PRÍLOHA I
V prílohe I k vykonávaciemu rozhodnutiu (EÚ) 2021/1073 sa dopĺňa tento oddiel 9:
„9. RIEŠENIE TÝKAJÚCE SA POSTUPU ZRUŠENIA
9.1. Poskytnutie zoznamu zrušených digitálnych COVID preukazov EÚ (DCC)
Brána poskytuje koncové body a funkcie vedenia a správy zoznamov zrušených potvrdení:
9.2. Model zabezpečenia dôveryhodnosti
Všetky spojenia sú vytvorené štandardným modelom zabezpečenia dôveryhodnosti DCCG pomocou certifikátov NBTLS a NBUP (pozri správu certifikátov). Všetky informácie sú zbalené a nahraté prostredníctvom správ CMS, aby sa zabezpečila integrita.
9.3. Vytvorenie dávky
9.3.1. Dávka
Každý zoznam zrušených potvrdení obsahuje jeden alebo viacero zápisov a balí sa do dávok, ktoré obsahujú súbor hašov (hashes) a ich metaúdaje. Dávka je nezameniteľná (immutable) a je v nej zadefinovaný dátum uplynutia platnosti, ktorý určuje, kedy ju možno vymazať. Dátum uplynutia platnosti všetkých položiek v dávke musí byť presne rovnaký, čo znamená, že dávky musia byť zoskupené podľa dátumu uplynutia platnosti a podpisu DSC. Každá dávka obsahuje najviac 1 000 zápisov. Ak zoznam zrušených potvrdení obsahuje viac ako 1 000 zápisov, vytvorí sa viacero dávok. Každý zápis sa môže vyskytnúť maximálne v jednej dávke. Dávka sa zbalí do štruktúry CMS a podpíše certifikátom NBUP nahrávajúcej krajiny.
9.3.2. Index dávok (Batch Index)
Pri vytvorení dávky jej brána pridelí jedinečný identifikátor ID a automaticky sa pridá do indexu. Index dávok je zoradený podľa dátumu úprav vo vzostupnom chronologickom poradí.
9.3.3. Správanie brány
Brána spracúva dávky (batches) zrušených potvrdení bez akýchkoľvek zmien: dávky nemôže aktualizovať, odstrániť ani do nich pridať žiadne informácie. Dávky sa ďalej zasielajú do všetkých autorizovaných krajín (pozri bod 9.6).
Brána aktívne monitoruje dátumy uplynutia platnosti dávok a dávky po uplynutí platnosti odstraňuje. Po vymazaní dávky brána v prípade adresy URL vymazanej dávky zobrazí hlásenie „HTTP 410 Gone“. Preto sa táto dávka zobrazuje v indexe dávok ako „vymazaná“ (deleted).
9.4. Druhy hašov (Hash Types)
Zoznam zrušených potvrdení obsahuje haše, ktoré môžu predstavovať rôzne druhy/atribúty zrušených potvrdení. Tieto druhy alebo atribúty sa uvedú pri poskytovaní zoznamov zrušených potvrdení. Aktuálnymi druhmi sú:
|
Druh |
Atribút |
Výpočet hašu |
|
SIGNATURE |
DCC Signature |
SHA256 of DCC Signature |
|
UCI |
UCI (Unique Certificate Identifier) |
SHA256 of UCI |
|
COUNTRYCODEUCI |
Issuing Country Code + UCI |
SHA256 of Issuing CountryCode + UCI |
Do dávok sa vkladá len prvých 128 bitov hašov kódovaných ako reťazce (strings) base64, ktoré sa používajú na identifikáciu zrušeného DCC (1).
9.4.1. Druh hašu: SHA256(podpis DCC)
V tomto prípade sa haš vypočíta podľa bajtov podpisu COSE_SIGN1 z CWT. V prípade podpisov RSA sa ako vstup použije celý podpis. Vo vzorci v prípade certifikátov podpísaných algoritmom EC-DSA sa používa ako vstup hodnota r:
SHA256(r).
[vyžaduje sa v prípade všetkých nových implementácií]
9.4.2. Druh hašu: SHA256(UCI)
V tomto prípade sa haš vypočíta podľa reťazca UCI kódovaného v UTF-8 a konvertovaného na bajtové pole (byte array).
[zastarané (2), ale podporované v prípade spätnej kompatibility]
9.4.3. Druh hašu: SHA256(kód vydávajúcej krajiny Issuing CountryCode+UCI)
V tomto prípade kód krajiny CountryCode kódovaný ako reťazec UTF-8 zreťazený s identifikátorom UCI kódovaným pomocou reťazca UTF-8. Ten sa následne konvertuje na bajtové pole a použije sa ako vstup do hašovacej funkcie.
[zastarané 2, ale podporované v prípade spätnej kompatibility]
9.5. Štruktúra API
9.5.1. API na zadávanie zápisov zrušených potvrdení
9.5.1.1.
