Evropska kovidna potrdila - QR, ki odklepa svet

Nenadoma vsepovsod molímo črno-bele kvadrate, ki so še najbolj podobni igralni plošči za go. S kratkim piskom in z zeleno kljukico na mobilnem telefonu nam odprejo pot do storitev, ki jih varuje mogočni pogoj PCT. Svet je začel še bolj množično uporabljati kode QR, mi pa bomo pogledali, kako delujejo. Kaj v njih piše, kako poteka zagotavljanje verodostojnosti in zakaj za uporabo ne potrebujemo dostopa do interneta.

Digitalno covidno potrdilo za Adolfa Hitlerja, rojenega 1. 1. 1900, slovenska aplikacija še vedno prepozna kot veljavno.

Še pred dvema letoma so bile kode QR novodobna zanimivost, s katerimi so imeli opravka tehnološko bolje podkovani. Še najpogosteje so bili v njih zapisani spletni naslovi, na katere nas je telefonski aparat popeljal, ko smo kodo fotografirali. V restavracijah so imeli lahko tako urejene jedilne menije, na učnih poteh so bile tako dostopne dodatne informacije ipd. Različne vstopnice in vozovnice so bile shranjene v kodah QR, z njimi smo lahko prenašali podatke za povezovanje naprav (npr. geslo za Wi-Fi), ponekod so služile kot žeton za prijavo. Potem pa so kode QR nepričakovano odigrale pomembno vlogo v urejanju kaotičnega sveta, ki ga je pestila epidemija. Izpolnjevanje pogoja PCT – prebolelost, cepljenost ali testiranost – lahko po novem dokazujemo s kodo QR, zato si velja ogledati, kako delujejo. Seveda pa to ni edini način. PCT je status, koda QR pa zgolj eden izmed standardiziranih načinov za dokazovanje. Povsem enako lahko storimo s papirnim cepilnim kartončkom ali – vsaj v teoriji – z zdravniškim izvidom o prebolelosti.

Začelo se je v avtomobilski industriji

QR pomeni quick response in predstavlja najpogostejšo vrsto dvodimenzionalne črtne kode, ki omogoča hitro in zanesljivo strojno prepoznavanje zapisanih podatkov. Izumili so jo že leta 1994, ko je japonsko podjetje Denso, glavni dobavitelj Toyote, potrebovalo učinkovit način za sledenje komponentam v avtomobilskih proizvodnji. Običajna (enodimenzionalna) črtna koda sega v 40. leta prejšnjega stoletja in zapisuje 12 števk, kar je bilo v Densu že premalo. Posamezne komponente so imele več črtnih kod, ki so jim morali delavci odčitavati, da so našli, kam kaj sodi. Potrebovali so način za zapis več podatkov.

Masahiro Hara je začel iskati rešitev in kmalu ugotovil, da bo potreboval dvodimenzionalni zapis, s čimer bi bistveno povečal kapaciteto. Ni bil prvi, ki je razvijal dvodimenzionalno črtno kodo, je bil pa gotovo najuspešnejši. Pri tem mu je bila v navdih plošča s postavljenimi kamni v igri go. A da bi čitalniki hitro in zanesljivo brali kodo, je bilo treba jasno označiti orientacijo. Hara je zato kvadratno kodo QR opremil s prepoznavnim belim prostorom okoli kvadrata, v tri njegova oglišča pa je vtisnil tri značilne minikvadrate (v razmerju črna-bela 1 : 1 : 3 : 1 : 1), ki spominjajo na oči. Ti čitalnikom omogočijo prepoznati velikost in orientacijo črtne kode. To pa pomeni, da lahko takšno kodo preberemo iz katerekoli orientacije, če je dvodimenzionalni zajem slike. Hkrati je odčitavanje do petkrat hitrejše kot pri črtnih kodah, redundanca, ki jo je mogoče nastaviti, pa poskrbi, da je koda čitljiva celo ob delni odstotni poškodovanosti.

Medtem ko lahko običajne (enodimenzionalne) črtne kode shranijo 12 števk, zmore moderna koda QR shraniti 26 kilobitov, kar predstavlja 7.089 števk ali 4.296 alfanumeričnih znakov. V ZDA so kodo QR patentirali leta 1998, na Japonskem leto pozneje in v Evropi leta 2000. Danes predstavlja standard ISO 18004:2015 in je v uporabi po vsem svetu.

