Hlavní navigace

Jak budou fungovat a jak se budou používat digitální covidové certifikáty?

7. 6. 2021
Doba čtení: 10 minut

Sdílet

 Autor: screenshot, Lupa.cz
Očkovací certifikáty, vydávané v ČR před 1. červnem, nejsou kompatibilní s novým unijním standardem a jsou nahrazovány novými. Jejich QR kódy již dokáží správně načíst i zahraniční aplikace.

Evropská unie již nějakou dobu pracuje na jednotných dokladech o očkování proti covidu, o absolvovaných testech i prodělaném onemocnění, s cílem usnadnit a současně zefektivnit prokazování příslušných skutečností jak v domovské zemi, tak i v zahraničí. A jak jinak v dnešní době než primárně v digitální podobě.

Původně se v této souvislosti mluvilo o tzv. digitálních zelených certifikátech, ale následně došlo k jejich přejmenování na Digitální COVID certifikáty EU, a hlavně k politické dohodě na jejich řešení, které navrhla Evropská komise. Na praktickém naplnění tohoto řešení se nyní horečnatě pracuje, protože s oficiálním spuštěním (v celé EU) se počítá již k 1. červenci (letošního roku).

Nás může těšit, že Česká republika byla mezi prvními zeměmi, které společně spustily bránu (EU Gateway), zprostředkující vzájemné uznávání národních certifikátů. A k 1. červnu jsme nové certifikáty, vycházející z celounijních specifikací, začali skutečně vydávat. I když to znamenalo zahodit ten cca milion již dříve vydaných (a s novým specifikacemi zcela nekompatibilních) očkovacích certifikátů a nahradit je novými.


Autor: Jiří Peterka

Kromě toho jsme ve stejné podobě (resp. dle stejných technických specifikací) začali vydávat i certifikáty o provedených testech (antigenních i PCR), které si záhy také ukážeme. Stejně tak bychom měli ve stejném provedení vydávat i certifikáty o již prodělaném onemocnění covidem.

To, co zatím v ČR nemáme, jsou (mobilní) aplikace pro práci s vydávanými digitálními certifikáty. Naštěstí ale již existují první zahraniční aplikace (příklad), na kterých si můžeme vyzkoušet alespoň ověřování u nás vydávaných certifikátů.


Autor: Jiří Peterka

Jaký je princip?

Než se ale pustíme do techničtějších detailů, nejprve trochu nezbytné osvěty. Možná dost zjednodušené, ale snad názorné a srozumitelné.

Klíčem k pochopení základního principu je uvědomit si, že certifikáty mají být vždy digitální (ve smyslu: „z nul a jedniček“). Nemusí ale mít vždy jen elektronickou podobu, ve smyslu práce s nimi prostřednictvím výpočetní techniky. Stejně tak mohou mít listinnou podobu. Jinými slovy: kdo chce, může s certifikátem pracovat (mít ho uchován a prokazovat se jím) výhradně na svém mobilu, tabletu, notebooku atd. Ale kdo nechce, může si ho vytisknout na papír – a alespoň možnost prokazovat se papírovou verzí by měla být stále stejná.

Jak se ale něčeho takového dá dosáhnout?

Odpovědí jsou dobře známé QR kódy, které dokáží nést v sobě relativně dost „nul a jedniček“ – a pak je to již jen o tom, co budou ony „nuly a jedničky“ představovat a jak budou interpretovány. Protože sejme-li někdo stejný QR kód z nějakého displeje, nebo z papíru, je v principu jedno.

Takže celý slavný covidový certifikát si můžeme představit jako „kus dat“ (určitý datový záznam), který někdo konkrétní vytvořil. Zahrnuje konkrétní údaje (kdo byl očkován, testován či prodělal onemocnění, kdy, jakou dostal vakcínu atd.), a je opatřen elektronickým podpisem (spíše: pečetí) toho, kdo takovýto záznam vytvořil.

