Certificado Digital e Assinatura Digital

Sergio Alabi L F 18.01.2006 www.alabi.net ~ concurso@alabi.net

O Que Certificado Digital:

Um Certificado Digital um arquivo no computador que identifica voc, funcionando como o RG. Comprova a identidade da pessoa que est usando nos meios eletrnicos, uma identificao segura, promovendo a segurana em transaes eletrnicas (bancos, empresas, comrcio eletrnico,...) ou quando voc envia um e-mail importante, seu aplicativo de e-mail pode utilizar seu Certificado Digital para assinar "digitalmente" a mensagem. Uma assinatura digital faz duas coisas: informa ao destinatrio que o e-mail seu e indica que o e-mail no foi adulterado entre o envio e o recebimento deste. esta segurana que est cada vez mais atraindo empresas, governos e cidados comuns a obterem um certificado digital, ao ponto de alguns pases j adotarem o Certificado Digital para todos os seus cidados, como na Blgica. Alguns aplicativos de software utilizam esse arquivo para comprovar sua identidade para outra pessoa ou outro computador. Exemplos tpicos so:

Informaes que o Certificado Digital Possu:

Nome da empresa (a Autoridade Certificadora - CA) que emitiu seu Certificado Digital; Perodo de validade do certificado; Chave pblica; Seu nome e endereo de e-mail; O nmero de srie do Certificado Digital; A assinatura digital da CA.

Este um exemplo das informaes de um certificado digital, que no caso o meu:

Informaes do Certificado Digital Organization = CertiSign Certificadora Digital SA Organizational Unit = Classe 1 Organizational Unit = Terms of use at www.certisign.com.br/RPA (c)00 Organizational Unit = Authenticated by Certisign Certificadora Digital Ltda. Organizational Unit = Member, VeriSign Trust Network Organizational Unit = Persona Not Validated Organizational Unit = Digital ID Class 1 Common Name = sergio alabi - Certificado de Teste Email Address = concurso@alabi.net Nmero de srie = 054a24d979b7b851564ed775b39ced78

Certificado Digital e Assinatura Digital. Sergio Alabi L F 18.01.2006

Certificado Digital e Assinatura Digital

Sergio Alabi L F 18.01.2006 www.alabi.net ~ concurso@alabi.net

Como Funciona o Certificado Digital:

Existem dois tipos de criptografia: Criptografia Simtrica (Privada): o sistema de Criptografia Simtrica utiliza a mesma chave de criptografia (algoritmo) para cifrar e decifrar as informaes. Este mtodo no confivel para transaes eletrnicas na internet, sendo seu uso mais empregado para comunicao entre duas pessoas na internet, onde ambas possuem a mesma chave privada para codificar e decodificar as informaes. Criptografia Assimtrica (Pblica): o Certificado Digital funciona com criptografia assimtrica, ou seja, este modelo utiliza um par de chaves, uma chave pblica e uma chave privada, onde a chave pblica pode ser distribuda livremente e a privada deve ser bem protegida por senha de acesso. A chave pblica usada para cifrar s informaes a serem enviadas e a chave privada usada para decifrar estas informaes. Este cenrio muito conhecido e usado por instituies bancrias (bank on-line) e por empresas de comrcio eletrnico (e-commerce). A criptografia mais utilizada em RSA, em que o seu conceito baseia-se em nmeros primos.

Certificado Digital e Assinatura Digital. Sergio Alabi L F 18.01.2006

Certificado Digital e Assinatura Digital

Sergio Alabi L F 18.01.2006 www.alabi.net ~ concurso@alabi.net

1 MOMENTO Usurio Banco

Internet

O exemplo empregado ser a conexo com um banco on-line, em primeira instncia o banco possuiu o par de chaves: pblica e privada. A pblica distribuda

livremente para codificar as informaes e a privada est guardada de posse do banco bem protegida e ser usada para decodificar as informaes.

2 MOMENTO Usurio Banco

No segundo momento ao digitar o nmero da agncia e o nmero da conta, a conexo com o banco de dados se tornar uma conexo segura, pois estar utilizando o protocolo SSL (um cadeado ir aparecer na barra de status do navegador de internet) , ou seja, um tnel criado entre voc e o seu banco, as informaes esto criptografadas atravs da chave de criptografia RSA e neste momento voc recebe a chave pblica para codificar as informaes a serem enviadas ao banco (sua senha e dados confidenciais). Se um cracker roubar esta informao na rede da Internet, ele passar sculos tentando decifrar a informao, pois a comunicao est protegida por criptografia.

