Assinatura Digital e Obtenção de um Certificado Digital

Processo de Assinatura Digital

Para assinar um arquivo aplicamos inicialmente uma função matemática a esse arquivo, e como resultado disso teremos um resumo criptográfico, ou hash, desse arquivo. Essa função matemática utilizada é chamada função hash que é responsável por garantir a integridade de um documento de forma que qualquer alteração no conteúdo do documento altera o resultado da função hash aplicada sobre o mesmo. Após isso o hash é então criptografado com a chave privada do signatário, com isso o signatário estará juntando ao hash a sua própria "impressão digital" garantindo a autoria ou autenticidade do documento. Até este exato momento teremos a mensagem original e a assinatura digital que é o hash do documento criptografado. Para completar este pacote o Certificado Digital do signatário é agregado permitindo verificar a identidade do mesmo. O certificado é responsável por permitir a imediata verificação da Assinatura Digital.

Primeiramente analisamos o certificado, que é assinado por uma autoridade certificadora que identificou o titular do certificado, para verificar a identidade do autor da assinatura. Feito isso, utilizaremos a chave pública que ele contém para descriptografar o hash que foi criptografado com a chave privada do signatário. Se for possível realizar essa operação está comprovada a autenticidade (autoria) deste arquivo.

Assim sendo, um arquivo assinado digital possui três componentes chaves: a mensagem original, a assinatura digital e o certificado do signatário.

A única forma de descriptografar a assinatura se dá apenas se a chave pública for correspondente a chave privada que foi utilizada para a assinatura do documento. Após a operação criptográfica ser concretizada estará estabelecida a autoria da assinatura e assim sendo obtemos o hash do documento. Na sequencia aplica-se a função hash ao original e compara-se com o hash assinado, com isso estabelecemos a integridade do documento. Obviamente que a função dos softwares de assinatura digital é fazer tudo isso de forma transparente e enviar avisos quando ocorrerem falhas na validação do documento ou do certificado.

O certificado digital pode ser armazenado em mídia como um arquivo, Smart Card ou Token. Segue nas Figuras 1 a 4 um Token, um Smart Card e uma leitora e gravadora de Smart Card.

O Token é um hardware que gera e armazena as chaves que irão compor os certificados digitais. Depois de geradas as chaves elas estarão totalmente protegidas não sendo possível exportá-las ou retirá-las do Token. Os Tokens são conectados através de uma porta USB depois de instalar seu driver e um gerenciador criptográfico (software).

O Smart Card é um cartão criptográfico capaz de gerar e armazenar as chaves criptográficas que irão compor os certificados digitais. Quando essas chaves forem geradas elas estão totalmente protegidas, impossibilitando exportá-la para outra mídia nem retirá-las do Smart Card. Se o computador for atacado por vírus ou por um hacker essas chaves ainda assim estão seguras e protegidas, sem estarem expostas a risco de roubo ou violação. Dessa forma, os múltiplos níveis de proteção que essa solução oferece asseguram a identificação do assinante, permitindo assim que a integridade e o sigilo das informações sejam protegidos e impossibilitando também o repúdio do documento.

A leitora é um dispositivo que foi projetado para que possamos conectar os Smart Cards a um computador. Assim, a leitora se encarrega de fazer a interface com o computador, enquanto o computador suporta e gerencia as aplicações.

A Autoridade Certificadora é responsável por garantir a identidade do titular do certificado, que o mesmo foi responsável por gerar o seu próprio par de chaves e que o titular do certificado se comprometeu pela segurança e inviolabilidade de sua chave privada. Assim, outra propriedade garantida é o não repúdio que é determinado pela relação do titular de um certificado e a Autoridade Certificadora. A Autoridade Certificadora também emite, renova, revoga e gerencia certificados digitais.

No Brasil temos como autoridade certificadora a ICP-Brasil que é responsável por fiscalizar e auditar o processo de emissão de certificados digitais das autoridades certificadoras integrantes, com o intuito de garantir a total confiabilidade do processo de certificação. A AC-JUS foi criada com intuito de criar regras específicas tanto para emissão como para as informações internas dos certificados. A AC-JUS assim como a AC-RAIZ e AC-SRF, não emite certificados para usuários finais, apenas credencia AC’s para que, seguindo as regras específicas da AC-JUS faça a emissão dos certificados aos usuários finais.

