BILAGA I
I bilaga I till genomförandebeslut (EU) 2021/1073 ska följande läggas till som avsnitt 9:
”9. Systemlösning för återkallande
9.1 Tillhandahållande av förteckningar (DRL) över återkallade digitala covidintyg (DCC)
Nätslussen (gateway) ska ge tillgång till ändpunkter (endpoints) och funktionalitet för att lagra och hantera återkallandeförteckningarna:
9.2 Tillitsmodell
Alla anslutningar skapas av den standardiserade tillitsmodellen för nätslussen (DCCG) genom NBTLS- och NBUP-certifikaten (se hantering av certifikat). All information packas och laddas upp med CMS-meddelanden för att säkerställa integriteten.
9.3 Utformning av batcher
9.3.1 Batch
Varje återkallandeförteckning ska innehålla en eller flera poster och ska packas i batcher som innehåller en uppsättning hashvärden (hashes) och tillhörande metadata. En batch är oföränderlig och har ett utgångsdatum som anger när batchen kan raderas. Alla element i batchen måste ha exakt samma utgångsdatum, vilket innebär att batcherna måste grupperas efter utgångsdatum och efter signerande DSC. Varje batch får innehålla högst 1 000 poster. Om återkallandeförteckningen består av fler än 1 000 poster ska flera batcher skapas. Varje post får förekomma i högst en batch. Batchen ska packas i en CMS-struktur och signeras med det uppladdande landets NBup-certifikat.
9.3.2 Batchindex
När en batch skapas ska den tilldelas ett unikt ID av nätslussen och automatiskt läggas till i indexet. Indexet över batcher ordnas efter ändringsdatum, i stigande kronologisk ordning.
9.3.3 Nätslussens funktion
Nätslussen behandlar återkallandebatcher utan att göra några ändringar: den kan varken uppdatera, ta bort eller lägga till någon information i batcherna. Batcherna vidarebefordras till alla godkända länder (se kapitel 9.6).
Nätslussen övervakar batchernas utgångsdatum och tar bort utgångna batcher. Efter att batchen har raderats sänder nätslussen tillbaka svaret ”HTTP 410 Gone” för den raderade batchens URL. Batchen anges därför i batchindexet som ”deleted”.
9.4 Hashtyper
Återkallandeförteckningen innehåller hashvärden som kan representera olika återkallandetyper/-attribut. Dessa typer eller attribut ska anges vid tillhandahållandet av återkallandeförteckningarna. Följande typer används för närvarande:
|
Typ |
Attribut |
Beräkning av hashvärden |
|
SIGNATURE |
DCC Signature |
SHA256 of DCC Signature |
|
UCI |
UCI (Unique Certificate Identifier) |
SHA256 of UCI |
|
COUNTRYCODEUCI |
Issuing Country Code + UCI |
SHA256 of Issuing CountryCode + UCI |
Bara de första 128 bits av hashvärdena, kodade som base64-strängar, läggs in i batcherna och används för att identifiera ett återkallat DCC (1).
9.4.1 Hashtyp: SHA256(DCC-signatur)
I detta fall beräknas hashvärdet på grundval av samtliga byte för COSE_SIGN1-signaturen från CWT. För RSA-signaturer kommer hela signaturen att användas som indata. Formeln för EC-DSA-signerade certifikat använder r-värdet som indata:
SHA256(r)
[krävs för alla nya tillämpningar]
9.4.2 Hashtyp: SHA256(UCI)
I detta fall beräknas hashvärdet på grundval av den UCI-sträng som är kodad i UTF-8 och konverterad till en bytesträng (byte array).
[föråldrad (2), men stöds för bakåtkompatibilitet]
9.4.3 Hashtyp: SHA256(Issuing CountryCode+UCI)
I detta fall landskod kodad som en UTF-8-sträng, konkatenerad med UCI kodad som en UTF-8-sträng. Detta konverteras sedan till en bytesträng och används som indata till hashfunktionen.
[föråldrad2, men stöds för bakåtkompatibilitet]
9.5 API-struktur
9.5.1 API för tillhandahållande av återkallandepost
9.5.1.1
API tillhandahåller posterna i återkallandeförteckningen i batcher som inkluderar ett batchindex.
