Natívna integrácia, prístup k tomu aj bez unlocku obrazovky, krásna implementácia s Beaconmi (napríklad na controlpointoch na letiskách by sa to automaticky ukázalo na lockscreene), možnosť implementácie do platobných terminálov s ApplePay, možnosť pushovania updatov prioritne (keďže ide o systémové API)…je toho veľa
Práve časové pečiatky presne toto riešia, stačí si spomenúť na masovú revokaciu všetkých eid podpisových certifikátov na Slovensku a nepamätám si, že by neboli platné podpisy, ktoré boli podpísané predtým. Blockchain je samozrejme kanon na vrabce a navyše to nemá žiadny právny rámec.
To by problem az taky nebol… Len sa musi od zaciatku o nom hovorit aby sa system odvolavania certifikatov bral ako jeden z najdolezitejsich prvkou ochrany celeho fungovania.
Povedzme ze sa pouzije Kvalifikovany podpis. To znaci ze certifikat aj privatnym klucom je na bezpecnom zariadeni. Cize opustit ho nedokaze, da sa odchudzit iba s tym zariadenim a je treba poznat aj napr. heslo/pin. Aj ked poznas PIN, kluc von z karty nedostanes. V pripade ak by ukradli tu kartu, alebo zariadenie v ktorom je kluc ulozeny, je dost vysoka pravdepodobnost ze si toho vlastnik vsimne a ked vie kde ma nahlasit stratu a ziadat odvolanie tak tam bezi a odvola ho.
Tento proces treba spravne nastavit. Aby k revokovaniu certifikatu doslo co nasjkor a aby bol pojazdny OSCP protokol. A ludia aby mali moznost ohlasit stratu kluca. Lebo napriklad darmo pojdem v sobotu na policiu ohlasit ze som stratil eID aj s privatnym klucom. Ked sluzbukonajuci policajt nevie revokovat certifikat. A ani certifikacna autorita, ktora mi ho vydala nema 24/7 hodinove sluzby. Ukradnute QSCD je najzneuzitelnejsie prave v dobe od zistenia straty do casu uvedeneho v OSCP protokole, alebo casu vydania najblizsieho CRL.
Tym sa dosiahne co najrychlejsie odvolanie certifikatu a minimalizuje sa doba mouzneho zneuzitia. Problemom by mohlo byt odvolavanie pomocou CRL listu kedy to trochu dlho trva a treba povedat ze do doby odvolania je mozne stale snim podpisat.
Odvolanim certifikatu ak sa pouzila kvalifikovana casova peciatka su vsetky podpisy s casom mensim ako je cas odvolania v oscp alebo vydania crl nadalej platne.
Kvalifikovana casova peciatka zaroven zaruci ze nikto dalsi nemoze mat rovnaky datum a cas.
Toto je skor organizacna otazka.
ak je najvacsi problem Pohoda, tak to je uz celkom super …
Neviem kto vpusta ludi na pohodu, ale ako osoba mate svoje identitu a doklady.
Green Pass k VASEJ IDENTITE (nie k vasmu obcianskemu) prihodi dalsie udaje (na samostatnom doklade). Ak vam krajina v ktorej ste vakcinovaní priradí k vasej identite (RFO) konkretny greenpass, tak je to zjavne jej zodpovednoat a ostatne krajiny sa budu na jej prvotné stotoznenie spoliehat. A to je ta zodpovednost autorit v krajine, aby toto zabezpecili.
