Este artigo trata da certificação digital, tendo como ferramenta de implementação a plataforma Java. Com este artigo os leitores conhecerão os aspectos relacionados à criação de chaves simétricas e assimétricas, bem como a geração dos certificados no padrão x509.
Em que situação o tema é útil:
Este artigo é útil para aqueles que não conhecem o processo de certificação digital e trará, também, àqueles que já possuem este conhecimento, exemplos relacionados à sua aplicação prática. Também é interessante para a compreensão e diferenciação de assuntos relacionados, como a criptografia e a assinatura digital.
Certificação Digital com Java:
Este artigo apresenta a certificação e assinatura digital, passando por um embasamento teórico sobre certificados digitais, estrutura de chaves pública e privada (simétrica e assimétrica), cadeia de certificação e autoridades certificadoras, ferramentas para geração e manipulação, e também uma API Java para assinar um arquivo com o uso de certificados digitais. Também é comentado sobre a estrutura dos certificados usados para a assinatura digital sob os formatos x509 (ICP) e PKCS. Ao final, é apresentado um exemplo prático com a plataforma Java, usando a API JCA e a extensão JCE.
Autores: Márcio Angelo Matté e Everton Coimbra de Araújo
Os sistemas on-line, existentes em abundância no que hoje é conhecido como Internet, gerou uma necessidade de garantir a identidade e a integridade de usuários e dos dados transportados por este meio.
Em todo o mundo os sistemas on-line, principalmente aqueles que transportam documentos ou realizam transações financeiras, obrigam que de algum modo o usuário garanta a sua identidade, ou que seja possível chegar até a fonte da transação, permitindo que o indivíduo que realizou a transação seja identificado. Entra neste momento o papel da identidade digital, ou, como é conhecido: o certificado digital.
No Brasil, em 24 de agosto de 2001, o então presidente da República, Fernando Henrique Cardoso, transforma o ITI (Instituto Nacional de Tecnologia da Informação – http://www.iti.gov.br) em autarquia vinculada à Casa Civil do Brasil e institui a Infra-Estrutura de Chaves Públicas Brasileiras – ICP-Brasil, por meio da medida provisória 2.200-2.
O objetivo desta medida provisória veio de encontro a uma tendência mundial, que é a garantia de autenticidade dos usuários em meios eletrônicos. Esta garantia tem sido necessária em diversos serviços, como comércio eletrônico, transações financeiras e troca de informações, entre outras. Para estes serviços, com a garantia de autenticidade, é sempre assegurada a validade jurídica.
Com isso a Certificação Digital desencadeou um processo de inclusão digital no Brasil que atingiu pessoas físicas e jurídicas. As empresas (pessoas jurídicas) foram as que primeiro adotaram a certificação digital. Isto se deve, principalmente, ao surgimento de sistemas governamentais, obrigando as empresas a adotarem esta tecnologia no envio e emissão de documentos fiscais.
O que é a certificação digital?
O assunto certificação digital comumente causa confusão para as pessoas que necessitam utilizá-la, mas que não a conhecem completamente. Esta confusão deve-se ao fato de que assinatura digital e certificação digital são coisas distintas, porém ligadas de algum modo. A certificação digital é uma tecnologia que provê um mecanismo seguro, capaz de fornecer autenticidade, confidencialidade e integridade a toda e qualquer informação eletrônica, sempre por meio de um certificado digital. Por outro lado, a assinatura digital faz uso dos mecanismos dispostos pela certificação digital, juntamente com algoritmos criptográficos baseados em chaves públicas e privadas (chaves assimétricas). Todos estes recursos são utilizados com vistas à segurança, para poder garantir legalmente a autenticidade e a validade da informação.
Cabe salientar que a certificação digital permite aplicar seus mecanismos de segurança a outros fins que não somente a assinatura digital. É possível também utilizá-la como mecanismo de criptografia simétrica que compartilha a mesma chave para cifrar e decifrar informações eletrônicas. Assim, é possível dizer que a assinatura digital faz uso dos dispositivos da certificação digital para realizar seus objetivos, deixando claras suas distinções.
A principal característica da certificação digital é determinar a validade jurídica do objeto assinado, bem como o não repúdio a esta assinatura dentro dos limites definidos pela autoridade certificadora e as leis em vigência.
Quando uma pessoa (física ou jurídica, que será chamada de entidade) de posse de seu certificado assina eletronicamente um arquivo, por exemplo, este passa a ter validade perante a justiça como se fosse uma assinatura de próprio punho em documento de papel.
Deste modo, para fazer uso da certificação digital, para atender aos seus requisitos legais, normas e leis, é importante o conhecimento da hierarquia e da cadeia de certificação proposta por uma ICP (Infraestrutura de Chave Pública).
Hierarquia da cadeia de autoridade certificadora
No Brasil, o órgão responsável pelas políticas e normas técnicas e operacionais para a certificação digital é o ICP-Brasil (Infra-Estrutura de Chaves Públicas Brasileiras). O ICP-Brasil foi criado a partir da medida provisória 2.200-2 e é regido por um comitê gestor, que é formado por doze membros, sendo cinco da sociedade civil que integram os setores interessados na certificação e outros sete órgãos ligados ao governo, que são: Casa Civil Brasileira, Gabinete da Segurança Institucional da Presidência da República (GSI-PR), Ministério da Justiça, Ministério da Fazenda, Ministério do Desenvolvimento, Indústria e Comércio, Ministério do Planejamento, Orçamento e Gestão e, por fim, o Ministério da Ciência e Tecnologia. A função do comitê gestor é coordenar o funcionamento do ICP-Brasil em todos os aspectos, tanto nas funções técnicas quanto no estabelecimento de normas para o credenciamento de Autoridades Certificadoras ou Autoridades de Registro. Este comitê estabelece e aprova diretrizes para o correto funcionamento do ICP-Brasil. Mais informações podem ser obtidas acessando a minuta de regimento interno apresentado na seção Links.
Nesta hierarquia, existe uma organização que define algumas funções para as entidades conhecidas como Autoridades. O termo autoridade define que esta entidade obedece às diretrizes impostas pelo comitê gestor e assim iniciam uma cadeia de confiança. No topo desta cadeia está a Autoridade Certificadora Raiz (AC RAIZ), que no caso é o ICP-Brasil. A AC RAIZ tem a responsabilidade de coordenar e aplicar as diretrizes para as Autoridades Certificadoras (AC) logo abaixo, no primeiro nível da hierarquia, garantindo o seu funcionamento conforme legislação e normas. Por sua vez, uma AC é quem emite, mantém e revoga um certificado. Finalizando a cadeia hierárquica estão as Autoridades de Registro (AR), que são o ponto de ligação entre o usuário solicitante do certificado e a autoridade certificadora. A função da autoridade de registro é recolher toda a documentação necessária para a emissão do certificado, bem como validar esta documentação e repassar a solicitação para a AC, como ilustra a ...
