Que tipo de segurança uma infraestrutura de chave pública ICP oferece?

• Jurídico

• Julie Tsukada
• 21/10/2021

Conheça como funciona a estrutura da ICP-Brasil, estrutura que viabiliza, regulamenta e gerencia a emissão de certificados digitais, identidades utilizadas na assinatura digital.

Quando se fala sobre assinatura ou certificado digital, é obrigatório mencionar a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil). 

Definida como uma cadeira hierárquica, a ICP-Brasil é o que torna possível a emissão de certificado digital e consequentemente, o uso de assinatura digital em documentos e transações eletrônicas. 

Apesar de sua importância inquestionável nesse processo, como a definição dessa estrutura viabiliza e regulamenta a emissão dos certificados digitais? 

Neste artigo, vamos explicar como funciona a estrutura da ICP-Brasil e apresentar quais são os modelos de certificado digital disponibilizados pela infraestrutura. 

Continue a leitura para saber mais! 

O que é a ICP-Brasil? 

Instituída com a publicação da Medida Provisória nº 2.200-2/2001, a ICP-Brasil é uma cadeira hierárquica suja principal função é regulamentar, gerenciar e viabilizar a emissão de certificados digitais, identidades eletrônicas utilizadas para formalizar e atestar a autoria de transações no ambiente virtual. 

Para tal, a ICP-Brasil reúne diversos órgãos e entidades que juntos, compõem a estrutura necessária para administrar todos os processos relacionados aos certificados.  

Esses procedimentos, por utilizarem criptografia, exigem diretrizes técnicas específicas, de forma a garantir a segurança, integridade e validade jurídica dos documentos eletrônicos com uso de certificado digital. 

Como é a estrutura da ICP-Brasil? 

De forma simples, podemos visualizar a estrutura da ICP-Brasil como no organograma abaixo: 

Primeiro, vamos falar sobre as principais entidades da estrutura: Comitê Gestor, Autoridade Certificadora Raiz, Autoridades Certificadoras de primeiro e segundo nível e Autoridade de Registro.

Depois, iremos explicar quais são as instituições que estão presente no ecossistema, mas fora dessa estrutura principal: Autoridades Certificadoras de Tempo, os Prestadores de Serviço Biométrico, os Prestadores de Serviços de Suporte e os Prestadores de Serviços de Confiança.  

Nos acompanhe para saber mais! 

Comitê Gestor 

Primeiro, vamos começar a entender a estrutura pelo Comitê Gestor. 

O Comitê Gestor é quem coordena a implantação e o funcionamento das políticas de certificação digital no Brasil. Vinculada à Casa Civil, a entidade é composta por sete representantes governamentais e cinco representantes da sociedade civil, ambos designados pelo presidente da república. 

É o Comitê Gestor também o responsável por revisar e atualizar as práticas estabelecidas para a ICP-Brasil. Além disso, a entidade audita e fiscaliza a Autoridade Certificadora Raiz (AC Raiz), bem como estabelece as normas para credenciamento das Autoridades Certificadoras (AC), Autoridades de Registro (AR) e demais prestadores de serviços em todos os níveis da cadeia hierárquica. 

Autoridade Certificadora Raiz 

Agora, vamos para a AC Raiz, papel desempenhado pelo ITI. Como primeira autoridade da cadeia de certificação, a entidade é responsável por executar as políticas de certificados e as normas técnicas e operacionais aprovadas pelo Comitê Gestor.  

Também compete à AC Raiz a emissão, distribuição e gerenciamento dos certificados das ACs de primeiro nível, assim como a fiscalização e auditoria de todas as AC, das AR e de todos os prestadores de serviço habilitados na ICP-Brasil. 

Autoridades Certificadoras de primeiro e segundo nível 

Abaixo da AC Raiz, temos as demais AC, que são divididas em duas categorias: AC de primeiro nível e AC de segundo nível.  

Seguindo a hierarquia da cadeia da ICP-Brasil, as AC de primeiro nível emitem certificados digitais para as AC de segundo nível. Já estas, por sua vez, ficam responsáveis pela emissão e gerenciamento dos certificados digitais de pessoas físicas e jurídicas. Por isso, também são conhecidas como ACs finais, já que são as autoridades com o contato direto ao usuário final. 

