Pobegnili zasebni ključi za evropska covidna potrdila

Ales je 28. okt 2021 ob 03:03 izjavil:

Ne ni, temveč je popolnoma normalen postopek v svetu zasebnih ključev in certifikatov. Vsakodnevno se dogaja.

Đizs no, noben ne bo dobil kazni samo zato, ker so razveljavili potrdilo. Lahko imaš trenutne težave pri preverjanju na licu mesta in se boš moral za par sekund dlje ukvarjati z dokazovanjem, to je pa to.

Malo manj drame no.

Sicer je povsem res, da je to povsem normalen postopek v svetu certifikatov. Problem pa je, ker tu nismo ravno v svetu certifikatov, oz. vsaj posledice niso zgolj na podrocju certifikatov ampak zadevajo par 100 miljonov ljudi, ki nimajo pojma o certifikatih. Jaz si bom ze potegnil novo potrdilo dol, problem solved. Ampak Tu se ne gre za tistih 10 ljudi, ki jim je networking, security in certifikati business, pac pa je v to vpletenih par 100 miljonov drugih. Ze samo na ST, ki je kao tehnoloski forum (yeah you wish), 80% ljudi nima pojma, kako priti na eZvem. Sedaj pa vzemi vse ostale se manj tehnicno izobrazene ali pa cel kup penzionistov. Za njih pridobitev novega potrdila ni ravno tako hudo trivialna zadeva.
In ja se strinjam, kazni ne bos dobil, ampak mogoce ne bos mogel na avtobus k zdravniku, ne bos mogel na kosilo, ali pa na obcino po certifikat da bos lahko prisel do eZvem in s tem novega potrdila. No zares ne bos mogel niti k osebni zdravnici, kjer bi ti mogoce lahko natisnili novo potrdilo. Ce bi se drzali predpisov, te brez veljavne QR kode, ne bi spustili do tja, kjer bi lahko dobil novo. Tako da stvar ni ravno tako zelo nedramaticna, kot si ti predstavljas.
Se strinjam, da je bilo utopicno za pricakovati da se to ne bi zgodilo, ampak potem pac za te namene rabis drugacen sistem. In ne nimam pojma kaksen, samo jaz se niti obstojecega nisem spomni.

A_A je 28. okt 2021 ob 12:40 izjavil:

dsfsfawer235 je 28. okt 2021 ob 08:04 izjavil:

Oberyn je 27. okt 2021 ob 23:43 izjavil:

To je neizogibno in sem samo čakal, kdaj se bo zgodilo. Te ključe je nemogoče držati v tajnosti in jih bodo kradli kar naprej.

Neumnost. PKCS#11 poglej: PKCS 11 @ Wikipedia , tudi, ce token fizicno ukrades se vedno ne bos mogel kljucev spraviti dol, in ce bi vsaj za silo particionirali kdo ima kaksen private key, das njihove certe na revocation listo in reissuas, da pa se naprej zmanjsas kodo private keye s katerimi podpisujes rotiras enkrat na dan - spet trivialno za izvest, ko imas enkrat userja locenega od sistema za podpisovanje. Na koncu imas lahko na nivoju EU samo en kljuc, ki je dejansko nevaren, tega imas pa na tokenu, dostop das pa eni sami osebi.

Aplikaciji das seveda moznost, da preveri ali je bil dolocen podpis preklican, na serverju pa sproti delas se detekcijo anomalij (ce je bilo potrdilo hkrati uporabljeno na dveh lokacijah, ki sta prevec dalec stran ga preklices, s cemer se znebis fotokopij).

Razen tega je n nacinov kako izolirati private keye od uporabnika. Samo ocitno so celoten sistem postavljali salabajzerji.

Kar je v danasnjem software developmentu klasika.

Ko si napisal da daš dostop eni sami osebi sem nehal brat, upam da sem te narobe razumel :)

Bos pa se SSS login naredil, ce nimas niti ene osebe, ki se ji da zaupat. Kljuca iz tokena pa z ali brez ne bos dobil. Bo vredu?

dsfsfawer235 je 28. okt 2021 ob 08:28 izjavil:

WhiteAngel je 28. okt 2021 ob 08:26 izjavil:

zee je 28. okt 2021 ob 07:44 izjavil:

Eh... in jaz se tu trudim, da bi uradno pretvoril moje COVID potrillo o cepljenju v slovenski format.

