Respuesta a la solicitud de comentarios públicos sobre el pasaporte de vacunas

Respondí a una solicitud de comentarios públicos sobre pasaportes de vacunas de la Agencia Digital. A continuación se muestra una copia del mismo. Lo grabaré para que conste.

Gracias por compilar una especificación concisa en un corto período de tiempo.
[Viajes al extranjero]

• En cuanto a los viajes internacionales, se espera que las regulaciones de la OACI sean aplicables en todo el mundo, por lo que apoyo esta adopción.
• En cuanto a la adquisición, se supone que se utilizará la lectura OCR, pero cuando lo intentas, es relativamente fácil leer las tarjetas IC de pasaporte. Además, en este caso también es posible la verificación de la firma y también se puede obtener como dato una fotografía del rostro. Creo que esto es realmente fácil de usar tanto para los usuarios como para los verificadores.

[Doméstico]

• La versión nacional también se basa en la SmartHealth Card (SHC), lo que me da una buena impresión de que se tienen en cuenta los estándares internacionales.
• Por otro lado, hay algunos puntos que he notado y que enumeraré a continuación.

• A diferencia de los viajes al extranjero, donde las claves se pueden obtener de la OACI, a partir de la descripción para uso nacional no estaba claro dónde obtener la clave utilizada para verificar el SHC y cómo confirmar la legitimidad del emisor. En el caso de SHC en Estados Unidos, creo que esto sería algo que se formularía por separado como un marco de confianza. Por tanto, parece necesario aclarar este punto en este documento, que es un estándar a implementar en Japón. En este momento, me gustaría que pusiera la lista de firmantes y claves a disposición de cualquiera.
• Además, SHC utiliza Credencial verificable (VC), pero la Presentación verificable no está definida. Por lo tanto, no es posible proporcionar atributos selectivos, lo que a menudo se considera una ventaja del VC. Como resultado, toda la información contenida en los códigos de barras 2D siempre se transmite a la tienda. Para viajes al extranjero, incluso si se presenta toda la información, hay pocos problemas ya que se espera que se utilice en las inspecciones fronterizas, pero si está destinada a uso interno, no es deseable porque se proporcionará a un número no especificado de gente.
• Además, al no existir información como fotografías faciales que relacionen el cuerpo con la información, también es posible prestar certificados de vacunación. Como resultado, los frutos que se obtendrán son: 1) la gente hará la vista gorda ante el comprobante de vacunación en las tiendas reales, esperando que funcione como presión social sobre quienes no han sido vacunados, y 2) cédulas de identidad. con una foto de la cara Parece que se puede utilizar cualquiera de los dos métodos para garantizar la eficacia exigiendo la presentación de los siguientes documentos al mismo tiempo. De hecho, en Europa parece que cada país está respondiendo de una forma u otra. Esto último naturalmente crea un problema mayor de sobreaprovisionamiento.
• Este problema de provisión excesiva de atributos es común tanto al SHC en los Estados Unidos como al Certificado Verde Digital (DGC) en Europa. Se cree que esto se debe a que tomaron en consideración las diversas circunstancias dentro de cada región y elaboraron estándares basados ​​en el máximo común denominador, o más específicamente, porque se basaron en el papel.
• Sin embargo, dado que las tarjetas My Number son obligatorias en Japón, creo que sería posible ofrecer una solución más eficaz para la población objetivo. Esto implica extraer la fotografía del rostro de la persona, que es la información escrita en el anverso de la tarjeta IC, y almacenarla junto con la información de la vacuna con una firma, vinculando así la información de la vacunación con la información física.
• El destinatario, como una tienda, se codificará según la situación y se entregará. Si tanto el remitente como el receptor pueden conectarse a la red, se puede considerar el método del proveedor OpenID autoemitido (SIOP) que está considerando ISO/IEC JTC 1/SC 17 o el DHS de EE. UU. (método 1, si solo hay una persona); puede conectarse a la red, es posible entregar un código de acceso único y una ubicación de almacenamiento de información mediante NFC o código QR, y luego obtener la información desde allí (Método 2). Si ninguno de estos últimos puede conectarse a la red, no hay nada que pueda hacer al respecto, por lo que si prepara un método alternativo (método 3) para renunciar a la verificación de fotografías faciales, la mayoría de ellas se usarán para {fotografía facial, nombre de la vacuna, fecha de vigencia de la vacuna, editor, fecha de publicación, firma del editor} debería ser suficiente.
• Esto elimina la necesidad de proporcionar información como nombre, fecha de nacimiento o número de lote, que en combinación pueden convertirse en una súper cookie. (Se considera que proporcionar una fotografía facial tiene poco impacto en la privacidad ya que la persona en cuestión está presente. Sin embargo, se requiere la autenticación del cliente utilizada para la verificación y una lista de clientes legítimos).

[API de adquisición de información de vacunación]

• Es cierto que el número de cartilla de vacunación y la fecha de nacimiento son sencillos, pero dependiendo de cómo se haga, esto puede implicar ingresar la fecha de nacimiento, que es información sensible para algunas personas, en el sitio de reserva. En primer lugar, esto significa que no se realiza ninguna autenticación, entonces, ¿cuál es el objetivo de seguridad en este caso? En algunos casos, creo que basta con proporcionar el número del ticket de vacunación para lograr el objetivo.
• Si esto se basa en el certificado codificado bidimensional anterior, sería posible proporcionar información más confiable utilizando algo como (Método 1) anterior.

[Sobre todo] Me impresionó la concisión de este documento, pero, por otro lado, los siguientes puntos no están claros.

• Relación de stakeholders (autoridades sanitarias, particulares, comercios, etc.)
• Preocupaciones de las partes interesadas
• Objetivos de seguridad (puede detectar si alguien distinto a la persona que lo presenta, puede confirmar el emisor, puede detectar manipulación, etc.)
• Evaluación de privacidad (por ejemplo, ¿el servicio proporciona información adicional más allá de la proporcionada originalmente que podría usarse para evaluar a personas distintas de las que se encuentran dentro del período de validez de la vacuna)?

Creo que podría haber hecho un comentario más apropiado si hubiera escrito sobre estas cosas. Le agradeceríamos que incluyera estos puntos en la publicación de la versión final.