certificação digital 1 de 5 Introdução

Transcrição

1 certificação digital 1 de 5 Introdução Cada pessoa cria sua assinatura de forma totalmente livre e a utiliza com significado de expressa concordância com os conteúdos dos documentos onde é aposta. Por vezes, para garantir que não é falsa, exige-se o reconhecimento da assinatura por escrito por de um ente com fé pública, quando então reconhece-se a firma. Com a divulgação e massificação das tecnologias digitais no mundo dos negócios surgiu a necessidade de desenvolvimento de um suporte que permita a assinatura de documentos. A simples digitalização (reprodução em meio eletrônico da assinatura aposta em papel) não é confiável nem segura, pois pode ser facilmente utilizada por terceiros de forma não autorizada por seu autor. Daí a necessidade de criação de uma estrutura operacional e gerencial que permita às pessoas possuírem uma assinatura eletrônica de modo individualizado e único e, simultaneamente, garanta sua autenticidade. Chaves são empregadas na geração de assinaturas digitais. Para cada assinatura existe uma chave pública e uma correspondente chave privada. Chave privada é a parte da chave empregada para assinar uma mensagem. É de uso restrito do titular. Chave pública é a parte da chave disponibilizada para outras pessoas para validação da assinatura Assinatura eletrônica NÃO É certificado digital. A assinatura eletrônica (ou assinatura digital) autentica o emissor de uma mensagem e garante que o conteúdo original da mensagem não foi adulterado. Como funciona: 1. Obtenha um par de chaves de uma fonte confiável (por exemplo do projeto GnuPG, um software livre de uma organização pública de reconhecia confiança 1 ); 2. Digite a mensagem a ser eletronicamente assinada; 3. Com o emprego de software apropriado (baseado em conceitos matemáticos) é gerado um resumo único para a mensagem. Esse resumo recebe o nome de hash; 4. Com o auxílio da chave privada, o hash é criptografado (importante: criptografia é o ramo do conhecimento voltado para a criação de formas seguras de comunicação); 5. O hash criptografado é sua assinatura digital, que será diferente cada vez que a mensagem for enviada. Esquema simplificado de envio de mensagem assinada eletronicamente Os requisitos a serem preenchidos por uma assinatura digital são dois: 1. equivalência funcional entre a assinatura digital e a manuscrita em papel; Consulta em 11/05/2014

2 certificação digital 2 de 5 2. eficácia probatória, definida por quatro propriedades: acessibilidade (verificação da assinatura em qualquer momento), integridade (garantia de que o conteúdo assinado não foi alterado durante sua transmissão), autenticidade (identificação inequívoca do assinante) e não-refutabilidade (também denominada não-refutabilidade de origem, é a propriedade em que uma entidade, após assinar qualquer informação, não pode, em época posterior, negar ter aposto sua assinatura). Esses requisitos são preenchidos por um certificado digital. Os certificados digitais possuem complexidade e alcance superior à assinatura eletrônica por estarem imbuídos no contexto jurídico dos países que os implementam. No cenário brasileiro, os certificados digitais estão normatizados pelo padrão de certificação digital ICP- Brasil. Este certificado identifica virtualmente de modo e inequívoco o autor de mensagem ou transação ocorrida em meios eletrônicos. A mensagem ou transação é formalmente verificada e validada por uma terceira parte com fé pública, a Autoridade Certificadora (AC), que, de acordo com regras estabelecidas pelo Comitê Gestor da ICP-Brasil, associa uma entidade (pessoa, processo, servidor) a um par de chaves criptográficas. Os certificados contém os dados do titular conforme detalhado na Política de Segurança de cada Autoridade Certificadora 2. Requisitos básicos de uma assinatura digital As assinaturas digitais são implementadas por um par de chaves denominadas chave pública e chave privada. Por chave entende-se uma sequência numérica (números inteiros) de caracteres de tamanho fixo e com significado voltado para a computação. Um exemplo de chave é: C D86 E2CD BC8F BAFA C9 18FA CF8D EB2D EFD5 FD37 89B9 C266 E069 EA97 5E35 F577 EE31 C4FB C6E F 922B F01B 2F C0DD 2881 D673 CA2B 4003 C266 CB FC20 Importante: a chave acima emprega o sistema numérico hexadecimal, em que as quantidades variam de 0 à 15, representadas nos símbolos 0, 1, 2, 3, 4, 5, 6, 7, 8, 9, A, B, C, D, F. Assim, a quantidade F na base hexadecimal representa a quantidade 15 na base decimal ( ou F 16 <=> 15 10) Privativa do titular Chave Privada Criptografa mensagens no processo de assinatura digital Descriptografa mensagens criptografadas por uma chave pública Pode ser armazenada no computador ou em meio externo (token, pen drive) Protegida, via de regra, por senha Guarda e proteção sob responsabilidade do titular Chave Pública Disponibilizada em modo público Descriptografa mensagens digitalmente assinadas por uma chave privada Criptografa uma mensagem que somente poderá ser descriptografada por uma chave privada Disponibilizada em ambiente externo ou junto à mensagem digitalmente assinada No contexto da certificação digital usada para autenticação A chave privada é gerado por um software especializado (algoritmo de geração de chaves) que seleciona, de modo uniforme e inequívoco, uma chave de um conjunto de chaves possíveis. Por um processo de natureza matemática, uma chave pública é gerada com base na chave privada, tendo como requisito que o par chave pública-chave privada seja único. Com o par chave pública-chave privada, toda mensagem, antes de sua transmissão, solicita o serviço de um software especializado denominado signing software que gera uma assinatura para aquele documento 2 Consulta em 11/05/2014.