Covidna potrdila

V kodo QR lahko zapišemo karkoli. To so lahko števke, alfanumerični znaki (0–9, A–Z, nekaj posebnih znakov), vsi znaki ISO/IEC 8859-1 ali japonske pismenke (kanji/kana). Evropska komisija in države članice EU so se odločile, da bodo kode QR uporabljale tudi zapis digitalnega potrdila, ki za covid oziroma koronavirus dokazuje cepljenost, prebolelost ali testiranje (PCT). Tehnične specifikacije je postavil eHealth Network, ki ga sestavljajo člani iz vseh držav EU. Evropska komisija je 14. junija 2021 sprejela uredbo o okviru za izdajanje, preverjanje in priznavanje potrdil , standard pa je uradno potrdila z izvedbenim sklepom 28. junija 2021 . Dobili smo evropsko digitalno covidno potrdilo (EU DCP).

Pri postavitvi so želeli izpolniti štiri zahteve: potrdilo mora biti varno pred ponarejanjem, uporabno brez povezave z internetom, prenosljivo med državami in pripravljeno na prihodnje zahteve (future-proof). Zaščita pred ponarejanjem se zagotovi s konceptom podpisovanja z zasebnim in javnim ključem, kar dobro poznamo iz asimetričnega šifriranja. Delovanje brez povezave z internetom ali vpogleda v centralno zbirko se doseže tako, da so v digitalnem potrdilu zapisani vsi relevantni podatki, ki jih potem čitalec zgolj tolmači. Prenosljivost je posledica standardiziranosti in infrastrukturne hrbtenice (EU DCC Gateway) na ravni EU, odpornost na prihodnje epidemije pa zagotavlja dejstvo, da bi lahko na enak način shranjevali tudi informacijo za druge bolezni.

V Sloveniji covidno potrdilo izdaja Nacionalni inštitut za javno zdravje (Nijz), prevzamemo pa ga lahko na spletnem mestu Zvem (https://zvem.zdrav.si), na cepilnem mestu, pri osebnem zdravniku ali v lekarni. V vsakem primeru se potrdilo generira sproti na podlagi podatkov o bolniku v centralnem registru (cepljenja, testi, izvidi). Ko potrdilo enkrat pridobimo, je veljavno brez kakršnegakoli vpogleda ali povezovanja z zbirko.

Nijz je sredi januarja izdal novo aplikacijo za preverjanje covidnih potrdil, ki se imenuje Preverjanje EU DCP. Aplikacija omogoča skeniranje kod QR za EU DCP, ob čemer vsakokrat izpiše zgolj veljavnost ali neveljavnost, ime ter letnico rojstva. V resnici gre za lokalizacijo aplikacije, ki jo je naročila Evropska komisija (EU Digital COVID Certificate Verifier App). Podobne aplikacije imajo tudi druge evropske države, denimo švicarski Covid Check, avstrijski GreenCheck ali luksemburški CovidCheck. Tudi te prepoznajo EU DCP, vključno s slovenskimi, in izpišejo veljavnost, švicarska in avstrijska pa celo poln rojstni datum, luksemburška pa zgolj ime. Na tem mestu seveda lahko upravičeno vprašamo, zakaj ima vsaka država svojo aplikacijo.

Preprosto zato, ker ima lahko vsaka država svoje pogoje, kaj priznava kot izpolnjevanje pogoja PC(T). Avstrija na smučiščih ne priznava testiranja, ponekod je veljavnost potrdil po prebolelosti ali cepljenju brez poživitvenega odmerka različna, pojavijo se lahko starostne razlike (npr. za mladoletne). EU DCP sicer ima datum veljavnosti, ampak to je datum veljavnosti dokumenta, podobno kot tudi osebna izkaznica neha veljati. Kadarkoli lahko pridobimo novega. EU DCP pa nima informacije o veljavnosti statusa PCT – to aplikacija izračuna lokalno in je odvisno od pravil, ki jih ima posamezna država za posamezno aktivnost, kar mora aplikacija poznati.

Trikotnik zaupanja za digitalna covidna potrdila

Shema priprave digitalnega covidnega potrdila

V drobovju

Če covidno potrdilo preberemo z običajnim čitalnikom kod QR, dobimo zgolj dolgo kodo, ki se začne s HC1:, sledi pa približno 500 znakov. HC1: pomeni Health Certificate v1. Od tam naprej so podatki podpisani in stisnjeni ter nato zapisani po shemi Base45. Poglejmo podrobneje.

