DOC-ICP: Fundamentos

Este bloco estabelece a base conceitual e principiológica sobre a qual toda a ICP-Brasil se ergue. O DOC-ICP-15 fornece o vocabulário comum com as definições oficiais dos atores e termos do ecossistema. A partir dele, o DOC-ICP-02 institui a Política de Segurança, definindo os princípios e requisitos gerais de proteção que todas as entidades devem observar. Por fim, o DOC-ICP-04 traduz esses princípios em requisitos mínimos para a criação das Políticas de Certificado, funcionando como um molde para que cada Autoridade Certificadora declare, de forma padronizada, o nível de confiança e a finalidade de cada tipo de certificado que emite.

DOC-ICP 15 – Visão Geral Sobre Assinaturas Digitais na ICP-Brasil

Assinatura Digital ICP-Brasil é a assinatura eletrônica que:

• está associada inequivocamente a um par de chaves criptográficas que permita identificar o signatário;
• é produzida por dispositivo seguro de criação de assinatura;
• está vinculada ao documento eletrônico a que diz respeito, de tal modo que qualquer alteração subsequente neste seja plenamente detectável; e
• está baseada em um certificado ICP-Brasil, válido à época da sua aposição.

O ciclo de vida de uma assinatura digital compreende os seguintes processos:

1. Criação: processo pelo qual um signatário/assinante (entidade que cria a assinatura digital) gera um código logicamente associado a um conteúdo digital e à sua chave criptográfica privada. Nesta etapa, os Prestadores de Serviços de Confiança (PSC, entidades que ajudam a construir uma relação de confiança entre o assinante e o verificador) apoiam o signatário por meio de serviços de suporte, como a emissão de certificados digitais e carimbos do tempo.
2. Verificação: processo pelo qual um verificador (entidade que valida a assinatura digital) confere a validade de uma ou mais assinaturas digitais logicamente associadas a um conteúdo digital. Nesta etapa, os PSC também oferecem suporte ao verificador, fornecendo serviços como a emissão de Listas de Certificados Revogados (LCR) ou respostas de Online Certificate Status Protocol (OCSP) para consulta da situação do certificado do signatário.
3. Armazenamento: processo de conversão dos dados para mídias mais atuais, sempre que necessário, a fim de garantir a preservação e a acessibilidade do documento assinado ao longo do tempo.
4. Revalidação: processo que estende a validade do documento assinado, por meio da reassinatura dos documentos ou da aposição de carimbos do tempo, quando da expiração ou revogação dos certificados utilizados para gerar ou revalidar as assinaturas, ou ainda quando do enfraquecimento dos algoritmos criptográficos ou tamanhos de chave utilizados. Em caso de disputa sobre a validade da assinatura digital ao longo desse ciclo, um mediador/árbitro (pessoa ou entidade que pode ser chamada para arbitrar a disputa entre o signatário e o verificador) poderá ser acionado para dirimir a controvérsia.

Para se compreender uma assinatura digital, é preciso entender o que é a função de resumo criptográfico (ou função hash): transformação matemática que faz o mapeamento de uma sequência de bits de tamanho arbitrário para uma sequência de bits de tamanho fixo. Pense nela como uma espécie de “moedor digital”: você insere um documento de qualquer tamanho (pode ser uma frase, um contrato de centenas de páginas ou até um filme) e a função o transforma em um código de tamanho fixo, chamado de resumo criptográfico (ou hash) . Esse código tem duas propriedades fundamentais. A primeira é que o processo é de mão única: assim como não se reconstitui um bife a partir de carne moída, é matematicamente inviável recuperar o documento original a partir do hash. A segunda é a resistência à colisão: é extremamente difícil encontrar dois documentos diferentes que produzam o mesmo hash, o que garante que cada conteúdo digital tenha uma “impressão digital” única.

Outro conceito importante é o de função de criptografia assimétrica: método que utiliza um par de chaves matematicamente relacionadas (uma chave pública, que pode ser divulgada livremente, e uma chave privada, que deve ser mantida em segredo absoluto pelo seu dono) de modo que aquilo que uma chave cifra, somente a outra consegue decifrar. Pense em um cofre com duas fechaduras e duas chaves diferentes: com a chave pública, qualquer pessoa pode trancar o cofre (cifrar uma mensagem) usando essa chave, pois ela só serve para fechar; com a chave privada, apenas o dono legítimo consegue abrir o que foi trancado com a chave pública correspondente.

