COR Corona COVID-19 forum
Alles over het corona / COVID-19 virus.
Maar dan staan je gegevens nog steeds in die landelijke databasequote:Op dinsdag 25 mei 2021 09:12 schreef Drekkoning het volgende:
[..]
Je kan het bijvoorbeeld op papier uit laten draaien en daarna vragen om je vaccinatiegegevens te verwijderen uit de landelijke database. (Die ook bestaat als je een geel boekje gebruikt trouwens).
Dan werkt je papieren bewijs exact hetzelfde als je gele boekje.
Ja hier wel ja. Klote Hugo. *zingt amerikaans volkslied*quote:
[..]
Hoewel ik het met je eens ben, daar is de overheid het nog niet over eens. Daarom moet je als gevaccineerde tenslotte ook nog die anderhalve meter aanhouden, omdat er signalen zijn dat je minder besmettelijk bent, maar dat dat nog niet voldoende onderzocht is
#WeesGeenWhales
Dat papiertje is toch ook een QR-code? Die gaat dan ook gewoon naar https://www.rivm.securedatabase.com/drekkoning/covidvaccinatie waar opgeslagen staat of je een groen of geen groen vinkje krijgt...quote:
[..]
Je kan het bijvoorbeeld op papier uit laten draaien en daarna vragen om je vaccinatiegegevens te verwijderen uit de landelijke database. (Die ook bestaat als je een geel boekje gebruikt trouwens).
Dan werkt je papieren bewijs exact hetzelfde als je gele boekje.
Met het gele boekje ook tochquote:
[..]
Maar dan staan je gegevens nog steeds in die landelijke database
.
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Nee, Europese paspoort slaat alle informatie lokaal op in de QR code.quote:
[..]
Dat papiertje is toch ook een QR-code? Die gaat dan ook gewoon naar https://www.rivm.securedatabase.com/drekkoning/covidvaccinatie waar opgeslagen staat of je een groen of geen groen vinkje krijgt...
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Vraag me af vanuit welk mandaat dat gebeurd. Ik weet wel dat er van oudsher een registratie is van gasten, maar dat beperkte zich redelijk en is ook wetgeving voor. Maar dat een accommodatie ineens vaccins gaat moeten controleren lijkt me een verkeerde zaak.quote:
[..]
Ik zie het ook niet gebeuren hoor.
Hoogstens dat je, net als bijvoorbeeld zo een franse alcohol test je een bewijs bij moet hebben mocht je aangehouden worden.
Loophole zou kunnen zijn dat de accommodaties erom moeten gaan vragen.
Dus ik vraag me nog steeds af wie die bevoegdheid gaat krijgen, of mag ik als burger het ook at random gaan controleren bij de verjaardagsvisite?
Jahaaa.. Mijn mening verandert vaak. Niet dat ik niet weet wat ik zeg. Maar ik houd mij liever niet vast aan oude denkbeelden als nieuwe beter zijn...
Dat zou het domste zijn wat je kan doen, want dat is wachten totdat het gecopycat wordt. Er zit dan geen enkele security meer op en iedereen kan helemaal los gaan op het zelf bouwen van QR-plaatjes.quote:
[..]
Nee, Europese paspoort slaat alle informatie lokaal op in de QR code.
Er is een (soort van) database met welke vaccinaties je hebt, die alleen in gebruik is bij het rijksvaccinatieprogramma, verder niet.quote:
De informatie staat dus idd (gedeeltelijk, want zeer incompleet) opgeslagen, maar dat is van een totaal andere orde dan dit.
Die informatie wordt ondertekend met een certificaat in bezit van de uitgevende instantie.quote:
[..]
Dat zou het domste zijn wat je kan doen, want dat is wachten totdat het gecopycat wordt. Er zit dan geen enkele security meer op en iedereen kan helemaal los gaan op het zelf bouwen van QR-plaatjes.