Aby Vas potom uradnik podla pasu / vodicaku / obcianky stotoznil s vasou identitou k nej musí byt “nejako” spárovaný greenpass. Inak to fakt bude fungovat len s tou obciankou
Navrhujem nasledovny postup:
Pondelok 12. 4. sa rozhodne, že sa urobí hackathon
Predpokladám, že ho môže zorganizovať SD…
Utorok sa ohlási médiám cez oficiálnu tlačovku NCZI, SD bude tiež propagovať
Do štvrtka sa urobí: Zadanie pre vývoj brány, vyhodnocovacie kritériá
Štvrtok 15. 4. začiatok hackathonu
Pondelok 19. 4. koniec hackathonu
Utorok 20.4. revízia ostatných riešení konkurenčnými riešeniami… hľadanie bezpečnostných chýb, analýza rizík a podobne
Streda 21.4. Výsledok hodnotiacej komisie
Motivácia pre firmy pre účasť v hackathone: 1-3 miesto reward 5000 EUR 4-8. miesto reward 1000 EUR
Ďalší týždeň teda Slovensko môže mať funkčné riešenie k bráne. Všetko open source, celo eu komunita z toho bude prosperovať, Slovensko sa bude javiť ako lídrom digitalizácie zelených certifikátov…
Hlavná motivácia pre výhercu: Support pri nasadení riešenia. npr 100 EUR/človekohodinu
8 dodávateľov softwarov bude šťastných že od NCZI dostalo aspoň euro, technologicky zistia kde sa môžu zlepšovať, vy bude šťastný že si vyberáte spomedzi veľa riešení, EU bude happy že sa implementovali zelené certifikáty, a hlavne ľudia budú štastní že môžu cestovať po EU so zeleným certifikátom
@SujaNCZI … ako sa na takýto nápad pozeráte? tých 20k EUR oproti cenám za vakcíny, alebo očakávaným nákladom na Váš software je vporiadku? @jsuchal … vy by ste to vedeli zorganizovať?
Vám sa ako takýto nápad páči… Toho koho záujmy reprezentujete by sa rád pridal k takejto súťaži?
Vedeli, avsak hackathon v tomto formate mi nepride vobec vhodny. Zadanie tu je jasne, sutazit o najlepsie napady ci riesenie mi pride len plytvanie zdrojov a na taketo nieco sa da v pohode pouzit klasicka sutaz, ktora ma aj nejaky pravny ramec.
Taktiez si myslim, ze samotne riesenie brany je ten mensi problem, migracia dat a napojenie na existujuce systemy, kde nejake data tecu bude kamen urazu.
nuz, proces vydavania a revokovania certifikatov je davno zavedeny, naozaj ho nie je potrebne riesit. To je existujuca sluzba.
Alebo hovorime o vakcinacnych certifikatoch ? Ale potom ake kluce maju ludia stracat ? Ten nie je zavisly od ziadneho kluca.
Hovorime teda v zasade o JEDNOM privatnom kluci na NCZI a jednom verejnom kluci, na to skutocne netreba budovat dalsiu certifikacnu autoritu.
vsak zaklad v tom zadani by malo byt definicia ako sa daju naimportovat data do systemu… bud to bude nejaky json typu HL7 alebo CSV import alebo live odosielanie do fronty s jasnou strukturou insert/update/delete
ten kto robi eZdravie to musi sam upravit… ak das podmienku do tenderu ze mas upravovat system ktory si nikdy nevidel tak sa ti tam prihlasi jedina spolocnost co zdrojaky ezdravia videla… to nie je spravne…
Ak navrhujes robit sutaz pre tento system a pod 5k eur NCZI ani nemusi technicky vypisovat sutaz, tak si urcite niekoho sami vyberu kto im to odflakne lebo to uz bude mat garantovane a bude to robit minimalisticky… Takouto sutazou by to prave firmy nerobili minimalisticky ale snazili sa tam dat cim viac feature aby vybrali prave ich… To sa mi nezda byt ako mrhanie zdrojmi…
Za predpokladu ze nikto iny ako NCZI nebude moct vytvarat zelene certifikaty… (Cisto centralizovane riesenie)
Samozrejme ze je rozdiel medzi certifikatmi pre servre a tym co ludia maju v obcianskych…
Inac by ma zaujimalo aku bezpecnost ukladania kluca tam niekto chce zvolit… Od MVSR pre integraciu Qesadily sme museli pouzit FIPS 140-2 Level 2 HSM… Ak by niekto vymyslel ze sa ma ukladat privatny kluc na HSM tak to fest predrazi cele riesenie…
cize tu uz nejde o bezpecnost Ale casove peciatky ( ktore nie su zadarmo) su fajn ?
