Como identificar uma pessoa? Em uma assinatura simples, o objetivo é identificar alguém dizendo “Acredito que foi essa pessoa.” Já uma assinatura avançada, seria algo como “Tenho fortes evidências de que foi essa pessoa.” Por fim, a assinatura qualificada diz “A identidade foi comprovada por um certificado digital emitido dentro da ICP-Brasil, com a maior presunção jurídica de autenticidade prevista na legislação brasileira.” Entenda melhor esses conceitos no texto a seguir.
O que é um certificado digital?
Certificado digital é um documento eletrônico que funciona como uma identidade virtual. Serve para autenticar pessoas, empresas, sistemas ou até mesmo sites na internet – como nos certificados SSL/TLS que garantem conexões seguras em páginas web, em certificados usados para proteger e-mails corporativos, ou em dispositivos e aplicações que precisam trocar informações de forma confiável. em outras palavras, é usado para realizar transações online de forma segura, garantindo que “quem está do outro lado” é realmente quem diz ser.
No caso de pessoas físicas ou empresas, ele é emitido por uma Autoridade Certificadora (AC), que garante a autenticidade das informações. Ele contém dados como nome, CPF ou CNPJ, e uma chave criptográfica única.
O que é uma chave criptográfica?
Criptografia é uma técnica que transforma informações em códigos matemáticos, tornando os dados ilegíveis para quem não possui autorização. Na criptografia simétrica, existe uma única chave que abre e fecha a fechadura – como a porta de casa. Na criptografia assimétrica, existem duas chaves diferentes: uma serve para trancar (chave pública) e outra, exclusiva, serve para destrancar (chave privada). Por isso ela recebe o nome de criptografia assimétrica.
Para entender o que são chaves pública e privada, imagine que um remetente quer mandar uma mensagem secreta para um destinatário. O destinatário possui uma caixa com uma fechadura especial, projetada para funcionar com duas chaves diferentes: uma chave que só fecha a caixa e outra que só abre. A chave que só fecha pode ser distribuída para qualquer pessoa, por isso é conhecida como chave pública; já a chave que abre a caixa somente o destinatário possui, sendo chamada de chave privada. Dessa forma, o fluxo é o seguinte:
- O destinatário disponibiliza sua chave pública para o remetente.
- O remetente escreve o texto normalmente.
- O remetente usa a chave pública do destinatário para transformar o texto em um código indecifrável (texto cifrado).
- O texto cifrado é enviado pela internet, que é considerada um canal inseguro, pois pode ser interceptado (mesmo que alguém intercepte, não conseguirá entender a mensagem).
- Ao receber, o destinatário usa sua chave privada (que só ele possui) para decifrar o texto e recuperar a mensagem original (a chave privada nunca é compartilhada, garantindo exclusividade e segurança).
O contrário (usar a chave privada para cifrar e a pública para decifrar) também existe, sendo aplicado em assinaturas digitais. Nesse caso, o objetivo não é esconder o conteúdo, e sim provar quem o criou.
O que é uma assinatura digital?
A assinatura digital é o ato de usar o certificado digital para assinar documentos eletrônicos. Ela utiliza técnicas de criptografia para garantir:
- Autenticidade: confirma quem assinou.
- Integridade: assegura que o documento não foi alterado após a assinatura.
- Não repúdio: impede que o autor negue que assinou.
Diferente de uma assinatura escaneada ou digitada, a assinatura digital tem validade jurídica e é aceita em contratos, processos judiciais e transações financeiras. Veja seu fluxo de uso:
Como gerenciar o uso das chaves pública e privada em larga escala?
A criptografia de chave pública e privada é o fundamento técnico. A Infraestrutura de Chaves Públicas (ICP, ou PKI do inglês Public Key Infrastructure) é o conjunto de tecnologias, políticas e entidades que tornam possível o uso seguro das chaves pública e privada em larga escala. Ela garante que as chaves e os certificados digitais sejam autênticos, confiáveis e verificáveis. Sem ela, qualquer pessoa poderia criar um par de chaves e alegar ser outra — não haveria confiança.
Considere a situação de uma pessoa que precisa de um certificado digital (solicitante):
- A pessoa procura uma Autoridade de Registro (AR) para iniciar o processo.
- A AR faz a verificação da identidade do solicitante (documentos, presença física, biometria).
- Depois dessa validação, o pedido segue para a Autoridade Certificadora (AC).
- A AC emite o certificado digital, vinculando a chave pública ao titular validado pela AR.
