Metodické usmernenie o preukaze študenta

Ministerstvo školstva, vedy, výskumu a športu SR (ďalej len MŠ) v máji 2014 na svojom webe zverejnilo nové Metodické usmernenie č. 16/2014 o použití, štruktúre údajov a technickom vyhotovení preukazu študenta: ISIC

Vo formáte pdf si ho môžete prečítať tu:

Technická podpora k usmerneniu:

Vznik a autori usmernenia

Metodické usmernenie pre MŠ pripravilo združenie EUNIS v pracovnej skupine "Preukazy študentov a zamestnancov vysokých škôl". Organizačne a odborne projekt zastrešil bývalý predseda pracovnej skupiny Daniel Milučký a súčasný predseda pracovnej skupiny Róbert Orenič zo Žilinskej univerzity. Na základe vytýčených cieľov a priebežných konzultácií s partnermi text usmernenia vypracoval Stanislav Sýkora zo spoločnosti Ipex IT, s.r.o., ktorá dodáva akademický IS pre VŠ zdravotníctva a sociálnej práce sv. Alžbety v Bratislave. Na koncepčnej a technickej úrovni projekt masívne podporili páni Emil Jamrich z Katolíckej univerzity v Ružomberku, Libor Maňák z moravskej spoločnosti Cominfo, a.s., ktorá dodáva riešenia pre Žilinskú univerzitu a Technickú univerzitu vo Zvolene a Peter Mráz zo spoločnosti EMtest-SK, s.r.o. Prvý návrh usmernenia pripomienkovali aj ďalší experti z ostatných VŠ na Slovensku. Výraznú zásluhu na vzniku usmernenia má aj pán Vladimír Jedlička zo združenia CKM SYTS, ktoré sa usiluje o zlepšenie práce s preukazmi ISIC / ITIC.

Za ústretovosť a konštruktívnu spoluprácu pri finalizácii usmernenia autori srdečne ďakujú pánom Jozefovi Jurkovičovi a Marekovi Gilányimu z MŠ.

Ciele a hlavné prínosy nového usmernenia

Širšie otvorenie systému pre vydavateľov preukazov a pre poskytovateľov služieb študentom

Technika zápisu a čítania údajov v pamäti preukazu je radikálne zjednodušená a primerane k tomu je zjednodušený aj samotný text usmernenia. To výrazne uľahčuje výrobu preukazov na strane VŠ, aj čítanie údajov elektronicky zapísaných v preukaze u poskytovateľov služieb študentom. Otvorenosť systému podporujú aj niektoré ďalšie zásady, ktoré sú zahrnuté v usmernení:

  1. Je zdôraznený princíp suverenity VŠ, ktorá ako vydavateľ preukazu zodpovedá len za záznam študenta v preukaze. Ten musí vytvoriť podľa usmernenia a jeho príloh.
  2. Spolu so záznamom študenta VŠ môže do preukazu zapísať aj ďalšie údaje pre interné aplikácie preukazu vo svojom prostredí - napr. pre prístupový systém do budov školy (turnikety).
  3. VŠ nie je povinná do preukazu zapisovať žiadne ďalšie údaje pre externé aplikácie, ktoré v preukaze chcú používať niektorí poskytovatelia služieb (vrátane dopravných systémov). Pri prvotnej inicializácii pamäťového čipu v preukaze VŠ len vyhradí potrebný priestor pre takéto aplikácie podľa dohody s poskytovateľmi služieb.
  4. Externí poskytovatelia služieb majú s kartami pracovať autonómne, t.j. bez priameho prístupu k informačnému systému VŠ. Na bežnú komunikáciu so študentom by im mali stačiť údaje, ktoré si prečítajú zo záznamu študenta v preukaze.
  5. V nevyhnutných prípadoch si zo záznamu študenta môžu odvodiť vlastné dátové štruktúry (externé aplikácie) v iných súboroch na preukaze, ktoré budú používať vo svojej prevádzke. Treba však zdôrazniť, že VŠ garantuje správnosť údajov len v primárnom zázname študenta a nepreberá zodpovednosť za odvodené údaje v externých aplikáciách.