Ale ok, tak povedzme ze pojde o desiatky klucov, stale plati ze to pre ziadnu certifikacnu autoritu nie je problem, revokovanie klucov a vydavanie CRL je rutina.
A inak, co chces riesit na brane ? pride dotaz s udajmi a odpovies ci je to platny certifikat. To co treba urobit je riesit komunikaciu medzi DMZ a internym systemom aby udaje o VSETKYCh certifikatoch neboli ohrozene utokom. Ale to bez znalosti internych systemov vies spravit len ako demo. A este sa potrebujes venovat priepustnosti systemu co je znovu zavisle od toho co existuje.
A este jedna poznamka. kedze pojde o europske riesenie, tak format dotazu bude dany ( podla dokumentu asi v maji), zaroven je zrejme ze bude jedna narodna brana, ak by sa implementovalo viacero api ( co mne nedava zmysel) tak by sa muselo riesit ako to distribuovat a ako odpovedat. aj tak by muselo byt aj centralne riesenie ale s mnohymi systemi a riesit ich bezpecnost. A hned sa tu objavilo ze by to bolo drahe. ano je lacnejsie riesit bezpecnost raz ako velakrat.
Dobrý deň,
NCZI aktívne sleduje diskusiu a k jednotlivým podnetom a otázkam sa bude vyjadrovať priebežne.
Vzhľadom k skutočnosti, že v rámci samotnej témy zelených certifikátov je veľa otvorených otázok všetky stanoviska/príspevky zo strany NCZI je potrebné interne prediskutovať, až následne budú publikované.
Nateraz NCZI prináša do diskusie samostatný diskusný príspevok s názvom: Zelený certifikát (Digital Green Certificate)
Ďakujeme všetkým za príspevky a prínos k diskusii,
Ste si istý, že toto je úplne správny pohľad na začiatok? Celý systém by asi mal mať na starosti UVZ (+36xRUVZ). Oni sú vlastníci dát o testovaných a chorých osobách v zmysle zákona 355/2007.
tam sa zbierajú aj dáta z labákov, z MOM, hlásenia operátorov a pod…
Prečo nemôže štát urobiť malú aplikáciu podobne ako to je dnes pri potvrdení o návšteve školy Potvrdenia o návšteve školy
Aplikácia si podľa QR CovidPass / PČO-RČ / ČíslaPasu vie zobraziť status, teda či má PCR, AG, prekonal, protilátky a dátum kedy bol stav zaevidovaný. to je všetko. Rovnako dnes si vieš pozrieť STK / EK a podobne. Ak sa prihlásiš ako osoba ktorej dané info patria, tak ti vie dať aj pdf podpísané El.pečaťou. Resp. to urobíš ako jednoduchú služby do el.schránky.
Lebo som videl, že napríklad policajti alebo RUVZ tuším vedia kukať do nejakej podobnej apky a keď ťa kontrolujú niekde na ulici, vedia si rýchlo zistiť či máš nejaký test alebo si bol pozitiv.
tu som aj našiel dokument, kde je to popísané, prečo NCZI má len agregované info a UVZ má raw dáta. článok 2.1 zmluvy: https://crz.gov.sk/data/att/2696593.pdf
Podme to rozobrat trochu blizsie… Co je cielom tejto aplikácie? Je to brána na overovanie zelených certifikátov?
Ak áno:
Chýba mi tam nakreslené rychlejsie.sk … alebo nás nejakí úradníci dopredu odpísali?
Prečo policajti OVM potrebuje vlastnú aplikáciu? Toto overenie je hádam verejné, rovnakú funkcionalitu môžu použiť policajti.
Čo s tým má dočinenia PZS? Ak by bola verejná adresa na vygenerovanie certifikátu podľa rodného čísla alebo covid pasu, prečo by ten systém mal byť napojený na IS PZS? To chcete aby niekto v rámci tohto riešenia upravoval interné systémy polície a doktrov?
