Zasebnostna analiza aplikacije za preverjanje izpolnjevanja PCT pogojev

Evo, pogruntal sem, kako preklices "ukradeno" qr kodo :D (konkretno od ministra)

V tanovi NIJZ aplikaciji (z apktoolom razpakiran apk):

Preverjanje_EU_DCP_anon $ grep -r 'URN:UVCI' .
./smali_classes2/dgca/verifier/app/android/verification/VerificationViewModel$decode$1.smali:    const-string v3, "URN:UVCI:01:SI:C57F79FF97E528B0E053#P"
./smali_classes2/dgca/verifier/app/android/verification/#VerificationViewModel$decode$1.smali#:    const-string v3, "URN:UVCI:01:SI:C57F79FF97E528B0E053#P"

Torej nekje v aplikacijski kodi se pojavi hardcodean certificate ID od ministra, ki se ponovem pokaze kot neveljaven.

Torej, ce ti kdo naskrivaj poskenira qr kodo, in jo uporablja kot svojo, samo poklices razvijalce po telefonu, oni noter v kodo zapisejo se en hardcodean certificate id, skompajlajo nov apk, potem pa tezis vsem kelnarjem in varnostnikom, da updateajo app :)

Okapi je 2. avg 2021 ob 18:05 izjavil:

UganiKdo je 2. avg 2021 ob 16:08 izjavil:

kako točno verificiraš podpis v QR kodi brez uporabe elektronske naprave (ki je lahko BTW navaden telefon)?

Brez elektronske naprave si s QR kodo ne moreš čisto nič pomagati.

Kako brez elektronske naprave preverjaš PCT, pa vprašaj žičničarje na Krvavcu, Voglu, Ljubljanskem gradu...

še vedno nisi dojel v kateri temi si kaj?? Zasebnostna analiza aplikacije za preverjanje izpolnjevanja PCT pogojev

Analogna rešitev je papir. Vsaj to bi lahko vedeli. Nobenih andoridov in ajfonov ne rabiš.
Btw, na mejah samo največji čudaki telefone talajo policiji. Vsi ostali pokažejo kos papirja.

Qr koda je qr koda. Na ekranu ali na papirju.
Ufff, zdaj že uradno požegnan dokument pred parimi dnevi ne velja več. Hitro gre tole.

Feryz je preveč omejen, da bi ugotovil, da je govora o tem da kontrolor nima digitalne naprave, ne pa stranka. Ta ima lahko QR kodo kjerkoli mu paše. Tudi na glineni tablici.

Ej pismo res... v torek se vladi sprdne, da bi od ponedeljka preverjal qr kode, z aplikacijo, ki ne dela tega, kar naj bi delala, ukrep velja ze od cetrtka, z appom, ki so ga pobrisali z neta, zato da pobrisejo prikaz imena in ostalih podatkov, pa dodajo exception za ministra, in gostinec naj pa se kupi pet telefonov, da bodo kelnarji lahko skenirali kode, za katere nimajo pojma cigave so, stranke pa naj placujemo drazje kave, ker se drzava preserava, ane?

Torej si bodo kelnarji podajali en telefon? Al hodis sam v pajzle, kjer je en kelnar dost za vse mize?

Komaj cakam, da nekdo skopira NIJZ app, in ga predela v takega, ki shranjuje vse podatke v en CSV, pa to rukne na github.

Markus386 je 2. avg 2021 ob 19:09 izjavil:

Kako zaboga bos preveril(!!!) qr kodo z papirjem? Ja, gost v lokalu lahko ima kodo na papirju, kelnar pa rabi android telefon pa se app, da podpisano kodo preveri.

Za ta primer je na papirju enolični identifikator, ki ga preveriš preko telefona na NIJZ. In zato ne potrebuješ QR kode.

Okapi je 2. avg 2021 ob 18:22 izjavil:

Kot prvo, imaš izjeme. Recimo na gasilski veselici davčna blagajna ni obvezna (v določenih primerih). Očitno so na Fursu presodili, da je pretirano zahtevati davčno blagajno v takšnih primerih. Ampak pogoj PCT pa je obvezen tudi na gasilski veselici.

Za gasilsko veselico se ti ni treba bat. Se bo ze en android nasel. Sicer glede primitivizma, ki je gasilskim veselicam svojsten, mislim, da je vseeno.

Massacra je 2. avg 2021 ob 20:21 izjavil:

zmist je 2. avg 2021 ob 20:15 izjavil:

Okapi je 2. avg 2021 ob 18:22 izjavil:

Kot prvo, imaš izjeme. Recimo na gasilski veselici davčna blagajna ni obvezna (v določenih primerih). Očitno so na Fursu presodili, da je pretirano zahtevati davčno blagajno v takšnih primerih. Ampak pogoj PCT pa je obvezen tudi na gasilski veselici.

