Assinatura e Certificação Digital - Conclusão e Referências

Conclusão;
            A computação e a informática por tempos vêm ilustrando ou representando técnicas e a vida real como um todo, trazendo automação, comodidade, agilidade e segurança na vida dos seres humanos. Os seres humanos na aceitação e busca por esta facilidade ou agilidade no seu cotidiano acaba por evoluindo também, na sua forma de agir e de pensar.

            Por tempos as informações adquiridas e passadas pela história da humanidade no qual permitem que conheçamos o que existe de estudo hoje, estas informações foram grafadas nos mais diversos suportes, como na pedra, em cavernas, em papiros, mas nenhum destes suportes foram utilizados como o papel. Porém os recursos para se obter os papeis são caros para a produção e caros para a natureza, e não para por aí, a guarda destas informações em papeis também é onerosa. Quando dizemos que o ser humano tem evoluído na sua forma de agir e pensar, podemos citar os sistema de Gerenciamento Eletrônico de Documentos, os famosos GEDs, que tem como seu marketing principal a facilidade no gerenciamento dos documentos eletrônicos, pelo fator “ser eletrônico” e também a não degradação dos recursos naturais, como ocorre com o papel.

            O surgimento de procedimentos tecnológicos que comprovasse a autoria ou garantisse o não repúdio de informações dentro do meio digital seria um processo natural de desenvolvimento, e assim surgiu a Assinatura e a Certificação Digital.

            A Assinatura e a Certificação Digital não é “uma tecnologia”, mas são sim conjuntos de procedimentos que permitem a existência das mesmas, sendo estas sim isoladas uma da outra.

            A Assinatura Digital é uma marca registrada de uma cadeia de informações, mais especificamente de um conjunto de bits formadas em um determinado momento que representa uma mensagem ou alguma informação passível de assinatura, ou seja, a Assinatura Digital por meio de técnicas de criptografia matemática permite a um sujeito afirmar a sua autoria ou no mínimo o seu conhecimento de determinada mensagem, por mais que esta exista apenas digitalmente.

            A Certificação Digital dá a possibilidade de identificar o sujeito nos meios eletrônicos, possibilita de fato criar uma identidade de uma pessoa física ou privada e afirmar ações que esta faça no universo digital.

            A Assinatura Digital por si só poderia ser procedimentos feitos a esmo, assim como uma assinatura manuscrita, sem a necessidade de comprovar juridicamente a ação de um sujeito, mas a Certificação Digital identifica tal sujeito e o liga a sua Assinatura Digital, dando a possibilidade de afirmar que toda Assinatura Digital por padrão é reconhecido firma, não podendo ao assinante negar a autoria ou conhecimento da mensagem assinada.

            A Assinatura e Certificação Digital tem se tornado cada vez mais popular e necessário, assim como os documentos de identificação tradicionais, que é provável que seus dias estejam contados. O Brasil tem feito sua parte para popularização deste novo conceito de identificação, enquanto obriga empresas de vários setores a obter certificações digitais principalmente por conta da Nota Fiscal Eletrônica. Esta necessidade e obrigação alcançarão brevemente as pessoas físicas, mostrando sua facilidade e aumentando a segurança nas transações e na comunicação virtual.

Referências;

Câmara Técnica de Documentos Eletrônicos, MODELO DE REQUISITOS PARA SISTEMAS INFORMATIZADOS DE GESTÃO ARQUIVÍSTICA DE DOCUMENTOS. <http://www.conarq.arquivonacional.gov.br/media/publicacoes/earqmet/earqbrasilv1.1.pdf>

VOLPI, MARLON MARCELO. ASSINATURA DIGITAL – ASPECTOS TÉCNICOS, PRÁTICOS E LEGAIS, 1ª EDIÇÃO, EDITORA AXCEL BOOKS.

SIERRA E BATES, KATHY E BERT. SCJP – CERTIFICAÇÃO SUN PARA PROGRAMADOR JAVA 5, 2 ª EDIÇÃO, EDITORA ALTA BOOKS.

CORMEN, LEISERSON, RIVEST, STEIN. THOMAS H, CHARLES E., RONALD L., CLIFFORD – ALGORITMOS TEORIA E PRÁTICA, TRADUÇÃO DA 2 ª EDIÇÃO AMERICANA, EDITORA CAMPUS.

Wikipedia, Hash Function. <http://en.wikipedia.org/wiki/Hash_function>

Wikipedia, Cryptographic Hash Function. <http://en.wikipedia.org/wiki/Cryptographic_hash_function>

Wikipedia, Secure Hash Algorithm.