Assim, de forma simplificada, o processo criptográfico de criação de uma assinatura digital apresenta os seguintes passos:

1. O signatário gera um resumo criptográfico de um documento eletrônico;
2. O signatário cifra o resumo criptográfico com sua chave privada, associada a uma chave pública constante do seu certificado digital, gerando a assinatura digital;
3. O documento eletrônico e a assinatura digital ficam associados para futura validação.

Já o processo criptográfico de verificação de uma assinatura digital fica assim:

1. O documento eletrônico e a assinatura digital associada são disponibilizados para o verificador, junto ao certificado digital do signatário;
2. O verificador calcula novamente o resumo criptográfico do documento eletrônico;
3. O verificador decifra a assinatura digital com a chave pública do signatário, contida no certificado digital, obtendo o resumo criptográfico gerado e cifrado pelo signatário no momento da assinatura;
4. O verificador compara os resumos criptográficos obtidos nos passos 2 e 3. Se forem iguais, significa que o documento eletrônico esta íntegro e que é possível identificar o signatário por meio do certificado digital; caso contrário, a assinatura digital é inválida.

Dentre os padrões de assinatura existentes na DOC-ICP-15, todos pegam um formato básico de assinatura digital e o turbinam com camadas de validade jurídica de longo prazo. A diferença central está no tipo de conteúdo que está sendo assinado:

• CMS (Cryptographic Message Syntax): formato binário para assinar arquivos genéricos (executável, e-mail, fatura, etc);
• XMLDSig (XML Digital Signature): assinatura é inserida dentro do próprio código XML (Extensible Markup Language) do documento (NF-e, CT-e, processos judiciais, etc);
• PDF (Portable Document Format): o formato PDF já possui um campo nativo para assinatura digital, que funciona como um “adesivo” colado na folha de documentos visuais para leitura humana (contratos, petições, laudos, etc).

Imagine que a assinatura digital bruta é um “carimbo” matemático. O CMS, o XMLDSig e o PDF são os diferentes “papéis” onde esse carimbo é aposto. As siglas terminadas em “AdES” (Advanced Electronic Signature) representam um “kit de sobrevivência jurídica” adicionado a esse carimbo para que ele continue válido por anos, mesmo depois que a “tinta do carimbo” (o certificado digital) vencer: CMS → CAdES, XMLDSig → XAdES, PDF → PAdES. Essas “camadas adicionadas inserem evidências como o carimbo do tempo (para provar que o certificado era válido na hora da assinatura), certificados da cadeia de confiança e as Listas de Certificados Revogados (LCR) ou respostas OCSP (para provar que o certificado não estava revogado).

Cada padrão de assinatura gera um arquivo com uma extensão específica: p7s (PKCS #7 Signature para CMS), XML e PDF (incorporados ao arquivo). Esses padrões trazem uma abundância de opções, cujos principais atributos e propriedades a serem utilizados nas assinaturas são sintetizados na ICP-Brasil através dos perfis de assinatura digital na DOC-ICP-15.02. Além disso, uma assinatura digital é criada pelo signatário e verificada de acordo com uma política de assinatura, o que é destrinchado na DOC-ICP-15.03.

Mesmo que o titular seja honesto e a chave privada nunca tenha sido comprometida, o certificado digital tem um prazo de validade por uma combinação de segurança criptográfica e realidade administrativa. O certificado digital expira programadamente para forçar uma renovação cíclica que mitiga proativamente três riscos: a obsolescência tecnológica dos algoritmos, a desatualização dos dados cadastrais e biométricos do titular, e a potencial exposição indefinida de uma chave privada comprometida sem o conhecimento do titular.

Outro apontamento feito na documentação diz respeito a “documentos assinados originais”, que são aqueles contendo as assinaturas manuscritas. No cenário digital, porém, em conteúdos assinados digitalmente não é relevante o conceito de original e cópia, pois são funcionalmente equivalentes. O original e a cópia são idênticos, ou seja, podem ser validados da mesma maneira.

