какая информация содержится в qr коде пцр теста

Лаборатории нашли защиту от поддельных справок о результатах тестирования на COVID-19

Рынок лабораторных исследований реагирует на участившиеся случаи подделок тестов на COVID-19. Компании вводят дополнительные меры защиты справок о результатах тестирования.

В связи с увеличением количества поддельных результатов теста на COVID-19 крупные игроки рынка ищут способы противостоять мошенникам. Так, в лаборатории «Гемотест» сообщили «МВ», что добавят новую информацию в справки, выдаваемые пациентам по результатам ПЦР-исследования и анализа на антитела IgM и IgG.

«Сейчас пациенты «Гемотеста» получают по электронной почте два документа: стандартный бланк результатов и справку с уникальным QR-кодом на русском и английском языках. В ней содержатся Ф. И. О. пациента, дата рождения, адрес проживания и дата выполнения исследования. Со 2 декабря в справке к результатам ПЦР-теста и анализов на антитела к коронавирусу будут выводиться паспортные данные пациента и описание метода исследования», – рассказали в компании.

Если результаты теста присутствуют в системе, пользователь получит ответ «Справка действительна». В этом случае на экране будут отображаться только Ф. И. О. пациента и дата его рождения. Если нет – появится надпись «Справка недействительна» и предупреждение о том, что документ может быть подделкой, уточнили в «Гемотесте».

Как рассказали «МВ» в компании, некоторые работодатели сами заказывают поддельные справки о результатах тестов своих сотрудников. А изготовители «липы» научились подделывать даже уникальный QR-код, который, правда, не распознается при сканировании.

«Рынок поддельных справок на коронавирус – это проблема всех крупных коммерческих лабораторий. У нас нет данных о возможных убытках или упущенной выгоде, поскольку мы не имеем представления об объеме теневого оборота таких «документов», – рассказал «МВ» административный директор «Гемотеста» Сергей Шумаров.

Ранее служба безопасности компании обратилась в правоохранительные органы с жалобой на сайты, на которых продавали поддельные справки с результатами тестов на COVID-19, похожие на документы «Гемотеста».

Обращение на рынке поддельных справок подвердили в компании «Инвитро». По словам представителя комании, такие факты не носят массовый характер, хотя в период пандемии они стали чаще.

«Мы ввели QR-кодирование еще в начале 2019 года. Если человек, наводя телефон на подлинный QR-код на справке, видит полностью открывающийся документ, результат исследования подлинный. Если справка или бланк поддельный, то документ просто не открывается или ссылка ведет в никуда. Практика показывает, что это вполне эффективный инструмент, позвляющий, с одной стороны, защитить данные пациента, с другой – верифицировать выдаваемые документы», – рассказала «МВ» сотрудник компании.

В «Хеликс» сообщили, что им не известны случаи фальсифицирования результатов исследований на бланках компании, но их также изначально защищает QR-код. «Методы защиты, которые использует «Хеликс», позволяют предпредить возможность появления поддельных бланков и исключить использование персональных данных клиентов третьими лицами», – заявила заместитель генерального директора лабораторной службы «Хеликс» Дарья Горякина.

Источник

Реверс-инжиниринг QR-кода для доказательства вакцинации

Когда Квебек объявил, что будет рассылать электронные письма с подтверждением вакцинации всем, кто был вакцинирован с помощью прикрепленного QR-кода, у меня немного подкосились колени. Мне не терпелось разобрать его на части и покачать головой из-за количества частной медицинской информации, которая, несомненно, будет раскрыта в процессе.

Наконец-то пришло мое подтверждение вакцинации, и результат… вообще-то неплохой. Тем не менее, в хаках с нулевым разглашением всегда есть какое-то удовольствие, поэтому я все равно решил написать о своем опыте в блоге.

Мое первое впечатление было: «Боже мой, это излишне большой QR-код». Под QR-кодом перечислено не так много информации, поэтому они наверняка кодируют все виды личной информации без моего ведома. Знаете, как тот штрих-код на обратной стороне ваших водительских прав.

Естественно, первое, что я сделал, — отсканировал код с помощью приложения QRcode.

Интересно. Я думал, что там будет старый добрый JSON в бинарном формате, но все было иначе. Кажется, что кодировать кучу цифр в base64 неэффективно, но им удалось запихнуть все в один QR-код.