Za gasilsko veselico se ti ni treba bat. Se bo ze en android nasel. Sicer glede primitivizma, ki je gasilskim veselicam svojsten, mislim, da je vseeno.

Primitivizem je zgolj na nivoju tvojega 30 letnega sistemca. Ne vidim nobene druge razlage!

Si se kar nisi opomogel? Imas srcka prizadetega snezinka zmesana, zdaj pa ti se gasilske veselice, ta steber slovenske kulture - kaj steber, najvec kar slovencelj zmore, zalim. Res grozno...

Massacra je 2. avg 2021 ob 20:23 izjavil:

Kot SDS nesposobnosti!
(še nobeni v zgodovini IT razvoja niso bili takšni "kekci")

No ja, s tem se strinjam, SDS je res nesposobna banda, zal pa noben drug ni nic boljsi na podrocju ITja. Sicer so pa razni java* """programerji""" tudi znani, da znajo kaksno kozlarijo zelo kvalitetno izvesti, precej komicni so.

Sicer je pa software open source, samo prevedli so ga in dodali malo popravkov (kot ministrov id npr.)

LeQuack je 2. avg 2021 ob 19:50 izjavil:

In potem takim amaterjem ljudje zaupajo s cepivi lol. Še enega QR readerja ne znajo dat ven.

Zanimivo, neko lame firmo, ki jo je vlada najela, da jim prevede neko 3rd party aplikacijo, enacis s cepivom, ki ga trenutno uporablja cel svet. To je skoraj tako noro, kot so nori tisti, ki enacijo cepivo s politicnim upornistvom, protestom proti vladi ipd. Saj vlade se je treba znebiti in cimprej, samo cepljenje pa glede tega nima nobene veze. Tudi naslednja vlada bo zganjala enako politiko, dokler se tole sranje s corono ne ustavi, konec koncev, poglejte malo po svetu. Kretena od JJa imamo samo mi, ukrepi pa imajo vsi drugi tudi. Vkljucno z lockdowni.

tardusm je 2. avg 2021 ob 20:36 izjavil:

Mogoče pa, da bo volk sit in koza cela:
-pri vstopu pregledovalec poskenira QR kodo državljana s papirja ali s telefona ;
-na ekranu se mu prikaže veljavnost certifikata in poleg tega izpiše še npr. zadnjih šest (ali kolikor pač... številk kode (... M09EY7, izmišljeno) ne pa cele kode, ki jo preverja aplikacija
-državljan ima v žepu na listku prepisanih teh par znakov "M09EY7" in jih pokaže pregledovalcu in s tem potrdi, da je pravi lastnik tega potrdila;
-tako se med "strankami" v postopku ne prenaša noben podatek, ki bi kateremu od njiju kaj osebnega razkril;
- stranka ostane anonimna in odpade preverjanje osebnih dokumentov,
-inšpektor ob kontroli postopa enako, verjetno pa je pooblaščen še kaj več pogleda;
-domnevam, da se celotna koda tudi ne da rekonstruirati iz teh par znakov(??)...

Pac pokaze naj random 3 dele kode na random pozicijah, randomizirajo naj se enkrat na npr. 3 ure in to se lahko primerja z kodo, ki jo imas. Problem resen.

Da pa ne bo prevec komplikacij, preprosto naj antivaxerji nehajo srat, ljudje naj se grejo cepit in vse to sranje odpade.

tardusm je 2. avg 2021 ob 20:36 izjavil:

-državljan ima v žepu na listku prepisanih teh par znakov "M09EY7" in jih pokaže pregledovalcu in s tem potrdi, da je pravi lastnik tega potrdila;

Tale korak me zanima. Imam QR kodo, pa ne verjameš, da je moja. Potegnem en zmečkan post-it listek, na katerem je par znakov, in nenadoma mi verjameš vse.

joze67 je 3. avg 2021 ob 06:15 izjavil:

tardusm je 2. avg 2021 ob 20:36 izjavil:

-državljan ima v žepu na listku prepisanih teh par znakov "M09EY7" in jih pokaže pregledovalcu in s tem potrdi, da je pravi lastnik tega potrdila;

Tale korak me zanima. Imam QR kodo, pa ne verjameš, da je moja. Potegnem en zmečkan post-it listek, na katerem je par znakov, in nenadoma mi verjameš vse.

Razlika je samo v tem, da v primeru sekundarne kontrole razdom zaporedja iz osebnega listka ne more nekdo breztvoje vednostu ukrast tvoje QR kode. Natakar ne bo mogel bit nič bolj prepričan ali je koda res tvoja ali ne.