A AC funciona como um “cartório digital”, garantindo que o certificado seja legítimo. Em alguns casos, a AC que emite o certificado está subordinada a uma AC de nível superior. O topo da cadeia é a Autoridade Certificadora Raiz (AC Raiz). Ela supervisiona todas as ACs/ARs subordinadas e garante que sigam as normas da ICP. Sua chave pública é amplamente reconhecida e serve como ponto inicial de confiança. Além disso, a AC Raiz também está encarregada de emitir a Lista de Certificados Revogados (LCR): um arquivo, publicado periodicamente que relaciona os certificados digitais revogados antes do término de sua validade, permitindo verificar se um certificado ainda pode ser considerado confiável.
No Brasil
A Infra-Estrutura de Chaves Públicas Brasileira (ICP-Brasil), definida pela Medida Provisória Nº 2.200-2 de 24 de Agosto de 2001, é um conjunto de entidades governamentais ou de iniciativa privada, padrões técnicos e regulamentos, elaborados para suportar um sistema criptográfico com base em certificados digitais e visa assegurar as transações entre titulares de certificados digitais e detentores de chaves públicas. A ICP–Brasil é formada por uma AC RAIZ que é representada pelo Instituto Nacional de Tecnologia da Informação (ITI), sendo este órgão responsável pela autenticação das demais Autoridades Certificadoras, além de executar atividades de fiscalização e auditoria das ACs e ARs para que possa certificar-se de que a entidade está seguindo todas as Políticas de Certificação.
Existem outros entes da cadeia hierárquica ICP-Brasil além das ACs e ARs, que formam os Prestador de Serviço de Certificação (PSCert):
- Autoridade Certificadora do Tempo (ACT) tem a responsabilidade geral pelo fornecimento do Carimbo do Tempo, que é o conjunto de atributos fornecidos pela parte confiável do tempo que, associado a uma assinatura digital, confere prova da sua existência em determinado período de tempo.
- Prestador de Serviço de Suporte (PSS) desempenha atividades descritas nas Políticas de Certificado (PC) e na Declaração de Práticas de Certificação (DPC) da AC a que estiver vinculado, ou nas Políticas de Carimbo do Tempo (PCT) e na Declaração de Práticas de Carimbo do Tempo (DPCT) da ACT a que estiver vinculado, ou ainda nas atividades de PSBio, classificando-se, conforme o tipo de atividade prestada, em três categorias: disponibilização de infraestrutura física e lógica; disponibilização de recursos humanos especializados; ou disponibilização de infraestrutura física e lógica e de recursos humanos especializados.
- Prestador de Serviço Biométrico (PSBio) é uma entidade com capacidade técnica para realizar a identificação biométrica de uma pessoa natural, tornando seu registro/requerente único em um ou mais bancos/sistemas de dados biométricos para toda ICP-Brasil. Garante a verificação biométrica do requerente de um certificado digital e a comparação de sua biometria, que possua característica perene e unívoca, conforme os padrões internacionais de uso.
Assim, o certificado digital da ICP-Brasil, além de personificar o cidadão, assim como empresas, tempo e equipamentos, na rede mundial de computadores, garante, por força da legislação atual, validade jurídica aos atos praticados com seu uso. A certificação digital é uma ferramenta que permite que aplicações, como comércio eletrônico, assinatura de contratos, operações bancárias, pix, iniciativas de governo eletrônico, entre outras, sejam realizadas. São transações feitas de forma virtual, ou seja, sem a presença física do interessado, mas que demandam identificação inequívoca da pessoa que a está realizando pela Internet. Veja mais na página da ICP-Brasil no site do ITI.
Assinatura Gov.br
A assinatura com certificado digital (também conhecida como qualificada) comprova a autoria por meio de um certificado digital da ICP-Brasil, baseado em criptografia assimétrica e emitido por uma Autoridade Certificadora credenciada. Já a assinatura Gov.br (chamada de avançada avançada) é baseada na validação da identidade do usuário por meio da conta Gov.br, utilizando mecanismos de autenticação e verificação definidos pelo governo federal. Essa modalidade possui validade jurídica para diversas situações previstas na Lei nº 14.063/2020, especialmente em serviços públicos.
Na prática, o ITI desenvolve e mantém a infraestrutura tecnológica que permite ao cidadão assinar documentos utilizando sua conta Gov.br, garantindo a autenticidade e a integridade das assinaturas avançadas. O Ministério da Gestão e da Inovação em Serviços Públicos (MGI) é o órgão responsável por administrar a plataforma Gov.br e pela política de identidade digital do cidadão (conta Gov.br).
