Transcrição

1 6 de Dezembro de 2000

2 Índice Introdução 2 Pág. O que é uma Assinatura Digital? 2 O que é um Documento Electrónico? 2 Problemas associados à transmissão de um Documento Electrónico 2 Como obter uma Assinatura Digital? 3 1.Obtenção de uma assinatura electrónica 3 Rato 4 Mesa Digitalizadora 4 Scanner 4 2.Obtenção de uma Assinatura Digital a partir de uma assinatura electrónica 5 O que é a Encriptação? 5 Quais os métodos que existem para encriptar Assinaturas Digitais? 5 O que é uma Autoridade Credenciadora? 7 O que é uma Entidade Certificadora? 8 Requisitos de uma Entidade Certificadora 8 Deveres de uma Entidade Certificadora 8 Como utilizar uma Assinatura Digital? 9 Estado actual da Legislação Comunitária 9 Recursos Utilizados 9 Anexo Exemplo Prático 12 Qual a importância de uma Factura Electrónica? 12 Requisitos de uma Factura Electrónica 12 Utilização do Sistema de Facturação Electrónica 12 Conservação de uma Factura Electrónica 12 Deveres da Direcção-Geral dos Impostos 13 Assinaturas Digitais 1/13

3 Introdução As redes electrónicas abertas, tais como a Internet, têm tido uma importância relevante no crescimento das relações comerciais, não só devido à rapidez introduzida no processo de negociação, mas também devido à diminuição dos custos envolvidos. Esta diminuição dos custos envolvidos deve-se ao facto do processo estar isento da aplicação de selo fiscal e de carimbos (Decreto-Lei N.º 290-D/99 de 2 de Agosto, N.º 2 do Artigo 7º), bem como devido à eliminação dos custos relativos à sua representação em papel, aos portes de envio e ao tempo de espera associado. O processo de negociação é conseguido através da transmissão de documentos electrónicos, dos quais é necessário garantir a sua autenticidade e integridade. A autenticidade de um documento consiste em determinar, de forma unívoca, quem foi o seu emissor. A integridade dos dados garante que, um documento previamente autenticado, não possa ser alterado por um terceiro que não seja o seu autor. Tal como nas transacções tradicionais, em que o autor do documento lhe acrescenta a sua assinatura manualmente de modo a autenticá-lo, também neste processo de negociação comercial tornou-se necessário incluir algo que representasse a assinatura tradicional. A solução encontrada foi a Assinatura Digital. O que é uma Assinatura Digital? Uma Assinatura Digital é a representação electrónica da assinatura de uma pessoa, afim de que a sua aposição num documento electrónico estabeleça uma ligação unívoca entre este último e a pessoa. A Assinatura Digital constitui a técnica mais reconhecida de assinatura electrónica (este conceito será visto mais adiante no ponto Obtenção de uma assinatura electrónica), apresentando o mais elevado grau de segurança para as trocas de dados em redes abertas, uma vez que utiliza a encriptação (este conceito será visto mais adiante no ponto O que é a Encriptação?). O que é um Documento Electrónico? Um Documento Electrónico é um documento elaborado através da manipulação electrónica dos dados, ou seja, um documento que tem uma representação binária, podendo por isso ser tratado como uma sequência de bits. Como consequência, pode ser transmitido utilizando os métodos de comunicação remotos existentes: analógicos (tal como a rede telefónica) e digitais (tal como a linha RDIS). Além disso, um Documento Electrónico só tem valor se se puder obter uma sua representação física (papel), e lhe tenha sido aposta uma Assinatura Digital. Problemas associados à transmissão de um Documento Electrónico Dado que a transmissão através das redes existentes na actualidade não é 100% fiável (embora não esteja longe deste valor), é necessário ter em consideração a possibilidade do documento se perder na rede. Estas perdas podem ser devidas a uma sobrecarga temporária em alguns nós da rede, fazendo com que o documento se atrase, ao ponto do emissor e do receptor o darem como perdido (a transmissão excedeu o tempo de timeout). Por isso, foi necessário criar um método que garantisse que a transmissão é efectuada. Para tal, obrigou-se o receptor do documento a enviar uma mensagem de confirmação, dirigida ao remetente do mesmo. Segundo a legislação em vigor, isto equivale à remessa por via postal registada (Decreto-Lei N.º 290-D/99 de 2 de Agosto, N.º 3 do Artigo 6º). Assinaturas Digitais 2/13

