Certificado digital passa a ter validade de cinco anos e saiu a regulamentação do certificado de atributos pelo CGICP-Brasil

O Instituto Nacional de Tecnologia da Informação (ITI) sediou na última quinta-feira, (5), mais uma reunião do Comitê Gestor da Infraestrutura de Chaves Públicas Brasileira (CGICP-Brasil). 

A entidade não burocrática, composta por representantes do governo e da sociedade civil, é gestora de políticas da ICP-Brasil e está vinculada à Casa Civil da Presidência da República. Dentre as deliberações do encontro, destaque para a alteração do prazo de validade dos certificados digitais das Autoridades Certificadoras (ACs) de 1° e 2º níveis, que passam a ter a mesma validade do certificado da Autoridade Certificadora Raiz (AC-Raiz) e dos certificados tipos A3, T3 e S3, que passam a ter validade de até cinco anos. 

Outro ponto importante deste encontro foi a regulamentação do certificado de atributos pelo CGICP-Brasil. 

O modelo aprovado não cria uma estrutura formada por autoridades de atributo. Antes, os atributos terão validade jurídica quando assinados com um certificado digital da ICP-Brasil de propriedade da entidade que conceda determinado atributo. Na avaliação do diretor de Infraestrutura de Chaves Públicas do ITI, Maurício Coelho, a decisão do Comitê foi acertada ao não trazer novos custos para as entidades que emitem atributos. “A Ordem dos Advogados do Brasil (OAB), por exemplo, não pode estar submissa a uma autoridade de atributo para deliberar se determinado profissional faz ou não parte do seu quadro de advogados. No entanto, em posse de seu certificado digital, ela deverá assinar digitalmente a emissão do atributo vinculado ao certificado digital do interessado, responsabilizando-se pela emissão, data de validade e que efeitos legais enquanto profissional do Direito tal atributo concederá ao seu proprietário. Não será criada uma nova infraestrutura exclusiva para a emissão de certificados de atributos, além de que a medida retira da ICP-Brasil a responsabilidade solidária pelas informações contidas no certificado que não podem ser verificadas ou mesmo controladas por terceiros”. 

Durante a reunião do CGICP-Brasil foram aprovadas propostas de aprimoramento das normas e procedimentos de segurança no momento da emissão de certificados digitais padrão ICP-Brasil, elaboradas por grupo técnico de trabalho do ITI e que ainda necessitam de ajustes por parte dos conselheiros do Comitê. De acordo com a deliberação, durante a convalidação dos dados biográficos do cidadão que solicita seu certificado, o agente de registro deverá solicitar, preferencialmente, a Carteira Nacional de Habilitação (CNH) e verificar os dados mediante consulta às bases dos órgãos responsáveis pela CNH. Caberá ainda às ACs implementar formas sistematizadas de consulta e validação de um ou mais dados biográficos da cédula de identidade apresentada pelo requerente, baseando-se nas normas e regras dos órgãos emissores do documento de identidade. 

Os demais assuntos debatidos durante o encontro foram a revisão do padrão de assinatura digital e a auditoria no ambiente de contingência da AC-Raiz. Participaram do encontro os seguintes membros do CGICP-Brasil que atuam no ITI: secretário Executivo do CGICP-Brasil e presidente , Renato Martini; diretor de Infraestrutura de Chaves Públicas, Maurício Coelho; diretor de Auditoria, Fiscalização e Normalização, Pedro Paulo Lemos Machado; procurador Chefe da Procuradoria Federal Especializada, André Pinto Garcia; chefe de Gabinete e Assessora da Secretaria Executiva CG/ICP-Brasil, Adriana Fetter; assessor do presidente, Eduardo Magalhães Lacerda Filho; assessora técnica do Gabinete, Maria Isabel Santos; coordenador-geral de Auditoria e Fiscalização, Pedro Pinheiro Cardoso; coordenador-geral de Normalização e Pesquisa, Wilson Roberto Hirata e assessor da diretoria de Infraestrutura de Chaves Públicas, Ruy César Ramos. 

