Resposta à solicitação de comentários públicos do passaporte de vacina

Respondi a um pedido de comentários públicos sobre passaportes de vacinas da Agência Digital. Abaixo está uma cópia dele. Vou gravar para constar.

Obrigado por compilar uma especificação concisa em um curto período de tempo.
[Viagens ao exterior]

• No que diz respeito às viagens internacionais, espera-se que os regulamentos da ICAO se tornem aplicáveis ​​em todo o mundo, pelo que apoio esta adopção.
• Em relação à aquisição, presume-se que a leitura OCR será usada, mas quando você realmente tenta, é relativamente fácil ler os cartões IC do passaporte. Além disso, neste caso, a verificação da assinatura também é possível, podendo também ser obtida uma foto facial como dado. Acho que isso é realmente fácil de usar tanto para usuários quanto para verificadores.

[Porção doméstica]

• A versão nacional também se baseia no SmartHealth Card (SHC), o que me dá uma boa impressão de que os padrões internacionais estão sendo levados em consideração.
• Por outro lado, há alguns pontos que percebi, que listarei a seguir.

• Ao contrário das viagens ao exterior, onde as chaves podem ser obtidas junto à ICAO, a partir da descrição para uso doméstico não ficou claro onde obter a chave usada para verificar o SHC e como confirmar a legitimidade do emissor. No caso do SHC nos Estados Unidos, penso que isto seria algo que seria formulado separadamente como um quadro de confiança. Portanto, parece necessário esclarecer este ponto neste documento, que é um padrão para implementação no Japão. Neste momento, gostaria que você disponibilizasse a lista de signatários e chaves para qualquer pessoa.
• Além disso, o SHC usa Credencial Verificável (VC), mas a Apresentação Verificável não está definida. Portanto, não é possível fornecer atributos seletivos, o que muitas vezes é considerado uma vantagem do VC. Com isso, todas as informações contidas nos códigos de barras 2D são sempre repassadas para a loja. Para viagens ao exterior, mesmo que todas as informações sejam apresentadas, há poucos problemas, pois espera-se que sejam utilizadas em inspeções de fronteira, mas se forem destinadas ao uso doméstico, não é desejável porque serão fornecidas a um número indeterminado de pessoas. pessoas.
• Além disso, como não há informações como foto facial que conecte o corpo às informações, também é possível emprestar o certificado de vacinação. Com isso, os frutos que serão obtidos são 1) ignorar o comprovante de vacinação nas lojas reais na esperança de funcionar como pressão social sobre quem não foi vacinado, e 2) carteira de identidade com foto de rosto. dos dois métodos pode ser usado para garantir a eficácia, exigindo a apresentação dos seguintes documentos ao mesmo tempo. Na verdade, na Europa, parece que cada país está a responder de uma forma ou de outra. Este último cria naturalmente um problema maior de sobreprovisão.
• Este problema de fornecimento excessivo de atributos é comum tanto ao SHC nos Estados Unidos como ao Certificado Verde Digital (DGC) na Europa. Acredita-se que isso se deva ao fato de terem levado em consideração as diversas circunstâncias de cada região e elaborado padrões baseados no maior denominador comum, ou mais especificamente, porque eram baseados no papel.
• No entanto, como os cartões My Number são obrigatórios no Japão, penso que seria possível fornecer uma solução mais eficaz para a população-alvo. Isto envolve extrair a fotografia do rosto da pessoa, que é a informação escrita na face do cartão CI, e armazená-la juntamente com a informação da vacina com assinatura, ligando assim a informação da vacinação com a informação física.
• O destinatário, como uma loja, será codificado de acordo com a situação e entregue. Se tanto o remetente quanto o destinatário puderem se conectar à rede, o método Self-Issued OpenID Provider (SIOP) considerado pela ISO/IEC JTC 1/SC 17 ou pelo DHS dos EUA poderá ser considerado (método 1); pode se conectar à rede, é possível entregar um código de acesso único e local de armazenamento de informações usando NFC ou código QR e, em seguida, obter as informações a partir daí (Método 2). Se nenhum deles puder ser conectado à rede, não há nada que você possa fazer a respeito; portanto, se você preparar um substituto (método 3) para desistir da verificação de fotos faciais, a maioria delas será usada para {foto facial, nome da vacina, data de vigência da vacina, editor, data de publicação, assinatura do editor} deve ser suficiente.
• Isso elimina a necessidade de fornecer informações como nome, data de nascimento ou número de lote, que combinados podem se tornar um super cookie. (Considera-se que fornecer uma foto facial tem pouco impacto na privacidade, uma vez que a pessoa em questão está presente. No entanto, é necessária a autenticação do cliente usada para verificação e uma lista de clientes legítimos.)

[API de aquisição de informações de vacinação]

• É verdade que o número do bilhete de vacinação e a data de nascimento são simples, mas dependendo de como o fizer, isso pode significar inserir a data de nascimento, que é uma informação sensível para algumas pessoas, no site de reservas. Em primeiro lugar, isto significa que nenhuma autenticação é realizada, então qual é o objetivo de segurança neste caso? Em alguns casos, acho que o simples fornecimento do número do bilhete de vacinação pode cumprir o objetivo.
• Se isto for baseado no certificado bidimensional codificado acima, seria possível fornecer informações mais confiáveis ​​usando algo como (Método 1) acima.

[Sobre o todo] Fiquei impressionado com a concisão deste documento, mas por outro lado, os seguintes pontos não são claros.

• Lista de partes interessadas (autoridades de saúde, indivíduos, lojas, etc.)
• Preocupações das partes interessadas
• Metas de segurança (pode detectar se alguém que não seja a pessoa que o está apresentando, pode confirmar o emissor, pode detectar adulteração, etc.)
• Avaliação de privacidade (por exemplo, o serviço fornece informações adicionais além do que foi originalmente fornecido que poderia ser usado para rastrear indivíduos que não estivessem dentro do período de validade da vacina)?

Acho que poderia ter feito um comentário mais apropriado se tivesse escrito sobre essas coisas. Agradeceríamos se você incluísse estes pontos na publicação da versão final.