PRILOG I.
U Prilogu I. Provedbenoj odluci (EU) 2021/1073 dodaje se odjeljak 9.:
„9. RJEŠENJE ZA OPOZIV
9.1 Utvrđivanje popisa opozvanih DCC-a (DRL)
Pristupnik mora imati krajnje točke i funkcionalnost za čuvanje popisa opozvanih potvrda i za upravljanje tim popisima:
9.2 Model povjerenja
Sve se veze uspostavljaju na temelju certifikata NBTLS i NBUP standardnog modela povjerenja DCCG-a (vidjeti upravljanje certifikatima). Radi zaštite cjelovitosti sve se informacije pakiraju i šalju CMS porukama.
9.3 Sastavljanje skupa
9.3.1 Skup
Svaki popis opozvanih potvrda sastoji se od najmanje jednog unosa i mora biti zapakiran u skupovima koji sadržavaju hasheve i njihove metapodatke. Skup je nepromjenjiv i s definiranim datumom isteka, koji označava kad se skup može izbrisati. Svi elementi skupa moraju imati isti datum isteka, što znači da se skupovi mogu grupirati po datumu isteka i po DSC-u. Najveći dopušteni broj unosa u skupu je 1 000. Ako popis opozvanih potvrda ima više od 1 000 unosa, izrađuje se više skupova. Nijedan unos ne može biti u više od jednog skupa. Skup se pakira u CMS strukturu i potpisuje certifikatom NBup države koja ga šalje.
9.3.2 Indeks skupova
Pristupnik skupu dodjeljuje jedinstven identifikator u trenutku sastavljanja, koji se automatski dodaje u indeks. Indeks skupova poredan je po datumu izmjene, počevši od najstarijeg.
9.3.3 Ponašanje pristupnika
Pristupnik obrađuje skupove opozvanih potvrda bez ikakvih promjena: pristupnik ne može ažurirati, uklanjati niti dodavati informacije u skupovima. Skupovi se prosljeđuju svim odobrenim zemljama (vidjeti poglavlje 9.6.).
Pristupnik aktivno prati datume isteka skupova i uklanja istekle skupove. Nakon što se neki skup izbriše, pristupnik na URL izbrisanog skupa odgovara s „HTTP 410 Gone”. U indeksu skupova taj skup je označen kao izbrisan.
9.4 Vrste hasheva
Popis opozvanih potvrda sadržava hasheve koji mogu označavati različite vrste/atribute opozvanih potvrda. Te vrste i atributi navode se zajedno s popisom opozvanih potvrda. Trenutačne su vrste:
|
Vrsta |
Atribut |
Izračun hasha |
|
SIGNATURE |
potpis DCC-a |
SHA256 potpisa DCC-a |
|
UCI |
UCI (jedinstveni identifikator potvrde) |
SHA256 UCI-ja |
|
COUNTRYCODEUCI |
kod zemlje izdavateljice + UCI |
SHA256 koda zemlje izdavateljice + USI-ja |
U skupove se unosi samo prvih 128 bitova hasheva kodiranih u base64 nizove koji služe za identifikaciju opozvanog DCC-a (1).
9.4.1 Vrsta hasha: SHA256 (potpis DCC-a)
Hash se izračunava za COSE_SIGN1 potpis iz CWT-a. Za RSA potpise ulazna vrijednost je cijeli potpis. Formula za certifikate potpisane EC-DSA-om je uzimanje r kao ulazne vrijednosti:
SHA256(r)
[obvezno u svim novim implementacijama]
9.4.2 Vrsta hasha: SHA256 (UCI)
Hash se izračunava za niz UCI-ja kodiran u UTF-8 pa se konvertira u polje bajtova.
[zastarjelo (2), ali podržano zbog kompatibilnosti sa starijim elementima sustava]
9.4.3 Vrsta hasha: SHA256 (kod zemlje izdavateljice + USI)
U ovom je slučaju kod zemlje niz (string) kodiran u UTF-8 kojem je dodan UCI koji je niz (string) kodiran u UTF-8. Taj se niz konvertira u polje bajtova koje je ulazna vrijednost funkcije za generiranje hasha.
[zastarjelo2, ali podržano zbog kompatibilnosti sa starijim elementima sustava]
9.5 Struktura API-ja
9.5.1 API za unošenje opozvanih potvrda
9.5.1.1
API organizira unose s popisa opozvanih potvrda u skupovima i sastavlja indeks skupova.