DOC-ICP 02 – Política de segurança da ICP-Brasil

A Política de Segurança (PS) da ICP-Brasil estabelece as diretrizes e requisitos mínimos de segurança que devem ser observados por todas as entidades integrantes da cadeia de certificação digital brasileira, incluindo a Autoridade Certificadora Raiz, as Autoridades Certificadoras, as Autoridades de Registro e as entidades de prestação de serviços de suporte. O documento tem os seguintes objetivos específicos:

• definir o escopo da segurança das entidades;
• orientar, por meio de suas diretrizes, todas as ações de segurança das entidades, para reduzir riscos e garantir a integridade, sigilo e disponibilidade das informações dos sistemas de informação e recursos;
• permitir a adoção de soluções de segurança integradas; e
• servir de referência para auditoria, apuração e avaliação de responsabilidades.

O capítulo 7 trata dos requisitos de segurança de pessoal aplicáveis a empregados, servidores e prestadores de serviço das entidades da ICP-Brasil, com o objetivo de reduzir riscos humanos como fraude e uso indevido de ativos. Suas diretrizes cobrem todo o ciclo de vida funcional, desde um processo de admissão rigoroso — que inclui verificação de antecedentes, proibição de estagiários em atividades críticas e assinatura de termo de sigilo —, passando pela definição clara de atribuições, concessão de credencial de segurança com validade anual, treinamento obrigatório em segurança da informação e acompanhamento contínuo de desempenho e conduta pelas chefias. O texto também detalha os procedimentos de desligamento, que envolvem a revogação imediata de acessos e credenciais, a realização de entrevista para reforçar o dever de sigilo permanente e a assinatura de declaração de inexistência de pendências. Por fim, estabelece de forma minuciosa os deveres de todos os envolvidos na preservação do sigilo e integridade das informações, as responsabilidades específicas das chefias e da gerência de segurança — incluindo a manutenção de logs por no mínimo sete anos — e a previsão de sanções legais para o descumprimento das normas.

O capítulo seguinte trata da segurança do ambiente físico das entidades, estabelecendo as diretrizes para a proteção de instalações, equipamentos e ativos permanentes contra acessos não autorizados, danos ou interferências. As responsabilidades pela segurança física devem ser formalmente atribuídas a indivíduos identificados na organização, e a localização exata das instalações e sistemas de certificação não pode ser publicamente divulgada. O texto exige a instalação de sistemas de controle e auditoria de acesso físico, com controle duplicado sobre inventários de cartões e chaves, mantendo-se uma lista atualizada dos portadores e exigindo comunicação imediata em caso de perda. As áreas críticas devem ser protegidas por um perímetro de segurança definido, com barreiras e controle de acesso proporcional aos riscos, além de sistemas de detecção de intrusão, alarmes em áreas não ocupadas e monitoramento em tempo real por circuito fechado de televisão (CFTV), com registro de imagens. A entrada e saída dessas áreas devem ser automaticamente registradas com data e hora e revisadas diariamente pelo responsável pela gerência de segurança. O documento também determina que todos nas instalações usem identificação visível, que visitantes sejam supervisionados e tenham seus acessos restritos e registrados, que equipamentos de gravação ou fotografia só sejam usados com autorização formal, e que ativos de processamento tenham seu inventário atualizado no mínimo mensalmente, além de proteger os sistemas de certificação contra fontes de magnetismo ou interferência de rádio frequência.