4 Como obter uma Assinatura Digital? Para que seja possível a obtenção de uma Assinatura Digital é necessário efectuar os seguintes passos: 1. Obtenção de uma assinatura electrónica 2. Obtenção de uma assinatura digital a partir de uma assinatura electrónica A Figura 1 permite visualizar estes dois passos, para os quais se indica seguidamente quais os procedimentos a seguir. Assinatura Electrónica Assinatura Digital Encriptação Figura 1: Obtenção de uma Assinatura Digital 1. Obtenção de uma assinatura electrónica Uma assinatura electrónica é uma representação digital de uma assinatura física, devendo o processo utilizado para a sua obtenção permitir uma reprodução o mais próxima possível da original. Além disso, o processo utilizado para a sua obtenção deverá ser de baixo custo e de geração fácil. Seguidamente, apresentamos uma análise de cada um destes três aspectos: O problema de se conseguir uma reprodução próxima da realidade deve- -se ao facto da sua representação digital ser uma aproximação da realidade, uma vez que uma curva é aproximada por vários segmentos de recta, tal como se demonstra na Figura 2. Figura 2: Desenho de uma curva e respectiva aproximação No entanto, como a tecnologia tem vindo a avançar, os erros obtidos são cada vez menores, tornando-se praticamente insignificantes, podendo este problema ser remetido para segundo plano. O problema do custo associado ao processo utilizado implica que não se possa optar por tecnologias dispendiosas, pois poderíamos estar a impedir que, entidades com baixa disponibilidade financeira, obtivessem uma assinatura electrónica. Assinaturas Digitais 3/13

5 Quanto à geração fácil de uma assinatura electrónica, há que ter em consideração que o processo a utilizar deverá ser simples, não exigindo conhecimentos suplementares. Da tecnologia actual sobressaem os seguintes dispositivos como candidatos à execução desta tarefa: Rato Este dispositivo, pelas suas características, não permite a obtenção de resultados muito fiáveis, o que se deve à imprecisão resultante do seu manuseamento. No entanto, o seu custo é baixo e o processo de geração é simples. Mesa Digitalizadora Este dispositivo é o que mais se aproxima da ferramenta clássica lápis e papel, uma vez que consiste em se escrever numa mesa com o auxílio de uma caneta apropriada. O resultado obtido é então passado para o computador. Sendo assim, este método é bastante fiável, uma vez que o processo é semelhante ao usado manualmente, embora se tenha de ter em consideração uma certa margem de erro. Além disso, permite uma geração fácil da assinatura electrónica, uma vez que basta desenhar a assinatura, tal como se estivesse a fazê-lo em papel. No entanto, este método tem um custo elevado, que está associado ao valor comercial de uma mesa digitalizadora, não sendo por isso possível que qualquer entidade possa adquirir este tipo de dispositivo. Scanner Este método consiste em termos uma assinatura em papel, utilizando-se o scanner para a introduzir no computador. A fiabilidade é semelhante à da mesa digitalizadora, tendo como vantagem o facto do seu custo ser bastante inferior. Além disso, este método também é de fácil utilização. Sendo assim, podemos concluir que o scanner será o melhor método a adoptar para a obtenção de uma assinatura electrónica, uma vez que cumpre os três requisitos anteriormente referidos. Depois de se ter obtido a assinatura electrónica é necessário armazená-la num local fiável. Para isso, é necessário ter em consideração a importância de se efectuarem backup s, de tal modo que, em caso de falha do sistema físico, não se perca a assinatura electrónica, evitando deste modo a repetição do processo anteriormente descrito para a sua obtenção. Terminando este passo, temos um ficheiro com a imagem de uma assinatura válida, que pode ser transmitida remotamente ou ser incorporada num documento electrónico. Assinaturas Digitais 4/13