Ampak tukaj se izumlja topla voda, ker že sedaj je imel natakar pravico zahtevat osebni dokument pri prodaji alkoholne pijače/cigaretov, enak kot trgovci. V hotel se ne moreš prijavit brez osebnega dokumenta. Vsak študnet je moral pokazat dokument s sliko, če je hotel jest na bone, pri vstopu na varovana področja s elahko preverja identiteto in še in še. Tudi IP je jasno pojasnila, da v takem preverjanju istovetnosti posameznika ne prihaja do kršitve varstva osebnih podatkov.

Najbolj ironično je da gre za softwarsko rešitev (qr koda), ki ima čisto enostavne rešitve, če bi ljudje za sekundo razmišljali o rešitvah in ne problemih.

Na nivoju EK bi se lahko koda nadgradila, da bi bil sporen del podatkov (katere pogoje izpolnjuje posameznik) kriptan. Tudi roll out nove kode ne bi bil problematičen, glede na to, da je vse elektronsko. Že natisnjena potrdila seveda lahko ostanejo v veljavi, kdor pa želi večjo varnost osebnih podatkov, pač natisne novo kodo.

Če je to mission impossible lahko slovenija preprosto uvede dve QR kodi. Imaš v zvem dve potrdili, eno po EU standardih, ki jo rabiš za čez mejo in eno cenzurirano, ki jo lahko uporabljaš doma. Spet se vsak posameznik lahko mirno odloči ali uporablja obe ali ne.

Torej rešitve so, sam razmišljat treba.

So, samo niso praktične.

nič manj niso praktične kot obstoječa rešitev.

Če se moraš v hotel prijavit z osebno, in te receptor še isti dan prijavi na UE, ali kam že, država lahko sama od sebe preveri ali si PCT. Ampak, si to res želimo?

za hotele bi dejansko to funkcioniralo, ne pa za ostalo, vsaj ne brez resnega in IMO nedopustnega posega v zasebnost.

Ne samo to, en je tu napisal, naj pač kelnar iz papirjev izračuna ali mu velja PCT. Avstrijcu npr., ali pa Fincu. Vam pravim, še inšpektor rabi vsaj 5 minut za marsikater primer, kelnarji pa naj to kar tako množično delajo počez, pod grožnjo kazni, za katero bojo delali cel mesec. Enga na mesec če zajebe, pa je bolje, da doma spi na kavču kot da karkoli dela. Kdo normalen bi to sploh delal.
Naj potem še inšpektorjem, redarjem in ostalim v JS zagrozijo z kaznijo ene mesečne plače za vsako napačno odločitev, pa bomo videli kolk inšpektorjev bo še ostalo v Sloveniji. Ampak ne, oni, s šolo in strokovnim izpitom, lahko naredijo napako. Tudi sodnik lahko naredi napako. Kelnar ali varnostnik z 8. razredi OŠ je ne sme.
V teoriji je vse enostavno, v praksi se pa zakomplicira, če ne stvar odkompliciraš prej ko je začneš izvajat.

Se še nisi sprijaznil, da se s cepljenjem ne boš odrešil testiranja? Če se boš moral testirat (in moral se boš), je pa vseeno, če nisi niti cepljen.

zmist je 3. avg 2021 ob 09:56 izjavil:

Ja se strinjam, zadeva ni idealna sicer jaz sem tako ali tako za to, da se raztala datume cepljenja vsem, ki se niso, ce se tja ne zglasis, dobis 500 eurov kazni in naslednji datum, vojska in policija pa poiscejo preostalih 5% in jih cepijo z najdebelejso iglo kar jih obstaja. Ne vem, zakaj bi se gostince, gospodarstvo in normalen del druzbe obremenjevalo s tem.

To je tudi ena od variant. Lahko pa se doloci natakarje, da vsakega, ki gre zgolj mimo lokala zbijejo na tla in mu spistijo en shoot v ramo. Zakaj bi s taksnimi stvarmi obremenjeval vojsko in policjo, ce lahko to prelozis na natakarje ali varnostnike.

No ja, ko bi dobil 12 cepljen v 15min, zgolj zato ker bi sel mimo 12 lokalov ob Ljubljanici, bi ti bilo verjetno malo manj vseeno Ker natakarji ne bi preverjali ali si ze bil cepljen ali ne, pac pa bi zgolj cepili... vsakogar ki pride mimo

Zadeve so brutalno preproste. Ko se je začela epidemija smo vedeli, da enkrat bo cepivo, da bo treba določene stvari preverjati, da bo treba imeti evidence, potrdila... časa, da se to sprogramira je bilo dovolj.

Ampak el Presidente je raje vodil vojno z mediji, tvital, se bratil z neonacisti...