Wikipedia, SHA1.

Wikipedia, SHA-2.

Wikipedia, MD5.

Wikipedia, Cryptography. <http://en.wikipedia.org/wiki/Cryptography>

Wikipedia, Enigma Machine.<http://en.wikipedia.org/wiki/Enigma_machine>

Wikipedia, Data Encryption Standard. <http://en.wikipedia.org/wiki/Data_Encryption_Standard>

Wikipedia, Triple DES. <http://en.wikipedia.org/wiki/Triple_DES>

Wikipedia, Advanced Encryption Standard. <http://en.wikipedia.org/wiki/Advanced_Encryption_Standard>

NIST (National Institute of Standards and Techonology), NIST'S POLICY ON HASH FUNCTIONS.

Svetlin Nakov, Digital Document Signing in Java-Based Web Applications <http://www.developer.com/security/article.php/3083161, http://www.developer.com/security/article.php/3092771, http://www.developer.com/security/article.php/3105261, http://www.developer.com/security/article.php/3288571, http://www.developer.com/security/article.php/3298051>

Thiago Castelló e Verônica Vaz, Assinatura Digital <http://www.gta.ufrj.br/grad/07_1/ass-dig/Introduo.html>

Rodolfo Riyoei Goya, Introdução a Criptografia Computacional <http://rgoya.sites.uol.com.br/criptografia/Parte_1.pdf, http://rgoya.sites.uol.com.br/criptografia/Parte_2.pdf, http://rgoya.sites.uol.com.br/criptografia/Parte_3.pdf,

http://rgoya.sites.uol.com.br/criptografia/Parte_4.pdf, http://rgoya.sites.uol.com.br/criptografia/Parte_5.pdf>

INSTITUTO NACIONAL DE TECNOLOGIA DA INFORMAÇÃO – ICP BRASIL. <http://www.iti.gov.br/twiki/bin/view/Main/WebHome, http://www.iti.gov.br/twiki/bin/view/ITI/Apresentacao>

Silva e Papani. Fernanda Taline da, Fabina Garcia. Um pouco da história da criptografia. <http://projetos.unioeste.br/cursos/cascavel/matematica/xxiisam/artigos/16.pdf>

Assinatura e Certificação Digital - A Instrução Normativa 969

A instrução normativa 969 foi publicada em outubro de 2009 pelo diário oficial da união e estabelece que todas as empresas devem enviar suas demonstrações e declarações para a receita federal assinadas digitalmente. A novidade é para as empresas que estão tributadas no lucro presumido que doravante, passam a ter que usar a assinatura digital. Esta obrigatoriedade está em vigor desde janeiro de 2010 sendo que para assinar este documento, é necessário um certificado digital, que é um documento eletrônico que identifica de forma inequívoca, uma pessoa física ou jurídica numa transação eletrônica, trazendo segurança e conveniência para todas as relações transacionais. Isso significa que se a empresa quiser enviar documentos assinados no papel, não será mais permitido, pois a norma estipula obrigatoriamente o uso de um certificado digital.  Essa é a necessidade para as empresas de lucro presumido (empresas que faturam em media 48 milhões de reais pro ano), pois as empresas de lucro real e arbitrário(2 milhões por ano) já utilizam a assinatura digital, enviando seus documentos para a receita federal.A aplicação dessa instrução traz algumas vantagens: economiza tempo e diminui custos, gerando facilidade para os empresários ou contadores, que são os que estão inclusos nessa normativa.A seguir um trecho publicado pelo diário oficial da união:

INSTRUÇÃO NORMATIVA No- 969,
DE 21 DE OUTUBRO DE 2009

 “O SECRETÁRIO DA RECEITA FEDERAL DO BRASIL, no uso da atribuição que lhe confere o inciso III do art. 261 do Regimento Interno da Secretaria da Receita Federal do Brasil, aprovado pela Portaria MF nº 125, de 4 de março de 2009, e tendo em vista o disposto no art. 16 da Lei nº 9.779, de 19 de janeiro de 1999, resolve:

Art. 1º A partir de 1º de janeiro de 2010, para a transmissão de declarações e demonstrativos pelas pessoas jurídicas tributadas com base no lucro real, no lucro presumido ou no lucro arbitrado, é obrigatória a assinatura digital, efetivada mediante utilização de certificado digital válido.

Art. 2º Esta Instrução Normativa entra em vigor na data de sua publicação.”

Assinatura e Certificação Digital - Obtendo um Certificado Digital

... ainda dentro de O ITI e a ICP-Brasil ...

