A ASSINATURA DIGITAL & A CERTIFICAÇÃO
A assinatura digital, uma modalidade de assinatura eletrônica, resulta de uma operação matemática utilizadora de algoritmos de criptografia assimétrica. A assinatura digital permite aferir, com segurança, a origem e a integridade do documento.
A assinatura digital fica vinculada ao documento eletrônico "subscrito". A menor alteração nesse documento torna a assinatura inválida. A técnica permite não só verificar a autoria do documento como, também, estabelece uma "imutabilidade lógica" de seu conteúdo: qualquer alteração do documento – como, por exemplo, a inserção de mais um espaço entre duas palavras – invalida a assinatura.
A assinatura digital da assinatura distingue-se da assinatura digitalizada. A assinatura digitalizada é a reprodução da assinatura autógrafa como imagem por um equipamento tipo "scanner". Ela não garante a autoria e integridade do documento eletrônico, pois não existe uma associação inequívoca entre o subscritor e o texto digitalizado. Ela pode ser facilmente copiada e inserida em outro documento.
As vantagens da assinatura digital são: a) ser única para cada documento; b) comprovar a autoria do documento eletrônico; c) possibilitar a verificação da integridade do documento, ou seja, no caso de qualquer alteração, o destinatário terá como percebê-la; d) assegurar ao destinatário o "não repúdio" do documento eletrônico, pois, a princípio, o emitente é a única pessoa com acesso à chave privada geradora da assinatura.
A assinatura digital não torna o documento eletrônico sigiloso, pois ele em si não é cifrado. O sigilo do documento eletrônico poderá ser resguardado mediante a cifragem da mensagem com a chave pública do destinatário, pois somente com o emprego de sua chave privada o documento poderá ser decifrado. Já a integridade e a comprovação da autoria são implementadas por meio da assinatura digital.
O certificado digital é um documento eletrônico assinado digitalmente por uma autoridade certificadora (AC). O certificado digital contém diversos dados sobre o emissor e o seu titular. A função precípua do certificado digital é a de vincular uma pessoa ou uma entidade a uma chave pública.
A "Infra-Estrutura de Chaves Públicas Brasileira (ICP-Brasil)", atualmente regulamentada pela Medida Provisória nº 2.200-2, de 24.ago.2001, originária da MP nº 2.200, de 28.jun.2001, foi criada para garantir a autenticidade, a integridade e a validade jurídica de documentos em forma eletrônica, das aplicações de suporte e das aplicações habilitadas que utilizem certificados digitais, bem como a realização de transações eletrônicas seguras.
A ICP-Brasil é composta por uma cadeia de autoridades certificadoras, formada por uma autoridade certificadora-raiz (AC-Raiz), autoridades certificadoras (AC) e autoridades de registro (AR) e, ainda, por uma autoridade gestora de políticas (Comitê Gestor).
O Instituto Nacional de Tecnologia da Informação (ITI), autarquia federal vinculada à Casa Civil da Presidência da República, é a "AC-Raiz" da ICP-Brasil.
O ITI, na qualidade de "AC Raiz", é a primeira autoridade da cadeia de certificação, executora das políticas de certificados e das normas técnicas e operacionais aprovadas pelo Comitê Gestor da ICP-Brasil. O ITI tem por competências emitir, expedir, distribuir, revogar e gerenciar os certificados para as AC; gerenciar a lista de certificados emitidos, revogados e vencidos; executar atividades de fiscalização e auditoria das AC, das AR e dos prestadores de serviço habilitados na ICP-Brasil.
Compete, ainda, ao ITI estimular e articular projetos de pesquisa científica e de desenvolvimento tecnológico voltados à ampliação da cidadania digital. Nesse vetor, o ITI tem como sua principal linha de ação a popularização da certificação digital e a inclusão digital, atuando sobre questões como sistemas criptográficos, "software" livre, "hardware" compatíveis com padrões abertos e universais, convergência digital de mídias.
Previstas no artigo 6º da MP 2.200-2, às AC, "entidades credenciadas a emitir certificados digitais vinculando pares de chaves criptográficas ao respectivo titular, compete emitir, expedir, distribuir, revogar e gerenciar os certificados, bem como colocar à disposição dos usuários listas de certificados revogados e outras informações pertinentes e manter registro de suas operações. O par de chaves criptográficas será gerado sempre pelo próprio titular e sua chave privada de assinatura será de seu exclusivo controle, uso e conhecimento."