9.5.1.2
9.5.1.2.1 Ändpunkt för nedladdning av batchlista
Ändpunkterna har en enkel utformning och returnerar en batchlista tillsammans med en liten wrapper som innehåller metadata. Batcherna sorteras efter datum i stigande (kronologisk) ordning:
/revocation-list
Verb: GET
Content-Type: application/json
Response: JSON Array
|
|
{
|
|
|
} |
Anmärkning: Resultatet begränsas automatiskt till 1 000. Om flaggan ”more” är satt till ”true” anger svaret att fler batcher kan laddas ned. För att ladda ned fler element måste klienten sätta headern If-Modified-Since till ett datum som är lika med eller senare än datumet för den senast mottagna posten.
Svaret innehåller en JSON-sträng (array) med följande struktur:
|
Fält |
Definition |
|
more |
Boolesk flagga som anger att det finns fler batcher. |
|
batches |
Sträng med befintliga batcher. |
|
batchId |
https://en.wikipedia.org/wiki/Universally_unique_identifier |
|
country |
Landskod enligt ISO 3166. |
|
date |
UTC-datum enligt ISO 8601. Datum då batchen lades till eller raderades. |
|
deleted |
boolean. ”True” innebär radering. När flaggan för radering är satt kan posten slutligen tas bort från sökresultaten efter 7 dagar. |
9.5.1.2.1.1 Svarskoder
|
Kod |
Beskrivning |
|
200 |
Alla ok. |
|
204 |
Inget innehåll om headern ”If-Modified-Since” inte har något matchande värde. |
Header för begäran
|
Header |
Obligatoriskt |
Beskrivning |
|
If-Modified-Since |
Ja |
Den här headern innehåller datum för senaste nedladdning för att man ska få enbart de senaste resultaten. Vid den första begäran ska headern sättas till ’2021–06–01T00:00:00Z’ |
9.5.1.2.2 Ändpunkt för nedladdning av batcher
Batcherna innehåller en lista med identifierare för certifikat:
/revocation-list/{batchId}
Verb: GET
Accepts: application/cms
Response:CMS with Content
|
|
{
|
|
|
} |
Svaret innehåller en CMS med en signatur som måste överensstämma med landets NBUP-certifikat. Alla element i JSON-strängen innehåller följande struktur:
|
Fält |
Obligatoriskt |
Typ |
Definition |
|
expires |
Ja |
String |
Datum då elementet kan tas bort. UTC-datum/tid enligt ISO 8601 |
|
country |
Ja |
String |
Landskod enligt ISO 3166. |
|
hashType |
Ja |
String |
Hashtyp för de tillhandahållna posterna (se hashtyper) |
|
entries |
Ja |
JSON Object Array |
Se tabell Poster |
|
kid |
Ja |
String |
base64-kodad KID för det DSC som används för att signera DCC. Om KID är okänd kan strängen `UNKNOWN_KID` (utan`) användas. |
|
Anmärkningar: |
|||
|
— |
Batcherna ska grupperas efter utgångsdatum och DSC – alla element ska upphöra att gälla samtidigt och ha signerats med samma nyckel. |
|
— |
Utgångsdatum är ett datum/en tidpunkt i UTC eftersom EU-DCC är ett globalt system och en otvetydig tidsangivelse måste användas. |
|
— |
Utgångsdatum för ett permanent återkallat DCC ska fastställas till utgångsdatumet för motsvarande DSC som används för att signera DCC eller till den tidpunkt då det återkallade DCC upphör att gälla (Expiration Time; de använda NumericDate/epoch-tiderna ska då betraktas som om de avser UTC-tidszonen). |
|
— |
Det nationella backend-systemet (NB) ska ta bort element från sin återkallandeförteckning när utgångsdatumet infaller. |
|
— |
Anm.: får ta bort element från sin återkallandeförteckning om den kid som använts för att signera DCC återkallas. |
9.5.1.2.2.1 Poster
|
Fält |
Obligatoriskt |
Typ |
Definition |
|
hash |
Ja |
String |
De första 128 bits av SHA256-hashen kodade som en base64-sträng |
Anmärkning: Objektet ”entries” innehåller för närvarande bara ett hashvärde, men för att säkra kompatibilitet med framtida ändringar valdes ett objekt i stället för en json-sträng.
