Quis custodiet ipsos custodes? Ou, como dizem os ingleses, quem vigia os vigilantes?
A Declaração de Práticas de Certificação Digital - DPC é o principal documento no âmbito da certificação digital.
A Declaração de Práticas de Certificação Digital - DPC é o principal documento no âmbito da certificação digital.
Descreve os processos relacionados ao ciclo de vida dos certificados digitais emitidos por cada Autoridade Certificadora que, obrigatoriamente, deve torná-lo público.
A escolha de confiar em uma Autoridade Certificadora é similar ao que ocorre em transações convencionais, fora do meio eletrônico. Por exemplo, na aquisição de um imóvel o comprador deve obter a documentação do imóvel e de seus proprietários, certidões atualizadas e conferir a validação dos órgãos públicos competentes emissores de cada documento. Existe, aí, uma relação de confiança já estabelecida com esses órgãos e outras instituições acima deles que atestam suas credenciais. É uma cadeia de confiança que é estabelecida para credibilizar as informações fornecidas ao público.
Da mesma forma, existem cadeias de confiança das infraestruturas de chaves públicas: Brasileira e internacionais. Os usuários podem escolher a Autoridade Certificadora à qual desejam confiar à emissão de seus certificados digitais com base dos documentos apresentados e por quem à referencia.
Da mesma forma, existem cadeias de confiança das infraestruturas de chaves públicas: Brasileira e internacionais. Os usuários podem escolher a Autoridade Certificadora à qual desejam confiar à emissão de seus certificados digitais com base dos documentos apresentados e por quem à referencia.
Para a emissão dos certificados, as Autoridades Certificadoras possuem deveres e obrigações que são descritos na Declaração de Práticas de Certificação – DPC.
A DPC dever ser pública, para permitir que as pessoas possam saber como foi emitido o certificado digital.
Entre as atividades de uma Autoridade Certificadora, a mais importante é verificar a identidade da pessoa ou da entidade antes da emissão do certificado digital. O certificado digital emitido deve conter informações confiáveis que permitam a verificação da identidade do seu titular.
Por estes motivos, quanto melhor definidos, abrangentes e detalhados forem os procedimentos adotados por uma Autoridade Certificadora maior sua confiabilidade.
No Brasil, o Comitê Gestor da ICP-Brasil é o órgão governamental que especifica os procedimentos que devem ser adotados pelas Autoridades Certificadoras.
As Autoridades Certificadoras credenciadas são incorporadas à estrutura hierárquica da ICP-Brasil e representam a garantia de atendimento dos critérios estabelecidos em prol da segurança de suas chaves privadas.
Para ser credenciada à ICP-Brasil, a Autoridade Certificadora precisa se submeter às resoluções do Comitê Gestor de Certificação Digital. O cumprimento dos procedimentos é auditado e fiscalizado, envolvendo, por exemplo, exame de documentos, das instalações das Autoridades Certificadoras e respectivas Autoridades de Registro, dos sistemas envolvidos no serviço de certificação, bem como seus funcionários envolvidos no ciclo de vida dos certificados digitais.
Para ser credenciada à ICP-Brasil, a Autoridade Certificadora precisa se submeter às resoluções do Comitê Gestor de Certificação Digital. O cumprimento dos procedimentos é auditado e fiscalizado, envolvendo, por exemplo, exame de documentos, das instalações das Autoridades Certificadoras e respectivas Autoridades de Registro, dos sistemas envolvidos no serviço de certificação, bem como seus funcionários envolvidos no ciclo de vida dos certificados digitais.
A não concordância com as regras acarreta em aplicações de penalidades, que podem levar inclusive ao descredenciamento da Autoridade de Registro e/ou certificadora.
Já a regulamentação internacional para Políticas de Certificação (DPC e PC) é a RFC 3647. Este documento substitui RFC 2527.
Internet X.509 Public Key Infrastructure. Certificate Policy and Certification Practices Framework.
Internet X.509 Public Key Infrastructure. Certificate Policy and Certification Practices Framework.
Este documento apresenta uma estrutura para ajudar os escritores de políticas de certificados ou declarações de práticas de certificação para os participantes dentro de infra-estruturas públicas. Em particular, o quadro fornece uma lista abrangente de tópicos que potencialmente (a critério do escritor) precisa ser coberta com uma política de certificado ou uma declaração de práticas de certificação.
Teoricamente toda Infraestrutura de Chaves Públicas (Hierarquia de Certificação) possui uma Política de Certificação que serve para descrever as práticas e políticas correspondentes ao processo relacionado ao ciclo de vida dos certificados.
Dois links que devem ser consultados sobre informações sobre PKI Internacionais e especialmente sobre Políticas de Certificação Internacionais.
As melhores práticas de segurança nos negócios, entre estes o processo operado por Autoridades Certificados são definidas pela WebTrust que é uma organização criada pela Canadian Institute of Chartered Accountants - CICA e American Institute of Certified Public Accountants - AICPA tem com objetivo fornecer aos consumidores finais a garantia de serviços confiáveis.
À partir dos critérios por ela definidos, existem empresas de auditoria que fazem esta verificação de conformidade como a SAS-70 que é um padrão de auditoria desenvolvido pela American Institute of Certified Public Accountants AICPA e amplamente reconhecido no mercado.
Escrito por Regina Tupinambá
Olá Regina,
ResponderExcluirBem, faço parte da equipe de informática aqui no TCE-RN e estamos estudando a possibilidade de criarmos nossa própria AC, desde já, não credenciada a ICP Brasil, para troca de informações entre o tribunal e os órgãos jurisdicionados. Neste sentido, gostaria de saber se, no seu entendimento, o que é se é necessário além da instalação da AC no servidor, precisamos também elaborar uma DPC e/ou outro tipo de documento, e ainda, se é necessário uma aplicação do carimbo do tempo para tornar nossa AC segura. Sim, e outra coisa: é necessário uma auditoria externa que possa nos dar um laudo técnico e jurídico para dar mais confiabilidade a nossa AC?
Ou eu não precisa disso tudo?
Obribado desde já pela contribuição
André Gustavo
Olá André! Só gostaria de avisar que se essa AC precisar ser validada por outros órgãos como, por exemplo, a CAIXA, é mandatório que seja icp-brasil. Agora se for exclusivo para sua rede interna, aí poderá ser uma AC independente gerida internamente. Entre no site do ITI na parte de legislação que tem uma instrução Normativa que trata dessa obrigatoriedade. Abraços.
Excluir