Zápis externých aplikácií do preukazu by sa mal vykonať na registračnom mieste poskytovateľa služieb. Dá sa predpokladať, že takéto pracoviská budú technicky a personálne lepšie vybavené a budú mať aj prístup na internet. Vďaka tomu si budú môcť overiť aj aktuálnu platnosť preukazu na webe Centrálneho registra študentov (blacklist CRŠ).

Funkciu registračného miesta pre dopravu môžu aj naďalej plniť terminály EMtest alebo iné obdobné zariadenia. Musia však byť upravené tak, aby dopravné záznamy v preukaze dokázali vytvoriť bez priameho prístupu k akademickému IS VŠ, t.j. len na základe údajov prečítaných zo záznamu študenta v preukaze. Takto upravené, resp. nakonfigurované terminály môžu byť umiestnené na železničných a autobusových staniciach, v nákupných centrách alebo na iných verejne prístupných miestach. Samozrejme, môžu byť umiestnené aj vo vestibule VŠ, ak s tým škola súhlasí. Terminál by mal potrebovať len elektrické napájanie a prístup na internet kvôli komunikácii s databázovým systémom prevádzkovateľa dopravnej aplikácie.

Rovnocenné použitie preukazov s čipmi Classic a DESFire

Záznam študenta je rovnaký v obidvoch typoch preukazov. Je dlhý 480 B a líši sa len spôsob jeho zápisu v pamäti preukazu:

  • v čipe Classic je záznam uložený v dvoch dlhých sektoroch po 240 B
  • v čipe DESFire sa pre záznam vyhradí jeden súbor s kapacitou 480 B, alebo sa použije dvojica doterajších súborov po 192 B a k nim sa doplní tretí súbor s kapacitou 96 B

Vďaka tomu aplikačné programové vybavenie a rozsah poskytovaných služieb študentom nezávisia na type použitého preukazu.

Ochrana údajov šifrovaním

Údaje v zázname študenta sa už nechránia technológiou Mifare, ale šifrovacím algoritmom AES-128. Prakticky to znamená, že záznam študenta možno prečítať z preukazu pomocou verejne známeho prístupového kľúča, ale na dešifrovanie údajov treba poznať utajené kľúče K1 a K2 (podrobnejšie ďalej).

Vďaka tomu sme sa výrazne odpútali od technológie Mifare a špecifických vlastností konkrétnych typov kariet. Pri čítaní záznamu študenta z preukazu odpadli problémy s prístupovými kľúčmi k čipom Classic a DESFire, nemusíme sa zaoberať ich diverzifikáciou a netrápi nás ani slabá kryptografická ochrana v čipoch Classic. Samozrejme, prechod na karty s čipmi DESFire je aktuálny aj naďalej pre potreby dopravcov a iných externých aplikácií, ktoré v preukaze ďalej využívajú ochranné mechanizmy Mifare.

Na technológiu Mifare sme ďalej viazaní len v dvoch smeroch:

  • do elektronického podpisu údajov v zázname študenta je zarátané aj UID preukazu (unikátny identifikátor čipu), aby sa záznam nedal kopírovať na ďalšie karty
  • poskytovatelia služieb študentom dostanú šifrovacie kľúče K1 a K2 v module Mifare SAM AV2, ktorý dokáže záznam študenta dešifrovať pomocou týchto kľúčov, ale samotné kľúče sa z neho nedajú spätne prečítať (a zneužiť)

Na overenie platnosti údajov v zázname študenta sa používa elektronický podpis vydavateľa preukazu.