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Dat is prima, maar dat certificaat staat dus ook op die QR-code en kun je er dus gewoon vanaf halen met wat reverse-engineering. Nog los van het feit dat dat soort security, naar mijn mening, niet aan de front-end hoort te gebeuren.quote:
[..]
Die informatie wordt ondertekend met een certificaat in bezit van de uitgevende instantie.
Maar dat zijn toch ook allemaal medische persoonsgegevens? Principe blijft hetzelfde, alleen nu gaat iedereen opeens op zijn achterste benen staan.quote:
[..]
Er is een (soort van) database met welke vaccinaties je hebt, die alleen in gebruik is bij het rijksvaccinatieprogramma, verder niet.
De informatie staat dus idd (gedeeltelijk, want zeer incompleet) opgeslagen, maar dat is van een totaal andere orde dan dit.
En anders stuur je gewoon een verzoek om die gegevens te verwijderen. Wel goed je testbewijs bewaren daarna, maar dat was ook al zo met je gele boekje
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Knappe jongen als jij vanuit de ondertekening en de public keys de private keys weet af te leidenquote:Op dinsdag 25 mei 2021 09:26 schreef Mallerd01 het volgende:
[..]
Dat is prima, maar dat certificaat staat dus ook op die QR-code en kun je er dus gewoon vanaf halen met wat reverse-engineering. Nog los van het feit dat dat soort security, naar mijn mening, niet aan de front-end hoort te gebeuren.
Dan ben je enorm rijk kan ik je vertellen.
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Orban is altijd boos, de vraag is of je hem de macht geeft.quote:Op dinsdag 25 mei 2021 09:11 schreef nostra het volgende:
Waarom zou Orbįn dan erg boos worden en niet net zo boos als de rest van de EU geen toegang geeft met Sputnik? Dat is de facto toch gewoon precies hetzelfde.
Ja eens hoor, de EU zou een federale staat moeten worden, maar vooralsnog hebben de landen soevereiniteit over zulke dingen.quote:Wat dit circus weer laat zien is dat elk EU-lid tot in detail de zeggenschap wil houden over iets waar de beoogde kracht van die EU juist in eenheid zou moeten zitten. Het verhaal is dus niet "u krijgt een paspoort en als die een groen vinkje genereert, dan mag u vrij reizen binnen de EU", het verhaal is "u krijgt een digitaal boekje met daarin uw vaccinatiegegevens. Als het soort bescherming, bij vaccinatie het soort vaccin, de verstreken duur vanaf uw laatste vaccinatie en de verstreken tijd tussen de eventuele twee prikken het land van bestemming conveniėren, dan mag u daar naartoe reizen.".
Dat nog los van de privacy-issues, die zoals de meeste privacy-issues een theoretisch risico lijken (en "ik heb toch niets te verbergen?") totdat dat ineens niet zo blijkt te zijn.
They told me all of my cages were mental, so I got wasted like all my potential.
Jullie hebben het allemaal over het"gele boekje". Ik heb dat boekje nog nooit gezien. Waarschijnlijk ergens in een doos bij mijn ouders op zolder.
Een ziekenhuis heeft ook medische persoonsgegevens, daar hebben we ook geen problemen mee. Het gaat om het doel en om met wie ze die gegevens delen.quote:
[..]
Maar dat zijn toch ook allemaal medische persoonsgegevens? Principe blijft hetzelfde, alleen nu gaat iedereen opeens op zijn achterste benen staan.
En anders stuur je gewoon een verzoek om die gegevens te verwijderen. Wel goed je testbewijs bewaren daarna, maar dat was ook al zo met je gele boekje
Ik heb het vermoeden dat we het niet eens gaan worden
Dat is toch het hele punt? Als je alles op de QR-code zet, zonder een connectie met een back-end, dan is alles eraf te halen. Private key doet er niet toe, want die zal van de scanner komen en is dus altijd in orde.quote:
[..]
Knappe jongen als jij vanuit de ondertekening en de public keys de private keys weet af te leiden
Dan ben je enorm rijk kan ik je vertellen.
