Green pass, come averlo sempre con sé e quali informazioni contiene

Si chiama certificato COVID digitale dell’UE o più semplicemente certificazione verde il documento contenente le informazioni che attestano che il titolare sia stato vaccinato, abbia eseguito un tampone con esito negativo nelle 48 ore precedenti o sia guarito dalla malattia (COVID-19).
In Italia l’informazione generalista ha colpevolmente utilizzato il termine green pass. Tale espressione non è mai stata utilizzata in Europa e non può essere considerata un sinonimo. L’utilizzo dell’appellativo green pass è stato scelto da Israele per riferirsi al documento che permette ai vaccinati di accedere ad esercizi commerciali e uffici. Nulla ha a che vedere però con il documento sul quale hanno deciso di convergere i vari Stati membri europei.

In un altro articolo abbiamo visto cos’è il certificato verde e come si ottiene quello che tutti ormai chiamano green pass.
In breve il certificato verde viene emesso dalla piattaforma nazionale del Ministero della Salute in formato digitale e stampabile. Esso contiene un codice QR Code utile a verificarne autenticità e validità.

Nasce come strumento per rendere più semplice l’accesso a eventi pubblici, residenze sanitarie assistenziali o altre strutture in Italia permettendo di spostarsi agevolmente tra territori eventualmente classificati in “zona rossa” o “zona arancione”.
Dal 1° luglio 2021 è diventato ufficialmente certificato COVID digitale dell’UE (EU digital COVID certificate) facilitando gli spostamenti da e verso i Paesi dell’Unione europea e dell’area Schengen.
Dal 6 agosto 2021 è richiesto obbligatoriamente per l’accesso a una serie di locali e attività come riportato nel sito italiano Certificazione verde COVID-19 – EU digital COVID certificate.
Non è escluso che in futuro possa essere una sorta di “lasciapassare” per l’accesso ad altri esercizi nel caso in cui ve ne fosse la necessità.

Cosa c’è scritto nel certificato verde

Il certificato verde può essere stampato e conservato in formato cartaceo oppure tenuto con sé nel proprio smartphone sotto forma di documento PDF. In realtà sarebbe più che sufficiente portare con sé soltanto il codice QR perché le altre informazioni che vengono esposte sul documento non sono d’interesse per il verificatore. Tant’è vero che il sito italiano Certificazione verde COVID-19 – EU digital COVID certificate offre la possibilità, previa autenticazione con il codice ricevuto via SMS e tessera sanitaria oppure con SPID o CIE (carta d’identità elettronica; quest’ultima opzione rapidissima da usare con gli smartphone dotati di chip NFC), permette di scaricare anche soltanto il codice QR come immagine in formato PNG.

Ma cosa contiene il codice QR del green pass? Innanzi tutto sbaglia chi sostiene che il codice QR non sia leggibile con altre applicazioni diverse da VerificaC19, che include informazioni cifrate, che non contiene dati sensibili e informazioni sanitarie.

Il codice QR del certificato verde contiene informazioni non immediatamente e umanamente leggibili ma recuperabili in maniera molto semplice da chi ha un minimo di interesse e pazienza.

VerificaC19 è l’unica applicazione riconosciuta dal Ministero e disponibile nelle versioni per Android e iOS che permette di verificare l’autenticità e la validità di un certificato verde.
Chiunque può controllare un certificato verde, non solo un soggetto verificatore tenuto o incaricato a farlo: basta installare l’app su un proprio smartphone, toccare Avvia scansione e infine inquadrare il codice QR.
VerificaC19 verifica se il certificato verde è valido e autentico restituendo solo il nome, il cognome e la data di nascita del proprietario (in modo da verificare le generalità con un documento d’identità contestualmente esibito). Sebbene l’applicazione non mostri altri dati il codice QR è una vera miniera di informazioni personali.

Quindi sì, il codice QR del certificato verde contiene anche i dati sulle vaccinazioni effettuate, sul tipo di vaccino, sulla data di inoculazione, se la persona ha contratto la malattia da COVID-19. Utilizzando i dati contenuti nel codice QR è possibile anche fare delle ipotesi quindi stabilire se un individuo abbia patologie incompatibili con la vaccinazione o se se sia contrario al vaccino.

Il codice QR, una volta ottenuto il certificato verde personale, deve quindi essere conservato con cura e mantenuto segreto. Certo non lo si dovrà pubblicare per nessun motivo sui social network o condividerlo con altri soggetti.
Anche perché i dati personali contenuti nel codice QR, se diffuso online, potrebbero essere riutilizzati da terzi per confezionare truffe mirate e presumibilmente molto efficaci. In tanti potrebbero cadere nelle trappole di chi si qualifica per qualcun altro sostenendo di conoscere dati ben precisi a riguardo della vittima e sciorinandoli uno dopo l’altro.

Torniamo però alla domanda iniziale: se VerificaC19 mostra soltanto un estratto dei dati contenuti nel codice QR del certificato verde com’è possibile fare per leggere tutti gli altri?

Provate ad avviare sul vostro dispositivo mobile un’app che legge i codici QR: allo scopo si può usare anche Google Lens su Android.
L’app per leggere il contenuto dei codici QR restituirà una stringa di testo molto lunga che inizia con il prefisso HC1:.

La stringa HC1: non è direttamente leggibile perché è codificata (leggasi bene non crittografata) base45. La decodifica della stringa base45 di partenza privata dell’header HC:1 porta a un’ulteriore stringa compressa usando la libreria zlib.
La decompressione dei dati porta a una struttura in formato CBOR Web Token: questo formato include tutti i dati relativi al certificato verde e al soggetto che ne ha la titolarità.