Stupne ochrany údajov v zázname študenta

Záznam študenta je rozdelený na 3 bloky s odlišným stupňom utajenia:

  • Dátový blok č. 0 - verejné údaje o preukaze - nešifrované
  • Dátový blok č. 1 - potvrdenie o štúdiu na vysokej škole - šifrované kľúčom K1
  • Dátový blok č. 2 - osobné údaje držiteľa preukazu - šifrované kľúčom K2

Verejné údaje o preukaze v bloku č. 0 obsahujú druh preukazu (študent, učiteľ a pod.), začiatok a koniec platnosti preukazu a dátum poslednej aktualizácie údajov v preukaze. Tieto údaje si môže prečítať každý, kto získa fyzický (bezkontaktný) prístup k preukazu.

Na čítanie a dešifrovanie ďalších údajov poskytovateľ služieb potrebuje už zmienené kľúče K1 a K2. Kľúč K1 sa považuje za menej dôverný a MŠ ho vydá poskytovateľom služieb na základe písomnej žiadosti. Kľúč K2 sa považuje za dôverný a MŠ ho vydá len tým poskytovateľom služieb, ktorí "preukážu, že pre svoju činnosť potrebujú aj osobné údaje držiteľa preukazu uvedené v dátovom bloku č. 2" (čl. 12, ods. 3).

Podrobný zoznam položiek v jednotlivých dátových blokoch nájdete v Prílohe č. 1 k usmerneniu (Usmernenie_2014_Prilohy.pdf). Väčšina položiek zodpovedá doterajšej praxi, len niektoré sú zmenené alebo doplnené - napr. PSČ miesta štúdia a prechodné bydlisko študenta pre potreby dopravy.

Kategorizácia poskytovateľov služieb podľa nárokov na údaje držiteľa preukazu

Poskytovateľov služieb, ktoré budú vizuálne alebo elektronicky čítať údaje z preukazu, možno rozdeliť do viacerých skupín podľa rozsahu použitých údajov. Nasledujúci zoznam obsahuje orientačnú kategorizáciu poskytovateľov služieb podľa nárokov na údaje držiteľa preukazu v rastúcom poradí:

  1. Preukaz čítajú len vizuálne a akceptujú ho ako ISIC - poskytujú zľavy v systéme CKM SYTS - len pre denných študentov VŠ.
  2. Preukaz čítajú len vizuálne a akceptujú ho ako preukaz študenta VŠ - poskytujú zľavy a iné služby pre všetkých študentov VŠ.
  3. Preukaz čítajú len vizuálne, ale údaje z neho evidujú vo svojom IS - držiteľ preukazu si musí dať pozor na ochranu svojich osobných údajov v IS poskytovateľa služieb.
  4. Majú čítačku kariet Mifare a vo svojom IS evidujú UID preukazu - pri využívaní služieb držiteľ bude preukaz prikladať k ďalším čítacím zariadeniam v prevádzkach poskytovateľa služieb (napr. k turniketom na vstupe do priestorov, k elektronickým pokladniciam pri čerpaní zliav a pod.). CKM SYTS zvažuje tlačiť na preukazoch ISIC aj čiarový kód s UID preukazu alebo s číslom licencie ISIC. To by umožnilo čítať tieto kódy aj pomocou laserových čítačiek kódov EAN, ktoré sa bežne používajú v obchodoch.
  5. Majú čítačky kariet Mifare, poznajú usmernenie o preukaze študenta a vedia prečítať verejné údaje z dátového bloku č. 0 v zázname študenta - poskytovateľ služieb si môže elektronicky overiť druh a platnosť preukazu.
  6. Majú kľúč K1 na dešifrovanie dátového bloku č. 1 v zázname študenta - poskytovateľ služieb si môže elektronicky overiť potvrdenie o štúdiu na VŠ.
  7. Majú kľúč K2 na dešifrovanie dátového bloku č. 2 v zázname študenta - poskytovateľ služieb môže použiť aj ďalšie osobné údaje držiteľa preukazu vo svojom IS.
  8. Vedia využiť aj ďalšie údaje držiteľa preukazu, ktoré si elektronicky zapísal do preukazu ako svoju "vizitku" vo formáte NFC / NDEF (podrobnejšie ďalej).
  9. Formou externej aplikácie si do preukazu zapisujú vlastné údaje, ktoré odvodia zo záznamu študenta a vlastných zdrojov - pri využívaní služieb držiteľ bude preukaz prikladať k ďalším čítacím zariadeniam v prevádzkach poskytovateľa služieb.