9.5.1.2
9.5.1.2.1 Krajnja točka za preuzimanje popisa skupova
Krajnje su točke dizajnirane jednostavno, a njihov je izlaz popis skupova u malom omotaču koji sadržava metapodatke. Skupovi su poredani po datumu od najstarijeg:
/revocation-list
Verb: GET
Content-Type: application/json
Response: JSON Array
|
|
{
|
|
|
} |
Napomena: Najveća veličina je 1 000. Ako je parametar „more” postavljen na istinito (true), to znači da postoji još skupova za preuzimanje. Da bi se preuzeli dodatni skupovi, klijent mora postaviti vrijednost zaglavlja If-Modified-Since na datum koji nije prije datuma posljednjeg primljenog skupa.
Odgovor je JSON polje sljedeće strukture:
|
Polje |
Definicija |
|
more |
ako je vrijednost ovog parametra istinito (True), to znači da postoji još skupova |
|
batches |
polje s postojećim skupovima |
|
batchId |
https://en.wikipedia.org/wiki/Universally_unique_identifier |
|
country |
kod zemlje u skladu s normom ISO 3166 |
|
date |
UTC datum u skladu s normom ISO 8601 datum dodavanja ili brisanja skupa |
|
deleted |
moguće vrijednosti su istinito/neistinito; vrijednost istinito (True) označava da je skup izbrisan; unos se može ukloniti iz rezultata upita sedam dana nakon što se ova vrijednost postavi na istinito |
9.5.1.2.1.1 Kodovi odgovora
|
Kôd |
Opis |
|
200 |
sve je u redu |
|
204 |
nema sadržaja ako nema rezultata za zaglavlje „If-Modified-Since” |
Zaglavlje zahtjeva
|
Zaglavlje |
Obvezno |
Opis |
|
If-Modified-Since |
da |
Ova vrijednost zaglavlja sadržava datum zadnjeg preuzimanja da bi se dobili samo najnoviji rezultati. Vrijednost se postavlja na ‚2021-06-01T00:00:00Z’ prilikom prvog pozivanja. |
9.5.1.2.2 Krajnja točka za preuzimanje skupova
Skupovi sadržavaju popis identifikatora certifikata:
/revocation-list/{batchId}
Verb: GET
Accepts: application/cms
Response:CMS with Content
|
|
{
|
|
|
} |
Odgovor sadržava CMS s potpisom koji mora odgovarati certifikatu NBUP zemlje. Struktura svake stavke u JSON polju je sljedeća:
|
Polje |
Obvezno |
Vrsta |
Definicija |
|
expires |
da |
niz (string) |
datum kad se stavka može ukloniti UTC datum/vrijeme u skladu s normom ISO 8601 |
|
country |
da |
niz (string) |
kod zemlje u skladu s normom ISO 3166 |
|
hashType |
da |
niz (string) |
vrsta hasha unosa (vidjeti Vrste hasheva) |
|
entries |
da |
blok JSON objekta |
vidjeti tablicu s unosima |
|
kid |
da |
niz (string) |
KID kodiran u base64 DSC-a kojim je potpisan DCC; Ako KID nije poznat, može se unijeti niz „UNKNOWN_KID” (bez navodnika). |
|
Napomene: |
|||
|
— |
Skupine se grupiraju po datumu isteka i po DSC-u – svi elementi istječu u istom trenutku i moraju biti potpisani istim ključem. |
|
— |
Rok isteka je UTC datum/vrijeme jer je EUDCC svjetski sistem u kojem vrijeme mora uvijek biti jednoznačno. |
|
— |
Datum isteka trajno opozvanog DCC-a postavlja se na datum isteka odgovarajućeg DSC-a kojim je DCC potpisan ili na Istek opozvanog DCC-a (u kom slučaju se vremena NumericDate/epoch obrađuju kao da su u vremenskoj zoni UTC). |
|
— |
Nacionalni backend (NB) uklanja elemente sa svojih popisa opozvanih potvrda na datum isteka. |
|
— |
NB može ukloniti elemente sa svojih popisa opozvanih potvrda ako je povučen kid kojim je DCC potpisan. |
9.5.1.2.2.1 Unosi
|
Polje |
Obvezno |
Vrsta |
Definicija |
|
hash |
da |
niz (string) |
prvih 128 bitova hasheva dobivenih algoritmom SHA256 koji su kodirani u base64 |
Napomena: Objekt s elementima trenutačno sadržava samo hash, ali se zbog kompatibilnosti s budućim promjenama koristi objekt umjesto JSON polja.