O capítulo seguinte estabelece as diretrizes para a segurança do ambiente lógico das entidades, abrangendo todo o conjunto de ativos de informação, sistemas, redes e controles de acesso. O texto determina que a informação deve ser protegida conforme seu valor, sensibilidade e criticidade, exigindo um sistema formal de classificação, e que todas as violações de segurança sejam registradas em logs, analisadas periodicamente e armazenadas conforme sua classificação, com tempo de retenção definido. Para os sistemas, exige-se que a segurança seja considerada em todo o ciclo de vida, com documentação atualizada, testes de vulnerabilidade antes da entrada em produção e avaliações periódicas do ambiente. As máquinas servidoras devem ter acesso lógico controlado e registrado, sistemas operacionais e softwares mantidos atualizados conforme recomendações dos fabricantes, uso exclusivo de programas autorizados, sincronização de relógios para rastreamento de eventos e procedimentos documentados e testados de backup e recuperação. No âmbito das redes, o documento impõe uma extensa lista de controles: proteção do tráfego contra interceptação, segregação de ambientes críticos, uso obrigatório de firewalls, monitoramento e detecção de intrusos, isolamento dos sistemas de certificação, criptografia nas comunicações entre entidades, proteção das chaves privadas das ACs e documentação formal de toda alteração topológica. O controle de acesso lógico baseado em senhas deve seguir o princípio do menor privilégio, com senhas individuais, secretas e intransferíveis, protegidas por mecanismos que impeçam escolhas fracas, exijam troca periódica, bloqueiem contas por inatividade ou tentativas malsucedidas e registrem todas as atividades em logs. Por fim, o capítulo aborda a computação pessoal, exigindo proteção de estações de trabalho e equipamentos portáteis, medidas de combate a vírus, supervisão na impressão de documentos sigilosos, inventário atualizado de recursos e procedimentos formais para eliminação segura de mídias.

O próximo capítulo define os requisitos de segurança dos recursos criptográficos, compreendido como o conjunto integrado de documentação normativa, requisitos, projetos, métodos de implementação, módulos de hardware e software, algoritmos e procedimentos de gerência de chaves, bem como testes de robustez e detecção de violações. Toda a documentação relativa à definição e especificação dos componentes criptográficos deve ser aprovada pela AC Raiz, a quem compete também acompanhar a evolução tecnológica e atualizar padrões e algoritmos para manter a segurança da infraestrutura. O texto determina que qualquer parâmetro crítico cuja exposição comprometa a segurança seja armazenado cifrado, e que os aspectos relevantes da criptografia na ICP-Brasil sejam detalhados em documentos específicos aprovados pela AC Raiz. Quanto às chaves criptográficas, os processos que as envolvem devem ser executados por um número mínimo e essencial de pessoas formalmente designadas, com responsabilidades explicitamente definidas e submetidas a mecanismos de controle aprovados pelo Comitê Gestor, que também aprova os algoritmos de criação e troca de chaves. Por fim, o capítulo trata do transporte de informações sensíveis, exigindo que a integridade e o sigilo das chaves criptográficas e demais parâmetros sejam assegurados por soluções criptográficas específicas, determinando a adoção de redes privadas virtuais (VPN) baseadas em criptografia para a troca de informações por redes públicas entre entidades de uma mesma organização.

O gerenciamento de riscos (capítulo 12) é definido como o processo que visa a proteção dos serviços das entidades integrantes da ICP-Brasil, por meio da eliminação, redução ou transferência dos riscos, conforme seja economicamente e estrategicamente mais viável. Ele será tratado no post sobre Gerenciamento de Riscos da ICP-Brasil (EM BREVE).

DOC-ICP-04 – Requisitos mínimos para as políticas de certificado na ICP-Brasil

A Política de Certificado (PC) é um documento normativo que cada Autoridade Certificadora (AC) integrante da ICP-Brasil deve elaborar e publicar, seguindo os requisitos mínimos estabelecidos pela AC Raiz. Nesse documento, a AC declara formalmente:

• Quais tipos de certificado emite (por exemplo, A1, A3, S1, S3, T3 etc.);
• Qual o nível de segurança associado a cada tipo (o que determina, por exemplo, se a chave privada será gerada e armazenada em software ou em hardware criptográfico);
• Quais são os procedimentos de identificação do solicitante (presencial, por videoconferência, etc.);
• Quais os usos permitidos para cada tipo de certificado (assinatura de documentos, sigilo de mensagens, acesso a sistemas etc.);
• Qual o prazo de validade dos certificados emitidos;
• Quais os mecanismos de revogação e os procedimentos em caso de comprometimento da chave.

Toda PC precisa ter um nome formal que a identifique de maneira única e inequívoca. Esse nome deve indicar, no mínimo, o tipo de certificado, a finalidade e o nome da AC. Essa identificação também é gravada dentro do próprio certificado digital emitido e escrita na forma de OID (Object Identifier): um número único e universal, estruturado em uma hierarquia global padronizada pela norma ISO/IEC, que serve como um “RG” de objetos digitais dentro de sistemas de informação. Os OIDs da ICP-Brasil começam sempre com a raiz 2.16.76.1.2, que é o ramo reservado para o Brasil dentro da árvore global de OIDs: “2.16.76” Brasil, “1” ICP-Brasil e “2” Políticas de Certificado; depois é um número para o tipo de certificado e outro para a AC. Mais informações na DOC-ICP-04.01.

