COVID-сертифікат важко підробити, більшість «лівих» сертифікатів виписують лікарі-хабарники — ІТ-експерт

IT-експерт Андрій Баранович (відомий як Шон Таунсенд), «провідний хакер України», розповів, як працює інфраструктура COVID-сертифікатів у нас та за кордоном. Експерт пояснює, що дані про щеплення вносяться лікарями до національної медичної бази даних. В Україні це ЕСОЗ (у підпорядкуванні МОЗ та НСЗУ).

«У нормальних країнах видачею сертифікатів займається МОЗ. І його можна отримати одразу після щеплення, на е-мейл, якщо залишити його лікарю, в аптеці, як у Німеччині — там сертифікат із QR-кодом можна отримати за українською паперовою довідкою. Або на спеціальному сайті з мінімальною автентифікацією, це може бути податковий номер + дата народження або щось подібне», — розповідає Шон Таунсенд.

Він говорить, що може здатися, що таке рішення не є цілком безпечним, але якщо ви знаєте ім'я та дату народження, і в сертифікаті є ім'я та дата народження, то нової інформації ви не отримаєте.

«Не може потекти те, що супротивник і так уже знає. Проте подібний підхід можна покращити, якщо захистити форму введення капчею або випадковим піном, що видається в офлайні при вакцинації», — переконаний експерт.

Він пояснює, що COVID-сертифікат важко підробити, оскільки всі дані в сертифікаті підписані цифровим підписом ECDSA NIST P-256, у випадку України секретний ключ для підпису зберігається в Міністерстві цифрової трансформації.

«Незважаючи на панічні чутки, жоден із ключів країн-учасниць досі не потік. Якщо це станеться, всі сертифікати, підписані скомпрометованим ключем, будуть відкликані, і їх доведеться отримувати заново. Сертифікати «Гітлера» були створені або лікарями-жартівниками, або через бекенд Північної Македонії, який помилково опинився у відкритому доступі. Стандарт передбачає також чорний список відкликаних сертифікатів (в Україні не працює). Більшість «лівих» сертифікатів виписують лікарі-хабарники, не тільки у нас, а й у всьому світі. Ціна коливається від $300 до $500», — розповідає Шон Таунсенд.

Нагадаємо, спочатку Гітлер, потім Міккі Маус та Спанч Боб отримали сертифікати про вакцинацію.

Також ми розповідали, що COVID-сертифікат — звичайна медична довідка: IT-експерт про інформацію в QR-коді.

Окрім того, IT-експерт розповів, як безпечно отримати COVID-сертифікат із QR-кодом: зносьте «Дію», нічим добрим це не закінчиться.