Certificação Digital

1 - Como funciona o certificado digital ICP-Brasil?

O comitê Gestor da ICP-Brasil, que possui a função de coordenar a implantação e o funcionamento da infraestrutura (art. 4º, inc. I, da M.P. 2.200-2/01), em reunião realizada no dia 10 de fevereiro de 2009, definiu que o certificado digital é tratado como um produto, e não serviço.

Este produto, intangível pois eletrônico, deve ser compreendido como uma software personalíssimo. Tal assim ocorre pois não se trata de um produto igual para todos os adquirentes (ou, na linguagem utilizadas pelos Tribunais, não se trata de um software de prateleira): no procedimento de sua emissão são verificadas as características pessoais de cada adquirente, como, ao menos, seu nome completo e data de nascimento.

Na prática, o certificado digital ICP-Brasil funciona como uma identidade virtual que permite a identificação segura e inequívoca do autor de uma mensagem ou transação feita em meios eletrônicos, como a web. Esse documento eletrônico é gerado e assinado por uma terceira parte confiável, ou seja, uma Autoridade Certificadora (AC) que, seguindo regras estabelecidas pelo Comitê Gestor da ICP-Brasil, associa uma entidade (pessoa, processo, servidor) a um par de chaves criptográficas. Os certificados contém os dados de seu titular conforme detalhado na Política de Segurança de cada Autoridade Certificadora.

2 - O que é assinatura digital?

Como a assinatura realizada em papel, trata-se de um mecanismo que identifica o remetente de determinada mensagem eletrônica. No âmbito da ICP-Brasil, a assinatura digital possui autenticidade, integridade, confiabilidade e o não-repúdio, seu autor não poderá, por forças tecnológicas e legais, negar que seja o responsável por seu conteúdo.  A assinatura digital fica de tal modo vinculada ao documento eletrônico que, caso seja feita qualquer alteração no documento, a assinatura se torna inválida. A técnica permite não só verificar a autoria do documento, como estabelece também uma “imutabilidade lógica” de seu conteúdo, pois qualquer alteração do documento, como por exemplo a inserção de mais um espaço entre duas palavras, invalida a assinatura.

3 - Assinatura digital é o mesmo que assinatura digitalizada?

Não. A assinatura digitalizada é a reprodução da assinatura de próprio punho como imagem, o que não garante a autoria e integridade do documento eletrônico. Neste caso, não existe associação inequívoca entre o assinante e o texto digitalizado, uma vez que ela pode ser facilmente copiada e inserida em outro documento.

4 - O que é criptografia?

Criptografia (do grego kryptós, "escondido", e gráphein, "escrita") é uma forma sistemática utilizada para esconder a informação na forma de um texto ou mensagem incompreensível. Essa codificação é executada por um programa de computador que realiza um conjunto de operações matemáticas, inserindo uma chave secreta na mensagem. O emissor do documento envia o texto cifrado, que será reprocessado pelo receptor, transformando-o, novamente, em texto legível, igual ao emitido, desde que tenha a chave correta.

5 - Quais são os tipos de criptografia existentes?

Existem dois tipos de criptografia: simétrica e assimétrica. A criptografia simétrica é baseada em algoritmos que dependem de uma mesma chave, denominada chave secreta, que é usada tanto no processo de cifrar quanto no de decifrar o texto. Para a garantia da integridade da informação transmitida é imprescindível que apenas o emissor e o receptor conheçam a chave. O problema da criptografia simétrica é a necessidade de compartilhar a chave secreta com todos que precisam ler a mensagem, possibilitando a alteração do documento por qualquer das partes. A criptografia assimétrica utiliza um par de chaves diferentes entre si, que se relacionam matematicamente por meio de um algoritmo, de forma que o texto cifrado por uma chave, apenas seja decifrado pela outra do mesmo par. As duas chaves envolvidas na criptografia assimétrica são denominadas chave pública e chave privada. A chave pública pode ser conhecida pelo público em geral, enquanto que a chave privada somente deve ser de conhecimento de seu titular.

6 - Quais as principais informações que constam em um certificado digital?

As principais informações que constam em um certificado digital são: chave pública do titular, nome e endereço de e-mail, período de validade do certificado, nome da Autoridade Certificadora - AC que emitiu o certificado, número de série do certificado digital, assinatura digital da AC.

7 - Qualquer pessoa pode obter um certificado digital?

Sim. Qualquer pessoa pode solicitar às Autoridades Certificadoras um Certificado Digital.

8 - Como é feita a certificação nas empresas?

Da mesma forma que uma pessoa física pode solicitar sua identidade digital, as empresas interessadas com um CNPJ válido podem solicitar também. Maiores informações sobre este procedimento podem ser encontradas no documento DOC-ICP-05, vinculado à Resolução nº 42 da legislação da ICP-Brasil.

9 - É possível que um cidadão estrangeiro consiga obter um certificado ICP-Brasil sem que possua um CPF?

Sim, é possível um estrangeiro obter um certificado digital da ICP-Brasil, mesmo sem CPF. Porém o certificado deverá ser emitido por AC que não seja vinculada à cadeia da Autoridade Certificadora - AC da Receita Federal. O estrangeiro não poderá obter certificados do tipo e-CPF, pois o processo de emissão desse tipo de certificado obriga a AR a fazer uma validação na base de dados da Receita Federal. É preciso apresentar, como identidade, o original do passaporte e demais documentos previstos na Resolução 42 da ICP-Brasil, item 3.1.9.1.