Ik ben niet op de hoogte hoe ze het precies ingericht hebben maar als je alle data op een QR-code zet en geen enkele connectie met een database (of die nu landelijk of Europees is) hebt waar een authenticatie mechanisme achter zit om te valideren of de data wel correct is, dan is het wachten tot iemand hem gekopieerd heeft en z'n eigen naam eronder heeft gezet.
Nee, dat denk ik ook niet. Maar het idee is juist dat het landelijke systeem dat we al hebben gewoon landelijk blijft, en er dus geen pan-Europese database komt. De info staat in het landelijke systeem en op je testbewijs. Dat is expres zo gedaan.quote:
[..]
Een ziekenhuis heeft ook medische persoonsgegevens, daar hebben we ook geen problemen mee. Het gaat om het doel en om met wie ze die gegevens delen.
Ik heb het vermoeden dat we het niet eens gaan worden
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Nee, die private key staat niet op de scanner. Die is in bezit van een bewijs-uitgevende instantie.quote:
[..]
Dat is toch het hele punt? Als je alles op de QR-code zet, zonder een connectie met een back-end, dan is alles eraf te halen. Private key doet er niet toe, want die zal van de scanner komen en is dus altijd in orde.
Ik ben niet op de hoogte hoe ze het precies ingericht hebben maar als je alle data op een QR-code zet en geen enkele connectie met een database (of die nu landelijk of Europees is) hebt waar een authenticatie mechanisme achter zit om te valideren of de data wel correct is, dan is het wachten tot iemand hem gekopieerd heeft en z'n eigen naam eronder heeft gezet.
De public key van die uitgevende instantie is wel te vinden in een Europese database. En die kan je dan syncen met je scanner.
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
De QR code wordt als PNG gedownload naar je telefoon. Oftewel, als je een jailbreak op je telefoon hebt kun je die PNG prima kopiėren naar een andere telefoon.quote:
[..]
Dat is toch het hele punt? Als je alles op de QR-code zet, zonder een connectie met een back-end, dan is alles eraf te halen. Private key doet er niet toe, want die zal van de scanner komen en is dus altijd in orde.
Ik ben niet op de hoogte hoe ze het precies ingericht hebben maar als je alle data op een QR-code zet en geen enkele connectie met een database (of die nu landelijk of Europees is) hebt waar een authenticatie mechanisme achter zit om te valideren of de data wel correct is, dan is het wachten tot iemand hem gekopieerd heeft en z'n eigen naam eronder heeft gezet.
Als ze alleen de QR code checken is het dus een kwestie van je fotos app openen en de QR code openen ipv de CoronaCheck app openen.
Dus hoe ga je die key dan valideren en daarbij valideren dat de code die daarbij hoort ook bij mij als persoon hoort? (en dat alles zonder dat je verbinding maakt met een back-end)quote:
[..]
Nee, die private key staat niet op de scanner. Die is in bezit van een bewijs-uitgevende instantie.
De public key van die uitgevende instantie is wel te vinden in een Europese database. En die kan je dan syncen met je scanner.
Je inentingen bij geboorte krijg je op een brief en kan in een groeigids bewaard worden (geen idee of die al bestond toen jij geboren werd). Het gele boekje is voor als je op latere leeftijd vaccinaties aanschaft, bijvoorbeeld voor Hepatitis A en DTP als je naar Turkije gaat.quote:Op dinsdag 25 mei 2021 09:29 schreef patrickt37 het volgende:
Jullie hebben het allemaal over het"gele boekje". Ik heb dat boekje nog nooit gezien. Waarschijnlijk ergens in een doos bij mijn ouders op zolder.
.jpg)
Kijk een datum met een prik, DAT DIT KAN IN NEDERLAND
They told me all of my cages were mental, so I got wasted like all my potential.
https://en.wikipedia.org/wiki/Public-key_cryptographyquote:Op dinsdag 25 mei 2021 09:36 schreef Mallerd01 het volgende:
[..]
