I. MELLÉKLET
Az (EU) 2021/1073 végrehajtási határozat I. melléklete a következő 9. szakasszal egészül ki:
„9. Megoldás az igazolványok visszavonására
9.1. A visszavont DCC-k jegyzékének (DRL) létrehozása
Az átjáró biztosítja a visszavonási jegyzékek vezetéséhez és kezeléséhez szükséges végpontokat és funkciókat:
9.2. Bizalmi modell
Minden kapcsolat létesítése a standard DCCG bizalmi modell révén, az NBTLS és NBUP tanúsítványokkal történik. Az integritás biztosítása érdekében valamennyi információ csomagokba rendezve, CMS-üzeneteken keresztül kerül feltöltésre.
9.3. Tételek egysége
9.3.1. Tétel
Minden visszavonási jegyzék egy vagy több bejegyzésből áll, és hash-eket és azok metaadatait tartalmazó tételekbe van csomagolva. A tétel megváltoztathatatlan, és egy lejárati időpontot határoz meg, amely jelzi, hogy a tétel mikor törölhető. A tételben szereplő valamennyi elem lejárati időpontjának meg kell egyeznie, azaz a tételeket a lejárati időpont és az aláíró DSC szerint kell csoportosítani. Minden tétel legfeljebb 1 000 bejegyzést tartalmazhat. Ha a visszavonási jegyzék több mint 1 000 bejegyzésből áll, több tételt kell létrehozni. Bármely bejegyzés legfeljebb egy tételben fordulhat elő. A tételt CMS-szerkezetbe kell csomagolni, és a feltöltő ország NBUP tanúsítványával kell aláírni.
9.3.2. Tételindex
Egy tétel létrehozásakor az átjárónak egyedi azonosítót kell a tételhez rendelnie, és azt automatikusan hozzá kell adnia a tételindexhez. A tételindex a módosítás dátuma alapján, növekvő időrendi sorrendbe van rendezve.
9.3.3. Az átjáró viselkedése
Az átjáró változtatás nélkül dolgozza fel a visszavonási tételeket: nem frissítheti, nem távolíthatja el és nem egészítheti ki azokat. A tételeket valamennyi engedélyezett országba továbbítja (lásd a 9.6. szakaszt).
Az átjáró aktívan figyeli a tételek lejárati időpontját, és eltávolítja a lejárt tételeket. A tétel törlése után az átjáró egy „HTTP 410 Gone” válaszüzenetet küld a törölt tétel URL-címére. Ezért a tétel „deleted” (törölt) tételként jelenik meg a tételindexben.
9.4. Hash típusok
A visszavonási jegyzék olyan hash-eket tartalmaz, melyek a visszavonás különböző típusait/attribútumait reprezentálhatják. Ezeket a típusokat vagy attribútumokat fel kell tüntetni a visszavonási jegyzékek létrehozásakor. A jelenlegi típusok a következők:
|
Típus |
Attribútum |
Hash számítás |
|
SIGNATURE |
DCC Signature |
SHA256 of DCC Signature |
|
UCI |
UCI (Unique Certificate Identifier) |
SHA256 of UCI |
|
COUNTRYCODEUCI |
Issuing Country Code + UCI |
SHA256 of Issuing CountryCode + UCI |
Csak a base64 karakterláncként kódolt hash-ek első 128 bitje szerepel a tételekben és kerül felhasználásra a visszavont DCC-k azonosítására (1).
9.4.1. Hash típus: SHA256(DCC Signature)
Ebben az esetben a hash kiszámítása a CWT-ből származó COSE_SIGN1 aláírás bájtjai alapján történik. Az RSA-aláírások esetében a teljes aláírás bemeneti adatként kerül felhasználásra. Az EC–DSA aláírással ellátott tanúsítványok esetében a képlet az r érték a bemeneti adat:
SHA256(r)
[minden új végrehajtás esetében kötelező]
9.4.2. Hash típus: SHA256(UCI)
Ebben az esetben a hash kiszámítása az UTF-8 kódolású UCI karakterlánc alapján történik, és azt bájttömbbé alakítják át.
[elavult (2), de a visszamenőleges kompatibilitás érdekében támogatott]
9.4.3. Hash típus: SHA256(Issuing CountryCode+UCI)
Ebben az esetben a CountryCode UTF-8 karakterlánc kódolású UCI-val összefűzött UTF-8 karakterláncként van kódolva. Ezt követően bájttömbbé alakítják át, és a hashfüggvény bemeneti adataként szolgál.
[elavult2, de a visszamenőleges kompatibilitás érdekében támogatott]
9.5. API szerkezet
9.5.1. A visszavonási bejegyzést létrehozó API
9.5.1.1.
Az API a visszavonási listán szereplő bejegyzéseket tételekben állítja elő, melyekhez tételindex is társul.
9.5.1.2.