Pro možnost strojového zpracování je tento „kus dat“ vtěsnán do QR kódu (resp. příslušný kód je vytvořen z těchto dat). A tímto QR kódem se pak budou konkrétní osoby prokazovat všude tam, kde to bude potřeba a kde bude ověření certifikátu moci probíhat strojově. Druhá strana si běžným snímačem QR kódu načte příslušný „kus dat“ – lhostejno, zda z displeje nějakého mobilu či podobného zařízení, či z kusu papíru.

Aby to ale mohlo skutečně fungovat, musí ještě fungovat určité „technické zázemí“: ověřující strana musí rozumět tomu, co si skrze QR kód přečte (to by měly zajistit již přijaté technické specifikace, a z nich hlavně tato). Také ale musí mít možnost ověřit si autenticitu celého datového záznamu, představujícího digitální certifikát. K tomu slouží elektronický podpis tohoto záznamu, zahrnutý přímo do něj (na principu interních elektronických podpisů, jako například u souborů formátu PDF).

Zde je docela velkým oříškem, jak poznat, a to i „přes hranice“ (v rámci EU), zda podpis (pečeť) patří někomu, komu lze důvěřovat a kdo je oprávněn takovéto záznamy vytvářet. Podrobnosti by byly na samostatný článek, tak jen velmi stručně: právě o tom je ona výše zmiňovaná brána (EU Gateway) a celé řešení pro přeshraniční sdílení důvěry (a oprávněnosti k vydávání covidových certifikátů), které se buduje od základů, na zelené louce (podrobnější popis zde).

Ke způsobu fungování snad jen tolik, že ověřování bude možné i offline,, resp. aniž by ověřující strana (resp. nějaký její terminál, nejspíše přenosný) byl připojen k internetu a mohl komunikovat s onou bránou – místo toho si bude dávkově stahovat seznam certifikátů těch subjektů (z celé EU), které jsou oprávněny podepisovat (pečetit) záznamy s certifikáty, a na jejich základě se bude rozhodovat o tom, zda záznamu s certifikátem může důvěřovat.

Digitální certifikát v listinné nebo elektronické podobě

Digitální COVID certifikáty EU, jejichž princip jsme si (velmi zjednodušeně) právě popsali, jsou docela hezkým příkladem toho, že mezi pojmy „digitální“ a „elektronické“ je přeci jen určitý rozdíl: tyto digitální certifikáty (tj. „z nul a jedniček“) nemusí existovat jen v elektronické podobě („na počítači“), ale i v listinné podobě („na papíře“).

S tím souvisí i otázka toho, jak se tyto digitální certifikáty dostanou ke svým držitelům, aby se jimi mohli prokazovat. Možnosti jsou v principu dvě: buďto budou držitelům zpřístupněny v listinné podobě, nebo v podobě elektronické.

Soudě podle tohoto vyjádření Ministerstva zdravotnictví, s vydáváním certifikátů v listinné podobě se počítá skrze CzechPOINTy, a to „orientačně během léta 2021“. Primární ale bude, resp. již dnes je elektronická podoba certifikátů – v elektronické podobě si je držitelé mohou již dnes stáhnout z „očkovacího portálu občana na adrese https://ocko.uzis.cz/.

Zdůrazněme si ale, že nemusí být elektronická podoba jako elektronická podoba: to, co si již dnes můžete stáhnout z očkovacího portálu, je spíše listinná podoba digitálního certifikátu, „překlopená“ do podoby PDF dokumentu (viz první obrázek dnešního článku). Kromě příslušného QR kódu, který je „tím podstatným“ (pro strojové zpracování), zde najdete i určitou vizualizaci certifikátu, resp. lidsky čitelnou podobu jeho obsahu, která je ale spíše jen „pro informaci“ (a nikoli pro strojové zpracování). Přesto má svá pravidla, která jsou součástí unijních technických specifikací.

Další možností je přímé načtení onoho „kusu dat“, který představuje digitální certifikát jako takový, do vhodné aplikace (po řádném přihlášení k příslušnému zdroji), a teprve ta se pak postará o to, aby údaje v certifikátu zobrazila držiteli v lidsky čitelné podobě (a sestavila i nezbytný QR kód). Bez nějakého PDFka. Tuto možnost nabízí i dánská aplikace, o které  se ještě zmíníme. 