API posiela zápisy zoznamov zrušených potvrdení v dávkach vrátane indexu dávok.
9.5.1.2.
9.5.1.2.1. Koncový bod – sťahovanie zoznamu dávok
Koncové body sa riadia jednoduchou koncepciou a vracajú zoznam dávok s malým obalom (wrapper) poskytujúcim metaúdaje (metadata). Dávky sú roztriedené podľa dátumu vo vzostupnom (chronologickom) poradí:
/revocation-list
Verb: GET
Content-Type: application/json
Response: JSON Array
|
|
{
|
|
|
} |
Poznámka: Výsledok je obmedzený na predvolený počet 1 000. Ak je príznak „more“ nastavený na hodnotu „true“, odpoveď naznačuje, že na stiahnutie je k dispozícii viac dávok. Na stiahnutie viacerých položiek musí klient nastaviť záhlavie (header) If-Modified-Since na dátum, ktorý nie je skorší ako posledný prijatý zápis.
Odpoveď obsahuje pole JSON s touto štruktúrou:
|
Pole |
Vymedzenie |
|
more |
Booleovský príznak, ktorý naznačuje, že existuje viac dávok. |
|
batches |
Pole s existujúcimi dávkami. |
|
batchId |
https://en.wikipedia.org/wiki/Universally_unique_identifier |
|
country |
Kód krajiny podľa normy ISO 3166. |
|
date |
Dátum vo formáte UTC podľa normy ISO 8601. Dátum, keď bola dávka pridaná alebo vymazaná. |
|
deleted |
boolean. Hodnota „true“ v prípade vymazania. Keď sa nastaví príznak „vymazaný“ (deleted), zápis možno s konečnou platnosťou odstrániť z výsledkov vyhľadávania po siedmich dňoch. |
9.5.1.2.1.1. Kódy odpovedí
|
Kód |
Opis |
|
200 |
Všetko je v poriadku. |
|
204 |
Žiadny obsah, ak obsah záhlavia „If-Modified-Since“ nemá zhodu. |
Záhlavie požiadavky
|
Záhlavie |
Povinné |
Opis |
|
If-Modified-Since |
áno |
Toto záhlavie obsahuje posledný dátum stiahnutia, aby sa zobrazili len najnovšie výsledky. Pri prvom volaní by záhlavie malo byť nastavené na „2021-06-01T00:00:00Z“. |
9.5.1.2.2. Koncový bod – sťahovanie dávok
Dávky obsahujú zoznam identifikátorov potvrdení:
/revocation-list/{batchId}
Verb: GET
Accepts: application/cms
Response:CMS with Content
|
|
{
|
|
|
} |
Odpoveď obsahuje CMS s podpisom, ktorý sa musí zhodovať s certifikátom NBUP danej krajiny. Všetky položky v poli JSON majú túto štruktúru:
|
Pole |
Povinné |
Druh |
Vymedzenie |
|
expires |
áno |
String |
Dátum, keď možno položku odstrániť. Dátum/čas vo formáte UTC podľa normy ISO 8601. |
|
country |
áno |
String |
Kód krajiny podľa normy ISO 3166. |
|
hashType |
áno |
String |
Druh hašu zadaných zápisov (pozri Druhy hašov). |
|
entries |
áno |
JSON Object Array |
Pozri tabuľku Zápisy. |
|
kid |
áno |
String |
Identifikátor KID certifikátu DSC s kódovaním base64, ktorý sa použil na podpísanie DCC. Ak KID nie je známy, možno použiť reťazec „UNKNOWN_KID“ (bez „“). |
|
Poznámky: |
|||
|
— |
Dávky sa zoskupujú podľa dátumu uplynutia platnosti a DSC – platnosť všetkých položiek musí uplynúť v rovnakom čase a musia byť podpísané tým istým kľúčom. |
|
— |
Čas uplynutia platnosti je dátum/čas vo formáte UTC, pretože EU-DCC je globálny systém a musí sa používať jednoznačný čas. |
|
— |
Dátum uplynutia platnosti trvalo zrušeného DCC sa stanovuje na dátum uplynutia platnosti príslušného DSC použitého na podpísanie DCC alebo na čas uplynutia platnosti zrušeného DCC (v tomto prípade sa s použitými časmi NumericDate/epoch zaobchádza, ako keby boli v časovom pásme UTC). |
|
— |
Vnútroštátny spracovateľský subjekt (National Backend, NB) odstraňuje položky zo svojho zoznamu zrušených potvrdení po dátume uplynutia platnosti. |
|
— |
NB môže odstrániť položky zo svojho zoznamu zrušených potvrdení, ak bol kid použitý na podpísanie DCC zrušený. |
9.5.1.2.2.1. Zápisy
|
Pole |
Povinné |
Druh |
Vymedzenie |
|
hash |
áno |
String |
Prvých 128 bitov hašu SHA256 kódovaných ako reťazec base64. |
Poznámka: Objekt zápisov aktuálne obsahuje len haš, ale v záujme kompatibility so zmenami v budúcnosti bol namiesto poľa json vybraný objekt.