Participaram ainda os membros titulares e suplentes do CG/ICP-Brasil de outros órgãos do governos e membros da sociedade civil: Paulo Machado (Titular do Ministério da Justiça), Raphael Mandarino Junior (Titular do GSI/PR – Gabinete de Segurança Institucional), Manuel Dantas Matos (Titular da CAMARA e-NET), Francimara Teixeira Garcia Viotti (Titular da FEBRABAN – Federação Brasileira de Bancos), Ricardo Felipe Custódio (Titular da Sociedade Brasileira de Computação – SBC), Natan Schiper ( Titular da CNC- Confederação Nacional do Comércio de Bens, Serviços e Turismo), Cláudia Maria de Andrade (Suplente do Ministério da Fazenda – MF), Jacob Batista de Castro Júnior (Suplente do Ministério do Planejamento, Orçamento e Gestão – MPOG), Marcelo André Barros (Suplente do Ministério da Ciência e Tecnologia), Fernando Fonseca Júnior (Representante por procuração do Ministério do Desenvolvimento, Indústria e Comércio Exterior). 

Fonte: ITI

11 de julho de 2012

ITI e ACs discutem propostas para o aprimoramento da emissão de certificados digitais

Representantes do Instituto Nacional de Tecnologia da Informação (ITI) e das Autoridades Certificadoras (ACs) estiveram reunidos em Brasília-DF nesta última terça-feira (06), para acompanhar a apresentação de propostas de aprimoramento das normas e procedimentos de segurança na emissão de certificados digitais padrão ICP-Brasil elaboradas por grupo técnico de trabalho do ITI.

Renato Martini

Segundo o diretor-presidente do ITI, Renato Martini, a motivação em propor este aprimoramento é otimizar os procedimentos operacionais nos pontos de atendimento – Autoridades de Registro - que realizam a emissão de certificados digitais ICP-Brasil. 

Dentre as propostas apresentadas pelo ITI estão a coleta e inclusão de dados biométricos, o treinamento continuado para os agentes de registro, a cooperação com o sistema bancário e a regulamentação de certificados de atributo.

"O ITI pretende conhecer e analisar todas as considerações das ACs e submetê-las ao comitê gestor da ICP-Brasil. 

Entendemos ser importante promover um debate onde as ACs sejam protagonistas em todas as questões, trazendo suas experiências e colaborando cada vez mais com o cenário futuro do sistema nacional de certificação digital", ratificou Martini.

Fonte: ARPEN-SP
Data Publicação : 10/09/2011

ITI faz Balanço de 2010

Título original: Certificação digital chega a maturidade em 2010

Essa foi a palavra que o presidente do Instituto Nacional de Tecnologia da Informação, Renato Martini, utilizou para definir o atual estágio da Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.

As atuais aplicações em programas nacionais consolidaram o modelo hierárquico adequadamente adotado pelo Brasil. Atualmente, o país se apresenta como um caso praticamente único de adoção da certificação em larga escala tanto do ponto de vista da capilaridade como da quantidade de certificados emitidos, que já ultrapassa 1 milhão de certificados/ano'.

Renato Martini

Para o presidente do Instituto, a missão para 2011 é a construção e o acompanhamento do projeto do Registro de Identidade Civil - RIC.

Essa iniciativa prevê a emissão de identidades civis baseadas na biometria do cidadão – no caso as digitais das mãos – relacionando um único número a uma pessoa. Isso dá mais segurança ao processo de identificação, já que impossibilita a emissão de duas identidades para um mesmo indivíduo, por exemplo.

A perspectiva é que sejam emitidos 2 milhões de RIC ainda em 2011 e que até 2019 todos os brasileiros estejam com esse documento de identidade, que já vem com certificado digital. ¨Sem sombra de dúvida esse será o momento de levar ao cidadão brasileiro um identidade moderna tanto no meio físico como no virtual”.

Infraestrutura

Maurício Coelho

Para o diretor de Infraestrutura de Chaves Públicas, Maurício Augusto Coelho, um balanço deste ano deve considerar quatro aspectos. O primeiro foi a implementação na Raiz da ICP-Brasil dos novos algoritmos criptográficos. “A longevidade da segurança da informação está mais garantida. Os novos algoritmos já permitem a emissão de novas raízes e garantem maior proteção de dados nas transações bancárias e do judiciário”

Outro destaque apontado por Coelho trata da possibilidade de ofertar o carimbo de tempo já em 2011. “Há empresas com processos em andamento para se credenciarem como Autoridades Certificadoras de Tempo (ACT) e neste próximo ano a expectativa é de um mercado aquecido”. O carimbo de tempo garante registro com precisão - já que está baseado na hora legal brasileira - o momento em que a transação foi feita.

