Certificados digitais

Uma grande mudança está em curso no mundo da internet: a consolidação dos Certificados Digitais.

I. A necessidade de identificação

Quando duas pessoas se encontram para realizar uma transação, o primeiro passo que adotam é conhecer a identidade do interlocutor, ou seja, uma pessoa quer saber com quem está transacionando.

Quando é necessária uma identificação formal (ou seja, é preciso ter certeza da identidade da outra pessoa), comumente utilizam-se documentos de identificação (como a cédula de identidade, o passaporte, etc).

Um documento de identificação tem duas características fundamentais:

Primeiro, ele contém alguns dados que individualizam seu portador, como foto, data de nascimento, impressão digital, assinatura, etc. Ao confrontarmos esses dados com as características do seu portador, podemos saber se o mesmo é de fato a pessoa identificada.

Segundo, o documento é emitido por uma autoridade que tenha credibilidade; por exemplo, a cédula de identidade é emitida pela Polícia Civil, enquanto o passaporte é emitido pela Polícia Federal. É graças à credibilidade dessa autoridade emissora que os documentos adquirem credibilidade. Um crachá emitido por uma empresa, por exemplo, não tem a credibilidade como emissora de documentos, e por isso um crachá não tem a força de documento de identificação.

II. O problema da prova de identidade nas transações on-line

Uma das maiores diferenças entre transações on-line e transações presenciais é que, enquanto nessas últimas as partes se encontram e podem trocar documentos de identificação, as transações on-line geralmente ocorrem sem que as partes jamais se encontrem.

Daí surge o problema: como uma parte saberá de fato a identidade da outra? É justamente por causa dessa dificuldade que muitas brechas para fraudes se abrem na internet: consumidores compram produtos que nunca são entregues, e lojas virtuais vendem para falsos compradores.

Algumas técnicas foram criadas para tentar minimizar esses problemas.

Uma técnica comum (adotada, por exemplo, pelos bancos) é, antes de realizar transações on-line, fazer a identificação prévia presencial. Para se acessar um serviço de um banco na intranet, é necessário primeio comparecer no banco, levar os documentos, fazer a identificação e apenas aí obter uma senha para acesso on-line. Essa técnica, entretanto, é limitada, pois exige que as partes se encontrem, o que nem sempre é possível.

Lojas on-line, que vendem produtos sem nunca encontrar seus clientes, tentam fazer identificações de maneira indireta, perguntando por dados que (supostamente) apenas o comprador deveria saber. O dado pessoal mais comumente exigido (até porque é geralmente essencial para se fazer uma compra) é o número do cartão de crédito, assim como alguns dígitos verificadores; e é nesse mesmo sentido que, por exemplo, para comprar passagens aéreas da Gol é necessário informar dados como CPF, data de nascimento, etc.

Mas essas técnicas, que existem desde os primórdios da internet comercial, já estão ultrapassadas. Mais e mais os hackers estudam brechas no esquema e elaboram maneiras de se aproveitar dessas vulnerabilidades.

III. O Certificado Digital

A tecnologia dos certificados digitais fundamenta-se em dois pilares: criptografia assimétrica forte e credibilidade de autoridade certificadora.

III.1 A criptografia assimétrica (também chamada Criptografia de Chave Pública), criada a partir de um algoritmo desenvolvido na década de 1970 chamado RSA, baseia-se no seguinte princípio: um par de duas chaves (longos números binários) são criadas pelo algoritmo; a criptografia que é feita por uma chave pode ser decriptografada apenas pela outra chave, e vice-versa.

Com isso, uma pessoa pode manter uma das chaves apenas para si (a chamada chave privada) e divulgar a outra chave (a chamada chave pública) para qualquer outra pessoa. Quando qualquer pessoa quiser enviar uma mensagem confidencial ao portador da chave, utiliza a chave pública para criptografá-la, e apenas o portador da chave privada poderá decriptografá-la (ou seja, garantimos confidencialidade). Por outro lado, quando uma pessoa qualquer receber uma mensagem e for capaz de decriptografá-la utilizando uma dada chave pública, ela saberá que tal mensagem foi enviada pelo portador da respectiva chave privada (ou seja, garantimos autenticidade).

O método tem a vantagem de garantir confidencialidade e autenticidade sem exigir um encontro presencial entre as partes. Se eu conheço a chave pública de uma pessoa, tenho a segurança de que apenas ela (a que detém a respectiva chave privada) será capaz de ler as mensagens criptogradas, ou apenas ela foi capaz de me mandar uma mensagem criptograda. É isso que garante a segurança e robustez de sistemas de criptografia como, por exemplo, o pgp.

III.2 Ao utilizar a chave pública de uma pessoa, saberei que a pessoa detém a respectiva chave privada, mas não saberei a identidade de tal pessoa (o algoritmo RSA é aberto, e existem diversos programas que são capazes de gerar pares de chaves assimétricas).

A Autoridade Certificadora exerce o papel de conferir identidades e associá-las a chaves.

Para se conferir a identidade, a AC utiliza o antigo método: o candidato à identificação deve ir à presença física da Autoridade Certificadora e mostrar documentos que comprovem sua identidade (cédula de identidade, passaporte, etc).

Após conferir a identidade do candidato, a Autoridade endossa a identidade: ela faz isso utilizando a própria chave privada para assinar a chave pública do identificado. Esse conjunto de chave pública, assinada pela chave privada de uma Autoridade Certificadora, e com uma data de validade, é chamado um Certificado Digital.

