CIAB 2010 Prevenção de fraudes em documentos eletrônicos 09/06/10 Wander Blanco
Agenda Documentos Eletrônicos Prevenção Casos de uso Boas Práticas
Documentos Eletrônicos Fraudes com documentos eletrônicos Não é relevante o conceito de original e cópia Alterações fáceis Prevenção Implementar mecanismos que: Identifiquem o autor Identifiquem alterações Possuam rotinas de manipulação padronizadas Possam ser usados como prova
Assinatura Digital DOCUMENTO ELETRÔNICO ASSINATURA DIGITAL 1 4 : 0 4 : 3 2 0 3 / 2 0 / 0 0 Autenticidade Integridade Irretratabilidade
Assinatura Digital fraca Assinatura fraudada Algoritmo fraco (MD5) Assinaturas digitais são idênticas
Assinaturas Digitais Padrão validado pelo Governo Federal Interoperabilidade - geração e verificação padronizadas Validação a médio e longo prazo 5 formatos de assinaturas (CAdES/XAdES) Uma sem carimbo do tempo Quatro com carimbo do tempo Preocupação com implementações seguras Quantidade de certificados ICP-Brasil emitidos
Formatos de Assinatura Digital a) Assinatura Digital com Referência Básica (AD-RB) b) Assinatura Digital com Referência do tempo (AD-RT) c) Assinatura Digital com Referências para Validação (AD-RV) d) Assinatura Digital com Referências Completas (AD-RC) e) Assinatura Digital com Referências para Arquivamento (AD-RA) AD-RA AD-RC Documento Eletrônico Atributos Assinados AD-RV AD-RT AD-RB Política de Assinatura Assinatura Digital Carimbo do Tempo sobre AD-RB REF Referências sobre certificados e dados de revogação Carimbo do tempo sobre AD-RT + REF VAL Valores dos certificados e dos dados de revogação Carimbo do tempo sobre AD-RC
Assinatura Digital com Referência Básica Campo de Aplicação Este tipo de assinatura deve ser utilizado em aplicações ou processos de negócio nos quais a assinatura digital agrega segurança à autenticação de entidades e verificação de integridade, permitindo sua validação durante o prazo de validade dos certificados dos signatários. Uma vez que não são usados carimbos do tempo, a validação posterior só será possível se existirem referências temporais que identifiquem o momento em que ocorreu a assinatura digital. Nessas situações, deve existir legislação específica ou um acordo prévio entre as partes definindo as referências a serem utilizadas.
Casos de uso
Contratos de Câmbio Situação atual Padrão de assinaturas proposto pela FEBRABAN em 2003 e validado pelo BACEN Circulares 3.134 e 3.234, de ABR/2004 Utiliza a referência de tempo do próprio documento Assinatura funciona como chancela de contratos registrados no SISBACEN Avaliação Indicação pelo uso da assinatura AD-RB Encaminhamento Proposta de ajustes na regulamentação de contratos de câmbio tendo em vista o padrão de assinaturas da ICP- Brasil enviada em dez/09 FEBRABAN ao BACEN.
Troca eletrônica de cheques Situação atual Características da imagem do cheque: Preto e branco Formato TIFF ISO 12639 200 dpi 22 Kb por imagem (Registros de 27 Kb) lotes 400 cheques (800 imagens) Avaliação Indicação de uso de assinatura ICP-Brasil AD-RB Utilizar o horário da máquina que esta assinando o arquivo Encaminhamento Recomendações incorporadas ao manual técnico (v.5)
Sistema de Pagamentos Brasileiro (SPB) Situação atual Mensageria em XML com protocolo proprietário Usa rede privada: RSFN (Sistema Financeiro Nacional) Assinatura garante integridade e autenticidade da transação Protocolo de criptografia proprietário (cabeçalho de 332 bytes)
Cabeçalho de segurança do SPB RSA 1024 RSA 2048 128 bytes 256 bytes
Algoritmos Criptográficos Resolução nº 65, de 09 de junho de 2009 Padrões e Algoritmos Criptográficos da ICP-Brasil(versão 2) Algoritmos(Chaves) ATUAIS 3DES NOVOS AES(128/256) RSA(1024*/2048) RSA(4096), ECDSA(256/512) SHA-1* SHA-2(256/512) * Recomendado até 31/12/2010 A ICP-Brasil emitirá certificados com SHA-1 e RSA1024 até final de 2011.
Sistema de Pagamentos Brasileiro (SPB) Avaliação Proposta de ajustes no padrão de segurança do SPB(Manual de segurança da RSFN): Algoritmos: Substituir a função hash SHA-1 por SHA-256 Substituir as chaves RSA1024 por RSA2048 Assinatura: Incluir o conceito de criptograma de autenticação Excluir o conceito de assinatura digital Possibilidade de uso de certificados do tipo A3 Encaminhamento Enviada a proposta da FEBRABAN ao BACEN em 11/02/10
Framework de Certificação Digital. Carimbo do tempo GERENCIADOR DE LCRs VALIDADOR VERIFICADOR CARIMBADOR ASSINADOR Framework Web Services Aplicações
Framework de Certificação Digital
Boas Práticas na prevenção de fraudes Autenticação usando Certificados Digitais Algoritmos criptográficos fortes Assinatura padrão da ICP-Brasil Acompanhar/participar das definições da FEBRABAN
Obrigado! WANDER BLANCO NUNES Gerência de Certificação Digital Vice-presidência de Tecnologia CAIXA ECONÔMICA FEDERAL wander.blanco@caixa.gov.br