Skupiny poskytovateľov služieb uvedené nad čiarou nemusia poznať usmernenie, a to sa na nich ani veľmi nevzťahuje. Ostatní poskytovatelia služieb musia poznať usmernenie a striktne ho rešpektovať. Posledná skupina poskytovateľov služieb musí byť dohodnutá aj s vydavateľmi preukazov (VŠ) na spôsobe zápisu externých aplikácií do preukazov.

Jednoduchý formát údajov s variabilnou dĺžkou položiek

Dátové bloky v zázname študenta majú jednoduchú štruktúru, čo uľahčuje prácu s údajmi v aplikačných programoch:

  • všetky údaje sú kódované znakovo
  • položky majú variabilnú dĺžku
  • dátové bloky sú z nich zostavené vo formáte CSV s oddeľovacím znakom „|“

Elektronická vizitka držiteľa preukazu vo formáte NFC / NDEF

Viaceré súčasné mobilné telefóny podporujú technológiu NFC - Near Field Communication, ktorá je kompatibilná s bezdrôtovou technológiu Mifare (RFID). To možno využiť aj pri práci s preukazmi.

Podpora jednotlivých typov telefónov a ich operačných systémov pre NFC je rôzna:

  • iPhone zatiaľ nepodporuje NFC a možno ani v budúcnosti nebude.
  • Android dokáže pracovať s preukazom takmer rovnako ako stolný počítač s externou čítačkou kariet Mifare.
  • Windows Phone má v sebe zabudované bezpečnostné obmedzenia, ktoré programovým aplikáciám umožňujú do preukazu zapísať alebo z neho prečítať len údaje vo formáte NDEF.

NDEF - NFC Data Exchange Format je pomerne nový verejný štandard na zápis jednoduchých položkových údajov na mobilné médiá a na výmenu takýchto údajov medzi mobilnými zariadeniami. Možno ho použiť aj na kartách Mifare Classic a DESFire, kde najčastejšie slúži na vytvorenie elektronickej vizitky držiteľa preukazu.

Usmernenie odporúča vydavateľom preukazov (VŠ), aby pri prvotnej inicializácii pamäťového čipu v preukaze vytvorili aj priestor pre záznamy NDEF. VŠ môže oblasť NDEF vytvoriť ako prázdnu, ale na žiadosť študenta môže do nej vložiť aj niektoré jeho osobné údaje. Študent si tam môže neskôr sám doplniť ďalšie údaje - napr. e-mail, telefóne čísla a pod.

Treba zdôrazniť, že údaje v zázname NDEF si obvykle vytvára a udržiava samotný študent pomocou mobilného telefónu. Nemajú nič spoločné s usmernením o preukaze študenta a za ich obsah a použitie VŠ nenesie žiadnu zodpovednosť. Záznam NDEF je v preukaze verejne prístupný a poskytovatelia služieb z neho môžu získať ďalšie údaje o držiteľovi preukazu. V najjednoduchšom prípade by údaje zo záznamu NDEF mohli poskytovateľovi služieb stačiť na bežnú komunikáciu s držiteľom preukazu a "oficiálny" záznam študenta vytvorený v preukaze podľa usmernenia by možno nemusel čítať. A nemusel by vôbec mať utajované kľúče K1 a K2 - ale to by technológia NDEF musela byť oveľa viac rozšírená ako je teraz.

