Electronic Frontier Foundation: Decodificarea noilor dosare digitale de vaccinare din California și potențialele pericole

EFF: Decoding California’s New Digital Vaccine Records and Potential Dangers

Decodificarea noilor dosare digitale de vaccinare în California și potențiale pericole

De ALEXIS HANCOCK, ADAM SCHWARTZ, SI JON CALLAS, 25 IUNIE, 2021, EFF (Electronic Frontier Foundation – Fundația Frontiera Electronică)

Statul California a lansat recent ceea ce numește „dosarul digital al vaccinării anti COVID-19”. Face parte din recenta relaxare a regulilor de sănătate publică în acest stat cu privire la purtatul măștilor medicale în cadrul întreprinderilor. Acest nou dosar electronic din California implică un cod QR care conține aceleași informații ca cele de pe cardurile de vaccinare pe hârtie, inclusiv numele și data nașterii. Cu toții dorim să revenim la normal, la libertatea de mișcare, păstrând în același timp comunitățile noastre în siguranță. Dar avem două preocupări cu acest plan:

În primul rând, cu un efort minim, întreprinderile ar putea folosi informațiile din evidența vaccinării pentru a urmări timpul și locul plecărilor și sosirilor noastre, corelând apoi aceste informații cu ale altor întreprinderi, să vândă aceste înregistrări ale mișcărilor noastre autorităților. Nu ar trebui să ne supunem unei noi tehnologii de supraveghere care amenință cu urmărirea omniprezentă a mișcărilor noastre în locuri publice, pentru a reveni la viața normală.

În al doilea rând, ne îngrijorează faptul că dosarul digital de vaccinare ar putea deveni ceva care să permită crearea unui sistem de paznici digitali ai vaccinării care să limiteze accesul persoanelor la servicii esențiale și să amplifice inechitățile pentru persoanele care în mod legitim nu pot fi vaccinate. Este bine că în California, cel puțin până acum, nu s-a creat nicio infrastructură pentru a facilita transformarea statutului de vaccinare într-un sistem de supraveghere care duce la creșterea inechităților.

Nu am contesta, ca atare, o altă caracteristică a noului dosar digital de vaccinare din California cum ar fi: afișarea pe ecranul telefonului într-o formă care poate fi citită de om a informațiilor de pe cardul de vaccinare pe hârtie (de exemplu o poză a cardului de vaccinare pe hârtie al CDC, făcută cu telefonul, n.t.). Unii oameni ar putea considera că acesta ar fi un mod util de a-și stoca statutul de vaccinare și de a-l prezenta întreprinderilor. Spre deosebire de un cod QR, un astfel de sistem de înregistrare digitală nu se pretează ușor la colectarea, păstrarea, utilizarea și partajarea automată a informațiilor noastre personale. În ceea ce privește frauda, există legi în vigoare care arată clar că este infracțiune prezentarea unor înregistrări false ale statutului de vaccinare, însă nu există prea multe căi de tragere la răspundere pentru utilizarea frauduloasă a datelor personale.

Pentru a înțelege mai bine ce a făcut California și de ce avem obiecții cu privire la includerea unor dosare digitale de sănătate pentru monitorizare în toate tipurile de locuri, va trebui să facem un scurt rezumat al noilor reguli de sănătate publică ale statului și apoi să trecem la o cercetare temeinică a acestei tehnologii.

Ce a făcut California

La jumătatea lunii iunie, California a anunțat o modificare a regulilor statului privind purtarea măștii în locurile publice: patronatul ar putea permite acum persoanelor complet vaccinate să renunțe la măști. Însă, întreprinderile trebuie să continue să solicite persoanelor nevaccinate să poarte măști. Pentru a fi respectate aceste reguli există trei opțiuni: solicitarea tuturor clienților să poarte mască; bazarea pe un sistem de onorare; sau implementarea unui sistem de verificare a statutului de vaccinare.