3 MOMENTO Usurio Banco

Certificado Digital e Assinatura Digital. Sergio Alabi L F 18.01.2006

Certificado Digital e Assinatura Digital

Sergio Alabi L F 18.01.2006 www.alabi.net ~ concurso@alabi.net

No terceiro momento ao enviar informaes sigilosas, o banco ir utilizar a chave privada para decodificao das informaes recebidas , pois somente a instituio (no caso o banco) possu o segredo para decifrar estas informaes (senha da sua conta).

Assinatura Digital:
Assinatura Digital muito utilizada para assinar documentos (textos, planilhas,...), desta forma atesta que o documento no foi alterado por um terceiro e que o mesmo de sua autoria. Imagine o seguinte exemplo: voc est fechando um pedido de compra entre a empresa em trabalha e o meu seu principal fornecedor de matria prima. A compra da ordem de 1 milho de reais e ser concretizada atravs do envio do documento por e-mail validando a operao. Quem garante que quando o seu fornecedor receber o documento, este no foi alterado e que realmente foi voc que enviou? A resposta para este tipo de problema : Assinatura Digital. Ao assinar um documento, este tem validade jurdica e atesta que o documento original (no alterado) e tambm de sua autoria.

Processo quando eu envio o e-mail para o meu fornecedor:

funo hash

126598745213500542

documento original algoritmo criptografado chave privada assinatura digital

Processo quando o meu fornecedor recebe o meu e-mail assinado digitalmente:

documento orignal assinatura digital

funo hash

algoritmo criptografado minha chave pblica

126598745213500542 Certificado Digital e Assinatura Digital. Sergio Alabi L F 18.01.2006

126598745213500542

Certificado Digital e Assinatura Digital

Sergio Alabi L F 18.01.2006 www.alabi.net ~ concurso@alabi.net

Hash do documento

Hash do documento

Comparao Conferncia da Assinatura Digital Ao assinar digitalmente um documento, criado um resumo deste documento chamado Digest, que nada mais que um hash. O hash um resultado seqencial numrico (ex: 37856592002574122548) quando aplicado um algoritmo (MD5. SHA-1, SHA-2, 3 ou SHA-4) ao documento original. Importante: no existe a possibilidade de atravs do hash obter o documento original. Ao assinar digitalmente um e-mail, gerado um resumo do corpo do email (hash) e este ser cifrado com a sua chave privada, quando o seu fornecedor receber o email, ele recebe sua chave pblica. Ele utilizar a sua chave pblica para decifrar o e-mail e comparar o hash decifrado com o hash gerado do corpo do e-mail, se os valores forem iguais, significa que o e-mail no foi alterado, e o mesmo valido para documentos (word, excel,...).

Modalidades do Certificado Digital:

Atualmente o Brasil dispe dos modelos: A1, A2, A3 e A4. Os modelos A2 e A4 no so inda comercializados. O modelo A1 tem validade de 1 ano e o par de chaves so gerados no computador no momento da solicitao de emisso do certificado. A chave pblica ser enviada para a Autoridade Certificadora (AC) com a solicitao de emisso do certificado, enquanto a chave privada ficar armazenada em seu computador, devendo, obrigatoriamente, ser protegida por senha de acesso. atravs do navegador. O modelo A3 tem validade de 3 anos e mais seguro e portvel, pois as chaves so geradas em um carto SmartCard ou Token.

SmartCard: carto similar ao carto de crdito e uma vez gerada essas chaves, elas estaro totalmente protegidas, no sendo possvel export-las para uma outra mdia nem retir-las do SmartCard. Mesmo que o computador seja atacado por um vrus ou, at mesmo, um cracker essas chaves estaro seguras e protegidas, no sendo expostas a risco de roubo ou violao.

Leitora e carto SmartCard (e-CFP e e-CNFP) da Receita Federal

Token: um hardware capaz de gerar e armazenar as chaves criptogrficas que iro compor os certificados digitais. Uma vez geradas estas chaves estaro totalmente protegidas, pois no
Certificado Digital e Assinatura Digital. Sergio Alabi L F 18.01.2006

Certificado Digital e Assinatura Digital

Sergio Alabi L F 18.01.2006 www.alabi.net ~ concurso@alabi.net

ser possvel export-las ou retir-las do token (seu hardware criptogrfico), alm de proteg-las de riscos como roubo ou violao. Sua instalao e utilizao simples: conecte-o a qualquer computador atravs de uma porta USB depois de instalar seu driver e um gerenciador criptogrfico (software). Dessa forma logo que o token seja conectado ser reconhecido pelo sistema operacional. Token

Como Obter um Certificado Digital:

Para obter um Certificado Digital necessrio procurar os rgos homologados pela ICPBrasil preenchendo uma ficha de solicitao, onde este deve ser levado pessoalmente ao rgo escolhido (autoridade de registro) com documento de identidade, CPF, comprovante de residncia e uma foto 3x4 e o pagamento do certificado na modalidade escolhida (A1 ou A3). Aps o termo de titularidade assinado na presena da autoridade registradora, basta baixar pela web o certificado digital (modelo A1) ou pegar o SmartCard ou Token (modelo A3) na prpria autoridade de registro. A empresa certificadora, CertiSign (www.certisign.com.br) oferece assinatura digital vlida por um perodo de 60 dias gratuitamente.