Dus hoe ga je die key dan valideren en daarbij valideren dat de code die daarbij hoort ook bij mij als persoon hoort? (en dat alles zonder dat je verbinding maakt met een back-end)
Volkorenbrood: "Geen quotes meer in jullie sigs gaarne."
Dat is inderdaad de simpelste variant, die overigens niet zomaar zal werken als je met voorletters of initialen gaat werken maar de volgende stap is natuurlijk gewoon de data achter die QR-code bewerken. Zolang er geen validatie plaatsvindt is het een kwestie van tijd voordat het gebeurt. Zeker als je CoronaScanner ook gewoon kan downloaden uit de stores.quote:
[..]
De QR code wordt als PNG gedownload naar je telefoon. Oftewel, als je een jailbreak op je telefoon hebt kun je die PNG prima kopiėren naar een andere telefoon.
Als ze alleen de QR code checken is het dus een kwestie van je fotos app openen en de QR code openen ipv de CoronaCheck app openen.
Je hebt:quote:
[..]
Dus hoe ga je die key dan valideren en daarbij valideren dat de code die daarbij hoort ook bij mij als persoon hoort? (en dat alles zonder dat je verbinding maakt met een back-end)
De payload (je naw- en vaxgegevens).
De ondertekening.
De publieke sleutel van de uitgevende instantie.
Vervolgens controleer je of de ondertekening klopt met de payload en de publieke sleutel.
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Een boekje met een stempel is natuurlijk ook vrij eenvoudig te falsificeren. Het gaat er bij dit soort systemen vooral om dat het voor het gros van de mensen werkt, niet dat het een systeem is dat volledig waterdicht is.quote:
[..]
Dat is inderdaad de simpelste variant, die overigens niet zomaar zal werken als je met voorletters of initialen gaat werken maar de volgende stap is natuurlijk gewoon de data achter die QR-code bewerken. Zolang er geen validatie plaatsvindt is het een kwestie van tijd voordat het gebeurt. Zeker als je CoronaScanner ook gewoon kan downloaden uit de stores.
Volkorenbrood: "Geen quotes meer in jullie sigs gaarne."
Die valideer je niet. Het valideren wordt eigenlijk niet op je telefoon gedaan, bij de validatie (bij het maken van de QR code) wordt de validatie op de backend gedaan, waarna de QR als PNG naar je telefoon gedownload wordt.quote:
[..]
Dus hoe ga je die key dan valideren en daarbij valideren dat de code die daarbij hoort ook bij mij als persoon hoort? (en dat alles zonder dat je verbinding maakt met een back-end)
Oftewel, heb je een QR code, dan voldoe je aan de 'eisen'.
Disclaimer: Dit is hoe het op dit moment in de broncode van de CoronaCheck app staat. Er is voor zover ik kan zien nog geen ontwikkeling mbt het Europese vaccinatiepaspoort toegevoegd, dus dit is gebaseerd op de informatie die er nu is.
Precies, die paar mensen die frauderen maken eigenlijk niks uit, zolang het overgrote gedeelte van de mensen met grote reisbewegingen maar wél gevaccineerd isquote:
[..]
Een boekje met een stempel is natuurlijk ook vrij eenvoudig te falsificeren. Het gaat er bij dit soort systemen vooral om dat het voor het gros van de mensen werkt, niet dat het een systeem is dat volledig waterdicht is.
Het gele boekje wordt op maar weinig plekken gebruikt dus de 'noodzaak' voor iemand om het te falsificeren is er vrijwel niet. Dit systeem willen ze voor zo'n beetje elke activiteit of bestemming gaan gebruiken dus iemand zal eerder die noodzaak voelen.quote:
[..]
Een boekje met een stempel is natuurlijk ook vrij eenvoudig te falsificeren. Het gaat er bij dit soort systemen vooral om dat het voor het gros van de mensen werkt, niet dat het een systeem is dat volledig waterdicht is.
