O ITI e a Infra-estrutura de Chaves Públicas Brasileira

Transcrição

1 O ITI e a Infra-estrutura de Chaves Públicas Brasileira Viviane Regina Lemos Bertol Coordenadora-Geral de Normalização e Pesquisa

2 O ITI Autarquia Federal, ligada à Casa Civil da Presidência da República Criada para ser a AC-Raiz da ICP-Brasil em 2001 MP Composta de: Diretor-Presidente Diretoria de Infra-estrutura de Chaves Públicas Diretoria de Auditoria, Fiscalização e Normalização Procuradoria Especializada

3 ICP-Brasil AC-Raiz Instituto Nacional de Tecnologia da O ITI Auditoria e Fiscalização Normalização e Pesquisa Projeto João-de-Barro Homologação de HW e SW Software Livre Inclusão Digital Casa Brasil

4 ICP-Brasil Criada a partir da percepção do Governo Federal da importância de regulamentar as atividades de certificação digital no País Compõe-se de: (1) Entidades, (2) Padrões técnicos e (3) Regulamentos para suportar um sistema criptográfico de certificados digitais

5 Entidades da ICP-Brasil COMITÊ GESTOR AC RAIZ Auditoria COTEC LEA AR AC 1º. Nível AR AC 1º. Nível AR Titulares PSS AC 2º. Nível AR AC 2º. Nível AR Titulares Titulares

6 Entidades da ICP Brasil Comitê Gestor Responsável pela implantação da ICP-Brasil Estabele políticas, critérios e normas de funcionamento Audita e fiscaliza a AC Raiz Cotec Dá assessoria técnica ao CG Propõe criação / alteração de regulamentos

7 AC Raiz Instituto Nacional de Tecnologia da Entidades da ICP Brasil Credencia, audita e fiscaliza entidades da ICP-Brasil Assina seu próprio certificado e os certificados das AC imediatamente abaixo dela AC Autoridade Certificadora Emite, renova ou revoga certificados digitais de outras AC ou de titulares finais Publica LCR

8 Entidades da ICP Brasil AR Autoridade de Registro Identifica e cadastra usuários na presença destes Encaminha solicitações de certificados às AC Mantém registros de suas operações PSS Prestador de Serviços de Suporte Infra-estrutura física e lógica Mão-de-obra especializada

9 Titular de Certificado Entidades da ICP Brasil É aquele que é identificado pelo certificado digital Pode ser: pessoa física / jurídica ou equipamento LEA Laboratório de Ensaios e Auditoria Homologação de equipamentos e sistemas de certificação digital Auditoria Independente / Auditoria Interna Autorizada pelo ITI Contratada pelas AC

10 ICP-Brasil - Padrões Técnicos FIPS segurança dos módulos criptográficos X-509 formato do certificado PKCS formato de arquivos para solicitação e entrega dos certificados RFC 3280 interpretação das extensões do certificado RFC 2527 estrutura das declarações de práticas de certificação

11 Regulamentos da ICP-Brasil MP-2200/2, de criação da ICP-Brasil Decreto 4.689, de estrutura do ITI Resoluções do Comitê-Gestor Instruções Normativas do ITI Códigos Civil, Penal, Tributário, Direito do Consumidor

12 Por que usar certificados da ICP-Brasil Validade Jurídica dos documentos assinados Padrões Internacionais de segurança nas instalações e procedimentos Declaração Pública de Práticas Identificação Presencial do titular do certificado Seguro de responsabilidade civil Guarda dados por tempo ilimitado Auditoria prévia e anual nas entidades Interoperabilidade

13 Interoperabilidade Pessoa Física e Pessoa Jurídica

14 Exemplos de Uso de certificados ICP-Brasil Sistema Brasileiro de Pagamentos SPB DCTF, DIRPF, DIRPJ, e-cac, PAF (SRF/MF) Escrituração Fiscal Secretaria da Fazenda do Estado de Pernambuco NF-e Nota Fiscal Eletrônica (SRF/MF, SP,GO,MA,BA,SC,RS) Contratos de Câmbio - Apólices de Seguros Pregões Eletrônicos (SP,SC,MG) e COMPRASNET (Federal) Sistemas Estruturadores do Governo Federal e SCPD Internet Banking e Mobile Banking