6 2. Obtenção de uma Assinatura Digital a partir de uma assinatura electrónica Para se obter uma Assinatura Digital a partir de uma assinatura electrónica e, de acordo com a legislação em vigor, torna-se necessário recorrer à encriptação, afim de dissuadir os hackers. O que é a Encriptação? A Encriptação consiste na codificação de uma mensagem, de modo a garantir que não é lida directamente por qualquer pessoa que não conheça as chaves de encriptação. Estas chaves de encriptação é que permitem a codificação e descodificação da mensagem. Quais os métodos que existem para encriptar Assinaturas Digitais? Existem três métodos possíveis para encriptar Assinaturas Digitais: Algoritmos de Secreta, Algoritmos de Pública e Algoritmos baseados em funções de sentido único. Seguidamente, apresentamos uma breve descrição de cada um destes algoritmos, apresentando as suas vantagens e desvantagens. Algoritmos de Secreta Estes algoritmos implicam a existência de uma autoridade central, que conhece todas as chaves secretas existentes. Sendo assim, quando se pretende enviar uma mensagem com uma Assinatura Digital, torna-se necessário aplicar-lhe a sua chave secreta, enviando-a à referida autoridade. Uma vez que essa chave secreta é do conhecimento da autoridade central, a mensagem pode ser descodificada por esta, a qual lhe aplica uma marca indicativa de que o documento em questão passou por esta entidade. Em seguida, é-lhe acrescentada a chave secreta do destinatário, que poderá ser descodificada por este último através da aplicação da sua chave secreta. A descrição que acaba de ser apresentada pode ser visualizada na Figura 3. Emissor (A) Mensagem Mensagem Receptor (B) Autoridade Central Secreta A Secreta B Figura 3: Funcionamento dos Algoritmos de Secreta Assinaturas Digitais 5/13

7 Este método mantém a privacidade da mensagem pois, partindo-se do princípio de que a autoridade central é fiável, só o dono de uma Assinatura Digital é que conhece a sua chave secreta, sendo apenas ele que pode codificar as suas mensagens; além disso, só o destinatário da mensagem é que a pode descodificar, pois só ele conhece a sua chave secreta, necessária para a descodificar. Algoritmos de Pública Estes algoritmos surgem com o objectivo de eliminar a autoridade central existente nos algoritmos anteriores, de tal modo que não se fique dependente dessa autoridade; além disso, permitem também eliminar a necessidade de se utilizar uma chave secreta para codificação e descodificação. Cada utilizador conhece a sua chave secreta e a sua chave pública, sendo esta última conhecida por todos. Quando o emissor pretende enviar uma determinada mensagem, deverá codificá-la com a sua chave secreta, aplicando-lhe em seguida a chave pública do destinatário. O destinatário, ao receber a mensagem, deve aplicar-lhe a sua chave secreta e, seguidamente, a chave pública do emissor. Além das duas vantagens apresentadas relativamente aos Algoritmos de Secreta, estes algoritmos também são vantajosos pelo facto de não ser possível reproduzir a mensagem do emissor, uma vez que o receptor não conhece a chave secreta do autor da mensagem. A descrição que acaba de ser apresentada pode ser visualizada na Figura 4. Emissor (A) Mensagem Mensagem Receptor (B) Secreta A Pública A Pública B Secreta B Figura 4: Funcionamento dos Algoritmos de Pública Assinaturas Digitais 6/13

8 Algoritmos baseados em funções de sentido único Pode acontecer que, ao enviar-se uma mensagem, não seja relevante o facto de outras pessoas a poderem ler, interessando apenas garantir a autenticidade do documento. Nestes algoritmos junta-se ao documento a assinatura electrónica, codificando-a com a sua chave privada. Deste passo advém que a assinatura fica aposta ao documento, não podendo ser separada deste, o que garante a pretendida autenticidade. Além disso, uma vez que a assinatura está aposta ao documento, está também assegurada a integridade do documento, uma vez que não é possível modificá-lo. Para que o receptor possa ler a mensagem, terá que a descodificar com a chave pública do emissor, que é do conhecimento de todos. A descrição que acaba de ser apresentada pode ser visualizada na Figura 5. Emissor (A) Mensagem Mensagem Receptor (B) Secreta A Pública A Assinatura Electrónica Figura 5: Funcionamento dos Algoritmos baseados em funções de sentido único Perante estes três métodos de encriptação, a Legislação Portuguesa em vigor optou pela encriptação baseada em funções de sentido único. Para isso, prevê a criação de Entidades Certificadoras, que são fiscalizadas por Autoridades Credenciadoras. O que é uma Autoridade Credenciadora? Uma Autoridade Credenciadora é uma entidade criada pelo Estado, com o objectivo de gerir a admissão de Entidades Credenciadoras. A função desta entidade é fiscalizar as Entidades Credenciadoras, verificando se estão a cumprir os requisitos mínimos. Assinaturas Digitais 7/13

