moonmile
commented
4 years ago この部分は、実は 6月中旬に Covid19Rader のコードが公開されたときから気になっていたところで、晴れて cocoa-mhlw のほうが公開になったので再びチェックしたところなのです。
cocoa-mhlw のコードが、サーバーサイドで動作していると仮定して、
陽性者登録 diagnosis が呼び出され、 https://github.com/cocoa-mhlw/cocoa/blob/master/src/Covid19Radar.Api/DiagnosisApi.cs#L50
ここのところで、
// validatetion VerificationPayload
var verificationResult = await VerificationService.VerificationAsync(diagnosis.VerificationPayload);
if (verificationResult != 200)
{
return new ObjectResult("Bad VerificationPayload") { StatusCode = verificationResult };
}CustomVerificationService.VerificationAsync を呼び出している。
public async Task<int> VerificationAsync(string verificationPayload)
{
Logger.LogInformation($"start {nameof(VerificationAsync)}");
var payload = $@"{{
""{VerificationPayloadParameterName}"": ""{verificationPayload}""
}}";
var content = new StringContent(payload);
var response = await Client.PostAsync(Url, content);
if (!response.IsSuccessStatusCode) return 503;
var responseBody = JsonConvert.DeserializeObject<ResponseCustomVerification>(await response.Content.ReadAsStringAsync());
return await GetResultStatus(responseBody.Result);
}この中で、多分 HER-SYS 相当を呼び出して処理番号が正しいかどうかをチェックする訳ですが、
- 処理番号という個人データを、cocoa server に通してよいのか？
- 処理番号自体は、直接 HER-SYS が扱い、改めて個人持ちのスマホから cocoa server に上げるのが良いのでは？
という疑問の提起です。
これは根本的には
- COCOA server に userUuid を送っているから処理番号位は問題はない。一時間で消えるし（実際私もそう思う）。
- スマホから COCOA server も厚生労働省の管轄のうちだから、HER-SYS と COCOA Server は一体化していても問題はない。
と対立するので、この部分を明確にしておきたいなと思った次第なのです。
Google のシーケンスで Verification server と Key server が別になっているのは、
- Verification Server は、政府持ちの保健省
- Key Server は、接触データ管理の別部門（場合によっては Google の Firebase とか）
を視野にいれているのかなと思っています。TEKs 自体は list.json と zip で誰でもダウンロードできるから公開情報扱いでよい。verificationPayload で送られる処理番号は個人情報なので、非公開扱いにする、という境界線を明確にするためです。
rocaz
現状では陽性判明者が要求？すれば、COCOAでの登録のための8桁数字の処理番号が1時間有効なOTP(PIN)としてHER-SYSから払い出され、これをCOCOA(モバイルアプリ)から入力することで陽性者TEKの登録がVerification Serverを経由して行われます。 この際にアプリからPOSTされるJSONはCOCOAでも下記のGoogleによるリファレンス？の形式に従っているように見えましたが、
https://google.github.io/exposure-notifications-server/server_functional_requirements
COCOAでは上記の’verificationPayload’が8桁OTPそのままなのですが(@moonmile さんから頂いた情報による https://github.com/openCACAO/cocoa-issues/issues/22 )、同じく下記リファレンスにもあるように一旦OTPを保険当局側システムでVerifyさせた後に、JWTトークンを発行して、これを’verificationPayload’の値としてPOSTすることになっているようです。
https://google.github.io/exposure-notifications-server/design/verification_protocol
個人的にOTPを単純に送る方法に違和感があったのですが、OTPを一旦発行元での確認の後新たなClaim TokenでのVerificationを正とすることでリプライ攻撃など防ぎやすいということかな？
いずれにしても、この’Verification Protocol’については、”Use of the verification protocol is HIGHLY recommended”とされています。