10 - Quais são as aplicações da assinatura digital?

São muitas as possibilidades de aplicações da assinatura digital, dentre elas encontram-se as seguintes:

• Assinatura de contratos e outros documentos digitais;
• Processos judiciais e administrativos em meio eletrônico;
• Assinatura da declaração de renda e outros serviços prestados pela Secretaria da Receita Federal;
• Obtenção e envio de documentos aos cartorários;
• Transações seguras com instituições financeiras.

11 - Quais as vantagens oferecidas às empresas ou pessoas físicas que adquirem um certificado digital?

Agilidade, redução de custos e segurança. São essas as principais vantagens da certificação digital. A certificação digital hoje permite que processos que tinham que ser realizados pessoalmente ou por meio de inúmeros documentos em papel, possam ser feitos totalmente por via eletrônica. Com isso os processos tornam-se menos burocráticos, mais rápidos e por conseguinte, mais baratos. A certificação digital garante autenticidade e integridade. O documento com assinatura digital ICP-Brasil tem a validade de um documento em papel assinado manualmente.

12 - A assinatura digital confere sigilo ao documento eletrônico?

A assinatura digital não torna o documento eletrônico sigiloso, pois ele em si não é criptografado. O sigilo do documento eletrônico poderá ser resguardado mediante a cifragem da mensagem com a chave pública do destinatário, pois somente com o emprego de sua chave privada o documento poderá ser decifrado. Já a integridade e a comprovação da autoria são características primeiras do uso da certificação digital para assinar.

13 - O documento assinado eletronicamente é reconhecido da mesma forma que um documento assinado de forma manuscrita?

De acordo com o art. 10, da MP n° 2.200-2, os documentos eletrônicos assinados digitalmente com o uso de certificados emitidos no âmbito da ICP-Brasil têm a mesma validade jurídica que os documentos em papel com assinaturas manuscritas. Importante frisar que os documentos eletrônicos assinados digitalmente por meio de certificados emitidos fora do âmbito da ICP-Brasil também têm validade jurídica, mas esta dependerá da aceitação de ambas as partes, emitente e destinatário, conforme determina a redação do § 2º do art. 10 da MP n° 2.200-2.

14 - Quais cuidados se deve ter ao se utilizar a certificação digital?

Primeiramente, deve-se lembrar que o certificado digital representa a “identidade” da pessoa no mundo virtual. Assim, é necessária a adoção de alguns cuidados para se evitar que outra pessoa, possa fechar contratos e/ou negócios e realizar transações bancárias em nome do titular do certificado. Seguem algumas recomendações para o uso de um certificado digital:

• A senha de acesso da chave privada e a própria chave privada não devem ser compartilhadas com ninguém;
• Caso o computador onde foi gerado o par de chaves criptográficas seja compartilhado com diversos usuários, não é recomendável o armazenamento da chave privada no disco rígido, pois todos os usuários terão acesso a ela, sendo melhor o armazenamento em smart card ou token;
• Caso a chave privada esteja armazenada no disco rígido de algum computador, deve-se protegê-lo de acesso não-autorizado, mantendo-o fisicamente seguro. Nunca deixe a sala aberta quando sair e for necessário deixar o computador ligado. Utilize também um protetor de tela com senha. Cuidado com os vírus de computador, eles podem danificar sua chave privada;
• Caso o software de geração do par de chaves permita optar entre ter ou não uma senha para proteger a chave privada, recomenda-se a escolha pelo acesso por meio de senha. Não usar uma senha significa que qualquer pessoa que tiver acesso ao computador poderá se passar pelo titular da chave privada, assinando contratos e movimentando contas bancárias. Em geral, é bem mais fácil usar uma senha do que proteger um computador fisicamente;
• Utilize uma senha longa, intercalando letras e números, uma vez que existem programas com a função de desvendar senhas. Deve-se evitar o uso de dados pessoais como nome de cônjuge ou de filhos, datas de aniversários, endereços, telefones ou outros elementos relacionados com a própria pessoa. A senha nunca deve ser anotada, sendo recomendável sua memorização.

15 - O que são smart card e token?

São dispositivos portáteis que funcionam como mídias armazenadoras. Em seus chips são armazenadas as chaves privadas dos usuários. O acesso às informações neles contidas é feito por meio de uma senha pessoal, determinada pelo titular. O smart card assemelha-se a um cartão magnético, sendo necessário um aparelho leitor para seu funcionamento. Já o token  é semelhante a um pen drive, permitindo a sua conexão a uma porta USB de um computador ou outro equipamento com uma entrada USB.

16 - O certificado digital tem prazo de validade?

Sim. O certificado digital, diferentemente dos documentos utilizados usualmente para a identificação pessoal como CPF e RG, possui um período de validade. Só é possível assinar um documento enquanto o certificado é válido. O usuário pode solicitar a renovação do certificado para a AC após a perda da validade deste. Essa renovação é necessária para a substituição da chave privada por uma outra tecnologicamente mais avançada ou devido a possíveis mudanças ocorridas nos dados do usuário. Essas alterações têm por objetivo tornar mais robusta a segurança em relação às técnicas de certificação e às informações contidas no certificado.

17 - Qual o custo médio de um certificado digital?

O ITI não regula os valores praticados pelo mercado de certificação. O custo varia de acordo com a empresa certificadora, com o tipo do certificado oferecido e do período de validade do documento. Deve-se consultar os sites de cada Autoridade Certificadora para obter os preços.