V EU DCP so podatki zapisani v skupni strukturi tako, da se zagotavlja prenosljivost. Uporabili so odprti podatkovni format JSON, ki je namenjen shranjevanju in izmenjavi podatkovnih objektov v obliki, ki je človeku razumljiva (human-readable).

EU DCP sestoji iz naslednjih delov: glave, algoritma za podpis, identifikacijske informacije podpisnega ključa, podatka o izdajatelju, datuma izdaje in datuma veljavnosti (to je veljavnost dokumenta, ne statusa PCT!), podpisa in dejanske vsebine (osebni in zdravstveni podatki). Glava (header) definira, za kakšen objekt gre, da programi sploh vedo, kaj z njim početi. Primarni podpisni algoritem je ECDSA (eliptične krivulje po standardu ISO/IEC 14888–3:2006).

Pristnost se zagotavlja z digitalnim podpisovanjem, ki smo ga z uporabo številnih internetnih storitev že dodobra usvojili. Temelji na paru zasebnega ključa, ki ga ima zgolj podpisnik, in njegovega javnega ključa, ki ga lahko pridobi kdorkoli. Z zasebnim ključem podpisano sporočilo se lahko preveri le z javnim ključem. Vsak izdajatelj EU DCP ima svoj zasebni ključ, medtem ko so vsi njihovi javni ključi objavljeni. V EU DCP mora zato biti informacija, s čigavim zasebnim ključem je bil podpisan oziroma (to je ekvivalentno) s katerim javnim ključem lahko to preverimo. Aplikacije imajo seznam verodostojnih javnih ključev, proti katerim preverjajo certifikate. Datum izdaje in poteka sta nujno potrebna zato, ker mora biti vsak dokument časovno omejene veljavnosti. O izdaji govorimo vsakokrat, ko generiramo novo digitalno potrdilo. Ko s spletišča zVEM prenesemo EU DCP, dobimo vsakokrat novo s svežo veljavnostjo – če podrobno pogledamo kodo QR ali jo izpišemo, bomo videli, da je drugačna. Na koncu je digitalno potrdilo seveda še podpisano, s čimer se preprečijo kasnejše manipulacije.

Trenutna digitalna potrdila potečejo najpozneje 4. junija 2023, ko poteče tudi trenutni zasebni ključ Nijz. Status PCT pa je odvisen od poslovnih pravil in lahko poteče že prej (npr. prebolelost ali testiranje) ali pa (za zdaj) nikoli (cepljenje s poživitvenim odmerkom).

V osebno-zdravstvenem delu pa najdemo različne podatke, odvisno od vrste digitalnega potrdila (P, C ali T). V vseh primerih so tam različica uporabljenega zapisa (ki se lahko v prihodnosti posodobi), priimek in ime, datum rojstva ter skupina (v, t, r za cepljenje, test ali prebolelost). V skupini cepljenje so podatki o povzročitelju bolezni, vrsti cepiva oziroma zaščite, izdelku, proizvajalcu, številu potrebnih odmerkov, številu prejetih odmerkov, datumu cepljenja, državi cepljenja, izdajatelju potrdila in enolični identifikator (UVCI). V skupini za test potrdilo vsebuje podatek o povzročitelju bolezni, vrsti testa in konkretnem proizvajalcu in modelu testa, času odvzema vzorca, rezultatu testa, izvajalcu testa, državi testiranja, izdajatelju potrdila in UVCI. V skupni za prebolelost pa so zapisani podatki o povzročitelju bolezni, datumu pozitivnega testa, državi testiranja, izdajatelju potrdila, začetku in koncu veljavnosti statusa (to je edini primer, ko je ta informacija zapisana že v samo potrdilo) in UVCI. Vidimo, da potrdila o testiranju in cepljenju nimajo vpisanega datuma veljavnosti statusa – to se določi eksterno glede na aktualna pravila.

Stare različice so pokazale preveč

Prva inačica aplikacije za preverjanje pogoja PCT je bila sicer na voljo že julija lani, ko je bil pogoj PCT že obvezen. Povzročila je obilico nezadovoljstva, ker je razkrivala osebne podatke (ime, priimek, datum rojstva) in zdravstveni status (cepljen, prebolel, testiran). To je več podatkov, kot je potrebnih za ugotavljanje izpolnjevanja pogojev PCT. Obenem je informacijska pooblaščenka tedaj opozorila, da na ravni EU pravna podlaga za uporabo covidnih potrdil obstaja za prehajanje meja, medtem ko za uporabo v druge namene (na primer za vstop v trgovino) potrebujemo ustrezno pravno podlago.