Curând după aceea, California a lansat dosarul digital de vaccinare. Acesta se intenționează a fi folosit la crearea unui sistem de verificare a statutului de vaccinare pe care patronatul îl poate utiliza pentru a tria clienții vaccinați de cei nevaccinați cu scopul de a solicita sau nu purtarea măștii. Dosarele digitale de vaccinare pot fi accesate de pe carduri de sănătate tip SMART. Persoanele vaccinate din California pot să își obțină înregistrările digitale ale vaccinării de pe o pagină de internet.

Noul dosar afișează două seturi de informații. În primul rând, afișează aceleași informații pe care le conține un card de vaccinare pe hârtie: numele, data nașterii, data vaccinărilor și producătorul vaccinului. În al doilea rând, are un cod QR care face ca aceleași date să poată fi accesate cu un cititor de coduri QR. Conform Reuters, un ong, fără a i se da numele, va lansa în curând o aplicație pe care companiile o pot folosi pentru a scana aceste coduri QR.

Așadar, ce implică un cod QR al dosarului digital al vaccinării?

EFF s-a uitat sub capotă. Am generat un cod QR bazat pe un tutorial de creare a cardurilor de sănătate tip SMART. Poate fi folosit și portalul dezvoltatorului proiectului pentru a genera un astfel de cod QR. Când am citit acest cod QR cu un cititor specializat, am descoperit acest blob text:

shc:/56762909524320603460292437404460312229595326546034602925407728043360287028647167452228092863336138625905562441275342672632614007524325773663400334404163424036744177447455265942526337643363675944416729410324605736010641293361123274243503696800275229652…[prescurtat pentru a fi concis]

Ei bine, ce înseamnă asta?

Începând cu acest shc:/, aceasta este o schemă pentru arhitectura cardurilor de sănătate tip SMART care are la bază acreditări verificabile W3C. Această arhitectură este un standard deschis de împărtășire a afirmațiilor referitoare la informații despre sănătatea unei persoane așa cum sunt ele emise de o instituție, cum ar fi un cabinet medical sau un dosar al imunizării emis de stat.

Ce este restul după aceste numere?

Sunt o Semnătură Web JSON (un tokendigital JSON cu semnătură digitală). Aceasta este o formă de conținut digital transmisibil, securizat cu semnături digitale. Un JWS are trei părți: antet, mesaj (payload) și semnătură.

De remarcat, acestea sunt date codificate și nu criptate. Datele codificate digital pot fi ușor de transmis într-o formă comună. De exemplu, simbolul „?” în codificarea ASCII ar avea valoarea zecimală „63”. În sine, 63 arată doar ca un număr. Dar dacă știți că acesta este un cod ASCII, îl veți putea decoda cu ușurință în semn de întrebare (Alt+63). În acest caz, mesajul codificat JWS (prin codificare base64URL) este minimizat (spațiul alb eliminat), comprimat și semnat conform specificațiilor de către o autoritate medicală. Datele criptate, pe de altă parte, sunt ilizibile, cu excepția persoanelor care știu cum să le decripteze într-o formă lizibilă. Dar fiindcă acest tip de înregistrare este conceput pentru a fi citit de către oricine, înregistrarea nu poate fi criptată.

După decodare, vei obține ceva care arată astfel:

Semnătură

eyJ6aXAiOiJERUYiLCJhbGciOiJFUzI1NiIsImtpZCI6IlNjSkh2eEVHbWpGMjU4aXFzQlU0OUVlWUQwVzYwdGhWalRmNlphYVpJV0EifQ.3VJNj9MwEP0rq-HaJnEKt…

Antet (În tehnologia informației, antetul se referă la date suplimentare plasate la începutul unui bloc de date stocate sau transmise, n.t.)

{„zip”:”DEF”,”alg”:”ES256″,”kid”:”ScJHvxEGmjF258iqsBU49EeYD0W60thVjTf6ZaaZIWA”}

Mesaj (În lumea calculatoarelor digitale, payload este mesajul principal integrat în datele transmise, n.t.)