Agora que já foi explicado o funcionamento e a serventia da certificação digital, será ponderado a seguir, o que é necessário para se obter um certificado digital no Brasil na data presente em que é realizado este trabalho. No âmbito Brasil os certificados digitais pode ser requeridos junto as autoridades certificadoras e/ou autoridades registradoras. Cada uma dessas entidades podem ter critérios distintos para a emissão dos certificados digitais, o que inclusive resulta em preços diferentes, portanto, é conveniente ao interessado saber qual AC é mais adequada às suas necessidades e atividades. Os principais certificados oferecidos são:

·         O eCPF, que é a versão eletrônica do CPF, garantindo a autenticidade e a integridade nas transações eletrônicas de pessoas físicas;

·         O eCNPJ que é o documento de identificação da empresa. Com ele, é possível assinar documentos eletrônicos com validade jurídica, autenticar-se em sites, realizar serviços da Receita Federal, dentre outros;

·         NF-e: Criado especialmente para emitir notas fiscais eletrônicas (garantindo sua conformidade na Lei) e atribuir ao funcionário responsável de sua organização a alçada necessária e restrita para emissão e gerenciamento de NF-e;

·         Certificado Digital para Servidor Web.

É importante destacar que o e-CPF e o e-CNPJ não são gratuitos. Sua aquisição deve ser feita em entidades conveniadas à Receita Federal, como Certisign e Serasa e os preços não são padronizados, variando de acordo com a empresa e com o tipo de certificado (certificados do tipo de autenticação, do tipo A, e os certificados de sigilo, do tipo S).

Assinatura e Certificação Digital - Autoridades Certificadoras e Autoridades Registradoras no Brasil

... ainda dentro de O ITI e a ICP-Brasil ...

Todo país que utiliza certificados digitais, possui uma hierarquia de autoridades certificadoras e no Brasil, não é diferente. A figura abaixo ilustra bem essa hierarquia da certificação digital em analogia à estrutura do documento RG, que atesta quem você realmente é.

A certificação digital pressupõe uma estrutura que envolve: Autoridade Raiz de Certificação, Autoridade Intermediária de Certificação e Autoridade de Registro.

De antemão, vamos definir o que vem a ser uma autoridade certificadora. De acordo com o artigo 5° da medida provisória 2.200 de 2001 realizada pelo presidente da república:

“Art. 5º À AC Raiz, primeira autoridade da cadeia de certificação, executora das Políticas de Certificados e normas técnicas e operacionais provadas pelo Comitê Gestor da ICP-Brasil, compete emitir, expedir, distribuir, revogar e gerenciar os certificados das AC de nível imediatamente subseqüente ao seu, gerenciar a lista de certificados emitidos, revogados e vencidos, e executar atividades de fiscalização e auditoria das AC e das AR e dos prestadores de serviço habilitados na ICP, em conformidade com as diretrizes e normas técnicas estabelecidas pelo Comitê Gestor da ICP-Brasil, e exercer outras atribuições que lhe forem cometidas pela autoridade gestora de políticas. É vedado à AC Raiz emitir certificados para o usuário final. ”

Em suma, existem Autoridades de Certificação de dois tipos: as Autoridades de Certificação de Raiz, ou Autoridades de Certificação Superiores, que emitem diretamente os certificados, e as Autoridades de Certificação Intermediárias (ou Autoridades de Certificação Inferiores ou ainda Autoridades de Certificação de Menor Nível, cujos certificados são emitidos indiretamente pelas Autoridades de Certificação de Raiz. Ou seja, existe uma hierarquia em relação à essas autoridades, como mostrado na figura 12.

A ICP-Brasil classifica os certificados emitidos pela mesma como certificados apenas para Autenticação e certificados Sigilosos, e dentro destas categorias, há os níveis de segurança na geração e armazenamento destes certificados. A categoria dos certificados de autenticação são denominados A1, A2, A3 e A4, assim funciona com a nomenclatura dos certificados sigilosos, S1, S2, S3 e S4. Os certificados A1 são gerados por softwares específicos para a geração das chaves públicas e privadas, a chave privada naturalmente deve ter um tamanho mínimo de 1024 bits, e o certificado é um arquivo de computador que é passado para o portador da identidade digital, e este certificado tem um período de validade máximo de 1 ano, sendo que esta explanação se aplica ao certificado sigilos S1.

A diferença dos certificados A2 e S2 para os A1 e S1 respectivamente é que o certificado é armazenado em dispositivos criptográficos como os Smart Cards e/ou Tokens e o período de validade destes certificados é de dois anos.