Potem smo dobili drugo različico aplikacije, ki pa je bila neuporabna iz nasprotnega razloga. Prikazala je le informacijo, ali koda QR izpolnjuje pogoj PCT ali ne. To pa je odprlo vrata zlorabam, ker je lahko kdorkoli uporabil katerokoli kodo, ne nujno svoje. Najnovejša inačica je torej delujoči kompromis, saj prikaže izpolnjevanje pogoja PCT, ime in letnico rojstva. Zato pa moramo pokazati še osebni dokument.

Vsa ta razprava je precej banalna, ker koda QR vsebuje zdravstveni status in več osebnih podatkov, kot jih prikaže aplikacija (glej glavno besedilo). Uradne aplikacije sicer ne omogočajo shranjevanja skeniranih kod QR, a v resnici lahko kdorkoli, ki mu kažete svojo kodo, to pač shrani (to je hipotetična in kazniva možnost). Vse podatke, ki so napisani na njej, pa je mogoče z malo znanja Pythona v desetih vrsticah kode tudi prebrati, saj za vse operacije obstajajo knjižnice. Isto omogoča tudi spletna stran https://ehealth.vyncke.org/. Tega se moramo zavedati, je pa seveda vseeno prav, da aplikacija vsakemu varnostniku ali natakarju ne pokaže, kdaj smo bili cepljeni ali bolni.

V nekaj vrsticah Pythona lahko preberemo podatke iz digitalnega potrdila.

To mimogrede pojasnjuje, zakaj so lani septembra potekla nekatera digitalna potrdila. Tedaj je Nijz pojasnil, da je tistim, so potrdilo natisnili sami (iz Zvem) od 24¬. 6. do 29. 6. 2021, konec septembra poteklo. Takrat so se izdajala še preizkusna potrdila (Komisija je izvedbeni sklep sprejela 28. 6. 2021), ki so imela določen rok veljavnosti 90 dni.

Pomudimo se še pri enoličnem identifikatorju. Ta je videti na primer takole 01:NL:187/37512422923. Mogočih formatov je več, vsi pa se morajo začeti z različico (01), s kodo države (NL je Nizozemska) in končati s kontrolno vsoto. Vmesni znaki niso striktno definirani in lahko vsebujejo le unikatno številko ali pa tudi informacijo o izdajatelju in cepivu. Sicer to ni nujni pogoj, a standard močno priporoča, da enolični identifikator ne vsebuje nobenih osebnih podatkov, zaporednih številk ali drugih informacij, ki bi omogočile ugotovitev identitete osebe ali kakšnega drugega podatka o njej. Navsezadnje lahko vsebino kode QR digitalnega potrdila shrani kdorkoli, ki jo skenira, zato tudi v luči varovanja osebnih podatkov (GDPR!) ni primerno, da bi enolični identifikator hranil kakšne dodatne podatke. Po neuradnih podatkih je tako tudi v slovenskih certifikatih.

Vsi podatki, ki so shranjeni v digitalnem potrdilu.

Pakiranje

Priprava EU DCP poteka takole. V shemo JSON vstavijo potrebne podatke, da izpolnijo potrebna polja. Te podatke dobijo iz centralne baze (Centralni register podatkov o pacientih). CRPP je enotni sistem za zbiranje in izmenjavo zdravstvenih podatkov o bolnikih, v katerem so podatki o pacientu in zdravstvena dokumentacija. Upravljavec registra, ki ni vzpostavljen zaradi covida, ampak ga imamo že več let, je Nijz.

Kaj pa #OstaniZdrav

Končni uporabniki so bolj kakor z aplikacijo Preverjanje EU DCP, o kateri piše ta članek, seznanjeni z aplikacijo #OstaniZdrav. Aplikacija, ki je v resnici slovenska lokalizacija nemške CoronaWarnApp, je do februarja prilezla do 2.12.2 (nemška pa do 2.17.2.).