Autoridades de Registro 

Para cada AC, há uma AR vinculada operacional. Essa entidade é responsável por identificar e cadastrar usuários, encaminhar solicitações de certificados digitais às AC e manter os registros das operações da AC. 

Outras entidades da ICP-Brasil 

Fora dessa estrutura principal, também temos outras quatro entidades que compõem o ecossistema da ICP-Brasil: as Autoridades Certificadoras de Tempo, os Prestadores de Serviço Biométrico, os Prestadores de Serviços de Suporte e os Prestadores de Serviços de Confiança.  

Veremos mais sobre cada uma delas abaixo:  

Autoridades Certificadoras de Tempo 

Para cada assinatura digital, é necessário emitir um carimbo do tempo, selo que atesta o dia e hora em que o documento foi assinado.  

A entidade que realiza essa emissão é a Autoridade Certificadora de Tempo (ACT). Sob monitoramento do ITI, a instituição é responsável pelos relógios dos Servidores de Carimbo do Tempo (SCT), que devem ser auditados e sincronizados por Sistemas de Auditoria e Sincronismo (SASs). 

Prestadores de Serviço Biométrico 

Em algumas transações online, como nos bancos, também se utiliza biometria. Para esses casos, a ICP-Brasil conta com os Prestadores de Serviço Biométrico (PSBios), entidades com capacidade técnica para realizar a identificação biométrica. 

Com os PSBios, é criado um registro ou requerente único em um ou mais sistemas de dados biométricos, que é válido para toda a ICP-Brasil. Também são as entidades que verificam a biometria do requerente para a emissão de certificado digital. 

Prestadores de Serviços de Suporte 

De modo simples, podemos definir os Prestadores de Serviços de Suporte (PSS) como empresas que prestam apoio às atividades das autoridades certificadoras. 

Assim, podemos classificar os PSS em três categorias, de acordo com os serviços que disponibilizam: 

• Infraestrutura física e lógica; 
• Recursos humanos especializados; 
• Infraestrutura física e lógica e de recursos humanos especializados. 

Para conferir o ecossistema completo da ICP-Brasil com todas as entidades, acesse este link no site do ITI. 

Prestadores de Serviço de Confiança  

Os Prestadores de Serviço de Confiança (PSC) são as entidades que trabalham com certificados digitais armazenados na nuvem. Neste formato, não é necessário instalar o arquivo ou carregá-lo em um dispositivo móvel (como em um pen drive, por exemplo), o que facilita o acesso dos usuários à identidade. 

Na prática, o serviço do PSC consiste no armazenamento das chaves privadas. Para conferir mais segurança ao certificado digital em nuvem, a entidade também oferece autenticação em fator duplo. 

O site do ITI mantém um infográfico com o ecossistema completo da ICP-Brasil, em que você pode conferir quais são as instituições vinculadas e suas respectivas credenciais na infraestrutura. Para acessá-lo, clique aqui. 

Qual a relação da ICP-Brasil com a assinatura digital? 

A ICP-Brasil mantém uma relação direta com a assinatura digital, já que esta modalidade utiliza certificado digital. 

Assim como a infraestrutura, essa modalidade de assinatura eletrônica também encontra amparo jurídico na MP nº 2.200-2/2001. Observe abaixo: 

§ 1o  As declarações constantes dos documentos em forma eletrônica produzidos com a utilização de processo de certificação disponibilizado pela ICP-Brasil presumem-se verdadeiros em relação aos signatários, na forma do art. 131 da Lei no 3.071, de 1o de janeiro de 1916 - Código Civil.  

Este trecho da medida, presente no artigo 10, embasa o uso da assinatura digital, que é uma forma de declaração (no caso, de autoria e conhecimento do conteúdo do documento em questão) presente em documentos de formato eletrônico.  

Sendo assim, a assinatura digital, que utiliza certificado digital, presume-se verdadeira justamente pelo uso da identidade. 

Como a assinatura digital utiliza o certificado digital da ICP-Brasil? 

Anteriormente, nós explicamos que o certificado digital utiliza criptografia. 

Para emitir a identidade, a ICP-Brasil adota um tipo de criptografia chamada de assimétrica. Nesta versão, existe uma chave pública e uma privada, ambas compostas por uma série de dados codificados. 