9.5.1.2.1. A tétellista letöltési végpontja
A végpontok egyszerű mintát követnek, és kis csomagolóval metaadatokat rendelkezésre bocsátó tételjegyzéket küldenek vissza. A tételek dátum szerint növekvő (kronológiai) sorrendben jelennek meg:
/revocation-list
Verb: GET
Content-Type: application/json
Response: JSON Array
|
|
{
|
|
|
} |
Megjegyzés: Az eredmény alapértelmezés szerint 1 000 találatra korlátozódik. Ha a „more” (több) megjelölés igazra van beállítva, a válasz azt jelzi, hogy több tétel is letölthető. Több elem letöltéséhez az ügyfélnek az If-Modified-Since fejlécet az utolsó beérkezett bejegyzés dátumánál nem korábbi időpontra kell beállítania.
A válasz a következő szerkezetű JSON tömböt tartalmazza:
|
Mező |
Meghatározás |
|
more |
Boolean megjelölés, ami azt jelzi, hogy több tétel is elérhető. |
|
batches |
Meglévő tételek tömbje. |
|
batchId |
https://en.wikipedia.org/wiki/Universally_unique_identifier |
|
country |
Országkód ISO 3166 |
|
date |
ISO 8601 UTC-dátum. A tétel hozzáadásának vagy törlésének dátuma. |
|
deleted |
boolean. Igaz, ha törölve van. Ha a törölt megjelölés van beállítva, a bejegyzés 7 nap elteltével véglegesen eltávolítható a lekérdezési eredmények közül. |
9.5.1.2.1.1. Válaszkódok
|
Kód |
Leírás |
|
200 |
Minden ok. |
|
204 |
Nincs elérhető tartalom, ha nincs egyezés az „If-Modified-Since” fejléc tartalmával. |
A kérelem fejléce
|
Fejléc |
Kötelező |
Leírás |
|
If-Modified-Since |
Igen |
Ez a fejléc az utolsó letöltött dátumot tartalmazza, hogy kizárólag a legújabb találatok legyenek elérhetők. Az első rákeresésnél a ‘2021-06-01T00:00:00Z’ fejlécet kell beállítani. |
9.5.1.2.2. A tétel letöltési végpontja
A tételek tartalmazzák az igazolványazonosítók listáját:
/revocation-list/{batchId}
Verb: GET
Accepts: application/cms
Response:CMS with Content
|
|
{
|
|
|
} |
A válasz egy CMS-t, többek között egy aláírást tartalmaz, melynek egyeznie kell az ország NBUP tanúsítványával. A JSON tömb valamennyi eleme a következő szerkezetet tartalmazza:
|
Mező |
Kötelező |
Típus |
Meghatározás |
|
expires |
Igen |
String |
Az a dátum, amikor a tétel eltávolítható. ISO 8601 UTC-dátum/-idő |
|
country |
Igen |
String |
Országkód ISO 3166 |
|
hashType |
Igen |
String |
A megadott bejegyzések hash típusa (lásd: Hash típusok) |
|
entries |
Igen |
JSON Object Array |
Lásd a Bejegyzések táblázatát |
|
kid |
Igen |
String |
A DCC aláírásához használt DSC base64 szerint kódolt KID-je. Ha a KID nem ismert, akkor az UNKNOWN_KID` karakterlánc használható (a ` kivételével). |
|
Megjegyzések: |
|||
|
— |
A tételeket lejárati nap és DSC szerint kell csoportosítani. Valamennyi tételnek egyidejűleg kell lejárnia, és azokat ugyanazzal a kulccsal kell aláírni. |
|
— |
A lejárat időpontja az UTC szerinti dátum/idő, mivel az EU–DCC globális rendszer, melyben egyértelműen meghatározott időt kell használni. |
|
— |
A véglegesen visszavont DCC lejárati időpontjaként a DCC aláírására használt megfelelő DSC lejárati időpontját vagy a visszavont DCC lejárati időpontját kell megjelölni (ez utóbbi esetben a felhasznált NumericDate/epoch időket az UTC időzónában lévőnek kell tekinteni). |
|
— |
A nemzeti backend (NB) törli az elemeket a visszavonási listáról, amint elérkezik a lejárat napja. |
|
— |
Az NB törölhet tételeket a saját visszavonási listájáról abban az esetben, ha a DCC aláírásához használt kid vissza lett vonva. |
9.5.1.2.2.1. Bejegyzések
|
Mező |
Kötelező |
Típus |
Meghatározás |
|
hash |
Igen |
String |
A base64 karakterláncként kódolt SHA256 hash első 128 bitje |
Megjegyzés: A bejegyzések objektuma jelenleg csak hash-t tartalmaz, de ahhoz, hogy összeegyeztethető legyen a jövőbeli változásokkal, a JSON tömb helyett egy objektum került kiválasztásra.