9 O que é uma Entidade Certificadora? Uma Entidade Certificadora é a responsável pela geração das chaves requeridas pelo processo utilizado no uso das Assinaturas Digitais. Compete ainda a esta entidade publicitar as chaves públicas ou, em caso de existir alguma irregularidade com uma Assinatura, publicitar esse facto, de tal modo que todas as restantes entidades possam tomar conhecimento. Requisitos de uma Entidade Certificadora Os requisitos necessários para uma Entidade Certificadora são: O capital social deverá ser pelo menos igual a $00 (Decreto-Lei N.º 290-D/99 de 2 de Agosto, N.º 1 do Artigo 14º). Dê provas de ser uma pessoa 1 idónea, ou seja, tenha tido uma conduta correcta (Decreto-Lei N.º 290-D/99 de 2 de Agosto, Artigo 15º). Tenha um auditor de segurança que zele pela segurança do processo de certificação, estando este obrigado a entregar relatórios que evidenciem o estado do processo. O auditor está sujeito à aprovação prévia da Autoridade Credenciadora. (Decreto-Lei N.º 290-D/99 de 2 de Agosto, Artigo 16º). Tenha um seguro obrigatório de responsabilidade civil (Decreto-Lei N.º 290-D/99 de 2 de Agosto, Artigo 17º). Dispor de um plano de actividades para os próximos três anos (Decreto-Lei N.º 290-D/99 de 2 de Agosto, alínea h do N.º 1 do Artigo 13º). Deveres de uma Entidade Certificadora Segundo o Decreto-Lei N.º 290-D/99 de 2 de Agosto, Artigo 25º, além de alguns dos deveres já referidos anteriormente, compete a cada Entidade Certificadora: Verificar a identidade dos requerentes dos pares de chaves (secreta e pública). Fornecer os pares de chaves requeridos por uma entidade, assim como os meios técnicos para o uso das mesmas. Não fazer uso do seu conhecimento das chaves secretas. Conservar os certificados por um período não inferior a 20 anos. Além disso, compete-lhe ainda guardar os registos cronologicamente pela data da expedição ou da recepção de um documento electrónico (Decreto-Lei N.º 290-D/99 de 2 de Agosto, alínea h do Artigo 2º). 1 Entende-se como pessoa um indivíduo ou um conjunto de indivíduos que constituam uma sociedade. Assinaturas Digitais 8/13

10 Se uma Entidade Certificadora der por terminada a sua actividade, terá que passar a outra Entidade Certificadora todos os dados relativos às chaves por si geradas. Além disso, essa situação deverá ser comunicada a cada uma das entidades que possuem chaves por si geradas. Como utilizar uma Assinatura Digital? Depois de se ter obtido a assinatura electrónica e as chaves (secreta e pública), já é possível utilizar a Assinatura Digital. Para isso, depois de se ter produzido o documento electrónico, basta acrescentar-lhe a assinatura electrónica e codificá-la com a chave secreta. Estado actual da Legislação Comunitária Foi recentemente aprovada pela União Europeia uma directiva que regulamenta as Assinaturas Digitais, assim como as respectivas regras de segurança. Estas regras incidem sobre a fiabilidade dos fornecedores de serviços de certificação, assim como sobre a utilização de sistemas dignos de confiança. Além disso, cada Estado membro é livre de instituir medidas ou regras de segurança especiais para acreditação dos referidos fornecedores. Esta atitude surgiu como consequência da crescente troca de informação electrónica entre países da comunidade e, simultaneamente, devido à necessidade de validação dessa mesma informação. No entanto, ainda não se chegou a nenhuma conclusão relativamente aos critérios técnicos que é necessário definir. Devido a esta directiva, todos os Estados membros deverão assegurar a partir do Verão de 2001, o reconhecimento das Assinaturas Digitais, provenientes dos países da União Europeia. A título de exemplo, poder-se-á citar o estado da legislação em alguns países comunitários: Em 29 de Fevereiro deste ano, a França aprovou a utilização da Assinatura Digital, embora não tenha especificado os requisitos técnicos a adoptar para a sua aplicação legal. A Estónia, que também aprovou a utilização legal da Assinatura Digital a partir de 2001, já definiu os requisitos técnicos para o seu reconhecimento, assim como as regras de segurança que devem ser suportadas pelos sistemas. A Alemanha também já apresentou um projecto de lei sobre as Assinaturas Digitais, e que vai de encontro à directiva comunitária. Recursos Utilizados Para a realização deste trabalho foi necessário pesquisar informação na Web. Os sites consultados foram os seguintes: Assinaturas Digitais 9/13