Sprva je bila namenjena sledenju stikov, da smo lahko ugotovili, ali smo bili v stiku s kasneje potrjeno okuženim človekom. To funkcionalnost še vedno ima, čeprav uporabniki v Sloveniji nad aplikacijo niso navdušeni. Preneslo jo je manj kot pol milijona ljudi, aktivnih uporabnikov pa je še manj. Vse od začetka pandemije do sredine februarja je v #OstaniZdrav kodo za okužbo vneslo manj kot 20.000 ljudi – toliko se jih je na vrhuncu epidemije okužilo v enem dnevu!

Najnovejša različica aplikacije ima novosti, ki jih poznamo že iz tujine. Omogoča ustvaritev kode QR, ki jo lastniki ali prireditelji namestijo na vidna mesta ob dogodkih. Obiskovalci jo potem skenirajo, s čimer v svoj telefon shranijo podatek, kje so se gibali. Če se kasneje izkaže, da se je na dogodku zgodil velik izbruh, se lahko ta koda označi kot žarišče in telefoni vseh obiskovalcev, ki so jo poskenirali, jih bodo opozorili na izpostavljenost. Ta podatek o gibanju nikoli ne zapusti uporabnikovega telefona.

Druga možnost sta nalaganje in hramba digitalnih covidnih potrdil, kar zna tudi aplikacija zVEM. A uporabna je v povezavi s tretjo novostjo, in sicer preverjanje veljavnosti v drugih državah. Za vsako naloženo potrdilo lahko preverimo, ali bo v poljubni evropski državi omogočilo prehajanje meje. V praksi ta funkcija še ne deluje za vse države; od naših sosed le za Avstrijo. Ti pogoji so dostopni tudi na spletni strani Re-open EU.

Aplikacija #OstaniZdrav februarja ni znala preveriti, ali je digitalno potrdilo veljavno v Italiji.

Skratka, iz pridobljenih podatkov se izdela tako imenovani CBOR (concise binary object representation), kar je v resnici binarni zapis JSON v bolj zgoščeni (concise) obliki. Ta CBOR potem izdajatelj s svojim zasebnim ključem podpiše, s čimer nastane ovojnica COSE (CBOR object signing and encryption). V tem koraku se zagotovi verodostojnost in prepreči manipulacijo. Da si s poznavanjem specifikacij ne bi vsak sam izdelal svojega EU DCP, aplikacije preverjajo podpisnika.

Potem se niz podatkov stisne po formatu ZLib in nato zapiše v sistemu z osnovo 45 (base45). Medtem ko v desetiškem sistemu uporabljamo 10 znakov (in sicer cifer), jih tu 45: številke, vse črke angleške abecede, presledek in osem posebnih znakov ($%*+-./:). Tak zapis je posebej pripraven za zadnjo stopnjo, in to je oblikovanje kode QR, ki vsebuje točno te znake. Vsa dokumentacija in izvorna koda sta prosto dostopni tudi na Githubu (ehn-dcc-development/hcert-spec).

V praksi

Digitalno potrdilo si lahko izdelamo tudi sami, a ker ga ne bomo mogli podpisati z enim izmed zaupanja vrednih zasebnih ključev, ga aplikacije ne bodo prepoznale kot veljavnega. Oglejmo si slovensko aplikacijo z nič kaj elegantnim (a zato faktografsko točnim) imenom Preverjanje EU DCP. Aplikacija je za uporabo zelo preprosta. Ko jo vključimo, zahteva dostop do kamere in prikaže okno za skeniranje kod QR. Za vsako prebrano pokaže ime in priimek lastnika, njegovo letnico in ali je status PC ali PCT (to lahko izberemo) veljaven.

E-zdravstvo na dlani

Že iz predcovidnega časa obstaja portal zVEM, od julija lani pa tudi aplikacija zVEM za dostop do njega. Če smo v zadnjem letu zVEM največkrat uporabili le za prenos covidnega potrdila, smo aplikaciji s tem naredili velikansko krivico. Portal zVEM omogoča dostop do vseh (lastnih) zdravstvenih podatkov, ki so bili digitalizirani, ker med drugim vključuje tudi recepte, izvide in napotnice, pregled čakalnih dob, dostop do podatkov o zavarovanju itd.

V aplikaciji zVEM lahko imamo shranjene EU DCP v lokalni shrambi, kar deluje brez povezave, ali pa jih sproti potegnemo iz CRPP.