Slovenski format?

Ce se prav spomnim QR koda ne vsebuje slovenskega besedila ampak standardizirane podatke. Samo napisi na aplikaciji / listu so v slovenscini.

Potrdilo o opravljenem cepljenju z Moderno iz Singapurja hočem spraviti v obliko, po možnosti elektronsko, ki bo zadostila pogoju PCT-ju. Papirja ne bi rad nosil s sabo, enako nočem natakarjem razlagat, da sem cepljen. Prekleto bukov sistem je to v Sloveniji, v Nemčiji to pretvorbo naredijo za par evrov v vsaki apoteki.

Nima EU kompatibilne kode...

zee je 28. okt 2021 ob 16:34 izjavil:

Invictus je 28. okt 2021 ob 16:31 izjavil:

Nima EU kompatibilne kode...

To, ja. Prihajam pa v Slovenijo samo zaradi potnega lista, ki se ga ne da dobiti nikjer v SV Aziji brez nekajtedenskega čakanja v karanteni in na j*dokument.

Zanimivo, kolega je bil na dopustu v tuji državi (znotraj eu) in je dobil obe kodi.

zee je 28. okt 2021 ob 16:01 izjavil:

Potrdilo o opravljenem cepljenju z Moderno iz Singapurja hočem spraviti v obliko, po možnosti elektronsko, ki bo zadostila pogoju PCT-ju. Papirja ne bi rad nosil s sabo, enako nočem natakarjem razlagat, da sem cepljen. Prekleto bukov sistem je to v Sloveniji, v Nemčiji to pretvorbo naredijo za par evrov v vsaki apoteki.

Če lahko letiš v Nemčijo naredi pretvorbo raje tam - pri nas ima itak kup folka nemške, avstrijske ...

Kako bo pa offline aplikacija izvedela, da certifikat več ne velja?

Se, ali pa ne.

Pozdravljeni,

Sicer na tej strani redno prebiram novice, ko pa sem prebral to novico se nisem mogel zadržati, da nebi komentiral.
Na kratko povedano kaj se mi je 26.10 zgodilo pri prehodu mejnega prehoda:
Popoldne sem prečkal mejni prehod brez posebnosti - pokazal sem potrdilo o cepljenju (natisnjeno), ki so ga policisti poskenirali.
Čez cca. 1 uro sem se vračal v Slovenijo in ponovno pokazal potrdilo, nakar mi policist pove, da je neveljavno!
Še sreča, da sem imel potrdilo shranjeno v telefonu.
Po skeniranju kode v telefonu je bilo to veljavno.
Preveril sem potrdilo, ki je bilo neveljavno in ga še enkrat doma skeniral s telefonom - isti rezultat-neveljavno.
Primerjal sem potrdilo na papirju in potrdilo v telefonu v zvem aplikaciji - glej ga zlomka! QR koda v telefonu in koda na papirju so se razlikovali!!!

Čudno...

LP
Andrej

Ključev kot kaže niso ukradli.
Mojstri v Makedoniji in drugod (skupaj 6 endpointov) so postavili portal za izdajo certifikatov kar na internet, brez kakšne zaščite. Nekdo je to odkril in si naredili certifikate.
Koda za portal je na githubu in verjetno vsi uporabljajo enak program.

To je posledica digitalnega fasizma, vse tiscijo na telefone... jaz imam potrdilo na papirju, ne mislim se zajebavat z aplikacijami, certifikati, smspass. Jebes to.

Ce zadeva ni vec veljavna, mi mora NIJZ poslat nov papir po posti. :)

Miki N je 28. okt 2021 ob 17:46 izjavil:

zee je 28. okt 2021 ob 16:01 izjavil:

Potrdilo o opravljenem cepljenju z Moderno iz Singapurja hočem spraviti v obliko, po možnosti elektronsko, ki bo zadostila pogoju PCT-ju. Papirja ne bi rad nosil s sabo, enako nočem natakarjem razlagat, da sem cepljen. Prekleto bukov sistem je to v Sloveniji, v Nemčiji to pretvorbo naredijo za par evrov v vsaki apoteki.