{„iss”:”URL de exemplu”,”nbf”:1620992383.218,”vc”:{„@context”:[„https://www.w3.org/2018/credentials/v1″%5D,”type”:[„VerifiableCredential”,”https://smarthealth.cards#health-card”,”https://smarthealth.cards#immunization”,”https://smarthealth.cards#covid19″%5D,”credentialSubject”:{„fhirVersion”:”4.0.1″,”fhirBundle”:{„resourceType”:”Bundle”,”type”:”collection”,”entry”:[{„fullUrl”:”resource:0″,”resource”:{„resourceType”:„Pacient”,”nume”:[{„family”:”Anyperson”,”given”:[„Ion”,”B.”]}],„Data nașterii”:”ziua-luna-anul”}},{„fullUrl”:”resource:1″,”resource”:{„resourceType”:„Imunizare”,”statut”:”complet”,”vaccineCode”:{„coding”:[{„system”:”http://hl7.org/fhir/sid/cvx”,”code”:”207″}]},”patient”:{„reference”:”resource:0″},„la data de”:”ziua-luna-anul”,”de către nume prenume”:[{„la”:{„display”:”Spitalul General ABC”}}],„cu număr  lot”:”0000001″}},{„fullUrl”:”resource:2″,”resource”:{„resourceType”:„imunizare”,”statut”:”complet”,”vaccineCode”:{„coding”:[{„system”:”http://hl7.org/fhir/sid/cvx”,”code”:”207″}]},”patient”:{„reference”:”resource:0″},„la data de”:”ziua-luna-anul”,”de către nume prenume”:[{„la”:{„display”:„Spitalul GeneralABC”}}],„lotNumber”:”0000007″}}]}}}}

Așadar payload include statutul de imunizare, unde a avut loc vaccinarea, data nașterii, când a avut loc vaccinarea și numărul lotului al vaccinului. Practic, acestea sunt informații care ar fi și pe cardul de hârtie al CDC.

Poate cineva să falsifice un cod QR al dosarului digital de vaccinare?

Oricine poate „elibera” un card de sănătate digital. Puteți crea unul cu puține cunoștințe de programare, așa cum tocmai am explicat. Ca și cel de mai jos, care este asociat cu blob-uri de date ca și cele date ca exemplu mai sus.

Să presupunem că v-ați pierdut codul QR și ați salvat undeva informațiile decodate. De exemplu, dacă ați fi scanat codul QR într-o aplicație de validare SHC, ați putea recrea un alt cod QR din informațiile decodate. Există accesorii disponibile care explică modul de creare și validare a codurilor QR.

California pune unele limite în ceea ce privește accesul și generarea de coduri QR în noul său dosar digital de vaccinare. De exemplu, aceste coduri QR trebuie să fie legate fie de adresa de e-mail, fie de numărul de telefon al persoanei care a primit vaccinul. De asemenea, atunci când o persoană solicită un cod QR al dosarului digital de vaccinare, sistemul din California generează o adresă URL prin care persoana respectivă își poate accesa dosarul, apoi adresa URL expiră după 24 de ore.

California nu a identificat alte caracteristici de securitate pentru combaterea falsificării. Singura criptare, sau o formă de transfer securizat, este semnătura digitală a dosarului cu o cheie privată a autorității de sănătate publică. Codul QR în sine nu este criptat; cineva care intenționează să-l folosească ar trebui să știe acest lucru. În ceea ce privește riscul falsificării, întrucât oricine poate crea un cod QR precum cel discutat mai sus, depinde de operatorul cititorului de coduri QR să verifice cheia publică a datelor semnate, pentru a se asigura că este validă si că provine de la autoritatea de sănătate publică.

Cum ne poate afecta asta?

Deși codul QR al dosarului digital de vaccinare oglindește cardul de vaccinare al CDC (plus semnătura autorității), companiile care procesează dosarele digitale pot schimba contextul de protecție și utilizare. De exemplu, pașaportul de sănătate de la CLEAR vă permite să vă înregistrați codul QR de sănătate în aplicația lor. Cu companii precum CLEAR, care intenționează să devină portofelele noastre digitale, trebuie să luăm în considerare riscurile asociate stocării acreditărilor noastre de sănătate cu ale altora.