Небольшой поиск привел меня к схемам IANA’s Big Book O’ URI Schemes, где shc указан как предварительно зарегистрированный под названием SMART Health Cards Framework. Так что это не просто то, что правительство Квебека придумало на ходу, это на самом деле часть реального проекта! Это обнадеживающе и неожиданно.

Оказывается, у этого формата есть обширная документация и очень разумные цели дизайна, которые я нахожу как облегчением как держателя такого кода, так и немного разочаровывающим, когда кто-то собирается разобрать его целиком. Но не важно! У меня есть код и документ, которому нужно следовать, так что давайте снимем крышку и заглянем внутрь.

Согласно документу, использование числового режима для кодирования данных QR-кода обеспечивает немного более высокую плотность данных, чем использование двоичного режима, что объясняет гигантский URI чисел, а не более разумную строку в кодировке base64. Первая загадка раскрыта.

Из этого можно извлечь несколько вещей. Во-первых, очевидно, что PHP по-прежнему остается моим быстрым языком программирования. Как печально, но мы отложим это личное откровение для дальнейшего самоанализа.

С технической точки зрения, теперь все выглядит как строки в кодировке base64. И, конечно же, документ говорит мне, что я должен смотреть на JWS, то есть на подписанный веб-токен JSON.

Я сделаю паузу и скажу, что на самом деле это отличный вариант использования JWT. По сути, вместо какого-то бессмысленного токена или гигантского блока конфиденциальных данных концепция JWT подразумевает, что я должен ожидать список разрешений, на которые я имею право, завернутый в большой двоичный объект, который криптографически подписан эмитентом (в данном случае, Quebec Santé et Services sociaux).

Эта модель хороша тем, что ее может проверить любой, у кого есть соответствующий открытый ключ, даже без подключения к Интернету. Кроме того, ответ на вопрос «имеет ли это лицо право сесть на борт самолета / посетить концерт / посетить резиденцию для пожилых людей?» должны напрямую отвечать встроенным, а не косвенно подразумеваемым через проприетарный API или кучу тайных полей, связанных с номерами партий вакцины и т. д.

Теперь у меня нет копии соответствующего открытого ключа, но тело должно быть подписано, а не зашифровано, поэтому я все еще могу его прочитать.

Возможно, в духе реверс-инжиниринга мне следует вручную демонтировать JWS, но это довольно хорошо документированная (и, что немаловажно, хорошо реализованная) спецификация. Я собираюсь пойти на ленивый выход и использовать для этого пакет Composer web-token/jwt-framework.

Итак, мы успешно декодируем заголовок, но тело не приходит. Подсказка здесь — это «zip»: «DEF» в заголовке, как также указано в спецификации.

полезная нагрузка сжимается с помощью алгоритма DEFLATE (см. RFC1951) перед подписанием (обратите внимание, это должно быть «сырое» сжатие DEFLATE, без каких-либо заголовков zlib или gz

NB: мы декодируем, а затем перекодируем объект JSON, чтобы добавить пробел для удобства чтения, указав константу JSON_PRETTY_PRINT

Там немного больше личной информации, чем строго необходимо, хотя я полагаю, что сочетание имени и даты рождения с удостоверением личности с фотографией — разумный процесс. Они также предоставляют конкретные сведения о вакцинах, а не конкретные разрешения, как я надеялся. Опять же, это делает все более удобным для использования в разных юрисдикциях и избавляет от необходимости повторно выпускать JWS каждый раз при изменении политики, что в случае Квебека происходит примерно два раза в неделю.

На протяжении всего этого анализа я задавался вопросом, что может помешать кому-то просто предъявить совершенно действительное доказательство вакцинации другого человека. Поскольку все тело подписано криптографической подписью, вы не можете изменить чужое доказательство вакцинации, чтобы добавить свое имя, а это означает, что соединение доказательства вакцинации с удостоверением личности с фотографией — вполне разумный план. Это, безусловно, будет иметь место в аэропортах, но я очень сомневаюсь, что на спортивных объектах и ​​т. Д. Будут просить второе удостоверение личности. Они просто отсканируют QR-код, увидят галочку на своем устройстве и перейдут к следующему.