3 certificação digital 3 de 5 específico (criptografa o documento). O documento então é enviado ao destinatário. Ao chegar ao destinatário, a mensagem digitalmente assinada é analisada por um software especializado denominado signature verifying que aceita ou rejeita a mensagem baseada na sua autenticidade. A autenticidade de uma mensagem gerada por uma chave privada pode ser verificada pelo uso da correspondente chave pública (esta é referenciada na mensagem e, por ser pública, disponibilizada para acesso por algum meio). O computador receptor decodifica (descriptografa) a mensagem utilizando a chave pública do emissor e sua própria chave privada. Assim, mesmo que uma mensagem enviada de um computador para outro possa ser interceptada por agentes mal intencionados, ela somente será lida por intermédio da chave privada do receptor; este processo confere segurança às mensagens digitalmente assinadas. Neste contexto surge a figura da Autoridade Certificadora. Ela é um ator independente em que emissor e receptor confiam e que certifica que cada parte é quem realmente afirma ser. É ela que fornece a chave pública de cada parte para a outra. É inviável a geração de uma assinatura digital sem a presença da chave privada. Daí ser a chave privada de uso pessoal e intransferível do detentor legal, com incidência de obrigações e responsabilidades legais sobre sua guarda e uso. Tipo Aplicação Chave Geração Validade A1 A2 A3 A bits software 1 ano 1024 bits hardware 2 anos 1024 bits hardware 3 anos 2048 bits hardware 4 anos S1 Sigilo pela cifragem de documentos, mensagens, dados 1024 bits software 1 ano S2 Sigilo pela cifragem de documentos, mensagens, dados 1024 bits hardware 2 anos S3 Sigilo pela cifragem de documentos, mensagens, dados 1024 bits hardware 3 anos S4 Sigilo pela cifragem de documentos, mensagens, dados 2048 bits hardware 4 anos Tipos de certificados Infraestrutura de Chaves Públicas Brasileiras, ou simplesmente ICP-Brasil Definida as necessidades e consequentes requisitos das assinaturas digitais, gerou-se no Brasil uma Infraestrutura de Chaves Públicas (ICP-Brasil), conceituada como uma cadeia hierárquica e de confiança que viabiliza a emissão de certificados digitais para identificação virtual do cidadão 3. Essa infraestrutura é um modelo de certificação com raiz única (existe um único órgão com poder máximo, que é o Instituto Nacional de Tecnologia da Informação ITI). O ITI desempenha o papel de Autoridade Certificadora Raiz (AC-Raiz), com poder para credenciar e descredenciar os participantes da infraestrutura, além de supervisionar e auditar os processos relacionados à Certificação Digital. 3 Consulta em 11/05/2014.