Je kan blokkeren dat de app werkt op een jailbroken telefoon natuurlijk. Doen wij ook met onze video apps.quote:
[..]
De QR code wordt als PNG gedownload naar je telefoon. Oftewel, als je een jailbreak op je telefoon hebt kun je die PNG prima kopiėren naar een andere telefoon.
Als ze alleen de QR code checken is het dus een kwestie van je fotos app openen en de QR code openen ipv de CoronaCheck app openen.
wegmetdetestwet.nl / wegmetdetestmaatschappij.nl voor een gratis subdomain DM me.
Precies, en dat is ook een van de redenen dat er gewerkt wordt met digitale ondertekening van de informatie. Zowel op papier als op je telefoon.quote:
[..]
Het gele boekje wordt op maar weinig plekken gebruikt dus de 'noodzaak' voor iemand om het te falsificeren is er vrijwel niet. Dit systeem willen ze voor zo'n beetje elke activiteit of bestemming gaan gebruiken dus iemand zal eerder die noodzaak voelen.
Alweer een stuk lastiger te falsificeren dan een papieren bewijsje met een stempel.
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Klopt, maar het ging mij dan ook om de situatie waarin de eis dat er bewijs voor vaccinatie wordt geleverd een gegeven is. Dan is papier niet veiliger dan digitaal. Sterker nog met versleuteling middels private keys en een gedeelde publieke key om te lezen is zo'n digitale variant prima veilig. Succes met het editen van je plaatje, zonder geldige private key komt er alleen maar rotzooi uit bij het decrypten.quote:
[..]
Het gele boekje wordt op maar weinig plekken gebruikt dus de 'noodzaak' voor iemand om het te falsificeren is er vrijwel niet. Dit systeem willen ze voor zo'n beetje elke activiteit of bestemming gaan gebruiken dus iemand zal eerder die noodzaak voelen.
Volkorenbrood: "Geen quotes meer in jullie sigs gaarne."
Heel deze discussie laat ik aan mij voorbij gaan.
Ik vind het totaal niet interessant of bepaalde gegevens wel of niet gedeeld worden.
Zolang ik maar weer in dat vliegtuig kan zitten richting mijn klanten.
Ik vind het totaal niet interessant of bepaalde gegevens wel of niet gedeeld worden.
Zolang ik maar weer in dat vliegtuig kan zitten richting mijn klanten.
Tuurlijk zou dat kunnen. Jailbreaken is echter niet bij wet verboden in Nederlandquote:
[..]
Je kan blokkeren dat de app werkt op een jailbroken telefoon natuurlijk. Doen wij ook met onze video apps.
Dit snap ik, het probleem is natuurlijk dat voorheen het gele boekje was voor specifieke landen waarvan mensen zelf ook hun vaccin wilde halen vanwege het risico, nu zit je wel met een iets andere situatie waarbij het niet alleen gaat om meer mensen maar ook nog om grotere consequenties, dus meer motivatie om te zorgen dat je er doorheen komt, zeker als je nog geen kans op een vaccin hebt gehad.quote:
[..]
Een boekje met een stempel is natuurlijk ook vrij eenvoudig te falsificeren. Het gaat er bij dit soort systemen vooral om dat het voor het gros van de mensen werkt, niet dat het een systeem is dat volledig waterdicht is.
Ik kan het mis hebben, maar volgens mij gaat het hier over de Europese check, nu kan ik me voorstellen dat ze in NL dat in de CC-app gaan verzamelen (waar inderdaad weinig te checken valt dan als het een buitenlandse QR is). Binnen NL lijkt het me vrij eenvoudig om te valideren tegen een database.quote:
[..]
Die valideer je niet. Het valideren wordt eigenlijk niet op je telefoon gedaan, bij de validatie (bij het maken van de QR code) wordt de validatie op de backend gedaan, waarna de QR als PNG naar je telefoon gedownload wordt.
Oftewel, heb je een QR code, dan voldoe je aan de 'eisen'.