Če lahko letiš v Nemčijo naredi pretvorbo raje tam - pri nas ima itak kup folka nemške, avstrijske ...

Let do Nemčije je dvakrat dražji od leta do Ljubljane + ambasada mi ni mogla zagotoviti novega potnega lista v petih dnevih. Zgleda, da DHL dela drugače za diplomate ali nekaj.

Ok, tukaj je razlaga raziskovalca, ki si je ponaredil cert https://twitter.com/Xiloeee/status/1453...
Poleg makedoncev so bili odprti vsaj še čehi.

veteran je 28. okt 2021 ob 23:53 izjavil:

To je posledica digitalnega fasizma, vse tiscijo na telefone... jaz imam potrdilo na papirju, ne mislim se zajebavat z aplikacijami, certifikati, smspass. Jebes to.
Ce zadeva ni vec veljavna, mi mora NIJZ poslat nov papir po posti. :)

Ja ker papir je pa zanesljiv ;) To da en QR code reader precej tezje, in seveda z vecjo verjetnostjo napak, prebere en digitalen dokument, ki je potem sprintan, prepognjen in pomeckan cakal 3 mesece v zepu, kot pa original digitalen dokument shranjen recimo na telefonu, ti se ni kapnilo? O tem, da ti MORA Nijz poslati nov papir po posti pa raje sploh ne bom. Po posti so posiljali te stvari zgolj enkrat samkrat. Vsi ki so se cepili (ali so preboleli oz. se testirajo) po juniju po posti ne dobijo cisto nic. Prav tako tudi "novih" potrdil po posti ne bos dobil. Ce bos trmoglavil da ti ga MORA poslati, bos pac brez in ostal pred vrati.
PS: To da je QR koda na printanem potrdilu zaradi revokanega certifikata neveljavna ti je upam da najbrz jasno.

ToniT je 29. okt 2021 ob 08:22 izjavil:

beli je 28. okt 2021 ob 20:51 izjavil:

Pozdravljeni,

Sicer na tej strani redno prebiram novice, ko pa sem prebral to novico se nisem mogel zadržati, da nebi komentiral.
Na kratko povedano kaj se mi je 26.10 zgodilo pri prehodu mejnega prehoda:
Popoldne sem prečkal mejni prehod brez posebnosti - pokazal sem potrdilo o cepljenju (natisnjeno), ki so ga policisti poskenirali.
Čez cca. 1 uro sem se vračal v Slovenijo in ponovno pokazal potrdilo, nakar mi policist pove, da je neveljavno!
Še sreča, da sem imel potrdilo shranjeno v telefonu.
Po skeniranju kode v telefonu je bilo to veljavno.
Preveril sem potrdilo, ki je bilo neveljavno in ga še enkrat doma skeniral s telefonom - isti rezultat-neveljavno.
Primerjal sem potrdilo na papirju in potrdilo v telefonu v zvem aplikaciji - glej ga zlomka! QR koda v telefonu in koda na papirju so se razlikovali!!!

Čudno...

LP
Andrej

Verjetno je natisnjeno potrdilo iz obdobja med 24. in 29. junijem: Članek

Ni je iz sredine maja.

borko je 29. okt 2021 ob 08:05 izjavil:

Ok, tukaj je razlaga raziskovalca, ki si je ponaredil cert https://twitter.com/Xiloeee/status/1453...
Poleg makedoncev so bili odprti vsaj še čehi.

Dobro, samo tole ni pobegli zasebni ključ, le odprta storitev za podpisovanje... očitno je bila malo prenapihnjena tale novica.

https://twitter.com/NIJZ_pr/status/1454...

Toliko o aplikaciji zVem. Res smo šalabajzerji.

LeQuack je 30. okt 2021 ob 12:04 izjavil:

WhiteAngel je 30. okt 2021 ob 10:08 izjavil:

LeQuack je 30. okt 2021 ob 01:46 izjavil:

Če bi vso računsko moč ki gre za rudarjenje kripto valut usmerili v hack ključa, koliko časa bi potrebovali?