Na obálce (až tak ne)záleží

Zůstaňme ještě na chvilku u výše zmiňované PDF verze certifikátu, kterou si můžete stáhnout z očkovacího portálu. Zde je totiž zajímavou otázkou, jak moc záleží na způsobu autentizace tohoto PDFka. Tedy na způsobu jeho (elektronického) podepsání, resp. opatření elektronickou pečetí. Z předchozího popisu by již mělo vyplývat, že z hlediska fungování certifikátů na tom vlastně nezáleží – protože relevantní je QR kód, a ten by měl fungovat i na vytištěném obsahu PDFka.

Takže soubor ve formátu PDF je vlastně jen jakýmsi nosičem či obálkou – zatímco relevantní je její obsah. Ten se může z obálky vyjmout a dále existovat nezávisle na této obálce (která se může i zahodit, ve smyslu smazání PDF souboru po vytištění jeho obsahu).

Zdůrazňuji to zde kvůli tomu, že i ona obálka, resp. způsob elektronického podepsání onoho PDFka, mají svá pravidla – jsou na ně (zákonem) kladeny konkrétní požadavky, které v daném případě nejsou naplněny. Konkrétně:

  • PDF je opatřeno pouze uznávanou elektronickou pečetí ve variantě zaručené elektronické pečeti, založené na kvalifikovaném certifikátu – ačkoli správně (dle § 8 zákona č. 297/2016 Sb.) by to měla být kvalifikovaná elektronická pečeť
  • PDF není opatřeno kvalifikovaným elektronickým časovým razítkem (ačkoli to ukládá § 11 zákona č. 297/2016 Sb.)
  • pečeť není v tzv. referenčním formátu, který by měly OVM používat (jak jim to již v roce 2011 poprvé uložilo toto Rozhodnutí komise)
  • pro vytvoření elektronické pečeti byla použita hashovací funkce SHA1, která by se neměla používat již od roku 2010 (protože je již příliš slabá)

Autor: Jiří Peterka

Znovu si ale dovolím zdůraznit, že to, co digitální certifikát má osvědčovat, se posuzuje primárně podle QR kódu, a ne podle způsobu podepsání (pečetění) toho PDFka, ve kterém se QR kód právě nachází. A může se „nacházet“ i jinde, v jiných obálkách (např. načtený přímo v aplikaci), nebo může být vytištěný na papíře.

Co bylo v QR kódu původních (českých) očkovacích certifikátů?

Pojďme nyní již k tomu, jaké informace jsou obsaženy v QR kódech tuzemských certifikátů. Začít můžeme původními očkovacími certifikáty, které byly vydávány před 1. červnem – a to zcela nezávisle na již tehdy dostatečně rozpracovaných unijních technických specifikacích. 

Jeden takový certifikát jsme si již ukázali, v levé části prvního dnešního obrázku, ale raději si ho ještě připomeňme. A zdůrazněme si, že obsahuje řadu citlivých osobních údajů: mj. číslo pojištěnce (což je fakticky rodné číslo), datum narození a číslo občanského průkazu i cestovního pasu.


Autor: Jiří Peterka

QR kód, který byl na těchto (dnes již nevydávaných) certifikátech uveden, byl URL odkazem, který v sobě obsahoval (ve zcela otevřené podobě) všechny relevantní údaje, včetně všech osobních údajů – čísla pojištěnce (rodného čísla), data narození i čísla občanky a pasu.


Autor: Jiří Peterka

Příslušné URL vede na web ÚZISu, na jeho službu, která asi měla původně sloužit k ověřování původních certifikátů, vydávaných před 1. červnem. Pokud jí dnes zadáte správně vytvořené URL, vypíše vám většinu údajů, které získá ze samotného URL odkazu, zobrazí také nový QR kód (již podle unijních technických specifikací, ale ještě pod starým označením „Green pass“) a nabídne možnost stáhnout novou verzi certifikátu v podobě PDF souboru. Viz následující obrázek.


Autor: Jiří Peterka

Co je v QR kódu nových certifikátů?