Para os certificados A3 e S3, a diferença para os A2 e S2 está no fato que as chaves não são geradas por um software de computador, mas sim por hardwares específicos para esta tarefa, estes são armazenados diretamente nos dispositivos criptográficos sem intervenção humana, e tem validade de três anos.

Por último, os certificados A4 e S4 que se diferenciam dos certificados A3 e S3 por conta das suas chaves de criptografia terem o dobro do tamanho, 20 por conta das suas chaves de criptografia terem o dobro do tamanho, 2048 bits, porém a validade também é de três anos.

Caso o certificado não seja emitido por uma Autoridade de Certificação, este é auto-assinado, ou seja, o proprietário ou usuário ocupa os lugares de Autoridade de Certificação, Autoridade de Registro e Cliente. As principais ACs de raiz são: a americana VeriSign e a britânica Equifax. Outros exemplos de Autoridades de Certificação Intermediárias são: a portuguesa Saphety, a também portuguesa Multicert e a brasileira Certisign.

Em relação às autoridades registradoras, a medida provisória estabelece o seguinte:

“Art. 7º Às AR, entidades operacionalmente vinculadas a determinada AC, compete identificar e cadastrar usuários na presença destes, encaminhar solicitações de certificados às AC e manter registros de suas operações.

Art. 8º Observados os critérios a serem estabelecidos pelo Comitê Gestor da ICP-Brasil, poderão ser credenciados como AC e AR os órgãos e as entidades públicos e as pessoas jurídicas de direito privado”.

A autoridade registradora é um elemento de igual importância em relação ao conceito de autoridade de certificação e se caracteriza por ser uma interface entre o usuário e a AC. Ela é responsável por conferir as informações do usuário e enviar a requisição do certificado para a AC. A qualidade do processo de conferência das informações determina o nível de confiança que deve ser atribuído ao certificado.

Em nível de curiosidade, existem sites que dispõem de ferramentas para que o usuário crie uma infra-estrutura de chaves públicas própria, como o endereço eletrônico ca.freeicp.org. Apesar de não possuir validade legal, é interessante para o entendimento prático e funcionamento do certificado digital e sua estrutura.

Assinatura e Certificação Digital - O ITI e a ICP-Brasil

O ITI que é um acrônimo para Instituto Nacional de Tecnologia da Informação é o órgão responsável por importantes missões relativas às políticas governamentais de tecnologia da informação no Brasil. O ITI é uma autarquia vinculada à casa civil da presidência da republica do Brasil. Sua missão é cuidar e manter a ICP Brasil, cujos membros do comitê gestor, são nomeados pelo presidente da república para garantir transparência, confiabilidade e estabilidade ao sistema de emissão de certificados no Brasil.

A ICP-Brasil é composta por uma Autoridade Gestora de Políticas – AGP e pela cadeia de autoridades certificadoras composta pela Autoridade Certificadora Raiz – AC-Raiz, pelas Autoridades Certificadoras – AC e pelas Autoridades de Registro – AR. No item a seguir, será discernido esses conceitos que fornecem a estrutura básica para o correto funcionamento da aplicação dos certificados digitais atualmente no Brasil. 

Assinatura e Certificação Digital - Assinando e Verificando uma Assinatura Digital

Assinar uma mensagem lógica/digital é normalmente aplicar sobre a mensagem a criptografia simétrica de assinatura com a chave privada do indivíduo. Porém esta ação de criptografia que posteriormente gerará a ação de descriptografar a mensagem são operações pesadas, mesmo para potentes computadores, então para minimizar a carga de processamento faz-se utilização das funções/algoritmos de resumo criptográficos que são vários, e neste trabalho foram apresentados dois, o MD5 e o SHA-1, sendo que estas funções devem obter um identificador da mensagem lógica, como já dito anteriormente, este é conhecido como message digest ou o resumo da mensagem. Vale mencionar que para algumas operações que precisam de alguma maneira de sigilo ou que a mensagem criptografada não seja pública, então a criptografia de toda a mensagem deve ser executada. Tendo então em mãos o message digest da mensagem a ser assinada, aplica-se o algoritmo de criptografia assimétrica para assinatura da mensagem sobre o message digest, são também vários os algoritmos de criptografia assimétricos e neste trabalho foram apresentados alguns como o RSA e o DSA. O produto obtido então é denominado Assinatura Digital, e se esta mensagem precisasse ser enviada para alguém assinada digitalmente, seria encaminhados então a mensagem original que fora assinada, a assinatura digital obtida e o certificado do sujeito que assinou a mensagem, a seguinte imagem ilustra o processo de assinatura;

