Home

Conceitos básicos

Repositório

Suporte

Aplicações

Perguntas frequentes

Certificação digital


  • Internet confiável
  • Criptografia
  • Hash
  • Infra-estrutura de Chaves Públicas (ICP)
  • Assinatura digital
  • Certificado digital
  • Ciclo de vida dos certificados
  • Autoridade de registro (AR)
  • Autoridade certificadora (AC)
  • Lista de Certificados Revogados (LCR)
  • OCSP - Online Certificate Status Protocol
  • Declaração de Práticas de Certificação (DPC)
  • Políticas de Certificados (PC)



    Internet confiável: a base de uma internet confiável é formada por boas políticas e infra-estrutura de segurança aliadas aos cinco pilares abaixo:

  • Autenticação: significa provar a identidade de uma pessoa física ou jurídica.
  • Privacidade: garantir que somente pessoas autorizadas possam ler as informações.
  • Autorização: definição das permissões relacionadas às entidades ou indivíduos.
  • Integridade dos dados: detectar imediatamente alterações não autorizadas.
  • Não repúdio: criar prova incontestável da transação.

    A Internet segura torna possível estabelecer transações e comunicações sem risco para as partes envolvidas, o que só é possível com a utilização de certificados digitais, ou seja, documentos eletrônicos que assinam, protegem e geram recibos digitais dessas transações e comunicações.


    Criptografia: é um conjunto de técnicas matemáticas, usadas há mais de 2000 anos, que permitem embaralhar uma mensagem e, assim, impedir que ela seja interpretada por outra pessoa que não o destinatário. A força do processo criptográfico está na dificuldade da quebra do código.


    Hash: é uma função matemática que transforma arquivos de qualquer extensão em um código pequeno de tamanho fixo. É improvável encontrar dois arquivos que gerem o mesmo hash. O valor de conferência (ckecksum) muda se um bit mudar ou se um único bit for acrescentado ou retirado do arquivo.


    Assinatura digital: sistema de identificação numérico, baseado em criptografia assimétrica, capaz de prover os requisitos de validade do documento. Esse método oferece:
    1 - Autenticação: exclusividade do titular na geração, guarda e manejo da chave privada/assinatura.
    2 - Integridade: qualquer alteração, mínima, implica na não integridade da mensagem.
    3 - Não repúdio: a característica da assinatura por criptografia assimétrica impede o falso repúdio do subscritor.


    Infra-estrutura de Chaves Públicas (ICP): é a sigla no Brasil para PKI - Public Key Infrastructure, um conjunto de técnicas, práticas e procedimentos elaborado para suportar um sistema criptográfico com base em certificados digitais.


    Certificado digital: é um documento eletrônico que identifica pessoas físicas, jurídicas e servidores e contém a chave pública do titular. É emitido por uma Autoridade Certificadora (AC) que impede que as informações contidas no certificado sejam violadas ou alteradas. A verificação da identidade do requisitante é feita pela Autoridade de Registro (AR). Os certificados expiram após um período específico para limitar as consequências do comprometimento das chaves.

    Quando se utiliza um certificado digital, as partes envolvidas tornam-se responsáveis (e sofrem conseqüências) por todas as comunicações ou transações de que participam.


    Ciclo de vida dos certificados: o ciclo de vida de um certificado digital compreende as seguintes etapas:
    1 - Solicitação do certificado;
    2 - Aprovação do pedido;
    3 - Retirada do certificado;
    4 - Pesquisa de certificados;
    5 - Revogação de certificados;
    6 - Renovação de certificados.


    Autoridade de registro (AR): é responsável pela validação da identidade do solicitante; autentica o assinante e aprova o pedido além de revogar ou suspender certificados. Tem um relacionamento direto com o solicitante.


    Autoridade certificadora (AC): recebe os pedidos aprovados pela AR para processamento e assina os certificados. Além disso, gera e assina a Lista de Certificados Revogados e mantém um banco de dados com todos os certificados emitidos.


    Lista de Certificados Revogados (LCR): é uma lista assinada pela Autoridade Certificadora dos certificados revogados. As aplicações que aceitam certificados desta AC devem consultar essa lista para verificar se o certificado está válido.


    Online Certificate Status Protocol (OCSP): lista online dos certificados revogados. Deve ser utilizada em casos críticos onde o status do certificado seja importante na transação eletrônica. Ela prova o estado corrente do certificado.


    Declaração de Práticas de Certificação (DPC): documento, definido por RFC, com força contratual/legal criado pela Autoridade Certificadora que define:

  • Uso dos Certificados
  • Processos de identificação e autenticação
  • Aspectos operacionais
  • Aspectos de segurança (física, lógica e pessoal)
  • Procedimentos para continuidade da operação
  • Divisão de responsabilidades
  • Seguro
  • Aceitação por usuários e termos de garantias quando um certificado é aceito
  • Responsabilidade dos usuários ao aceitar certificados de outras pessoas
  • Perfil dos certificados e lista de certificados revogados


    Políticas de Certificados (PC): documento que define os propósitos e regras aplicáveis a um conjunto de certificados.

  • Aplicação do certificado
  • Tamanho, geração e armazenamento de chaves
  • Validade do certificado
  • Frequência de emissão de LCR
  • Tempo limite para revogação
  • Campos e extensões do certificado
  • Formato de nomes aplicável