O ICP-Brasil foi criado através da Medida Provisória 2.200-2, de 24/08/2001. Dentre os artigos da MP temos o Artigo 1º que institui a ICP-Brasil para garantir através da certificação digital a autenticidade, a integridade e a validade jurídica de documentos em forma eletrônica, aplicações de suporte e aplicações habilitadas; além da realização de transações eletrônicas seguras. O Artigo 3º cria o Comitê Gestor, responsável pelas políticas de certificação. Outro artigo importante é o Artigo 10º que não impede a utilização de certificados não emitidos pela ICP-Brasil para comprovar autoria e integridade, desde que admitidos pelas partes como sendo válidos.

Ainda temos leis estaduais que dentre outras coisas criam uma AC. Um exemplo disso é a Lei Estadual 12.469 de 03/05/2006 no estado do Rio Grande do Sul que definiu a criação da AC-RS com a competência de gerir o ciclo de vida dos certificados digitais da cadeia AC-RS, regular a certificação digital no âmbito da administração pública estadual e desempenhar as demais atividades relativas à certificação digital. A mesma lei também autorizou o Banrisul a atuar como AR.

Os certificados emitidos na cadeia de certificação da AC-JUS recebem a marca Cert-JUS. Os certificados Cert-JUS são de uso exclusivo de servidores públicos, e ao utilizá-los o titular estará se identificando como servidor de determinada instituição pública. Um dos tipos de certificados é o Cert-JUS Institucional que é de uso exclusivo de servidores do poder judiciário. O Cert-JUS Poder Publico é para utilização dos servidores de órgãos externos ao poder judiciário. O Cert-JUS Equipamento Servidor destina-se a aplicações e equipamentos servidores de órgãos públicos, e o Cert-JUS Código Seguro destina-se a assinatura de código fonte de programas.

Outra entidade importante é a Autoridade de Registro ou AR que é responsável pelo processo final na cadeia de certificação digital, realizando assim a identificação presencial dos interessados em adquirir certificados, coletando os documentos e encaminhando-os à Autoridade Certificadora (AC). Essas Autoridades Certificadoras estão subordinadas à AC de nível imediatamente superior e as Autoridades de Registros estão vinculadas a uma ou mais Autoridades Certificadoras. Segue na Figura 5 um exemplo de hierarquia de uma ICP.

Atualmente temos a hierarquia presente na Figura 6.

A Autoridade Certificadora Raiz (AC Raiz) é a primeira autoridade da cadeia de certificação. A AC Raiz assina digitalmente os certificados das Autoridades Certificadoras de primeiro nível, que por sua vez assinam os de segundo nível.

Todo certificado digital tem uma linha de tempo, conforme podemos verificar na Figura 7.

Tudo começa com a requisição de um usuário ou organização numa AR e após isso temos a emissão do certificado digital e com isso temos então o inicio da validade do certificado. De posse do certificado com validade podemos assinar documentos. Outra possibilidade é a revogação de certificados que é quando necessitamos alterar qualquer informação que consta no certificado ou no caso de comprometimento da chave privada ou da mídia armazenadora. A revogação somente pode ser solicitada pelo titular do certificado ou responsável, pelo AC emitente, pela AR vinculada, pela AC Raiz ou pelo CG da ICP-Brasil. Com isso temos uma Lista de Certificados Revogados (LCR) que é uma relação de certificados que foram revogados e que fica armazenada em um arquivo eletrônico na AC, para consulta das aplicações. Cada certificado contém a informação do endereço para a consulta da LCR e essa lista é publicada de acordo com a periodicidade definida pela AC, em consonância com as normas da ICP-Brasil. Podemos ainda consultar a LCR completa ou um único certificado através de protocolo on-line.

Portanto, a ICP garante o certificado com a cadeia de confiança e com a lista de certificados revogados (LCR).