Disclaimer: Dit is hoe het op dit moment in de broncode van de CoronaCheck app staat. Er is voor zover ik kan zien nog geen ontwikkeling mbt het Europese vaccinatiepaspoort toegevoegd, dus dit is gebaseerd op de informatie die er nu is.
Dus publieke sleutel aanpassen (die niet voor niets publiek is) en je NAW gegevens en ik ben klaar.quote:
[..]
Je hebt:
De payload (je naw- en vaxgegevens).
De ondertekening.
De publieke sleutel van de uitgevende instantie.
Vervolgens controleer je of de ondertekening klopt met de payload en de publieke sleutel.
Je kunt blokkeren dat een app weet of je telefoon gejailbreakt is. Dat is stap 1 na het jailbreaken van je telefoon. Anders werken ook je bank-apps niet meer.quote:
[..]
Je kan blokkeren dat de app werkt op een jailbroken telefoon natuurlijk. Doen wij ook met onze video apps.
Klopt, maar dan moet je de jailbrake maar even ongedaan maken voor je op reis gaatquote:
[..]
Tuurlijk zou dat kunnen. Jailbreaken is echter niet bij wet verboden in Nederland
wegmetdetestwet.nl / wegmetdetestmaatschappij.nl voor een gratis subdomain DM me.
Nee, zoals ik al eerder aangaf, die publieke sleutel komt uit een Europese database van goedgekeurde instanties.quote:
[..]
Dit snap ik, het probleem is natuurlijk dat voorheen het gele boekje was voor specifieke landen waarvan mensen zelf ook hun vaccin wilde halen vanwege het risico, nu zit je wel met een iets andere situatie waarbij het niet alleen gaat om meer mensen maar ook nog om grotere consequenties, dus meer motivatie om te zorgen dat je er doorheen komt, zeker als je nog geen kans op een vaccin hebt gehad.
[..]
Ik kan het mis hebben, maar volgens mij gaat het hier over de Europese check, nu kan ik me voorstellen dat ze in NL dat in de CC-app gaan verzamelen (waar inderdaad weinig te checken valt dan als het een buitenlandse QR is). Binnen NL lijkt het me vrij eenvoudig om te valideren tegen een database.
[..]
Dus publieke sleutel aanpassen (die niet voor niets publiek is) en je NAW gegevens en ik ben klaar.
Dus je hebt:
QR: payload en ondertekening
Database: Publieke sleutels
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Dus moet je scanner verbinding maken met een database.quote:
[..]
Nee, zoals ik al eerder aangaf, die publieke sleutel komt uit een Europese database van goedgekeurde instanties.
Dus je hebt:
QR: payload en ondertekening
Database: Publieke sleutels
Private/public keys zijn hier niet relevant alleen. Het versleutelen vindt plaats in het uitwisselen met de backend, dus het verifiėren of jouw testresultaat wel of niet valide is.quote:
[..]
Klopt, maar het ging mij dan ook om de situatie waarin de eis dat er bewijs voor vaccinatie wordt geleverd een gegeven is. Dan is papier niet veiliger dan digitaal. Sterker nog met versleuteling middels private keys en een gedeelde publieke key om te lezen is zo'n digitale variant prima veilig. Succes met het editen van je plaatje, zonder geldige private key komt er alleen maar rotzooi uit bij het decrypten.
Een QR code is encoded, niet encrypted. Daar zit geen versleuteling in.
Indien de gegevens die je terugkrijgt niet de plaintext is houdt het in dat er connectie met de backend nodig is om te ontsleutelen, wat juist niet het geval was.
Ja, oftewel live, oftewel eens in de zoveel tijd syncen.quote:
[..]
Dus moet je scanner verbinding maken met een database.
Waar het om gaat is dat je geen centrale database hebt met vaccinatiegegevens en je ook geen payload hoeft te valideren tegen centrale databases.