De asemenea, riscați ca setul de date scanate să fie stocat, partajat și utilizat într-un mod neașteptat sau chiar nefast. De exemplu, unele cititoare de coduri de identificare ale ușilor pentru a se asigura că deținătorii locuiesc la numărul respectiv, de asemenea, partajează informațiile colectate cu ale altor coduri. Dacă un cititor de coduri electronice în format de bare sau hartă, cum ar fi cele QR, poate verifica rapid date simple (cum ar fi ani de la naștere sau statutul de vaccinare), poate stoca acest fapt precum și toate celelalte informații încorporate în cod (cum ar fi numele și data nașterii) și datele circumstanțiale (cum ar fi ora și locația). În acest caz, la fel cum un portar nu ar trebui să copieze în general informațiile de pe cardul de vaccinare pe hârtie, nu ar trebui să copieze nici informațiile de pe cardul de vaccinare digital. Cu toate acestea, în prezent, nicio lege din California nu dictează acest punct celor care scanează aceste coduri QR de sănătate. De asemenea, nu este clar ce va face aplicația de verificare „oficială” și ce garanții de confidențialitate va avea.

De asemenea, în timp ce California, se pare, intenționează să permită companiilor să utilizeze aceste dosare digitale de vaccinare pentru a solicita celor nevaccinați să poarte o mască, nimic nu poate împiedica companiile să folosească aceste dosare și pentru a refuza accesul celor nevaccinați. În acest caz, aceste dosare digitale vor deveni paznici digitali ai vaccinării, fapt împotriva căruia EFF se opune.

Platforme naționale de identificare

Codul QR al dosarului digital de vaccinare din California este o platformă de identitate digitală cu mai multe date, care poate deveni parte a bazelor pentru sistemele de identificare naționale. EFF s-a opus de mult acestor sisteme, care într-o unitate de stocare al guvernului central ar stoca tot felul de informații despre activitățile noastre. EFF și-a exprimat această îngrijorare anul trecut când s-a opus „pașapoartelor de vaccinare”. Vedem acum aceste discuții în statul NY cu Excelsior Pass și în Marea Britanie, unde compania pe care guvernul a angajat-o pentru a crea un pașaport de vaccinare a sugerat redistribuirea unei astfel de infrastructuri într-un sistem național de identificare. Fără o lege federală privind confidențialitatea datelor, trebuie să presupunem că, atunci când companiile procesează datele noastre, indiferent cât de benigne ar părea informațiile sau scopul utilizării acestora, acestea vor lua forma cea mai exploatabilă posibil.

Linia roșie pentru dosarele digitale de vaccinare

Abordarea californiană este mai binevenită decât pașapoartele de vaccinare sponsorizate de stat. Utilizatorii nu trebuie să descarce o aplicație, ca în statul New York. Este confortabil să știi că, dacă s-a întâmplat ceva cu cardul tău de hârtie, poți accesa o copie digitală. Standardul deschis permite studiului independent ca să se înțeleagă ce conține codul QR respectiv, ceea ce ajută la asigurarea faptului că utilizatorii cunosc riscurile și scenariile potențiale care se pot întâmpla cu datele lor de sănătate.

Totuși, ne-am dori ca statul California să fi omis codul QR. De asemenea, dorim să se stabilească mai multe garanții, similare cu cele din actualul proiect de lege din Senatul statului New York, care protejează datele de sănătate legate de COVID-19, împreună cu orice fel de extindere a procesării datelor care are loc din cauza acestei pandemii. Stabilirea protecției datelor acum, când suntem în criză, ar contribui la asigurarea confidențialității în utilizarea viitoare a unor astfel de tehnologii, în perioade mai sănătoase, și în orice criză de sănătate viitoare.