Hanno Böck ha sviluppato un semplice script in Python che automatizza la lettura del codice QR utilizzato per il certificato verde europeo.

Lo script si può utilizzare con qualunque sistema operativo in grado di eseguire script Python. Noi l’abbiamo utilizzato su Ubuntu ma è possibile avviare lo script anche con WSL in una finestra di Windows 10.

I passi per procedere con Ubuntu oppure con Ubuntu eseguito in Windows 10 grazie a WSL consistono nell’impartire i seguenti comandi:

sudo apt update -y
sudo apt upgrade -y
sudo apt install python3-pip -y
sudo pip install base45 cbor2 pillow pyzbar -y
git clone https://github.com/hannob/vacdec.git
sudo ln -s /usr/bin/python3 /usr/bin/python
./vacdec/vacdec dgc-qrcode.png

Se si ricevesse il messaggio “ImportError: Unable to find zbar shared library“, digitare sudo apt-get install libzbar0 -y quindi ripetere l’ultimo comando ./vacdec/vacdec dgc-qrcode.png.

Il file dgc-qrcode.org deve essere memorizzato nella cartella corrente e deve contenere il codice QR del certificato verde in formato PNG oppure JPG.

Con WSL in Windows 10 il file dgc-qrcode.org può essere copiato quindi incollato nella cartella \\WSL$\Ubuntu-20.04\home\nome-utente dove si è clonato il progetto GitHub vacdec.

Tutte le informazioni sulle corrispondenze con le sigle decodificate a partire dal codice QR sono disponibili in questo documento ufficiale.

Come funzionano le app per il controllo dei certificati verdi

VerificaC19 è l’app sviluppata dal Ministero della Salute per l’Italia che consente di controllare l’autenticità e la validità dei certificati verdi a partire dal codice QR fornito.

Diversamente rispetto allo script Python presentato al precedente paragrafo, VerificaC19 convalida la chiave pubblica utilizzata per attestare l’autenticità del certificato verde, apposta dall’ente che lo ha emesso. Le chiavi pubbliche corrispondono a quelle utilizzati dagli Stati membri dell’Unione Europea usate per firmare i certificati verdi.
L’app VerificaC19 esegue la ricerca della chiave pubblica tra quelle memorizzate localmente e ogni giorno provvede a sincronizzare il database locale delle chiavi con quello disponibile centralmente.
VerificaC19 può infatti funzionare in modalità offline ma ogni giorno deve avere accesso chiavi rilasciate e continuamente aggiornate dal “gateway europeo” (esso funge da contenitore per tutte le chiavi pubbliche usati dai vari Stati).

Ogni 24 ore VerificaC19 interroga il servizio e scarica la lista delle chiavi valide. Durante l’operazione l’app confronta i dati scaricati con quelli già presenti nella lista salvata localmente e la aggiorna di conseguenza.
L’app non scarica certo in locale i dati di tutte le certificazioni via via rilasciate a livello europeo ma si limita ovviamente a prelevare le chiavi pubbliche utilizzate per accertare l’autenticità di ciascun certificato. Il meccanismo è quello della crittografia asimmetrica o a chiave pubblica che permette di verificare l’identità del “mittente” e scongiurare qualunque modifica del messaggio da parte di terzi.
L’importante è quindi tenere aggiornata VerificaC19 e fare in modo che possa collegarsi alla rete Internet almeno una volta al giorno altrimenti si potrebbe ricevere l’errore “Certificato non valido” anche quando la certificazione risulta assolutamente regolare.

L’approccio utilizzato da VerificaC19 sarà utilizzato, secondo le linee guida stabilite dall’Unione Europea, dalle app di verifica dei certificati verdi sviluppate e distribuite dagli altri Stati membri e dai Paesi dell’area Schengen. Questa è ad esempio l’app svizzera per il controllo di autenticità e validità dei certificati verdi che già riconosce i green pass italiani.

Il codice sorgente di VerificaC19 è pubblicato su GitHub ed è consultabile liberamente a questo indirizzo.

Come avere sempre con sé la certificazione verde

Un buon modo per avere il certificato verde sempre a portata di mano consiste nel memorizzarlo nella schermata Home del proprio smartphone.

Dopo averlo copiato o scaricato sullo smartphone si può usare un file manager per controllare il contenuto della memoria del dispositivo e individuare il file con prefisso dcg-certificate-, sia che si fosse scaricato il PDF completo o l’immagine in formato PDF.

Con il file manager (ad esempio utilizzando Solid Explorer per Android) si può tenere premuto sull’elemento dcg-certificate- per selezionarlo quindi toccare i tre puntini in alto a destra e scegliere Crea collegamento.
Apparirà Aggiungi alla schermata Home per inserire un collegamento al certificato verde in bella vista.

Toccando sull’icona del collegamento appena creato si potrà aprire velocemente il certificato verde e mostrarlo al verificatore quanto richiesto. Nel caso della versione PDF si può scegliere di aprire sempre il documento con il lettore PDF che più si preferisce.

Il collegamento al certificato verde può essere rinominato tenendo premuto sulla sua icona quindi selezionando la voce Modifica.

L’accesso al contenuto dello smartphone dovrà essere sempre protetto con un PIN sicuro, con una sequenza grafica, con l’impronta digitale o con altri meccanismi che offrano un adeguato grado di sicurezza.

Maggiori informazioni sul certificato verde sono pubblicate sul sito europeo Sanità digitale (eHealth) e COVID-19.