50 let?

To si naračunal ali kar tako? Ker računska moč ki gre za rudarjenje je ogromna, tako da tudi z brute force najbrž bi rabil manj kot 50 let.

Ne, trenutna težavnost je nekaj čez 70 bitov, za kar rabijo rudarji okoli 10 minut. Ti želiš najti vseh 256 bitov. Potrebno delo, da najdeš vsak naslednji bit je 2x do tedaj vloženega dela. QR koda ima ravno tako SHA256 zgoščevanje, kolikor vem.

Dax je 30. okt 2021 ob 13:40 izjavil:

https://twitter.com/NIJZ_pr/status/1454...

Toliko o aplikaciji zVem. Res smo šalabajzerji.

Vprašanje je če zgolj nekaterim. Včeraj na črpalki , ta zadrega. Na koncu pravi prodajalka, dobro je meni tudi ne odpre...

Zimonem je 30. okt 2021 ob 15:39 izjavil:

Vprašanje je če zgolj nekaterim. Včeraj na črpalki , ta zadrega. Na koncu pravi prodajalka, dobro je meni tudi ne odpre...

Kaj? Nas, pomilovanja vrednih osebkov, ne maltretirajo posebej, tu in tam že, ampak menda vedno 'izgleda, da nekaj bo'. Ali pa to.

WhiteAngel je 30. okt 2021 ob 00:10 izjavil:

beli je 28. okt 2021 ob 20:51 izjavil:

Pozdravljeni,

Sicer na tej strani redno prebiram novice, ko pa sem prebral to novico se nisem mogel zadržati, da nebi komentiral.
Na kratko povedano kaj se mi je 26.10 zgodilo pri prehodu mejnega prehoda:
Popoldne sem prečkal mejni prehod brez posebnosti - pokazal sem potrdilo o cepljenju (natisnjeno), ki so ga policisti poskenirali.
Čez cca. 1 uro sem se vračal v Slovenijo in ponovno pokazal potrdilo, nakar mi policist pove, da je neveljavno!
Še sreča, da sem imel potrdilo shranjeno v telefonu.
Po skeniranju kode v telefonu je bilo to veljavno.
Preveril sem potrdilo, ki je bilo neveljavno in ga še enkrat doma skeniral s telefonom - isti rezultat-neveljavno.
Primerjal sem potrdilo na papirju in potrdilo v telefonu v zvem aplikaciji - glej ga zlomka! QR koda v telefonu in koda na papirju so se razlikovali!!!

Čudno...

LP
Andrej

QR koda vsebuje tudi datum, kdaj je bila generirana. Zato je vsakič drugačna, ko jo izvoziš.

Poskusi tisto staro kodo odkodirati in poglej, v čem se vsebina razlikuje (npr. tule https://greenpass-decoder.debbaweb.it/). Mogoče imaš šele podatek o enem cepljenju namesto obeh odmerkov?

Preveril, vsi podatki so enaki na obeh potrdilih, razen Unique Certificate Identifier - UVCI, ki so mi ga očitno spremenili.

Ali se prekličejo potem tudi vsi pravilno izdani certifikati od datuma naprej, ko je bil ključ ukraden?

Plastiq je 1. nov 2021 ob 08:48 izjavil:

Ali se prekličejo potem tudi vsi pravilno izdani certifikati od datuma naprej, ko je bil ključ ukraden?

Danes mi ukradejo kljuce od avta ... ali mi ga (avto namrec) lahko s temi kljuci odklenejo samo od danes naprej rojeni (ne)zemljani, ali tudi kdo drug? Ne vem, kaj mislite?

LightBit je 30. okt 2021 ob 15:18 izjavil:

Mislim da ima ECDSA P-256, ki je uporabljen, približno 128-bitno varnost.

Ok, dajmo izračunat. Trenutno je težavnost zadnjega bloka 76 bitov. Najti jih je treba še 52. Če bi vso aktualno računsko moč bitcoina usmeril v iskanje ključa, bi potreboval 10 minut * 2^52 časa = slabih 86 milijard let.

Mislim, da brute force ne bo pomagal, četudi je "blazna računska moč" zadaj.