A chave privada do certificado digital é de conhecimento exclusivo do usuário. A partir dela, é possível codificar e identificar o autor da assinatura. 

Já a chave pública, por sua vez, deriva da chave privada e é utilizada para conferir a validade da assinatura digital.  

A cada assinatura realizada, mesmo que seja em um único documento, a codificação será diferente.  

Além disso, qualquer tentativa de alteração no documento invalida a assinatura feita anteriormente. 

Dessa forma, por utilizar o certificado digital, a assinatura digital é a modalidade mais segura de assinatura eletrônica, já que garante segurança máxima na autenticidade das documentações. 

Quais são os certificados digitais da ICP-Brasil? 

Para atender diferentes necessidades, a ICP-Brasil disponibiliza diversos modelos de certificado digital. 

Primeiro, nós vamos explicar os certificados da ICP-Brasil quanto à sua aplicação. Depois, vamos separá-los de acordo com a segurança eles conferem. 

Vamos lá? 

Classes de certificado 

Certificado tipo A 

É o modelo mais comum, além de ser o mais recomendado para o uso em assinaturas digitais. Pode ser utilizado por profissionais autônomos, empresas privadas e instituições públicas.  

Certificado tipo S 

É o modelo ideal para documentos e transações que envolvem conteúdo sigiloso. Com este certificado digital, apenas pessoas autorizadas conseguem decodificar o arquivo. 

Certificado tipo T 

É um certificado digital que contém data e hora das transações digitais. Conhecido como carimbo do tempo, é emitido pela ACT.  

Normalmente, é utilizado em conjunto com outros modelos de certificado, como um documento a mais para elevar a segurança das transações. 

Tipos de segurança 

Segurança tipo A, S ou T 1 

É o tipo de segurança mais baixo, pois as chaves são geradas e armazenadas em um software no computador, que pode ser acessado por meio de usuário e senha. Também é o modelo de certificado digital com menor validade (duração de um ano). 

Segurança tipo A, S ou T 2 

Neste modelo de certificado digital, a geração das chaves também ocorre por meio de um software. No entanto, diferente do tipo 1, o armazenamento das chaves é feito em mídia própria. Possui validade de dois anos. 

Segurança tipo A, S ou T 3 

É um certificado digital com acesso restrito apenas a pessoas autorizadas. Neste modelo, que possui validade de até cinco anos, a geração das chaves criptográficas ocorre por meio de um hardware criptográfico (token ou cartão inteligente). Por isso, é um tipo mais seguro que o de segurança 1.  

Segurança tipo A, S ou T 4 

É o certificado digital mais seguro disponível pela ICP-Brasil. Conhecido como cofre digital, essa versão utiliza o hardware Módulo de Segurança Criptográfico (HSM, na sigla em inglês), que gera e armazena as chaves privadas.  

Por essa razão, esse é um modelo considerado inviolável, pois apaga todas as informações em caso de invasão. Possui validade de até seis anos. 

Como adquirir um certificado digital da ICP-Brasil? 

Para adquirir seu certificado digital da ICP-Brasil, basta ir ou entrar em contato com uma das ACs que fazem parte da infraestrutura.  

Você pode conferir quais são as ACs certificadas e vinculadas à ICP-Brasil neste link.  

Conclusão 

Neste artigo, você aprendeu o que é a ICP-Brasil e conheceu mais sobre as entidades que fazem parte do ecossistema da infraestrutura. 

Depois, você também conheceu a relação direta da ICP-Brasil com a assinatura digital, um dos tipos de assinatura eletrônica adotadas em nosso país. 

Essa modalidade obrigatoriamente utiliza certificado digital, uma identidade eletrônica emitida, gerenciada e regulada pela ICP-Brasil. 

No final do texto, você também pôde conferir quais são os modelos de certificado digital disponíveis pela ICP-Brasil e como eles diferem em questão de segurança e usos recomendados. 

Publicações relacionadas

Que tipo de segurança é oferecida por uma infraestrutura de chave pública PKI )?

O que é e para que serve a Infraestrutura de Chaves Públicas ICP?

Como funciona uma infraestrutura de chaves públicas?

Para que serve a chave pública?