9.5.1.2.2.2 Svarskoder
|
Kod |
Beskrivning |
|
200 |
Alla ok. |
|
410 |
Batchen saknas. Batchen kan raderas i det nationella backend-systemet. |
9.5.1.2.2.3 Header för svar
|
Header |
Beskrivning |
|
ETag |
Batchens ID |
9.5.1.2.3 Ändpunkt för uppladdning av batcher
Uppladdningen görs via samma ändpunkt med verbet POST:
/revocation-list
Verb: POST
Accepts: application/cms
Request: CMS with Content
ContentType: application/cms
Content:
|
|
{
|
|
|
} |
Batchen ska signeras med hjälp av NBUP -certifikatet. Nätslussen ska verifiera att signaturen har angetts med hjälp av NBUP för det berörda landet (country). Om signaturen inte godkänns ska uppladdningen inte göras.
ANMÄRKNING: Varje batch är oföränderlig och kan inte ändras efter uppladdning. Den kan dock raderas. ID för varje raderad batch lagras, och en uppladdning av en ny batch med samma ID avvisas.
9.5.1.2.4 Ändpunkt för radering av batcher
En batch kan raderas via samma ändpunkt med verbet DELETE:
/revocation-list
Verb: DELETE
Accepts: application/cms
ContentType: application/cms
Request: CMS with Content
Content:
|
|
{
|
|
|
} |
eller, av kompatibilitetsskäl, till följande ändpunkt med verbet POST:
/revocation-list/delete
Verb: POST
Accepts: application/cms
ContentType: application/cms
Request: CMS with Content
Content:
|
|
{
|
|
|
} |
9.6 API-skydd – GDPR
I detta avsnitt anges åtgärder för att tillämpningen ska följa bestämmelserna i förordning (EU) 2021/953 när det gäller behandling av personuppgifter.
9.6.1 Befintlig autentisering
Nätslussen använder för närvarande NBTLS-certifikatet för att autentisera de länder som ansluter till nätslussen. Denna autentisering kan användas för att fastställa identiteten för det land som är anslutet till nätslussen. Denna identitet kan sedan användas för att genomföra åtkomstkontroll.
9.6.2 Åtkomstkontroll
För att lagligen kunna behandla personuppgifter ska nätslussen använda en mekanism för åtkomstkontroll.
Nätslussen tillämpar en åtkomstkontrollista i kombination med rollbaserad säkerhet (Role Based Security). I det systemet ska två tabeller underhållas – en tabell som beskriver vilka roller (Roles) som kan tillämpa specifika operationer på specifika resurser och en annan tabell som beskriver vilka roller som tilldelas specifika användare (Users).
För att göra de kontroller som krävs enligt detta dokument krävs tre roller, nämligen
|
|
RevocationListReader |
|
|
RevocationUploader |
|
|
RevocationDeleter |
Följande ändpunkter ska kontrollera om användaren har rollen RevocationListReader; om så är fallet ska åtkomst beviljas, om inte ska HTTP 403 Forbidden returneras:
GET /revocation-list/
GET /revocation-list/{batchId}
Följande ändpunkter ska kontrollera om användaren har rollen RevocationUploader; om så är fallet ska åtkomst beviljas, om inte ska HTTP 403 Forbidden returneras:
POST /revocation-list
Följande ändpunkter ska kontrollera om användaren har rollen RevocationDeleter; om så är fallet ska åtkomst beviljas, om inte ska HTTP 403 Forbidden returneras:
DELETE /revocation-list
POST /revocation-list/delete
Nätslussen ska också tillhandahålla en tillförlitlig metod som gör det möjligt för administratörerna att hantera de roller som är kopplade till användarna på ett sådant sätt att risken för mänskliga fel reduceras samtidigt som de funktionella administratörerna inte belastas.”
(1) Se även de detaljerade API-beskrivningarna i avsnitt 9.5.1.2.
(2) Föråldrad innebär att denna funktion inte ska användas för nya tillämpningar men ska stödjas för befintliga tillämpningar under en väldefinierad tidsperiod.