CBOR-Webtoken als QR-Code

Die technischen Dienstleister wie IBM, Ubirch und Bechtle in Deutschland setzen dabei auf traditionelle kryptografische Verfahren, um Integrität und Authentizität der Daten sicherzustellen. Anders als ursprünglich geplant, wurde dabei auf die Blockchain-Technik verzichtet.

Dabei dürfte auch eine Rolle gespielt haben, dass der digitale Impfnachweis in allen EU-Ländern funktionieren muss. Das heißt: Die Verfahren zur Generierung und Überprüfung der Nachweise sollten in allen Mitgliedstaaten einfach implementiert werden können. Zudem sollten die Nachweise untereinander kompatibel sein. Daher wurde auf bewährte Verfahren wie eine Public-Key-Infrastruktur zurückgegriffen.

Öffentliche Schlüssel auf zentralen Servern verfügbar

Diese setzt auf ein asymmetrisches Verfahren zur Schlüsselgenerierung. Die von der EU vorgegebenen Datenfelder wie Name, Vorname, Geburtsdatum, Impfstoff, Hersteller und Ablaufdatum werden zunächst gehasht. Dieser Wert wird mit dem privaten Schlüssel des Ausstellers in eine Signatur umgewandelt. Zu den Ausstellern gehören Impfzentren, Arztpraxen oder Apotheken.

Der öffentliche Schlüssel wird auf Server in Deutschland und ein europäisches Gateway in Luxemburg hochgeladen. Das Gateway wurde bereits in Betrieb genommen. Die Datenfelder werden ebenso wie die Signatur in ein CBOR-Webtoken (CWT) umgewandelt. Dieser Datensatz wird in einen QR-Code gepackt, der ausgedruckt und dann von der eigentlichen Covpass-App eingelesen werden kann. Die Corona-Warn-App soll künftig ebenfalls den QR-Code einlesen und anzeigen können.

Personalausweis erforderlich

Dieser QR-Code kann auch von der Prüf-App gelesen werden. Die Daten sind digital signiert. Die App lädt regelmäßig alle öffentlichen Schlüssel herunter und prüft die digitale Signatur der im QR-Code gespeicherten Daten. Dabei wird nicht unterschieden, ob es sich um eine Impfung, einen negativen Test oder die Bestätigung einer überstandenen Infektion handelt.

Die in der Prüf-App angezeigten persönlichen Daten müssen allerdings anhand eines Personalausweises oder Reisepasses überprüft werden. Jede Covpass-App kann mehrere Impfnachweise einscannen. So können Eltern die Zertifikate ihrer Kinder vorzeigen. Die Prüfapp soll nicht in der Lage sein, die Daten der überprüften Personen zu speichern.

Erste Dokumente online

Die Entwickler haben erste Dokumente zum deutschen digitalen Impfnachweis bereits auf Github hochgeladen. Auf Pathcheck.org gibt es ebenfalls die Möglichkeit, testweise solche Zertifikate zu generieren. Dort ist es auch möglich, die Daten des Webtokens zu dekodieren.