Одна напутственная мысль: в то время как мой процесс был направлен на выяснение того, какие из моих личных данных кодируются в QR-коде, модель JWT печально известна тем, что ее легко испортить, либо забывая проверить перед анализом данных, либо разрешая токены без подписи. Если реализации не соблюдают центральный белый список авторизованных подписывающих лиц, было бы тривиально легко создать совершенно действительный токен, который вы подписываете своим собственным ключом. Как всегда, безопасность модели действительно зависит от того, насколько строго проверяющая сторона обеспечивает соблюдение стандарта.

Однако оказывается, что единственная личная информация — это именно та информация, которая содержится в полном PDF-документе о вакцинации: имя, дата рождения, пол (по какой-то причине), а также информация о дате и конкретных дозах, которые владелец получил на сегодняшний день. Если вас устраивают последствия для конфиденциальности предъявления водительских прав в баре, вы не должны больше беспокоиться о том, что вас попросят предъявить доказательство вакцинации.

Код представляет собой целую кучу мусора, но если вы хотите увидеть, что находится в вашем собственном QR-коде, вы можете проверить репозиторий GitHub для этого поста.

Источник

Как получить QR-код сертификата о вакцинации Covid-19 для посещения общепита и массовых мероприятий

1. Нужен ли QR-код для посещения предприятий общепита и массовых мероприятий численностью более 500 человек?

В соответствии с действующей редакцией Указа Мэра Москвы № 68-УМ (с изменениями, внесенными № 35-УМ, № 37-УМ, № 40-УМ и № 42-УМ), с 19 июля 2021 года предприятия общественного питания не обязаны проверять QR-коды у посетителей. При этом организации сами могут принять решение о проверке QR-кодов, и в таком случае вам нужно будет предъявить QR-код и документ, удостоверяющий личность. Заранее уточните, потребуется ли вам QR-код.

Для посещения массовых мероприятий численностью более 500 человек вам потребуется предъявить QR-код и документ, удостоверяющий личность. Летние сезонные кафе можно посещать без QR-кода при условии, если эти кафе соблюдают специальные требования по санитарной безопасности.

Возможность оформить QR-код сохраняется.

2. Кто может получить QR-код для посещения ресторанов и массовых мероприятий?

QR-код для посещения ресторанов и массовых мероприятий могут получить:

Доступ к QR-коду можно получить с 25 июня. Его можно сохранить на телефон или распечатать. Для всех заведений используется один QR-код.

QR-код о вакцинации, полученный на портале госуслуг РФ или в приложении «Госуслуги СТОП Коронавирус» до 25 июня и после, также является действительным.

3. Как использовать QR-код?

Сохраните QR-код на телефоне или распечатайте. При входе в помещение сотрудник ресторана или организатор мероприятия может попросить вас показать QR-код и документ, удостоверяющий вашу личность. Затем он отсканирует QR-код и сверит полученную информацию с данными документа, удостоверяющего вашу личность.

4. Где получить QR-код вакцинированным?

Если вы прошли вакцинацию в медицинском учреждении, подведомственном Департаменту здравоохранения города Москвы, в павильонах «Здоровая Москва», крупных торговых центрах и других общественных местах, имеете московский полис ОМС или прикреплены к московской поликлинике, вы можете получить QR-код:

Если вы прошли вакцинацию в частном медучреждении или государственном медучреждении, не подведомственном Департаменту здравоохранения Москвы, а также в том случае, если у вас нет московского полиса ОМС и вы не прикреплены к московской поликлинике, вы можете получить QR-код:

Обратите внимание: бумажный сертификат о вакцинации без QR-кода, полученный при введении вакцины непосредственно в медучреждении, не является основанием для доступа в заведение общественного питания или на массовое мероприятие. Такие сертификаты приниматься не будут.

5. Где получить QR-код переболевшим?

Если вы переболели коронавирусной инфекцией в течение последних шести месяцев и у вас есть соответствующая запись в ЕМИАС, вы можете получить QR-код:

Если вы не обращались к врачу или переболели бессимптомно, вы не сможете получить QR-код о перенесенной болезни. Если данных о том, что вы переболели, нет в федеральном реестре заболевших, вам нужно будет сдать ПЦР-тест в одной из лабораторий, подключенных к ЕМИАС, и получить QR-код, подтверждающий наличие отрицательного ПЦР-теста.

Обратите внимание: справка о наличии антител к COVID-19 не является основанием для доступа в заведение общественного питания или на массовое мероприятие. Такие справки приниматься не будут.