Previstas no artigo 7º da MP 2.200-2, às AR, "entidades operacionalmente vinculadas a determinada AC, compete identificar e cadastrar usuários na presença destes, encaminhar solicitações de certificados às AC e manter registros de suas operações."
"As declarações constantes dos documentos em forma eletrônica produzidos com a utilização de processo de certificação disponibilizado pela ICP-Brasil presumem-se verdadeiras em relação aos signatários", conforme dispõe o parágrafo 1o. do artigo 10 da MP 2.200-2. Assim, os documentos eletrônicos assinados digitalmente com o uso de certificados emitidos no âmbito da ICP-Brasil têm a mesma validade jurídica dos documentos escritos com assinaturas autógrafas. Os documentos eletrônicos assinados digitalmente por meio de certificados emitidos fora do âmbito da ICP-Brasil também têm validade jurídica, mas tal validade dependerá da aceitação de ambas as partes (emitente e destinatário), conforme determina o parágrafo 2º do mesmo artigo 10.
As AC credenciadas na ICP-Brasil têm a obrigação de manter uma lista de todos os certificados revogados por uma prazo mínimo de 30 anos, a contar da expiração desses certificados, garantindo a conferência da assinatura eletrônica mesmo após a prescrição dos direitos.
Criptografia é um ramo das ciências exatas com o objetivo de escrever em cifras. Isso ocorre em função de um conjunto de operações matemáticas transformador de um texto claro em um texto cifrado. O emissor do documento envia o texto cifrado, a ser reprocessado pelo receptor, transformando-o, novamente, em texto claro, igual ao emitido.
Para adquirir um certificado digital (a "carteira de identidade" no mundo virtual), o interessado deve dirigir-se a uma AR e identificar-se mediante a apresentação de documentos pessoais (dentre outros: cédula de identidade ou passaporte, se estrangeiro; CPF; título de eleitor; comprovante de residência e PIS/PASEP, se for o caso). A emissão de certificado para pessoa jurídica requer a apresentação de documentos específicos.
As principais informações constantes de um certificado digital são: chave pública do titular; nome e endereço de "e-mail"; período de validade do certificado; nome da AC emissora do certificado; número de série do certificado digital; assinatura digital da AC.
"Smart card" e "token", "hardwares" portáteis, funcionam como mídias armazenadoras. Em seus "chips" são armazenadas as chaves privadas dos usuários. O acesso às informações neles contidas é feito por meio de uma senha pessoal, determinada pelo titular.
O "smart card" assemelha-se a um cartão magnético, sendo necessário um aparelho leitor para seu funcionamento. Já o "token" assemelha-se a uma pequena chave e requer a utilização de uma porta USB, localizada, geralmente, na CPU do computador.
São aplicações da assinatura digital: comércio eletrônico; processos judiciais e administrativos em meio eletrônico;- facilitar a iniciativa popular na apresentação de projetos de lei (os cidadãos poderão assinar digitalmente sua adesão às propostas); assinatura da declaração de renda e outros serviços prestados pela Secretaria da Receita Federal; obtenção e envio de documentos cartorários; transações seguras entre instituições financeiras, como já vem ocorrendo desde abril de 2002, com a implantação do Sistema de Pagamentos Brasileiro (SPB); Diário Oficial Eletrônico; identificação de sítios na rede mundial de computadores (para ter-se a certeza do acesso ao endereço realmente desejado).
Na utilização da certificação digital, é necessária a adoção de alguns cuidados para evitar-se a possibilidade de outra pessoa vir a praticar negócios jurídicos, acessar páginas na Internet e realizar transações bancárias em nome do titular do certificado.
24.set.2003
O governo de Portugal criou, por meio do Decreto-Lei nº 116-A/2006, o ´Sistema de Certificação Electrônica do Estado (SCEE)´, uma hierarquia de segurança destinada a garantir a segurança eletrônica do Estado e a autenticação digital forte das transações entre os vários serviços e organismos da Administração Pública e entre o Estado e os cidadãos e as empresas (´Correio da Manhã´, Lisboa, 18 jun. 2006, p. 45).