11 Assinaturas Digitais 10/13

12 Conteúdo: Exemplo Prático Assinaturas Digitais 11/13

13 Exemplo Prático Uma das vantagens da Assinatura Digital foi permitir que as Facturas fossem transmitidas como um documento electrónico. Esta funcionalidade permite a redução dos custos inerentes à sua emissão, além das vantagens já anteriormente apresentadas. Sendo assim, vamo-nos referir à Factura Electrónica, a título de exemplo de uma aplicação da Assinatura Digital. Qual a importância de uma Factura Electrónica? Tal como já foi referido anteriormente, o comércio electrónico tem vindo a assumir um papel cada vez mais importante na nossa sociedade. Sendo assim, há a necessidade de se substituir as tradicionais facturas em papel, que são posteriormente arquivadas, por Facturas Electrónicas. De acordo com o Decreto-Lei N.º 375/99 de 18 de Setembro, a Factura Electrónica é equiparada às facturas emitidas em papel, o que constitui um factor de elevada importância para o desenvolvimento do comércio electrónico. Requisitos de uma Factura Electrónica Para que uma Factura Electrónica seja equivalente a uma factura em papel, é necessário que lhe seja aposta uma Assinatura Digital, a qual deve respeitar os requisitos anteriormente referidos. Tal como sucede com as facturas em papel, a Factura Electrónica deve ser guardada por ambas as entidades, de tal modo que esta possa ser apresentada sempre que tal for exigido. Além disso, deverá ser possível reproduzir uma Factura Electrónica em papel. (Decreto-Lei N.º 375/99 de 18 de Setembro, Artigo 1). Utilização do Sistema de Facturação Electrónica De acordo com o Decreto-Lei N.º 375/99 de 18 de Setembro, Artigo 2º, todo aquele que estiver interessado em utilizar um sistema de Facturação Electrónico deverá comunicar à Direcção-Geral dos Impostos essa intenção, indicando todos os dados relativos ao sistema em questão, afim de lhe ser ou não concedida autorização. Conservação de uma Factura Electrónica As Facturas Electrónicas devem ser armazenadas cronologicamente: pela sua data de emissão, para a entidade emissora e, pela sua data de recepção, para a entidade receptora. Os prazos estabelecidos para a conservação de uma Factura Electrónica são os mesmos que se aplicam à factura em papel. Durante o período em que a entidade aguarda a autorização para a utilização do sistema de facturação, deverá conservar em papel todas as facturas emitidas, assim como todos os documentos movimentados. (Decreto-Lei N.º 375/99 de 18 de Setembro, Artigo 3º). Assinaturas Digitais 12/13

14 Deveres da Direcção-Geral dos Impostos A Direcção-Geral dos Impostos deverá verificar a fiabilidade do sistema de facturação electrónica de qualquer entidade. Se se verificar que as condições impostas não são cumpridas, a autorização anteriormente concedida fica suspensa. No entanto, se num prazo máximo de três meses, não forem efectuadas as necessárias correcções ao sistema ou, se a entidade em questão não permitir que a inspecção seja efectuada, a autorização é cancelada (Decreto-Lei N.º 375/99 de 18 de Setembro, Artigo 4º). Assinaturas Digitais 13/13