9.5.1.2.2.2 Kodovi odgovora
|
Kôd |
Opis |
|
200 |
sve je u redu |
|
410 |
skupa nema; skup se može izbrisati u nacionalnom backendu |
9.5.1.2.2.3 Zaglavlje odgovora
|
Zaglavlje |
Opis |
|
ETag |
identifikator skupa |
9.5.1.2.3 Krajnja točka za slanje skupova
Skupovi se šalju preko iste krajnje točke metodom POST Verb:
/revocation-list
Verb: POST
Accepts: application/cms
Request: CMS with Content
ContentType: application/cms
Content:
|
|
{
|
|
|
} |
Skup se potpisuje certifikatom NBUP. Pristupnik provjerava da je skup potpisan certifikatom NBUP odgovarajuće zemlje (country). Slanje skupa neće biti dopušteno ako ta provjera ne potvrdi potpis.
NAPOMENA: Nijedan se skup ne može mijenjati nakon slanja. Međutim, skupove je moguće obrisati. Identifikator svakog izbrisanog skupa se čuva te se ne dopušta slanje novog skupa s istim identifikatorom.
9.5.1.2.4 Krajnja točka za brisanje skupova
Skupovi se mogu izbrisati preko iste krajnje točke metodom DELETE Verb:
/revocation-list
Verb: DELETE
Accepts: application/cms
ContentType: application/cms
Request: CMS with Content
Content:
|
|
{
|
|
|
} |
ili se zbog kompatibilnosti mogu izbrisati i preko ove krajnje točke metodom POST Verb:
/revocation-list/delete
Verb: POST
Accepts: application/cms
ContentType: application/cms
Request: CMS with Content
Content:
|
|
{
|
|
|
} |
9.6 Zaštita API-ja/GDPR
U ovom su odjeljku utvrđene mjere koje se u implementacijama koriste radi ispunjavanja odredbi Uredbe 2021/953 s obzirom na obradu osobnih podataka.
9.6.1 Postojeća autentifikacija
Pristupnik trenutačno koristi certifikat NBTLS da bi autentificirao zemlje koje mu pristupaju. Ta autentifikacija može poslužiti za utvrđivanje identiteta zemlje povezane s pristupnikom. Ta autentifikacija može onda poslužiti za kontrolu pristupa.
9.6.2 Kontrola pristupa
Da bi se osobni podaci mogli zakonito obrađivati, u pristupniku mora postojati mehanizam za kontrolu pristupa.
Pristupnik ima popis za kontrolu pristupa koji funkcionira zajedno sa sigurnošću na temelju uloga. To znači da se u pristupniku vode dvije tablice, jedna u kojoj je definirano koje uloge mogu izvesti koje radnje na kojim resursima i druga u kojoj je navedeno koje su uloge dodijeljene kojim korisnicima.
Za kontrole propisane ovim dokumentom potrebne su tri uloge:
|
|
RevocationListReader |
|
|
RevocationUploader |
|
|
RevocationDeleter |
Za provjeru ima li korisnik ulogu RevocationListReader služe sljedeće krajnje točke. Ako pristup bude potvrđen na tim krajnjim točkama, pristup će biti odobren, a u suprotnom će odgovor biti poruka HTTP 403 Forbidden:
GET/revocation-list/
GET/revocation-list/{batchId}
Za provjeru ima li korisnik ulogu RevocationUploader služe sljedeće krajnje točke. Ako pristup bude potvrđen na tim krajnjim točkama, pristup će biti odobren, a u suprotnom će odgovor biti poruka HTTP 403 Forbidden:
POST/revocation-list
Za provjeru ima li korisnik ulogu RevocationDeleter služe sljedeće krajnje točke. Ako pristup bude potvrđen na tim krajnjim točkama, pristup će biti odobren, a u suprotnom će odgovor biti poruka HTTP 403 Forbidden:
DELETE/revocation-list
POST/revocation-list/delete
Pristupnik mora administratorima omogućivati pouzdano upravljanje ulogama povezanima s korisnicima tako da se smanji mogućnost ljudske pogreške, ali ne i poveća opterećenje administratora funkcija.”
(1) Pogledati točku 9.5.1.2. za detaljniji opis API-ja.
(2) Zastarjelo znači da to nije rješenje za nove primjene, ali da ga se u precizno zadanom razdoblju mora podržavati zbog postojećih implementacija.