NZIS EZKO, self-care, IOMO, MOM Backend, VOM Backend, Moje eZdravie, čakáreň, ZP app BE, SK IT BE… máte niekde zverejnenú dokumentáciu? Ja som stále k ezdraviu nedostal ani test prístup ani dokumentáciu k api… Ako chcete na základe tohto dokumentu dostať nejakú relevantnú odpoveď?
Helpdesk … aké problémy bude riešiť helpdesk? máte popísané use casy alebo čo tam môže vzniknúť? Podľa toho obrázka Helpdesk nie je na nič prepojený ak to dobre chápem…
Vôbec tam nie je popísané prepojenie medzi EU bránami. Svet??
Dokumentu chýba verzia a kto ho vypracoval
Tie termíny si robíte srandu… Tým chcete naznačiť že v lete nič nebude?
Možno som nepochopil Vaše zadanie, ale ak niekto chce z jednoduchého api a webstránky na generovanie pdfka urobiť mega projekt na úpravu policajného systému, všetkých zdravotníckych systémov, systémov pre hotlinu a kaďečoho iného, tak sme na správnej ceste že za 2 roky to možno bude a dovtedy budeme mať ďalšie 3 vlny…
to ze tam ma byt rychlejsie.sk pocujem prvy krat, mozete doplnit do checklistu, ako vas navrh
policajt bude mat k dispozicii viac informacii, takze aj “lepsiu apku”
PZS - mozem si aj u lekara poziadat o papierovu formu. Priklad “babky” ktora ide k svojmu lekarovi.
tu sa jedna aj o pohlad ako pristupit k integracii napr. vzdy to bude json + jwt + api gw pre access management ? Implementacny detail bude spresneny, pre tych co to myslia vazne, nie je verejny.
ked sa nepodari z nejakeho dovodu vygenerovat cert, helpdesk musi vediet dohladat preco
validacne api musi umoznit aj volanie mimo SR, to ako budeme zasielat CRL zatial nie je nutne uviest, takisto ako riesenie generovania CRL. To vieme v pilote urobit aj “rucne”
bez toho to neviete vyplnit ?
hladame tych co vedia splnit termin na pilot, nie riesit tych co nevedia
Robime to aj preto lebo teamov co deklaruju ze to vedia podla toho ref.arch spravit je v tento moment niekolko, a potrebujeme to zrovnat a vyzbierat podnety na zlepsenia.
PS: odpovede davam ako sukromna osoba, nie ako organizacia NCZI
No prave to je to. Z vonku sa takyto projekt moze zdat niekomu velmi jednoduchy, ale ono treba poznat aj mnohe dalsie suvislosti, to co sa bude diat vo vnutri systemu, kto vsetko potrebuje s tymi datami pracovat, kedy a s ktorymi datami cize robit zavery len tak z vonka by mohlo dopadnut podobne ako dialnicne znamky v CR.
Na druhej strane aj ked je teamov co deklaruju ze to vedia v tento moment niekolko, nepocitaj ze sa budu vyjadrovat na tomto fore. Oni si svoje napady, know how asi moc zverejnovat nebudu. Preto sa tu najdu aj otazky alebo nazory ktore nie su tym co sa mozno ocakavalo.
@rho nechyba v tom checkliste (alebo niekde) vlastne zoznam usecasov a biznis poziadaviek? Z tej arch sa nieco da vytusit, ale trochu mi unika, ze co sa tymto celym teraz sleduje, lebo ved arch zjavne vychadzala z nejakych poziadaviek, ktore tu nie su.
Taktiez nikto z vonka predsa nemoze vediet navrhnut a odhadnut integracie na interne systemy NCZI pokial sa k nim nezverejni aspon dokumentacia API a nejaky datovy model vstupov/vystupov ciselnikov.
Ak bolo cielom dokumentu ukazat komplexitu projektu, tak fajn, ale to sa dalo mozno aj tak, ze by sa spisali tie “user stories” a poziadavky. Mam pocit, ze tu nas tlaci hlavne cas a preto bude treba sekat “scope”.
ak je najvacsi problem Pohoda, tak to je uz celkom super …
Ale casove peciatky ( ktore nie su zadarmo) su fajn ?