9.5.1.2.2.2. Válaszkódok
|
Kód |
Leírás |
|
200 |
Minden ok. |
|
410 |
A tétel el lett távolítva. A tétel törölhető a nemzeti backendből. |
9.5.1.2.2.3. Válaszfejlécek
|
Fejléc |
Leírás |
|
ETag |
Tétel ID. |
9.5.1.2.3. A tétel feltöltési végpontja
A feltöltés ugyanazon a végponton keresztül, a POST igével történik:
/revocation-list
Verb: POST
Accepts: application/cms
Request: CMS with Content
ContentType: application/cms
Content:
|
|
{
|
|
|
} |
A tétel aláírásához az NBUP tanúsítványt kell használni. Az átjáró ellenőrzi, hogy az aláírást valóban az adott ország NBUP tanúsítványával rögzítették-e. Ha az aláírás ellenőrzése sikertelen, meghiúsul a feltöltés.
MEGJEGYZÉS: Valamennyi tétel megváltoztathatatlan, a feltöltés után nem módosítható. A tételt ugyanakkor lehet törölni a rendszerből. A rendszer minden törölt tétel azonosítóját tárolja, és az azzal megegyező azonosítóval rendelkező új tétel feltöltése elutasításra kerül.
9.5.1.2.4. A tétel törlési végpontja
A tétel ugyanazon végponton keresztül, a DELETE igével törölhető:
/revocation-list
Verb: DELETE
Accepts: application/cms
ContentType: application/cms
Request: CMS with Content
Content:
|
|
{
|
|
|
} |
vagy a kompatibilitás érdekében a tétel a következő végponttal, a POST igével is törölhető:
/revocation-list/delete
Verb: POST
Accepts: application/cms
ContentType: application/cms
Request: CMS with Content
Content:
|
|
{
|
|
|
} |
9.6. API-védelem/általános adatvédelmi rendelet
Ez a szakasz az (EU) 2021/953 rendelet személyes adatok kezelésére vonatkozó rendelkezéseinek való megfelelést szolgáló végrehajtási intézkedéseket határozza meg.
9.6.1. Meglévő hitelesítés
Az átjáró jelenleg az NBTLS tanúsítványt használja az átjáróhoz csatlakozó országok hitelesítésére. Ez a hitelesítés alkalmazható az átjáróhoz csatlakozott ország azonosítására. Az azonosító ezt követően felhasználható a hozzáférés-ellenőrzés végrehajtására.
9.6.2. Hozzáférés-ellenőrzés
A személyes adatok jogszerű kezelése érdekében az átjáró hozzáférés-ellenőrzési mechanizmust vezet be.
Az átjáró a hozzáférés-ellenőrzési listát a szerepköralapú biztonsággal összekapcsolva hajtja végre. Ebben a rendszerben két táblázatot kell működtetni: az egyik táblázat megadja, hogy mely szerepkörök mely tevékenységeket milyen erőforrásokhoz rendelhetnek, a másik táblázat pedig azt ismerteti, hogy mely szerepkörök mely felhasználókhoz vannak rendelve.
Az e dokumentumban előírt ellenőrzések végrehajtásához három szerepkör szükséges, amelyek a következők:
|
|
RevocationListReader |
|
|
RevocationUploader |
|
|
RevocationDeleter |
A következő végpontok ellenőrzik, hogy a felhasználó rendelkezik-e a RevocationListReader szerepkörrel; ha igen, hozzáférést kell biztosítani, ha nem, akkor a HTTP 403 Forbidden válaszüzenetet kell adni:
GET/revocation-list/
GET/revocation-list/{batchId}
A következő végpontok ellenőrzik, hogy a felhasználó rendelkezik-e a RevocationUploader szerepkörrel; ha igen, hozzáférést kell biztosítani, ha nem, akkor a HTTP 403 Forbidden válaszüzenetet kell adni:
POST/revocation-list
A következő végpontok ellenőrzik, hogy a felhasználó rendelkezik-e a RevocationDeleter szerepkörrel; ha igen, hozzáférést kell biztosítani, ha nem, akkor a HTTP 403 Forbidden válaszüzenetet kell adni:
DELETE/revocation-list
POST/revocation-list/delete
Az átjáró megbízható módszert biztosít arra, hogy a rendszergazdák oly módon tudják kezelni a felhasználókhoz rendelt szerepköröket, melynek révén csökken az emberi hibák esélye, ugyanakkor nem hárul több teher a funkcionális rendszergazdákra.”
(1) A részletes API-leírásokért, kérjük, vegye figyelembe a 9.5.1.2. szakaszt is.
(2) Az elavult azt jelenti, hogy ezt a funkciót az új végrehajtások tekintetében nem kell figyelembe venni, de használata a meglévő végrehajtások esetében egy jól meghatározott időpontig támogatott.