O carimbo de tempo (ou timestamp) é um documento eletrônico emitido por uma parte confiável, que serve como evidência de que uma informação digital existia numa determinada data e hora de registro do documento quando chegou à entidade emissora, e não a data de criação do documento ou a hora que constava, por exemplo, no computador do emitente.

Outro ponto levantado foi a disponibilidade dos artefatos para o desenvolvimento de aplicativos que usem a certificação digital. De acordo com Coelho , os artefatos, conforme as normas do ITI, DOC-ICP-15, estabeleceram a utilização padronizada de assinatura digital no âmbito da ICP-Brasil e são vitais para a credibilidade do processo de criação e validação da assinatura.

Tais artefatos simplificam o desenvolvimento de soluções que usem as políticas de assinaturas da ICP-Brasil e asseguram a interoperabilidade, a legitimidade e a integridade dos documentos assinados com certificados digitais assim emitidos.

Por último, Coelho destacou o trabalho conjunto com órgãos do setores público e privado para que a parte eletrônica do novo registro de identificação civil fosse desenvolvida. “A dedicação de todos para que o RIC fosse aprovado com Certificação Digital deu a esse documento uma característica muito importante para sua implantação nos próximos anos”, apontou o Diretor.

Auditoria

Pedro Paulo Lemos

Encerrar 2010 com as metas de revisão dos critérios e procedimentos para a realização de auditorias e fiscalizações nas Autoridades Certificadoras e de Registro da ICP-Brasil concluídas significa um avanço para a certificação digital no país. Esta é a opinião do diretor de Auditoria, Fiscalização e Normalização do ITI, Pedro Paulo Lemos Machado. 'Fiscalizar eletronicamente e com segurança as entidades credenciadas em qualquer lugar do Brasil é um dos principais progressos', ressalta Machado.

Para Machado, a partir da revisão do DOC-ICP-08 foi possível gerenciar as informações com o foco na qualidade dos serviços que são prestados pelas entidades credenciadas na ICP-Brasil. “Mais importante do que atualizar a auditoria, era fundamental aplicar instrumentos eficazes que permitissem a automação dos processos Outro ganho significativo é a possibilidade de trabalhar a distância. Hoje há a possibilidade de realizar fiscalizações em todo o território nacional. Atualmente, o ITI pode fiscalizar eletronicamente as Autoridades Certificadoras ou de regitro no estado do Acre, por exemplo, sem a necessidade de locomover-me até lá”, comentou Machado.

Além disso, a auditoria padronizou os critérios e itens a serem fiscalizados por meio da elaboração de um checklist que facilita e otimiza o trabalho dos auditores do ITI. Outra inovação foi a conclusão do processo de controle de fluxos de credenciamento de auditorias independentes. “Na medida em que se troca o quantitativo pelo qualitativo de trabalho, o ITI melhora o entendimento, passa a investir no aperfeiçoamento do uso das normas e na aplicação da metodologia de auditoria e fiscalização a distância”, afirma Machado.

De igual forma o Machado afirmou que o ITI vem acompanhando a implantação de modelos de Infraestrutura de Chaves Públicas similares ao brasileiro em outros países do Mercosul. “Além disso, Cabo Verde, Cuba e Equador já firmaram acordo com o ITI para utilizarem essa tecnologia. O processo de auditoria e fiscalização brasileiro, cujo objetivo é manter a cadeia de confiança junto às autoridades certificadoras, tem despertado o interesse de muitos órgãos de outros países.”

Comitivas do ITI já estiveram presentes em oficinas e palestras nestes países. Em julho do ano passado, o ITI participou, a convite do governo de Cabo Verde, do workshop organizado pela Agência Nacional das Comunicações (ANAC) daquele país, com o objetivo de apresentar as funcionalidades da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil). Em dezembro do mesmo ano, representantes do ITI estiveram em Cuba na “Oficina para la Informatización” (ONI).

Fonte: ITI

Certificado de Atributo

Regina Tupinambá

O avanço da Internet e das demais tecnologias, aliado às demandas de negócios e a necessidade de organizações aprimorarem seus processos, impulsionam cada vez mais o desenvolvimento das relações no mundo eletrônico.

Em virtude da volatilidade desse meio de comunicação e relacionamento, a integridade das informações é fundamental para que haja confiança nos documentos eletrônicos.

Não menos importantes os fatores, Autenticidade, Sigilo e Valor Legal que os Certificados Digitais conferem as relações estabelecidas através do meio eletrônico.