Zdaj je kar je. Ko bodo volitve pa hitro spet volit SDS, še posebej javni sektor, ki je od njih dobil take lepe bonbončke.

poweroff je 3. avg 2021 ob 10:09 izjavil:

Zadeve so brutalno preproste. Ko se je začela epidemija smo vedeli, da enkrat bo cepivo, da bo treba določene stvari preverjati, da bo treba imeti evidence, potrdila... časa, da se to sprogramira je bilo dovolj.

Ampak el Presidente je raje vodil vojno z mediji, tvital, se bratil z neonacisti...

Zdaj je kar je. Ko bodo volitve pa hitro spet volit SDS, še posebej javni sektor, ki je od njih dobil take lepe bonbončke.

Bolj kot delujoča, učinkovita in zakonita app so pomembni rovi, če bo raja na ulicah.

Glede zasebnosti pa bi dodal, os. podatke + boolean pogoj pct kelnar lohk preverja, I see no harm in it, sam eni pač radi jokcajo (ker do zdaj so itak že špilali policaje za alkohol, tobak in vstop v diskače).

poweroff je 3. avg 2021 ob 10:09 izjavil:

Zadeve so brutalno preproste. Ko se je začela epidemija smo vedeli, da enkrat bo cepivo, da bo treba določene stvari preverjati, da bo treba imeti evidence, potrdila... časa, da se to sprogramira je bilo dovolj.

Stvari so še bolj brutalno preproste. Da lahko do epidemije pride, vemo že 100+ let. 50+ let vemo, da je mogoče množično cepiti prebivalstvo in tako preprečiti oziroma omejiti epidemije. Čisto vse protokole (in pravne podlage) - za nabavo in skladiščenje zasščitnih sredstev, za izvedbo karantenskih omejitev, za organizacijo cepljenja, za preverjanje potrdil... - bi morali imeti pripravljene že zdavnaj. Nismo pa imeli v bistvu čisto nič.

Sicer pa ja, tudi če rečemo, da je ta epidemije vse presenetila, so imeli odgovorni eno leto časa za pripravo vsega potrebnega za množično cepljenje, izdajo in preverjanje potrdil... Pa niso naredili nič.

Okapi je 3. avg 2021 ob 10:19 izjavil:

poweroff je 3. avg 2021 ob 10:09 izjavil:

Zadeve so brutalno preproste. Ko se je začela epidemija smo vedeli, da enkrat bo cepivo, da bo treba določene stvari preverjati, da bo treba imeti evidence, potrdila... časa, da se to sprogramira je bilo dovolj.

Stvari so še bolj brutalno preproste. Da lahko do epidemije pride, vemo že 100+ let. 50+ let vemo, da je mogoče množično cepiti prebivalstvo in tako preprečiti oziroma omejiti epidemije. Čisto vse protokole (in pravne podlage) - za nabavo in skladiščenje zasščitnih sredstev, za izvedbo karantenskih omejitev, za organizacijo cepljenja, za preverjanje potrdil... - bi morali imeti pripravljene že zdavnaj. Nismo pa imeli v bistvu čisto nič.

Sicer pa ja, tudi če rečemo, da je ta epidemije vse presenetila, so imeli odgovorni eno leto časa za pripravo vsega potrebnega za množično cepljenje, izdajo in preverjanje potrdil... Pa niso naredili nič.

Tvoja razlaga ima brutalno napako! Isto kot ti je namreč na enem od tedeksovskih govorov izpostavil nihče drug kot sam Bill Gates …

Markus386 je 2. avg 2021 ob 18:07 izjavil:

Evo, pogruntal sem, kako preklices "ukradeno" qr kodo :D (konkretno od ministra)

V tanovi NIJZ aplikaciji (z apktoolom razpakiran apk):

Preverjanje_EU_DCP_anon $ grep -r 'URN:UVCI' .
 ./smali_classes2/dgca/verifier/app/android/verification/VerificationViewModel$decode$1.smali: const-string v3, "URN:UVCI:01:SI:C57F79FF97E528B0E053#P"
 ./smali_classes2/dgca/verifier/app/android/verification/#VerificationViewModel$decode$1.smali#: const-string v3, "URN:UVCI:01:SI:C57F79FF97E528B0E053#P"
 

Torej nekje v aplikacijski kodi se pojavi hardcodean certificate ID od ministra, ki se ponovem pokaze kot neveljaven.

Torej, ce ti kdo naskrivaj poskenira qr kodo, in jo uporablja kot svojo, samo poklices razvijalce po telefonu, oni noter v kodo zapisejo se en hardcodean certificate id, skompajlajo nov apk, potem pa tezis vsem kelnarjem in varnostnikom, da updateajo app :)

ali lahko nekdo tole malce bolj implementira... vsi pametni. Me res zanima, če se bo našel kdo in sesul tole app oz. da se naredi varnostna analiza, v stilu Dejan Ornig.