6. Где получить QR-код, если у меня отрицательный результат ПЦР-теста?

Иностранные граждане могут сдать ПЦР-тест в одной из лабораторий, подключенных к ЕМИАС, и получить QR-код с помощью сервиса mos.ru/qr.

7. Что делать, если на mos.ru нет QR-кода?

Если вы лечились от COVID-19 не в медицинских учреждениях, подведомственных Департаменту здравоохранения города Москвы (в частных или ведомственных медучреждениях или медучреждениях других субъектов РФ), и воспользовались сервисом получения QR-кода mos.ru/qr, но QR-код не был найден, проверьте корректность указанных ФИО и дату рождения. Данные должны совпадать с теми, которые были указаны при вакцинации.

Если QR-код не был найден, обратитесь в техническую поддержку портала госуслуг РФ, чтобы направить обращение в медицинскую организацию, в которой делалась прививка.

Если вы сдавали ПЦР-тест, но не можете получить QR-код, обратитесь в медицинскую организацию в городе Москве, в которой вы делали тест, для проверки корректности переданных данных в ЕМИАС.

Источник

Чем отличаются «ковидные» QR-коды в ЕС и почему их сложнее подделать?

С 1 июля в странах ЕС, а также в Исландии, Лихтенштейне, Норвегии и Швейцарии запустили систему цифровых сертификатов COVID-19 (EU DCC, European Union Digital COVID Certificate). Предполагается, что они будут действовать в течение одного года.

Сертификат можно получить как в бумажной, так и в электронной форме. Согласно регламенту ЕС, всего предусмотрено три вида документов:

· сертификат о проведенной вакцинации против COVID-19;

· сертификат о результатах лабораторных анализов на COVID-19;

· сертификат о том факте, что человек переболел COVID-19 (в этом случае сертификат будет действителен в течение 180 дней после положительного теста).

Получить такой документ можно как в цифровом, так и в бумажном варианте.

Как работает цифровой сертификат COVID-19 в ЕС?

1. Сертификат содержит QR-код с цифровой подписью для защиты от подделки.

2. При проверке сертификата сканируют QR-код и проверяют цифровую подпись.

3. Каждый орган (например, больница, испытательный центр, орган здравоохранения), выдающий сертификат, имеет свой собственный ключ цифровой подписи. Все они хранятся в защищенной базе данных в каждой стране.

4. Для проверки подписи создан специальный шлюз, при этом через него не проходят персональные данные. ЕС также разработал для стран-участниц программное обеспечение и приложения для выдачи, хранения и проверки сертификатов.

У каждого сертификата есть уникальный QR-код, который имеет ряд цифровых символов и служит своего рода цифровой подписью, заверением в достоверности включенной в сертификат информации. Просканировав QR-код специальным приложением для считывания, можно убедиться, что сертификат аутентичный, а не фальшивый.

Проверка европейских QR-кодов (в отличие от российских) проходит офлайн c помощью специальных приложений и ключей к ним. Проверяют только действительность и подлинность сертификата путем проверки того, кто выдал и подписал его. Все данные о состоянии здоровья остаются у государства-члена ЕС, выдавшего цифровой сертификат в ЕС. Таким образом, при проверке QR-кода проверяют только цифровые подписи, без обработки персональных данных.

Чем европейский QR-код отличается от российского?

В отличие от российского европейский QR-код проверяют с помощью специального приложения и ключей, которые создают удостоверяющие центры каждой страны.

Ключи, необходимые для проверки цифровой подписи, хранятся на серверах национального уровня. Через специальный шлюз доступ к этим ключам могут получить национальные приложения или системы проверки по всему ЕС. Без ключа отсканировать QR-код обычным приложением нельзя. Можно увидеть только заархивированный файл.

В российских QR-кодах содержится гиперссылка с идентификатором сертификата о вакцинации, о перенесенном COVID-19, или с результатами ПЦР-теста. При проверке QR-код сканируют, открывают ссылку в специальном приложении или обычном браузере и потом сравнивают персональные данные на открывшейся странице с предъявляемым удостоверением личности (часть данных при этом скрыта).

Ненадежность такого QR-кода заключается в том, что его можно «проверить» в любом браузере. Проверяющему могут подсунуть поддельный QR-код со ссылкой на мошеннический сайт, который будет выглядеть как портал госуслуг или сайт московского правительства.