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Oh nee dat hoeft ook niet, de scanner kan gebruik maken van een specifieke database, op basis van je QR kun je prima bepalen of je naar rivm.nl of naar rivm.be of naar rivm.co.uk moet. Het hele punt waar het om begon was dat je zei dat alles op de QR stond waarop ik zei dat dat per definitie onveilig is. Fijn dat we het opgehelderd hebbenquote:
[..]
Ja, oftewel live, oftewel eens in de zoveel tijd syncen.
Waar het om gaat is dat je geen centrale database hebt met vaccinatiegegevens en je ook geen payload hoeft te valideren tegen centrale databases.
.
Een QR code is gewoon een grafische representatie van inhoud. Wat je daarin stopt is volledig aan degene die de code maakt. Als je daar een encrypted string in prakt, dan staat daar een encrypted string in.quote:
[..]
Private/public keys zijn hier niet relevant alleen. Het versleutelen vindt plaats in het uitwisselen met de backend, dus het verifiėren of jouw testresultaat wel of niet valide is.
Een QR code is encoded, niet encrypted. Daar zit geen versleuteling in.
Indien de gegevens die je terugkrijgt niet de plaintext is houdt het in dat er connectie met de backend nodig is om te ontsleutelen, wat juist niet het geval was.
Oftewel:
Bij het aanmaken:
- Encrypten gegevens met private key
- Generen QR code obv encrypted waarde
Bij het scannen:
- QR code scannen om encrypted waarde uit te lezen
- Decrypten met public key
Niets geen connectie met back-ends vereist. Dat is het hele idee achter assymetrische encryptie.
Volkorenbrood: "Geen quotes meer in jullie sigs gaarne."
Dan had ik duidelijker moeten zijn inderdaad, ik doelde op het feit dat alle persoonsgegevens in de QR code staanquote:
[..]
Oh nee dat hoeft ook niet, de scanner kan gebruik maken van een specifieke database, op basis van je QR kun je prima bepalen of je naar rivm.nl of naar rivm.be of naar rivm.co.uk moet. Het hele punt waar het om begon was dat je zei dat alles op de QR stond waarop ik zei dat dat per definitie onveilig is. Fijn dat we het opgehelderd hebben
My bad.
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Je zou wellicht alleen nog een API verzoek kunnen of de encrypted payload matched met het gene wat in de database staat bij de uitgevende instantie.quote:
[..]
Een QR code is gewoon een grafische representatie van inhoud. Wat je daarin stopt is volledig aan degene die de code maakt. Als je daar een encrypted string in prakt, dan staat daar een encrypted string in.
Oftewel:
Bij het aanmaken:
- Encrypten gegevens met private key
- Generen QR code obv encrypted waarde
Bij het scannen:
- QR code scannen om encrypted waarde uit te lezen
- Decrypten met public key
Niets geen connectie met back-ends vereist. Dat is het hele idee achter assymetrische encryptie.
wegmetdetestwet.nl / wegmetdetestmaatschappij.nl voor een gratis subdomain DM me.
Je hebt gelijk, alleen zijn die, zonder back-end, vulnerable voor MitM attacks, vandaar dat er meestal een secure back-end opgezet wordt om de public keys in op te slaan.quote:
[..]
Een QR code is gewoon een grafische representatie van inhoud. Wat je daarin stopt is volledig aan degene die de code maakt. Als je daar een encrypted string in prakt, dan staat daar een encrypted string in.
Oftewel:
Bij het aanmaken:
- Encrypten gegevens met private key
- Generen QR code obv encrypted waarde
Bij het scannen:
- QR code scannen om encrypted waarde uit te lezen
- Decrypten met public key
Niets geen connectie met back-ends vereist. Dat is het hele idee achter assymetrische encryptie.
Liefst gehasht ofzo.quote:
[..]
Je zou wellicht alleen nog een API verzoek kunnen of de encrypted payload matched met het gene wat in de database staat bij de uitgevende instantie.