4 certificação digital 4 de 5 Apenas à título informativo e de acordo com o ITI 4, até março de 2014 foram emitidos, no Brasil, certificados digitais. Autoridades e funcionamento da ICP-Brasil 5 A cadeia da ICP-Brasil é composta por diversas autoridades hierarquicamente organizadas, como definido pelo Comitê Gestor da ICP-Brasil. O Comitê Gestor da ICP-Brasil vincula-se à Casa Civil da Presidência da República. É composto por cinco representantes da sociedade civil, integrantes de setores interessados e um representante de cada um dos seguintes órgãos: Ministério da Justiça; Ministério da Fazenda; Ministério do Desenvolvimento, Indústria e Comércio Exterior; Ministério do Planejamento, Orçamento e Gestão; Ministério da Ciência e Tecnologia; Casa Civil da Presidência da República e Gabinete de Segurança Institucional da Presidência da República. Sua principal competência é determinar as políticas a serem executadas pela Autoridade Certificadora- Raiz 6 AC - Raiz A Autoridade Certificadora Raiz da ICP-Brasil (AC-Raiz) é a primeira autoridade da cadeia de certificação. Executa as Políticas de Certificados e normas técnicas e operacionais aprovadas pelo Comitê Gestor da ICP-Brasil, como emitir, expedir, distribuir, revogar e gerenciar os certificados das autoridades certificadoras de nível imediatamente subsequente ao seu. A AC-Raiz emite a lista de certificados revogados (LCR), fiscaliza e audita as Autoridades Certificadoras (ACs), Autoridades de Registro (ARs) e prestadores de serviços habilitados na ICP-Brasil. AC - Autoridade Certificadora Autoridade Certificadora (AC) é entidade pública ou privada subordinada à hierarquia da ICP-Brasil e responsável por emitir, distribuir, renovar, revogar e gerenciar certificados digitais. Cria e assina digitalmente cada certificado, que é a declaração da identidade do titular e possui um par único de chaves públicaprivada. A AC emite listas de certificados revogados (LCR) e mantêm registros de suas operações em concordância com as práticas definidas na Declaração de Práticas de Certificação (DPC). Estabelece e faz cumprir pelas Autoridades Registradoras (ARs) a ela vinculadas as políticas de segurança necessárias para garantir a autenticidade da identificação realizada. AR - Autoridade de Registro A Autoridade de Registro (AR) é responsável pela comunicação entre o usuário e a Autoridade Certificadora. Vinculada a uma AC, recebe, valida, encaminha solicitações de emissão ou revogação de certificados digitais e identifica, de forma presencial, os usuários. É responsabilidade da AR manter registros de suas operações. Pode estar fisicamente localizada em uma AC ou ser uma entidade de registro remota. ACT - Autoridade Certificadora do Tempo A Autoridade Certificadora do Tempo (ACT) é uma entidade (no Brasil, o Observatório Nacional) que emite Carimbos do Tempo (Carimbo de Tempo é a hora legal brasileira HLB - aplicada a um determinado evento ocorrido no mundo digital). Um documento ao ser produzido tem seu conteúdo criptografado. Os atributos ano, mês, dia, hora, minuto e segundo são a ele associados e atestados na assinatura realizada com certificado digital, servindo para comprovar sua autenticidade. A ACT atesta não apenas a questão temporal de uma transação, mas também seu conteúdo. Exemplo: Uma petição, enviada para o E-SAJ (Portal de serviços judiciais eletrônicos de São Paulo), foi 4 Consulta em 11/05/ Consulta em 11/05/ Consulta em 11/05/2014.

5 certificação digital 5 de 5 assinada digitalmente no dia 11/05/2014 às 10h:26 por um advogado. Integrando a assinatura foi gerado um carimbo de tempo associando a petição, o certificado digital do advogado e a data e hora legal brasileira, que, naquele momento, era 11/05/2014 às 10:26:00.