 Eu acrescento sempre a esses quatro fatores  da certificação digital básicos, e mais divulgados, Tempestividade e Temporalidade conferidas pelo uso do Carimbo do Tempo, e também o caráter de “Alçadas e Poderes” atribuídos pelos  Certificados de Atributo.

Quem tem poderes legais para assinar e quem pode acessar documentos eletrônicos que estamos produzindo? Falaremos neste blog sobre o controle das revalidações das assinaturas de longa duração, mas isso é mais para frente.

Bem, já discorremos muito nesses últimos anos sobre PKI, ICP, Autoridades Certificadoras, Certificados Digitais, Documentos Eletrônicos, Processos Eletrônicos, Carimbo do Tempo e agora falaremos cada vez mais sobre CERTIFICADOS DE ATRIBUTO.

Ontem lendo uma matéria divulgada na Internet me motivei a escrever este artigo.

Recadastramento de funcionários e troca de senhas resolverá o problema de acesso indevido em curto prazo, mas não é a solução definitiva. O ideal seria a utilização de CERTIFICADOS DE ATRIBUTO.

Senhas são armazenadas e podem ser acessadas e utilizadas com facilidade por terceiros que não o usuário atrelado a ela. Certificados de atributos, não. A penalidade para o compartilhamento de senhas não garante que o usuário não será vítima do furto de sua senha. Sempre a ele será dado o direito ao “REPÚDIO” a autoria de uma determinada ação.

Os certificados de atributos devem ser utilizados em conjunto com certificados digitais o que aumenta a segurança para instituição e para os próprios titulares.

Certificados de Atributos são baseados em Certificados Digitais (X.509), porém seguem outra abordagem. Enquanto os Certificados Digitais tem um caráter de Identificação, os Certificados de Atributos possuem um caráter de Autorização

O Certificado de Atributo dá acesso à sistemas operacionais, aplicações, dados e até mesmo à ambientes físicos. Ao proprietário é atribuído em um dos campos do certificado, um atributo que lhe permite os acessos e o credencia para assumir responsabilidades. 

Uma vez que, seu portador deixe de possuir um atributo, por qualquer motivo (demissão, revogação de licença de exercício de profissão, mudança de cargo, empresa ou endereço empregatício etc.) somente será preciso que o emissor revogue o certificado de atributo, permanecendo válido o certificado pessoal, por exemplo, o e-CPF que só pode ser revogado pelo próprio titular.

O tema esta sendo discutido no momento pelo Comite Gestor da Internet do Brasil.

Enquanto um certificado digital é emitido por uma AC- Autoridade Certificadora e o Carimbo do Tempo por uma ACT- Autoridade de Carimbo do Tempo , os Certificados de Atributo são emitidos pelas AA, Autoridades de Autenticação.

Certificado de Atributo já vem sendo discutido pela FEBRABAN o que pode ser acompanhado pela matéria feita durante o evento CIAB 2010 quando a representante do Banco do Brasil Francimara Viotti fala sobre esse recurso para os bancos.

Certificados de Atributo serão utilizados não só por órgão públicos ou Bancos,  mas por empresas em geral, hospitais, laboratórios, indústria etc...

Falarei mais sobre o tema em breve

Regina Tupinambá

Mantega anuncia pacote de segurançapara evitar vazamento de dados

14 setembro 2010

O Ministério da Fazenda divulgou nesta terça-feira (14) medidas para prevenir quebras indevidas de sigilo fiscal pela Receita Federal. As mudanças visam reforçar a segurança das operações do Fisco e foram anunciadas há pouco pelo ministro da Fazenda, Guido Mantega, e pelo secretário da Receita Federal, Otacílio Cartaxo, e deverão entrar em vigor gradualmente a partir de novembro.

A primeira providência será o recadastramento dos funcionários que têm senhas de acesso a dados fiscais. Segundo Mantega, as senhas serão restringidas a funcionários que efetivamente tenham atribuição de investigar. Funcionários cedidos de outros órgãos, como o Serviço Federal de Processamento de Dados (Serpro), não terão mais acesso aos dados fiscais dos contribuintes.

Além disso, o contribuinte saberá se algum funcionário da Receita acessou os dados fiscais. A motivação para a consulta terá de ser declarada antes do acesso e registrada no cadastro de contribuintes. Os acessos serão impressos na declaração, com data e nome do funcionário responsável.

O contribuinte também terá a opção de blindar o acesso à declaração do Imposto de Renda a terceiros. Dessa forma, caso o contribuinte queira, somente as autoridades poderão consultar os dados, sendo vedado o acesso por meio de contadores e procuradores.