Poslednou poznámkou sa vrátime k operačnému systému Android. Ak ten naozaj poskytuje plnohodnotnú prácu s preukazom, dala by sa pripraviť osobitná aplikácia na čítanie alebo aj na zápis záznamu študenta v preukaze pomocou mobilného telefónu. To by sa mohlo využiť napr. na prolongáciu preukazov na detašovaných pracoviskách VŠ. Otázkou však zostáva utajenie šifrovacích kľúčov K1 a K2, ktoré by sa mali distribuovať prednostne v moduloch SAM.

Ďalšie novinky v usmernení

  • Čl. 2, ods. 9 určuje vydavateľovi preukazu (VŠ) povinnosť poučiť držiteľa preukazu o údajoch elektronicky zapísaných v preukaze, o jeho zodpovednosti za aktuálnosť údajov v preukaze a za odovzdanie údajov poskytovateľovi služieb, o rizikách spojených s bezkontaktnú technológiu preukazu a pod.
  • Čl. 3, ods. 2 určuje koniec platnosti preukazu študenta v akademickom roku na 30. septembra kalendárneho roku, v ktorom končí príslušný akademický rok. U predpokladaných absolventov koniec platnosti preukazu určuje na 30. júna príslušného akademického roku.
  • Čl. 5 spresňuje štruktúru údajov viditeľne uvedených na preukaze (vizuál preukazu).
  • Čl. 18 v prechodných ustanoveniach usmernenia obsahuje špecifikáciu starších preukazov s čipom Mifare Classic. Vydávať ich možno najdlhšie do 30.9.2015 a používať ich možno najdlhšie šesť rokov po tomto termíne.

Technická podpora k usmerneniu

Príklad zostavenia, šifrovania a elektronického podpisu údajov v zázname študenta

Príloha č. 2 k usmerneniu obsahuje ucelný príklad zostavenia, šifrovania a elektronického podpisu záznamu študenta v preukaze. V elektronickej podobe je implementovaná na stránke:

Na stránke možno experimentovať s údajmi, čo môže výrazne prispieť k správnemu pochopeniu nového usmernenia.

Postup zavádzania nových pravidiel do praxe

Usmernenie je účinné od 1.9.2014. Po tomto termíne všetky preukazy musia obsahovať záznam študenta v novom formáte a poskytovatelia služieb študentom musia vedieť takýto preukaz prečítať. Doterajšie preukazy ITIC sú platné do konca roka 2014, takže dovtedy by poskytovatelia služieb mali vedieť čítať aj staršie formáty údajov v preukazoch. V roku 2015 poskytovatelia služieb už nemusia akceptovať preukazy so starými formátmi údajov..

Nové preukazy pre začínajúcich študentov niektoré VŠ vyrábajú už v júli - tie musia nové usmernenie implementovať v predstihu. Väčšina nových preukazov sa vyrába v auguste, čo by sa malo stihnúť pripraviť. Na nový formát údajov musia byť upravené aj doterajšie preukazy, ktorých platnosť sa bude predlžovať na prelome augusta a septembra. Spoločnosť Emtest avizuje, že preformátovanie už existujúcich preukazov môže spôsobiť problémy, ak študenti nebudú disciplinovaní a nepodržia preukaz pri termináli dostatočne dlho.

Nové aj predĺžené preukazy budú platné od 1.9.2014, ale predĺžené preukazy môžu byť v obehu aj skôr. Preto by bolo dobré, keby poskytovatelia služieb boli schopní nový záznam študenta prečítať a spracovať už od začiatku augusta 2014.

Súhrn technických poznatkov k preukazom s čipmi Mifare

Počas prípravy usmernenia o preukaze študenta prebehla pomerne rozsiahla písomná diskusia ku koncepčným a technický otázkam medzi autormi výsledného riešenia. Jej priebeh nájdete na týchto stránkach:

Poznatky z týchto diskusií neskôr vytriedime a zhrnieme v ucelenejšej forme.

Fundamentálne otázky k preukazom a návrhy príliš odchylné od súčasnej koncepcie usmernenia sme zaradili na stránku:

Vrátime sa k nim niekedy v budúcnosti pri ďalšej novelizácii usmernenia.