IV. Utilização do Certificado Digital.

Como funciona, na prática, a identificação com Certificado Digital?

O primeiro pressuposto é que todos os certificados emitidos estejam publicamente disponíveis, através de uma estrutura chamada Infra-Estrutura de Chave Pública (ICP), ou Public Key Infrastructure (PKI).

Suponhamos que Alice Silva envia uma proposta comercial a Bob Santos pela internet, e os dois jamais se encontraram.

Como Bob saberá que a pretensa Alice Silva é de fato Alice Silva?

Bob recebe a mensagem pretensamente assinada, ou seja, criptografada (na verdade, a assinatura envolve também uma etapa intermediária, na qual se gera uma “impressão digital da mensagem”, chamada hash) pela chave privada de Alice. Bob obtém o certificado digital de Alice. Se a e a chave pública contida no certificado de Alice não for capaz de decriptografar a mensagem, então Bob saberá que a mensagem original não foi enviada pela pretensa Alice, e poderá descartar a mensagem; se a chave pública for capaz de decriptografar a mensagem, então Bob saberá que a pretensa Alice de fato possui a chave privada de Alice.

Bob (ou melhor, a máquina de Bob) procurará então identificar a Autoridade Certificadora (AC) de Alice. Isso é feito verificando-se qual chave privada assinou o certificao de Alice e buscando-se o respectivo certificado (que será o certificado da AC). Quando a máquina encontra a AC, ela informa seu nome a Bob (através de uma mensagem na tela do computador) e pergunta a Bob se ele reconhece a AC como uma AC confiável. Se Bob confiar na AC, ele acreditará que a AC fez uma prévia identificação da Alice, e portanto acreditará que a mensagem original foi de fato enviada por Alice Silva.

Geralmente, o Windows pergunta apenas uma vez se o usuário reconhece uma AC, e armazena a resposta. Algumas certificadoras bastante conhecidas são a Verisign, a Thawte e a brasileira Certisign.

V. Certificação Digital no Brasil.

O Brasil é provavelmente um dos países mais adiantados em relação à utilização de certificados digitais.

Vários bancos já utilizam chips com certificados digitais; nesses casos, a Autoridade Certificadora é o próprio banco, e por isso apenas os bancos emissores e seus clientes acreditam nesses certificados.

Entretanto, o Governo brasileiro deu um grande passo. A Medida Provisória 2200 criou a Infra-Estrutura de Chaves Públicas Brasileira, a ICP-Brasil. O ponto inicial da ICP-Brasil é a chamada AC Raiz, que recebeu poderes para validar certificados digitais emitidos segundo algumas rígidas normas baixadas por um Comitê Gestor.

Além disso, e esse é outro ponto em que o Brasil se diferenciou dos demais países, a MP 2200 determinou, no seu artigo 10, que

“Art. 10. Consideram-se documentos públicos ou particulares, para todos os fins legais, os documentos eletrônicos de que trata esta Medida Provisória.

§ 1o As declarações constantes dos documentos em forma eletrônica produzidos com a utilização de processo de certificação disponibilizado pela ICP-Brasil presumem-se verdadeiros em relação aos signatários, na forma do art. 131 da Lei no 3.071, de 1o de janeiro de 1916 – Código Civil.”

Isso significa que um arquivo assinado com uma chave privada certificada pela ICP-Brasil torna-se um documento (caput do artigo), e, ainda, que a assinatura digital tem o mesmo valor que a assinatura manual (parágrafo 1 do artigo).

Isso tem o potencial de revolucionar as relações on-line.

Se duas partes transacionarem pela internet, e se ambas estiverem de posse de um certificado digital emitido pela ICP-Brasil, ambas saberão que podem confiar na identidade da outra parte. Mais do que isso, qualquer assinatura digital terá o mesmo valor jurídico que teria se as partes tivessem se encontrado e assinado papéis a mão.

Alguns exemplos práticos de utilização do certificado já podem ser observados.

Por exemplo, a Receita Federal já disponibiliza um Centro Virtual de Atendimento ao Contribuinte (e-CAC). Através do e-CAC, contribuintes que possuam um certificado digital emitido pela ICP-Brasil podem fazer transações como visualizar declarações de imposto de renda de anos passados, retificá-las, enviar mensagens eletrônicas para a Receita (com valor jurídico de documento), etc.

Isso somente é possível porque a Receita, ao confiar na AC Raiz da ICP-Brasil, e por força da MP 2200, pode acreditar na identidade do portador do certificado, e dar a ele informações que de outra forma seriam sigilosas.

Outro exemplo está no Banco do Brasil. Atualmente, todos os contratos de financiamento ao comércio exterior firmados pelo banco e importadores são assinados utilizando-se certificados digitais. Os importadores não precisam mais comparecer ao banco, e ninguém precisa ficar armazenando contratos em papel.

Para se obter um certificado digital da ICP-Raiz, deve-se procurar uma das Autoridades Certificadoras habilitadas.

À medida que mais e mais pessoas passem a conhecer a tecnologia de certificados digitais, sua utilização de se tornar mais corriqueira.

É possível que, num futuro breve, muitas das transações que fazemos assinando um contrato no papel passem a ser feitas utilizando-se certificados e assinaturas digitais.

Por Yan Lucas Yamada, webmaster do site Guia do Notebook.