15 Exemplos de Uso de certificados ICP-Brasil PROUNI - MEC e-doc do TRT 4a. Região e outros cases na esfera do judiciário (TJ-RS, TJ-RJ, e-jus, Diário da Justiça On- Line, Revista de Jurisprudência do STJ) DETRAN - MG Licenças Ambientais CETESB/SP INPI Contadores, Odontólogos, Médicos, Corretores de Seguros Servidores do Judiciário Federal, Auditores-fiscais da Receita

16 Pré-operacional Credenciar Não credenciar Auditoria da ICP-Brasil Operacional anual ou intempestiva Manter credenciamento Suspender emissão de certificados Descredenciar

17 Itens verificados numa Auditoria Pré- Operacional de AC Segurança Pessoas Contratação: verificação antecedentes, termos de sigilo, perfil Treinamento, Avaliação Desempenho Desligamento: revogação acessos, assinatura termos Segurança Física 6 Níveis de Segurança Sala Cofre Monitoramento permanente: alarmes, câmaras vídeo Sistemas proteção de incêndio, redundância energia

18 Nível 1 Nível 2 Nível 3 Nível 4 HSM

19 Itens verificados numa Auditoria Pré- Operacional de AC Segurança Lógica Controle de acesso: somente funcis autorizados Guarda / troca senhas administrador e usuários Geração e guarda de logs com os registros obrigatórios Geração e guarda de backups Controle softwares instalados nos servidores críiticos: versão usada, testes de homologação, atualizações de segurança etc

20 IDS HSM AR SERV WEB SERV AUT SERV CERT

21 Itens verificados numa Auditoria Pré- Operacional de AC Segurança Rede Topologia, segmentação da rede Regras de Firewall, IDS Uso de VPN em intranets e extranet Monitoramento de ataques Testes periódicos de vulnerabilidade Disponibilidade do repositório de LCR

22 Itens verificados numa Auditoria Pré- Operacional de AC Segurança Análise de logs Classificação da Análise de Risco Plano de Continuidade de Negócios Plano de Extinção da AC Gerenciamento de Mudanças Administração dos procedimentos operacionais da AC

23 Itens verificados numa Auditoria Pré- Operacional de AC Gerenciamento da Chave da AC Instalação dos sistemas de certificação Geração de chaves da Ac e Solicitação de certificado Recepção de certificado da AC Raiz e instalação no sistema Revogação de certificado da AC Guarda da chave privada partições n/m, cofre, gabinetes

24 Itens verificados numa Auditoria Pré- Operacional de AC Gerenciamento dos certificados de titulares Geração de certificados para tipo de PC Revogação dos certificados Geração e publicação de LCR Log dos eventos

25 Itens verificados numa Auditoria Pré- Operacional de AR Segurança física, lógica e de pessoal Testes de: Validação do solicitante Geração de certificados para tipo de PC Revogação dos certificados Guarda da Documentação Ênfase no treinamento dos agentes de registro

26 Resultados das Auditorias Exemplos de problemas solucionados Sala-cofre sem estanqueidade Bases de dados corrompidas Não realização das análises de logs obrigatórias Emissão de certificados sem respectiva documentação Emprego de agentes de registro despreparados Perda de imagens das câmaras de vídeo

27 Projeto João-de-Barro MOTIVAÇÃO Independência de fornecedores (caixa preta) Autonomia Tecnológica Resgate Acadêmico Nacionalização da Plataforma Tecnológica

28 Projeto João-de-Barro OBJETIVOS Criptossistema da AC-Raiz da ICP-Brasil Massa crítica em certificação digital, auditoria de infra- estrutura de chaves públicas e criptografia

29 Projeto João-de-Barro PARTICIPANTES ITI Gerência CASNAV Especificação Técnica do Projeto ITA - Módulo de Segurança Criptográfica CEPESQ Gerador de Números Aleatórios LABSEC UFSC - Sistema de Gerência de Certificados SERPRO Metodologia de Desenvolvimento FINEP Financiadora do Projeto

30 Projeto João-de-Barro CRONOGRAMA SET 2006 Integração entre sw SGC e sw MSC FEV 2007 Integração entre sw SGC e sw + hw MSC AGO 2007 Implantação em produção

31 Normalização e Pesquisa Normalização sobre Carimbo de Tempo Atualização dos algoritmos e padrões técnicos Manual de Condutas Técnicas para homologação de sw e hw

32 Sites para consulta ITI e CEF PR SRF SERASA SERPRO CERTISIGN

33 Muito Obrigada VIVIANE REGINA LEMOS BERTOL Coordenadora Geral de Normalização e Pesquisa viviane@planalto.gov.br