Como Associar um Certificado Digital a sua conta de E-mail:

Microsoft Outlook Express: Selecione Contas, no menu Ferramentas e, em seguida, a guia Correio. Selecione a sua conta de Correio, clique no boto Propriedades e selecione a guia Segurana. Marque a caixa "Utilizar certificado digital ao enviar mensagens seguras". Em seguida, clique no boto Certificados Digitais. Escolha o certificado que voc deseja utilizar para assinar digitalmente os seus e-mails.

Autoridade Certificadora (CA):

Entre os campos obrigatrios em um certificado digital encontra-se a identificao e a assinatura da entidade que o emitiu, a Autoridade Certificadora (CA), os quais permitem verificar a autenticidade e a integridade do certificado digital. A AC o principal componente de uma Infra-Estrutura de Chaves Pblicas e responsvel pela emisso dos certificados digitais.

Certificado Digital e Assinatura Digital. Sergio Alabi L F 18.01.2006

Certificado Digital e Assinatura Digital

Sergio Alabi L F 18.01.2006 www.alabi.net ~ concurso@alabi.net

Estrutura organizacional das emissoras de certificado digital. ICP-Brasil a autoridade certificadora raiz.

Empresas de Autoridade de Registro (RA):

Atravs dos site: http://www.iti.br/twiki/bin/view/Main/AutCerti h uma lista de empresas autorizadas a registrar os certificados digitais (Serpro, Caixa, Serasa, Receita Federal, CertSign,...).

Certificado Digital e Assinatura Digital. Sergio Alabi L F 18.01.2006

Certificado Digital e Assinatura Digital

Sergio Alabi L F 18.01.2006 www.alabi.net ~ concurso@alabi.net

Apndice:
Cracker: invade sistemas, rouba dados, arquivos, nmeros de carto de crdito, faz espionagem industrial e quase sempre provoca algum tipo de destruio, principalmente de dados. SSL (Security Socket Layer): Um protocolo de segurana que fornece privacidade de comunicao. O SSL permite que aplicativos do cliente e servidor comuniquem-se de uma forma que projetada para evitar intruses, violao e falsificao de mensagens. A tecnologia usada a tecnologia RSA, de chave dupla, pblica e privada. Quando o SSL aplicado, o cliente usa o protocolo HTTPS (e especifica uma URL https://). Criptografia: tem origem grega e significa a arte de escrever em cdigos de forma a esconder a informao na forma de um texto incompreensvel. A informao codificada chamada de texto cifrado. O processo de codificao ou ocultao chamado de cifragem (criptografar), e o processo inverso, ou seja, obter a informao original a partir do texto cifrado chama-se decifragem (decriptografar). Hash: usado para gerar um valor do hash de alguns dados, como um e-mail, uma senha ou uma chave. A funo do hash verifica qualquer modificao em um dado. O hash um mtodo para transformar dados de tal forma que o resultado seja exclusivo e no possa ser retornado ao formato original. Sua caracterstica principal a no-duplicidade de dados. Os mais usados algoritmos de hash so: MD2, MD4, MD5, SHA-1, SHA-2, SHA-3 e SHA-4. RSA (Rivest, Shamir e Adleman algorithm): a mais bem sucedida implementao de sistemas de chaves assimtricas (pblicas) baseadas na fatorao de nmeros primos. So geradas duas chaves, de tal forma que uma mensagem encriptada com a primeira chave possa ser apenas decriptada com a segunda chave. A primeira chave divulgada a algum que pretenda enviar uma mensagem encriptada ao detentor da segunda chave, j que apenas essa pessoa pode decriptar a mensagem. O primeiro par designado como chave pblica, e o segundo como chave secreta. ICP-Brasil (Infra-Estrutura de Chaves Pblicas Brasileira): a Autoriadade Certificadora (CA) raiz no Brasil, responsvel por emisso de Certificados Digitais.

Certificado Digital e Assinatura Digital. Sergio Alabi L F 18.01.2006