Quem permitir o uso de procurações só poderá expedir o documento em cartório, que informará digitalmente à Receita que emitiu o documento. Hoje, a procuração pode ser feita na Receita e somente a firma precisa ser reconhecida em cartório.

A Receita estimulará ainda que o Poder Judiciário use o sistema eletrônico para ter acesso aos dados fiscais requeridos por juízes. De acordo com o ministro, o sistema existe, mas os tribunais preferem requerer as informações por meio de papel, o que abre brecha para falsos pedidos.

Será criado ainda um sistema de alerta para acessos não usuais. Quando o volume de acessos em uma unidade da Receita ultrapassar o habitual, se a consulta for feita fora de horário ou se alguém de uma região acessar dados de contribuintes de outras regiões, as chefias da Receita serão automaticamente avisadas.

O Fisco identificará ainda pessoas politicamente expostas, que estejam mais sensíveis a violações de sigilo. A medida abrangerá ocupantes e ex-ocupantes de cargos políticos. Caso haja acesso a dados desses contribuintes, a área de inteligência da Receita comunicará o fato às chefias. Segundo Mantega, o governo estuda ainda se estenderá a prerrogativa a parentes dessas pessoas.

O governo editará ainda uma medida provisória para aumentar as penalidades para os funcionários infratores. Atualmente, em caso de acesso imotivado ou de empréstimo de senha, o servidor está sujeito apenas à suspensão ou advertência. Com as novas regras, quem ceder a senha pessoal a terceiros será automaticamente demitido. Em caso de acesso sem justificativa, o servidor será suspenso e sua conduta, investigada. Se as investigações constatarem consulta imotivada, o servidor será demitido.

De acordo com Mantega, as mudanças têm como objetivo dificultar a violação de dados fiscais de contribuintes sem comprometer as atividades de investigação da Receita Federal. “Queremos aumentar a segurança do contribuinte, mas sem prejudicar a operacionalidade do sistema. Se blindar totalmente, nem o contribuinte terá acesso aos próprios dados, nem a Receita consegue investigar”, declarou.

Wellton Máximo , Da Agência Brasil

14 setembro 2010

TV digital usará tecnologia do certificado digital

TV digital usará tecnologia do certificado digital Na reunião de ontem (10/08), o Comitê Gestor da ICP-Brasil solicitou que a Comissão Técnica da ICP-Brasil (COTEC) estude a criação de alternativas para o uso de certificados digitais na TV Digital.

O encaminhamento foi feito em resposta ao Fórum Brasileiro de Televisão Digital (SBTV) que aposta na assinatura digital dos códigos dos aplicativos de interatividade desenvolvidos por diversas empresas como forma de garantir a autoria e a responsabilidade civil.

Uma das propostas a ser avaliada pela COTEC será a criação de uma cadeia de certificação específica para a TV Digital, pois as existentes demandam banda maior do que a disponível para as transações.

Foi deliberado também que a COTEC crie um grupo de trabalho para estudar a gestão e os certificados de atributos. O prazo dado fica até o início de novembro para que a COTEC apresente os resultados destes trabalhos para o CG-ICP.

Também foi aprovada a proposta para alteração do DOC ¿ ICP -03, que trata dos critérios e procedimentos de entidades integrantes da ICP-Brasil, modificando os critérios de avaliação financeira e econômica utilizados para autorizar, ou não, a continuidade das atividades ou o credenciamento de novas empresas na ICP-Brasil.

O patrimônio líquido das empresas também foi aumentado para R$ 2,5 milhões para Autoridades Certificadoras de primeiro nível, R$ 1 milhão para as ACs de segundo nível e permaneceu em R$ 100 mil para as Autoridades de Registro. As alterações serão publicadas nos próximos dias no Diário Oficial da União.

Carimbo de tempo e Artefatos

O diretor de infraestrutura e chaves públicas do ITI, Maurício Coelho, anunciou aos membros do Comitê que a entidade auditora de tempo da ICP-Brasil já está em funcionamento e que algumas empresas já estão na etapa de credenciamento para se tornar uma Autoridade Certificadora de Tempo. Além disso, ele informou que os Artefatos de Assinaturas Digitais estão disponíveis no sítio do ITI, desde o início dessa semana.

Fonte : Associação dos Registradores de Pessoas Naturais do Estado de São Paulo - ARPEN-SP

Data Publicação : 11/08/2010