9.5.1.2.2.2. Kódy odpovedí
|
Kód |
Opis |
|
200 |
Všetko je v poriadku. |
|
410 |
Dávka nenájdená. Dávku možno vymazať vo vnútroštátnom spracovateľskom subjekte. |
9.5.1.2.2.3. Záhlavia odpovedí
|
Záhlavie |
Opis |
|
ETag |
ID dávky. |
9.5.1.2.3. Koncový bod – nahrávanie dávok
Nahrávanie sa uskutočňuje cez ten istý koncový bod pomocou slovesa POST (odoslať):
/revocation-list
Verb: POST
Accepts: application/cms
Request: CMS with Content
ContentType: application/cms
Content:
|
|
{
|
|
|
} |
Dávka sa podpisuje pomocou certifikátu NBUP. Brána overuje, či sa podpis v prípade danej krajiny nastavil pomocou NBUP. Ak je kontrola podpisu neúspešná, nahrávanie zlyhá.
POZNÁMKA: Každá dávka je nezameniteľná (immutable) a po nahratí ju nemožno zmeniť. Možno ju však vymazať. ID každej vymazanej dávky sa uloží a nahratie novej dávky s rovnakým ID sa zamietne.
9.5.1.2.4. Koncový bod – vymazanie dávok
Dávku možno vymazať cez ten istý koncový bod pomocou slovesa (verb) VYMAZAŤ (DELETE):
/revocation-list
Verb: DELETE
Accepts: application/cms
ContentType: application/cms
Request: CMS with Content
Content:
|
|
{
|
|
|
} |
alebo v záujme kompatibility sa odošle na tento koncový bod pomocou slovesa (verb) ODOSLAŤ (POST):
/revocation-list/delete
Verb: POST
Accepts: application/cms
ContentType: application/cms
Request: CMS with Content
Content:
|
|
{
|
|
|
} |
9.6. Ochrana API/všeobecné nariadenie o ochrane údajov
V tomto oddiele sa špecifikujú opatrenia na zabezpečenie súladu vykonávania s ustanoveniami nariadenia 2021/953, pokiaľ ide o spracúvanie osobných údajov.
9.6.1. Existujúca autentifikácia
Brána aktuálne používa na autentifikáciu krajín, ktoré sa k nej pripájajú, certifikát NBTLS. Túto autentifikáciu možno použiť na určenie identity krajiny pripojenej k bráne. Uvedená identita sa následne môže použiť na vykonanie kontroly prístupu.
9.6.2. Kontrola prístupu
Brána uplatňuje mechanizmus kontroly prístupu, aby mohla spracúvať osobné údaje v súlade s právnymi predpismi.
V rámci brány sa zavádza zoznam kontroly prístupu v kombinácii s bezpečnosťou na základe rolí. V tomto systéme sa vedú dve tabuľky – jedna tabuľka opisuje, ktoré roly môžu uplatňovať ktoré operácie na ktoré zdroje, a druhá tabuľka opisuje, ktoré roly sú pridelené ktorým používateľom.
Na vykonávanie kontrol požadovaných v tomto dokumente sa vyžadujú tri roly, a to:
|
|
RevocationListReader |
|
|
RevocationUploader |
|
|
RevocationDeleter |
Uvedené koncové body (endpoints) kontrolujú, či má používateľ rolu RevocationListReader; ak má, prístup sa udelí, ak nemá, následne sa zobrazí hlásenie HTTP 403 Forbidden:
GET/revocation-list/
GET/revocation-list/{batchId}
Uvedené koncové body kontrolujú, či má používateľ (User) rolu (Role) RevocationUploader; ak má, prístup sa udelí, ak nemá, následne sa zobrazí hlásenie HTTP 403 Forbidden:
POST/revocation-list
Uvedené koncové body kontrolujú, či má používateľ rolu RevocationDeleter; ak má, prístup sa udelí, ak nemá, následne sa zobrazí hlásenie HTTP 403 Forbidden:
DELETE/revocation-list
POST/revocation-list/delete
Brána takisto poskytuje spoľahlivú metódu, pomocou ktorej správcovia môžu spravovať roly spojené s používateľmi, a to takým spôsobom, aby sa znížila pravdepodobnosť ľudských chýb a aby sa zároveň nezaťažovali funkční správcovia.“
(1) Podrobné opisy API sa uvádzajú aj v bode 9.5.1.2.
(2) Zastarané znamená, že táto funkcia sa nezohľadňuje pri nových implementáciách, ale podporuje sa v prípade existujúcich implementácií počas presne vymedzeného obdobia.