Sabemos que a assinatura digital garante três propriedades importantíssimas; a autenticidade, a integridade e o não repúdio, com isto dado uma assinatura de determinada mensagem, em qualquer momento após efetuar esta assinatura a mesma poderá ser comprovada ou verificando-se a mensagem digitalmente assinada, porém na realidade como foi visto o que fora verdadeiramente assinado foi somente o message digest ou hash value, portanto para verificar tal assinatura, tendo em mãos a mensagem original, o message digest assinado e o certificado de quem assinou, faz-se necessário obter novamente um novo message digest da mensagem original, com a chave pública que se encontra no certificado de quem assinou a mensagem descriptografamos o message digest assinado e então comparamos com o novo message digest que obtivemos anteriormente, se os dois forem exatamente iguais, então podemos comprovar que a mensagem dita original de fato fora assinada por quem afirma ter assinado, em outras palavras, a assinatura é válida, o esquema de verificação pode ser visto na seguinte ilustração;

Nota: Deve ser observado que os algoritmos para obtenção do hash value ou algoritmo de criptografia de chave pública devem ser os mesmos no momento da verificação da assinatura.

Assinatura e Certificação Digital - Meios de Armazenamento da Identidade Digital

No momento em que determinada pessoa física ou jurídica requisita junto a uma AC válida uma chave secreta para efetuar assinaturas digitais e um certificado digital que identifique quem esta pessoa é de fato, faz-se necessário artifícios para auxiliar tal pessoa a manter estas informações, ou seja, já mencionamos que a chave secreta de uma pessoa é uma sequência de caracteres relativamente grande e devido a necessidade de segurança desta informação uma AC não teria apenas uma ação simples de gerar a chave secreta e entregar a mesma de qualquer maneira para o portador da identidade digital, como se faz com uma senha de assinatura eletrônica (cartão de um banco, senha de email) ou algo do gênero.

            Estes ditos meios de armazenamento podem estar dispostos em dois tipos de suportes; software, que no caso o usuário deverá saber da existência, de onde se encontra digitalmente a sua assinatura e sua identidade digital, e outra maneira de armazenamento é com hardwares específicos chamados de hardwares ou dispositivos criptográficos, no qual se diz que o usuário deve saber e ter, isto porque o dispositivo é físico, e pode acompanhar fisicamente o usuário por onde este estiver, exemplo destes dispositivos podem ser citados os Tokens e os Smart Cards, como segue abaixo figuras com exemplos de um Smart Card e um Token respectivamente;

Como as informações contidas nestes Meios de Armazenamento são de alta confidencialidade e precisam estar seguras, nos dois modelos de armazenamento existem duas senhas; uma para acessar informações diversas como o certificado do usuário e outra para acessar a chave secreta do tal usuário. A idéia é que se estes meios de armazenamento caiam em mãos erradas ou forem extraviadas, ou algo parecido, o devido portador possa avisar a AC emissora da identidade digital e então a AC em medida de emergência coloque tal certificado na lista de certificados revogados. Com esta medida, se o meio de armazenamento fora roubado e a pessoa má intencionada tentar quebrar a senha do usuário verdadeiro, até que consiga efetuar esta operação, possivelmente a AC já colocou a identidade na lista de certificados revogados, e no momento de assinar algo com esta identidade roubada, a assinatura já não terá mais validade. A nível de curiosidade, alguns dispositivos criptográficos ao perceber a tentativa de quebra das suas senhas, como um mecanismo de auto proteção, acabam por destruindo toda informação contida no dispositivo, é quase uma auto destruição, alguns Smart Cards e Tokens têm esta ação preventiva.

            No caso dos meios de armazenamento em software, no que geralmente é dado ao portador da identidade um documento digital criptografado que contém as informações pertinentes a identidade do usuário, estes documentos digitais seguem alguns padrões nas suas estruturas de dados, poderíamos comparar estas estruturas de dados com alguma especificação na estrutura de dados em um arquivo XML em que sistemas distintos se comunicariam com este, mas enfim, estes padrões são definidos pelo PKCS que é um acrônimo para Public Key Cryptographyc Standards ou no português, são os Padrões de Criptografia de Chaves Públicas, e no contexto das identidades em meios digitais (PKCS#11 para dispositivos criptográficos), e geralmente um arquivo que referencia este padrão estará com a extensão .PFX ou raramente .P12.

            No momento em que uma AC emite um certificado digital para determinado cliente, de acordo com a escolha do meio de armazenamento escolhido pelo cliente, a AC então emitirá a chave secreta, o certificado digital do usuário e sua cadeia certificação neste meio de armazenamento.