Covidno potrdilo je sicer nematerializirano, a ni prav nobene potrebe, da imamo shranjenega le na telefonu. Za končnega uporabnika je potrebno le, da ima kodo QR, ki je še veljavna. Vmes si jo seveda lahko natisne, shrani kot sliko, PDF ali uporablja skladišče v aplikaciji Zvem ali katerikoli drugi. Skratka, digitalno potrdilo ne pomeni, da mora biti nujno shranjeno v elektronski obliki – pomeni le, da je njegov osnovni format digitalen (v klasičnem pomenu besede, torej zapis ni analogen).

Nijz je aplikacijo objavil 21. 1. 2022 v Google Play Storu (za Android) in App Storu (za iOS). Ker so predhodne različice krožile kot datoteke APK, je Nijz pozival, da je treba pred namestitvijo nove različice staro odstraniti. Formalno to ni res, saj lahko staro obdržimo in imamo pač vse štiri. Ker pa se v stari različici pravila za veljavnost statusov PCT ne posodabljajo več, je s spremembo veljavnosti pogojev PCT 1. februarja postala neuporabna. Kdor bi jo uporabljal tam, kjer se mora pogoj PCT ugotavljati po odloku, bi tvegal kazen, če bi komu napak priznal veljaven status PCT. Ker je nova aplikacija na voljo prek uradnih tržnic, bo odslej tudi nadgrajevanje enostavno, saj bo operacijski sistem sam ponudil nadgradnjo, ko bo ta na voljo.

Pozoren bralec bo opazil, da o veljavnosti različnih statusov PCT nismo pisali. Razlog je preprost – pravila se prehitro spreminjajo, za razumevanje delovanja covidnih potrdil pa niso pomembna. Trenutno poživitveni odmerki (ki so označeni kot 3/3 ali 2/1) veljajo neomejeno, enako velja za prebolele in nato dvakrat cepljene. V ostalih primerih pa je veljavnost statusov omejena, običajno na 270 dni. To se lahko še spremeni ali pa je v posamezni državi še kakšno dodatno pravilo, kot je, denimo, neomejena veljavnost potrdila 2/2 za mladoletne v Sloveniji. V potrdilih je namreč zapisana anamneza, veljavnost statusa pa je odvisna od pravnega okvira.

Ko epidemije več ne bo

Covidna potrdila, ki jih je pripravil EU, so dobro zamišljena in se zato priznavajo tudi drugod po svetu. Sistem je robusten, prilagodljiv in predvsem uporaben tudi v prihodnosti. Na enak način bi namreč lahko zapisovali tudi informacije za druge bolezni, če se bo kdaj pojavila potreba. Standard že vsebuje vsa potrebna polja, le dodati je treba nove vnose.

Tudi Miki Miška

Na internetu so se znašla lažna digitalna potrdila, denimo Mikija Miške, Spužija Kvadratnika in Adolfa Hitlerja. Ker so ustvarjena po standardu in podpisana z verodostojnim ključem, so tehnično gledano veljavna. To se lahko zgodi na dva načina. Če bi izdajateljem ukradli zasebne ključe, potem lahko nepridipravi pripravijo kakršnokoli digitalno potrdilo. V tem primeru je edina rešitev razveljavitev (revocation) teh ključev, zato bi morali nova potrdila dobiti tudi vsi lastniki avtentičnih potrdil, ki so podpisana s temi ključi. Za zdaj je bil v slovenski aplikaciji preklican makedonski ključ.

V konkretnem primeru pa naj bi šlo za manj problematičen problem, in sicer naj bi oseba z dostopom do sistema za izdajanje digitalnih potrdil izdala nekaj lažnih potrdil. Enoten sistem za preklic posameznih potrdil se pripravlja na ravni EU. To je pomembno tudi zato, ker je na internetu na tisoče pravih potrdil, ki so ljudem ušla, denimo zaradi nespametne objave na javnih omrežjih ali ker so jih kje fotografirali ipd. (https://github.com/denysvitali/covid-cert-analysis). Seveda pa lahko v aplikaciji že zdaj dodajo seznam enoličnih identifikatorjev potrdil (UVCI), ki jih ne bodo priznavali kot veljavne.

Slovenska aplikacija je 11. 2. 2022 digitalno potrdilo za Adolfa Hitlerja, rojenega leta 1. 1. 1900, ki je bilo ustvarjeno 25. oktobra 2021 in kroži po internetu, še vedno prepoznala kot veljavno.