Zdůrazněme si znovu, že tuzemské očkovací certifikáty, vydávané před 1. červnem, jsou „naším specifikem“ a nejsou kompatibilní s unijními specifikacemi. Proto všechny již vydané certifikáty musely být nahrazeny novými, které již vychází z unijních technických specifikací. A ty obsahují podstatné méně osobních údajů. Vlastně jen jméno a příjmení (s diakritikou i bez ní) a datum narození. Pak už jen údaje o očkování, testu či prodělaném onemocnění (podrobněji).

Připomeňme si v této souvislosti, že zatímco naše původní (a nekompatibilní) certifikáty se týkaly pouze očkování, nově vydávané certifikáty už nejsou jen očkovací, ale vypovídají také o absolvovaných testech i o již prodělaném onemocnění. Takže jde vlastně o tři různé druhy certifikátů. Pro všechny ale platí, že svého držitele identifikují pouze jménem, příjmením a datem narození.

Příslušný QR kód u těchto certifikátů není URL odkazem, ale datovou strukturou, sestavenou podle konkrétních pravidel (podrobněji popsaných zde). Zjednodušeně, jak jsme si ostatně již naznačili, si obsah QR kódu můžeme představit jako konkrétní datový záznam (podrobněji), opatřený elektronickým podpisem (pečetí) oprávněného vydavatele a určitým způsobem zakódovaný. Ten, komu je certifikát předkládán, si QR kód načte, a měl by být schopen jej vyhodnotit sám, ve svém vlastním zařízení, i offline – a na základě toho poznat, zda držitel certifikátu splňuje to, co je od něj požadováno. Pravidla nakládání s certifikáty přitom zakazují, aby si ověřující strana nějak u sebe uchovávala údaje, které z QR kódu získá.

Pro jistotu si ale znovu připomeňme to, co jsme psali výše – o autenticitě (pravosti) certifikátu rozhoduje platnost podpisu (pečeti) tohoto záznamu, který je obsažen v QR kódu. Nikoli platnost podpisu na PDF dokumentu, pokud je covidový certifikát právě obsažen v PDF souboru (jako obálce).

Jak se čtou QR kódy?

Je zřejmě jen otázkou času, kdy se stanou dostupnými uživatelské aplikace, umožňující jak snadné a rychlé čtení QR kódů a ověřování jejich obsahu, tak i uchovávání vlastních certifikátů. Snad se takových aplikací brzy dočkáme i u nás, podle dostupných informací se na takové již pracuje.

Sám jsem zatím našel jen jednu volně dostupnou mobilní aplikaci, schopnou číst QR kódy podle unijních specifikací – a to aplikaci Coronapass z Dánska. Kromě čtení QR kódů by měla sloužit i pro načítání a uchovávání vlastních certifikátů (ale tato funkčnost by měla být dostupná jen držitelům dánských certifikátů).

Nicméně (nové) QR kódy na českých certifikátech tato čtečka dokáže přečíst a vyhodnotit bez problémů, jak ukazují i následující tři obrázky. Na prvním je (nový) očkovací certifikát – v levé části jeho „vizuální podoba“ (kterou si může držitel stáhnout z očkovacího portálu jako PDF), v pravé části pak výsledek načtení QR kódu dánskou aplikací.


Autor: Jiří Peterka

Na dalším obrázku vidíte obdobný příklad digitálního certifikátu PCR testu.


Autor: Jiří Peterka

Následuje další certifikát s výsledkem testu, konkrétně antigenního.

Lupa_MIF21_vyvojapp


Autor: Jiří Peterka

Co zde nemohu ukázat, je třetí druh certifikátu o prodělaném onemocnění, neb takový nemám k dispozici. Výsledek ale bude nejspíše obdobný.

Na závěr proto alespoň příklad pokusu o načtení a ověření QR kódu z původního tuzemského (očkovacího) certifikátu, vydaného před 1. červnem. Podle očekávání skončil konstatováním o neplatnosti.


Autor: Jiří Peterka

Autor článku

Autor byl dlouho nezávislým konzultantem a publicistou, od 8.6.2015 je členem Rady ČTÚ. 35 let působil také jako pedagog na MFF UK v Praze.