Is wel een beetje wat ze proberen te voorkomen, zo willen ze dat de scanners niet afhankelijk zijn van live internetverbindingen bijvoorbeeld.
Plus de infrastructuur van het geheel wordt ingewikkelder, waar allemaal extra info opgeslagen en verwerkt moet worden ipv een simpele database met publieke sleutels.
Lege bekers in het gras
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
Modder op mijn schoenen
Verlang naar het moment
Dat we even niks meer moeten
De discussie was juist dat er geen backend calls gemaakt werden. Je kan idd prima wat je wil in een QR code stoppen en die decoden, maar dan moet je daarna dus de ciphertext gaan decrypten. Het decrypten van die ciphertext houdt in dat je de keys nodig hebt van de partij die het versleuteld heeft.quote:
[..]
Een QR code is gewoon een grafische representatie van inhoud. Wat je daarin stopt is volledig aan degene die de code maakt. Als je daar een encrypted string in prakt, dan staat daar een encrypted string in.
Oftewel:
Bij het aanmaken:
- Encrypten gegevens met private key
- Generen QR code obv encrypted waarde
Bij het scannen:
- QR code scannen om encrypted waarde uit te lezen
- Decrypten met public key
Niets geen connectie met back-ends vereist. Dat is het hele idee achter assymetrische encryptie.
Het wordt een vrij complexe interpretatie op die manier, tenzij de EU gaat voorzien in een centrale manier om te versleutelen/ontsleutelen.
Maargoed, toegegeven, tot nu toe is het allemaal gokken. De implementatie van de Europese check is nog geen onderdeel van de CoronaCheck app, dus we kunnen niet anders dan gissen hoe ze het implementeren.
Net even zitten zoeken naar de architectuur van het "Digital Green Certificate", zij spreken overigens heel specifiek over luchtvaartmaatschappijen die die informatie kunnen checken:
https://ec.europa.eu/heal(...)rtificates_v2_en.pdfquote:The national Backend servers of the Member State will provide access to the Public Keys
according to national specifications, in particular to the entities that will perform verification of
DGC using the relevant Public Keys (Trust lists). To this end the national backend servers will
be kept up-to-date.
This will enable signature verification services and/or access to the public keys needed to
perform verifications.
This feature will be implemented on the national backends level for instance through a secure
API interface and SDKs. Such feature would be of particular relevance for airlines.
De discussie wordt nu wel heel technisch hier.
Volgens mij is de basisvraag gewoon of je dit allemaal moet willen en zo ja, voor hoe lang.
Volgens mij is de basisvraag gewoon of je dit allemaal moet willen en zo ja, voor hoe lang.
Hoezo een MitM attack? Het uitlezen van een code met een scanner met een lokaal stukje software dat de decryptie doet is nou niet direct kwetsbaar voor een MitM attack. MitM is vooral problematisch als je zaken over een netwerkverbinding gaat doen, maar daarvoor heb je ook gewoon weer SSL en dergelijke. Niet dat dat hier relevant is.quote:
[..]
Je hebt gelijk, alleen zijn die, zonder back-end, vulnerable voor MitM attacks, vandaar dat er meestal een secure back-end opgezet wordt om de public keys in op te slaan.
Volkorenbrood: "Geen quotes meer in jullie sigs gaarne."
Maar zou de EU daar niet een platform voor gaan opzetten? Dus Scanner -> EU platform -> specifieke landendatabase? Dus alle scanners uit alle landen kunnen verbinding maken met dat EU platform en die distribueert de requests naar het specifieke land toe. Ik dacht altijd te begrijpen dat dat het idee was..quote:
[..]
Liefst gehasht ofzo.
Is wel een beetje wat ze proberen te voorkomen, zo willen ze dat de scanners niet afhankelijk zijn van live internetverbindingen bijvoorbeeld.
Plus de infrastructuur van het geheel wordt ingewikkelder, waar allemaal extra info opgeslagen en verwerkt moet worden ipv een simpele database met publieke sleutels.