Quanto ao nome do tipo de certificado, a numeração (1, 2, 3, 4) indica o nível de segurança do certificado. Os níveis 1 e 2 permitem geração e armazenamento da chave privada em software (já descontinuados), enquanto os níveis 3 e 4 exigem hardware criptográfico (como tokens USB ou smart cards), oferecendo maior proteção contra cópia ou uso indevido da chave. Dentre os tipos de certificados existentes, estão:

• A1, A2, A3, A4 – Assinatura digital para pessoa física (autenticação, assinatura de documentos com validade jurídica)
• S1, S2, S3, S4 – Sigilo (criptografia de mensagens e dados; descontinuados)
• SE-S e SE-H – Selo Eletrônico (respectivamente em software e em hardware) para pessoas jurídicas (autenticação e integridade)
• AE-S e AE-H – Aplicações Específicas (respectivamente em software e em hardware) e devem ser emitidos pelas ACs para equipamentos, servidores, aplicações e dispositivos IOT
• A CF-e-SAT – Certificado emitido apenas para equipamentos integrantes do Sistema de Autenticação e Transmissão do Cupom Fiscal Eletrônico (SAT-CF-e)
• T3, T4 – Certificados para sigilo e autenticação de sistemas, emitidos para equipamentos das Autoridades de Carimbo do Tempo (ACTs) credenciadas na ICP-Brasil
• OM-BR – Certificado do tipo Objeto Metrológico, emitidos apenas para equipamentos metrológicos regulados pelo Inmetro

É proibido o uso do certificado de aplicações específicas com a finalidade de autenticação de servidor (SSL/TLS) destinado ao reconhecimento confiável pelos navegadores de internet. Os certificados SSL/TLS reconhecidos por navegadores (como Chrome, Firefox, Edge) seguem regras estabelecidas por fóruns internacionais como o CA/Browser Forum, com auditorias baseadas em critérios como os WebTrust Principles for Certification Authorities. O foco é garantir que o certificado pertence a um determinado domínio da internet, e não necessariamente identificar com precisão a entidade jurídica por trás dele.

Ao ler a DOC-ICP-04 a partir do item 1.2, observe que ela funciona como um modelo normativo (um gabarito obrigatório) que estabelece a estrutura e o conteúdo mínimo que toda Autoridade Certificadora (AC) deve seguir ao redigir a sua Declaração de Práticas de Certificação (DPC). É como se a DOC-ICP-04 fosse o “esqueleto” oficial (lista todos os tópicos, seções e exigências que precisam constar no documento final) e a DPC é o documento “preenchido” (a AC pega essa estrutura e a preenche com suas informações específicas, descrevendo detalhadamente como ela implementa cada requisito).

A seção de Introdução pede a identificação formal do documento e delimita o propósito do certificado. Já os itens sobre Responsabilidades de Publicação e Repositório exigem que a AC informe os endereços (URLs) onde publicará seus certificados e Listas de Certificados Revogados (LCR), garantindo a transparência do sistema. No núcleo técnico, as seções 4, 5 e 6 detalham as exigências mais sensíveis: desde a descrição do passo a passo da validação presencial da identidade do solicitante (coleta de biometria, documentos aceitos), passando pelos procedimentos físicos de segurança, até a minúcia da geração do par de chaves, onde a AC deve explicar se o processo é feito em hardware criptográfico certificado e como assegura que a chave privada jamais saiu desse ambiente. O Capítulo 7 especifica como essas informações são traduzidas em linguagem de máquina, exigindo que a AC descreva o “perfil” exato do certificado digital emitido — ou seja, quais campos e extensões serão preenchidos no arquivo do certificado. Quanto ao Anexo I, sim, ele funciona como uma folha de especificações técnicas ou datasheet. É ali que a AC preenche tabelas estruturadas definindo, campo por campo.