Фальшивый QR-код проверяющий может выявить, если он внимательно изучит ссылку либо установит официальное приложение, которое автоматически проводит такую проверку. Специального портала, через который будут передаваться ключи для проверки аутентичности QR-кодов, в России нет.

В чем преимущество цифрового сертификата ЕС?

Сертификат выдается бесплатно и признается всеми 27 странами-членами ЕС, а также Швейцарией, Исландией, Норвегией и Лихтенштейном. Документ доступен на национальном и английском языках. Главное преимущество сертификата — это QR-код, а также цифровой ключ, необходимый для проверки подлинности кода.

Кому выдают цифровые сертификаты?

Цифровые сертификаты выдают только тем, кто привился одной из вакцин, зарегистрированных в Евросоюзе. Сейчас их четыре: BioNTech/Pfizer, Moderna, AstraZeneca и Johnson & Johnson.

Источник

Об отслеживаемости и поддельных тестах на коронавирус

Правительства многих стран, когда вводили требование иметь отрицательный результат теста на коронавирус при посадке на рейс в свою страну, специально прописали принципы отслеживаемости. Кроме прочих данных, результат должен содержать данные лаборатории, которая проводила тест, уровень ее аккредитации в национальной системе здравоохранения, и штрих-код или QR-код. Штрих-код — это двухмерный код из столбиков разной ширины, а QR-код — это квадрат с геометрическим узором сложной формы. В штрих-коде должен быть «вшит» тот же результат, что и на бумаге, но в электронном виде, а перейдя по QR-коду, можно попасть на страницу лаборатории с данными теста. Именно поэтому важность языка документа уходит на второй план — достаточно несколько общепонятных терминов и данных пассажира латиницей. Об этом мы писали ранее.

Результат теста должен быть только в оригинале, на бумаге или в электронном виде. Это значит, что ксерокопия или сканированная электронная копия не должны приниматься.

Требование отслеживаемости теста содержится в директивах правительств США, Канады, Испании, Франции, Нидерландов и, видимо, еще целого ряда стран. Ответственность по проверке достоверности тестов возложена на авиакомпании. В этом случае авиакомпания обеспечит техническую возможность для сканирования кодов и быстрой проверки результата. Если результат теста окажется или покажется недостоверным, просроченным или таким, который невозможно проверить, авиакомпания должна отказать в посадке на рейс или пассажир должен сдать новый тест по прилету в страну назначения.

При путешествии в некоторые страны миграционные органы могут проводить повторную проверку результатов тестов уже по прибытии. А, например, по прилету в Нью-Йорк из ряда стран добавляется обязательное короткое собеседование с сотрудником органов здравоохранения.

Разумеется, не все страны столь строги и не все возлагают ответственность за проверку результатов тестов на авиакомпании. Но ответственных стран становится все больше. И в российской, и в мировой прессе в последнее время появляется все больше сообщений о поддельных тестах, а в Интернете — предложений о продаже таких результатов. Прям как грибов после дождя.

В конце концов, достоверность результатов теста могут не проверять вообще. Все зависит от щепетильности авиакомпании и строгости страны въезда. Но если у кого-то не проверили, это не значит, что не проверят у вас. Если авиакомпания не проверяет сегодня, это не значит, что не начнет проверять завтра. Минимум, чем рискует пассажир с поддельным результатом теста, — ему откажут в посадке на рейс или во въезде в страну. Но в некоторых странах за подделку результатов ПЦР-тестов предусмотрены крупные штрафы, а в ряде стран Европы — еще и арест.

Здесь мы рассказали только о тестах для авиаперелетов. Но масштаб тестирования гораздо шире. Компании тестируют своих работников, чтобы остальной коллектив оставался здоров, транспортные компании — экипаж, чтобы обезопасить пассажиров, отели — служащих, чтобы защитить гостей. Владельцы бизнеса вряд ли будут церемониться с работниками, если выяснится, что предоставленными ими результаты тестов поддельные.

ТОП-20 экскурсий в мексиканском Канкуне, которые сделают вас звездой инстаграмма. Подземные озера-сеноты, древние пирамиды, тематические парки, райские пляжи, плавание в открытом океане с акулами и черепахами.

Все экскурсии на русском языке. Полный список экскурсий с ценами можно посмотреть здесь.

Источник