí.
9.3.3. Chování brány
Brána zpracovává dávky se seznamy zneplatněných certifikátů bez jakýchkoliv změn: nemůže v dávkách žádnou informaci aktualizovat, odstranit ani přidat. Dávky jsou předávány všem schváleným zemím (viz kapitola 9.6).
Brána aktivně sleduje data skončení platnosti dávek a dávky se skončenou platností odstraňuje. Poté, co je dávka smazána, vrací brána pro URL smazané dávky odpověď „HTTP 410 Gone“. Dávka se tedy v indexu dávek objevuje s příznakem „deleted“.
9.4. Typy hodnot hash
Seznam zneplatněných certifikátů obsahuje hodnoty hash, které mohou představovat různé typy/atributy zneplatnění. Tyto typy nebo atributy se uvedou při poskytování seznamů zneplatněných certifikátů. Aktuální typy jsou:
|
Typ |
Atribut |
Výpočet hodnot hash |
|
SIGNATURE |
DCC Signature |
SHA256 of DCC Signature |
|
UCI |
UCI (Unique Certificate Identifier) |
SHA256 of UCI |
|
COUNTRYCODEUCI |
Issuing Country Code + UCI |
SHA256 of Issuing CountryCode + UCI |
Do dávek se vkládá a k identifikaci zneplatněných DCC slouží pouze prvních 128 bitů hodnot hash vyjádřených jako řetězec v kódování base64 (1).
9.4.1. Typ hodnoty hash: SHA256(DCC Signature)
V tomto případě se hodnota hash vypočte z bajtů podpisu COSE_SIGN1 z CWT. V případě podpisů RSA se jako vstup použije celý podpis. Vzorec pro certifikáty podepsané algoritmem EC-DSA používá jako vstup hodnotu r:
SHA256(r)
[vyžadováno pro všechny nové implementace]
9.4.2. Typ hodnoty hash: SHA256(UCI)
V tomto případě se hodnota hash vypočítá z řetězce UCI v kódování UTF-8 převedeného na pole bajtů (byte array).
[zastaralé (2), avšak podporováno pro účely zpětné kompatibility]
9.4.3. Typ hodnoty hash: SHA256(Issuing CountryCode+UCI)
V tomto případě se vezme kód země vyjádřený jako řetězec v kódování UTF-8 a spojený s identifikátorem UCI vyjádřeným jako řetězec v kódování UTF-8. Výsledek se následně převede na pole bajtů (byte array) a použije jako vstup hašovací funkce.
[zastaralé2, avšak podporováno pro účely zpětné kompatibility]
9.5. Struktura rozhraní API
9.5.1. API pro poskytování zneplatněných položek
9.5.1.1.
API dodává položky na seznamech zneplatněných certifikátů ve formě dávek, a to včetně indexu dávek.
9.5.1.2.
9.5.1.2.1. Koncový bod pro stažení seznamu dávek
Koncové body jsou konstruovány jednoduše a vracejí seznam dávek v malém wrapperu poskytujícím metadata. Dávky jsou řazeny podle data ve vzestupném (chronologickém) pořadí:
/revocation-list
Verb: GET
Content-Type: application/json
Response: JSON Array
|
|
{
|
|
|
} |
Poznámka: Výsledek je implicitně omezen na 1 000. Má-li příznak „more“ hodnotu „true“, odpověď udává, že jsou ke stažení k dispozici další dávky. Pro stažení více položek musí klient nastavit záhlaví If-Modified-Since na datum, které není dřívější než poslední přijatá položka.
V odpovědi je obsaženo pole JSON (JSON array) s následující strukturou:
|
Pole |
Definice |
|
more |
Příznak typu Boolean, který udává, že jsou k dispozici další dávky |
|
batches |
Pole (array) se stávajícími dávkami |
|
batchId |
https://en.wikipedia.org/wiki/Universally_unique_identifier |
|
country |
Kód země dle ISO 3166 |
|
date |
Datum dle ISO 8601 v UTC. Datum, kdy byla dávka přidána nebo smazána. |
|
deleted |
Boolean. Má hodnotu „true“, byla-li dávka smazána. Je-li příznak „deleted“ nastaven, může být položka po 7 dnech finálně odstraněna z výsledků dotazu. |
9.5.1.2.1.1. Kódy odpovědí
|
Kód |
Popis |
|
200 |
Vše ok. |
|
204 |
Žádný obsah, pokud záhlaví „If-Modified-Since“ nevede k žádné shodě. |
Záhlaví požadavku
|
Záhlaví |
Povinné |
Popis |
|
If-Modified-Since |
Ano |
Toto záhlaví obsahuje naposledy stažené datum, aby se získaly pouze nejnovější výsledky. Při prvním volání by mělo být záhlaví nastaveno na ‘2021-06-01T00:00:00Z‘ |
9.5.1.2.2. Koncový bod pro stažení dávky
Dávky obsahují seznam identifikátorů certifikátů:
/revocation-list/{batchId}
Verb: GET
Accepts: application/cms
Response:CMS with Content
|
|
{
|
|
|
} |
Odpověď obsahuje CMS včetně podpisu, který musí odpovídat certifikátu NBUP příslušné země. Všechny položky v poli JSON (JSON array) obsahují následující strukturu:
|
Pole |
Povinné |
Typ |
Definice |
|
expires |
Ano |
String |
Datum, kdy je možné položku odstranit. Datum/čas v UTC dle ISO8601 |
|
country |
Ano |
String |
Kód země dle ISO 3166 |
|
hashType |
Ano |
String |
Typ hodnoty hash poskytnutých položek (viz Typy hodnot hash) |
|
entries |
Ano |
JSON Object Array |
Viz tabulka Položky |
|
kid |
Ano |
String |
KID certifikátu DSC použitého k podepsání DCC v kódování base64. Není-li KID znám, lze použít řetězec „UNKNOWN_KID“ (bez uvozovek). |
|
Poznámky: |
|||
|
— |
Dávky se seskupí podle data skončení platnosti a DSC – platnost všech položek skončí ve stejném okamžiku a všechny jsou podepsány stejným klíčem. |
|
— |
Časem skončení platnosti je datum/čas v UTC, neboť EU-DCC je globální systém a je třeba používat jednoznačný čas. |
|
— |
Jako datum skončení platnosti trvale zneplatněných DCC se nastaví datum skončení platnosti příslušného DSC použitého k podepsání DCC nebo čas skončení platnosti zneplatněného DCC (a v takovém případě se má za to, že časové údaje ve formátu NumericDate/epoch jsou v časovém pásmu UTC). |
|
— |
Vnitrostátní backendový systém (NB) odstraní položky ze svého seznamu zneplatněných certifikátů v okamžiku, kdy bude dosaženo datum skončení platnosti. |
|
— |
NB může položky ze svého seznamu zneplatněných certifikátů odstranit v případě, že dojde k zneplatnění kid použitého k podepsání DCC. |
9.5.1.2.2.1. Položky
|
Pole |
Povinné |
Typ |
Definice |
|
hash |
Ano |
String |
Prvních 128 bitů hodnoty hash SHA256 jako řetězec v kódování base64 |
Poznámka: Objekt položek aktuálně obsahuje pouze hodnotu hash, ale pro zajištění kompatibility s budoucími změnami byl namísto pole JSON (JSON array) zvolen objekt.
