GUIA DE USO - ASSINATURA DIGITAL DE DOCUMENTOS

Transcrição

1 GUIA DE USO - ASSINATURA DIGITAL DE DOCUMENTOS Introdução A partir da versão 9.0 do GXflow pode-se assinar digitalmente documentos. Esta funcionalidade permite verificar que um documento não tenha sido alterado e além disso, que foi assinado utilizando um certificado de confiança. Para seu uso são necessários conhecimentos sobre PKI (Public Key Infrastructure - Infraestrutura de Chaves Públicas) Para se obter a assinatura digital utilizam-se os seguintes algoritmos: - SHA - para se obter a dispersão do documento - RSA para encriptar a dispersão Passos prévios Há alguns passos adicionais de configuração necessários para poder utilizar esta funcionalidade em uma aplicação GXflow. Esta configuração é específica para cada plataforma conforme a descrição a seguir: Configuração em.net - A aplicação precisa ser executada com o.net Framework Os navegadores das máquinas cliente devem utilizar o plug-in do Java ou superior para a execução de applets Java. - É preciso copiar o arquivo com.gxflow.pki.client.signerapplet.jar, localizado em <diretório de instalação do GXflow 9.0>\GXFlowClientApplicationFiles\dotNet\Pki, para o diretório que contém a aplicação (diretório físico ao qual aponta o diretório virtual da aplicação.net), onde <diretório de instalação do GXflow 9.0> por defeito é C:\Program Files\ARTech\GXflow\GXflow90). - Deve-se copiar o arquivo GXflow.PKI.Server.dll localizado também em <diretório de instalação do GXflow 9.0>\GXFlowClientApplicationFiles\dotNet\Pki, para o diretório onde residem os binários da aplicação.net. - Os certificados de autoridades de certificação de confiança, intermédias ou de raiz, devem estar instalados nos correspondentes repositórios de certificados do servidor Windows que contém a aplicação. Adicionalmente, se desejar ter controle de revogação de certificados, é preciso ter instaladas as correspondentes listas de revogação (CRLs). Configuração no Java - Os navegadores das máquinas cliente devem utilizar o plug-in do Java ou superior para a execução de applets Java. 1

2 - Deve-se copiar o arquivo com.gxflow.pki.client.signerapplet.jar localizado em <diretório de instalação do GXflow 9.0>\GXFlowClientApplicationFiles\Java\Pki, para o diretório onde se encontra a aplicação no motor de servlets. (Por exemplo, C:\Program Files\Apache Software Foundation\Tomcat 5.0\webapps). <diretório de instalação do GXflow 9.0>, por defeito é C:\Program Files\ARTech\GXflow\GXflow90. - Deve-se copiar o arquivo com.gxflow.pki.server.jar, localizado também em <diretório de instalação do GXflow 9.0>\GXFlowClientApplicationFiles\Java\Pki, para o diretório lib da aplicação no motor de servlets. - Se desejar utilizar chaves RSA de mais de 2048 bits, é necessário instalar os Java Unrestricted Policy Files. Estes arquivos são específicos para cada versão da máquina virtual e podem se obter do site da Sun. - Os certificados de autoridades certificadoras de confiança intermédias e de raiz, bem como as listas de revogação devem residir em disco, num diretório acessível pela aplicação. É preciso ter um diretório para tais efeitos e neste diretório criar os seguintes sub-diretórios: inter_ca_certs: diretório de certificados de autoridades de certificação de confiança intermédias. root_ca_certs: diretório de certificados de confiança de autoridades de certificação de confiança de raiz. crls: diretório de listas de revogação (CRLs). Os certificados e listas de revogação armazenados nesses diretórios devem estar em formato DER. Além disso, nas preferências de Servidor do Cliente GXflow, deve-se configurar a preferência Avançado->Manejo de Documentos->Diretório de Certificados CA deve-se especificar o diretório de certificados mencionado anteriormente. Esta preferência só é utilizada no Java. Configurações em GXPM No GXPM, ao criar ou modificar um documento na opção Proyect->Documents, pode se fazer a configuração se um documento precisar assinatura digital. Para isso, no diálogo de definição do documento é necessário marcar o check box titulado Digital Signature Required como indica a figura a seguir. 2

3 Configurações no cliente GXflow No cliente GXflow, nas preferências do servidor é preciso habilitar a funcionalidade de assinatura digital de documentos mediante a preferência: Avançado->Manejo de Documentos->Habilitar assinatura digital (descreveremos mais adiante as outras preferências que aparecem ao habilitar a assinatura digital). 3

4 Assinatura de documentos no Cliente GXflow Quando um usuário deseja fazer o check in de um documento que requer assinatura digital, o formulário de upload de documentos incluirá um applet Java para tais efeitos. Este applet está assinado digitalmente pela Artech e o browser solicitará permissão ao usuário para ativá-lo na primeira vez que for utilizado no cliente. 4

5 Uma vez ativado esse applet, exibe-se um botão titulado Assinar além dos elementos habituais do formulário de upload. Depois de selecionar o documento que se deseja subir, deve-se pressionar este botão para assinar o documento. Ao fazê-lo, será acessado um diálogo no qual é preciso especificar o certificado que contém a chave privada com as quais se assinará o documento. Concretamente, solicita-se a rota em disco deste certificado, que deve estar em formato PKCS#12 (arquivos.pfx), e a senha para extrair a chave privada desse arquivo. Ao confirmar, se a informação for correta, o documento será assinado e será habilitado o botão para subir o documento ao servidor. No servidor, a assinatura digital será verificada para conferir que o documento não tenha sido alterado durante o trajeto para o servidor. Além disso, verificar-seá que o certificado com o qual se assinou o documento não expirou e é de confiança, ou seja, que foi emitido por alguma das entidades certificadoras nas 5

6 quais se confia. Se esta verificação for bem-sucedida, o documento será aceito pelo repositório de documentos de GXflow. Visualização de informação de documentos assinados Nas diferentes aplicações do cliente GXflow que exibem documentos (Meus Documentos, Trabalhar com Documentos, etc.), inclui-se uma nova coluna na grade de documentos para os documentos assinados. Esta coluna permite acessar um diálogo com detalhes do certificado utilizado para assinar o documento bem como a assinatura que se obteve. 6

7 Administração de certificados de usuário Os certificados utilizados por um usuário para assinar documentos se mantêm no servidor associados ao usuário. Estes certificados se exibem em ABM de usuários, na informação de cada usuário. É importante esclarecer que estes certificados não contêm a chave privada, eles contêm apenas informação pessoal do dono do certificado junto com sua chave pública. Por defeito, quando um usuário assina um documento e verifica-se que o certificado utilizado é de confiança e que não pertence ainda ao conjunto de certificados do usuário, ele fica adicionado automaticamente. Se desejar realizar manualmente a administração dos certificados de usuários deve-se configurar a preferência de servidor Avançado->Administração de Documentos->Inserir certificados de usuário automaticamente com o valor Não. Assim, só um usuário administrador poderá adicionar ou tirar certificados de usuários da aplicação (através do diálogo de ABM de usuários da consola de administração). Um usuário não poderá assinar documentos utilizando um certificado não associado a sua conta de usuário mesmo em se tratando de um certificado válido e de confiança. 7

8 8