Il 28 ottobre 2021 11:45:42 CEST, "380°" <g380@biscuolo.net> ha scritto:
Buongiorno nexiane,
...
2) In alcuni contesti le chiavi di firma possono essere usate senza lasciare traccia in un log o altro, altrimenti gli operatori sarebbero già stati scoperti (non è così, sono apparsi pass validi di Mickey Mouse e Sponge Bob in queste ultime ore). Questa è una incredibile falla in tutto il sistema,
ben detto Roberto: possibile che non ci siano i log relativi all'emissione di "green pass"?!? ...magari ci sono eh, solo non lo sappiamo noi.
https://github.com/eu-digital-green-certificates/dgca-issuance-web/pull/116#...
che si basa sulla fiducia e sul controllo che la stessa sia fondata
OK ma mancanza dei log a parte (cioè: in un sistema serio la tracciabilità deve essere garantita), qualunque sistema si basa in ogni caso sulla fiducia, il punto è saperla gestire bene (e il fattore umano è fondamentale in questo, non c'è tecnica che tenga)
[...]
Ma certo. Però almeno un audit trail sugli utilizzi delle chiavi ci vorrebbe no? Fermo restando che se esponi il sistema sul web (MK) e magari lasci file htpasswd dell' implementazione di riferimento, nemmeno quello aiuta. ...
3) Non mi è chiaro come sia stato possibile invalidare alcuni pass farlocchi emessi in questi giorni senza ritirare le relative chiavi, invalidando così anche una moltiitudine di pass legittimi. Esiste la possibilità di mettere in blacklist singoli pass?
non l'ho ancora capito esattamente perché il thread è lunghissimo, ma se n'è discusso qui: https://github.com/ministero-salute/it-dgc-verificaC19-android/issues/103
qualcuno riesce a capire /tecnicamente/ come funziona la revoca di /singoli/ "green pass" in Italia?
Stefano Zanero e Matteo Flora, nel Agosto 2021 dicevano [4] che l'app non ha (aveva?) questa funzione, anche e soprattutto per problemi di privacy: è così?
È così al momento per l'app italiana. Non esiste sistema di revoca per i GP, si può solo ritirare il cert di firma (DSC); cosa avvenuta per i fasulli emessi dal sistema macedone. Notare che i fasulli emessi con chiavi tedesche, francesi e polacche per C19 sono tornati validi. Pare che l'app francese invece abbia un sistema di blacklisting. Un vincolo forte è che l'app di verfica debba solo scaricare, non inviare dati, per evitare alla radice tracciamenti delle persone.
L'allegato B paragrafo 2 del DPCM "Green Pass" [5] sostiene invece che esiste una lista di revoca (di un "green pass") e che tale lista è oggetto di scambio con gli altri paesi EU.
Esiste solo per i DSC, i certificati di firma, non per i DGC stessi. Ogni DSC copre anche milioni di DGC. Dipende dalla numerosità dei DSC, l'Italia ne ha 1 (uno), la Germania 57. Ma anche per la Germania invalidare un DSC significa invalidare milioni di DGC.
Pare che anche in Francia ci sia un decreto del 30 Settembre [6] che preveda l'utilizzo di una lista di revoca: «So yes, there are places where local mechanisms exist to revoke certificates and generate new ones.» [6]
Si, da indagare cosa faccia l'app francese, che sembra aver tolto valdità a tutti i DGC farlocchi. ..
[6] https://github.com/ehn-dcc-development/hcert-spec/issues/103#issuecomment-95...
Trasformato in discussione: https://github.com/ehn-dcc-development/hcert-spec/discussions/105 Sembra al momento la fonte migliore di informazioni. rob