9.5.1.2.2.2. Kódy odpovědí
|
Kód |
Popis |
|
200 |
Vše ok. |
|
410 |
Dávka již neexistuje. Dávka může být ve vnitrostátním backendovém systému smazána. |
9.5.1.2.2.3. Záhlaví odpovědí
|
Záhlaví |
Popis |
|
ETag |
ID dávky. |
9.5.1.2.3. Koncový bod pro nahrání dávky
Nahrání se provádí přes stejný koncový bod operací POST:
/revocation-list
Verb: POST
Accepts: application/cms
Request: CMS with Content
ContentType: application/cms
Content:
|
|
{
|
|
|
} |
Dávka se podepíše pomocí certifikátu NBUP. Brána ověří, zda byl podpis vytvořen pomocí NBUP pro danou zemi (country). Je-li kontrola podpisu neúspěšná, nahrání se nezdaří.
POZNÁMKA: Každá dávka je neměnná (immutable) a po nahrání ji již nelze změnit. Je však možné ji smazat. ID každé smazané dávky se uloží a případné nahrání nové dávky se stejným ID se odmítne.
9.5.1.2.4. Koncový bod pro odstranění dávky
Dávku lze odstranit přes stejný koncový bod operací DELETE:
/revocation-list
Verb: DELETE
Accepts: application/cms
ContentType: application/cms
Request: CMS with Content
Content:
|
|
{
|
|
|
} |
nebo, z důvodů kompatibility, přes následující koncový bod operací POST:
/revocation-list/delete
Verb: POST
Accepts: application/cms
ContentType: application/cms
Request: CMS with Content
Content:
|
|
{
|
|
|
} |
9.6. Ochrana API/obecné nařízení o ochraně osobních údajů (GDPR)
V tomto oddíle jsou specifikována opatření pro implementaci s ohledem na splnění ustanovení nařízení 2021/953, pokud jde o zpracování osobních údajů.
9.6.1. Stávající autentizace
Brána pro autentizaci zemí, které se k ní připojují, v současnosti využívá certifikát NBTLS. Tuto autentizaci lze využít pro určení totožnosti země připojené k bráně. Tato identita může být následně využita pro implementaci řízení přístupu.
9.6.2. Řízení přístupu
Aby mohla brána zákonně zpracovávat osobní údaje, zavede mechanismus řízení přístupu.
Brána implementuje seznam řízení přístupu (Access Control List) v kombinaci se zabezpečením na základě rolí (Role Based Security). V rámci tohoto schématu se vedou dvě tabulky – jedna tabulka popisuje, které role mohou použít které operace na které prostředky, druhá tabulka popisuje, které role jsou přiřazeny kterým uživatelům.
K implementaci kontrolních mechanismů vyžadovaných tímto dokumentem jsou zapotřebí tyto tři role:
|
|
RevocationListReader |
|
|
RevocationUploader |
|
|
RevocationDeleter |
Následující koncové body musí kontrolovat, zda je uživateli přiřazena role RevocationListReader; pokud tomu tak je, je mu umožněn přístup, pokud ne, vrátí se HTTP 403 Forbidden:
GET/revocation-list/
GET/revocation-list/{batchId}
Následující koncové body musí kontrolovat, zda je uživateli přiřazena role RevocationUploader; pokud tomu tak je, je mu umožněn přístup, pokud ne, vrátí se HTTP 403 Forbidden:
POST/revocation-list
Následující koncové body musí kontrolovat, zda je uživateli přiřazena role RevocationDeleter; pokud tomu tak je, je mu umožněn přístup, pokud ne, vrátí se HTTP 403 Forbidden:
DELETE/revocation-list
POST/revocation-list/delete
Brána musí rovněž poskytovat spolehlivou metodu, jak mohou správci spravovat role, které jsou spojeny s uživateli, a to takovým způsobem, aby se snížila možnost lidských chyb a zároveň se předešlo zatěžování správců.“
(1) Podrobné popisy API naleznete také v oddíle 9.5.1.2.
(2) Pojmem „zastaralé“ se rozumí, že o této funkci se v nových implementacích neuvažuje, avšak u stávajících implementací bude po přesně vymezené časové období podporována.