Autenticação forte ou portas abertas?

Nos últimos dias, li variais matérias sobre autenticação na internet. De artigos sobre lojas virtuais a outros que apontavam essa preocupação por parte de bancos e até mesmo de redes sociais. 

Pois é, estamos vivendo num mundo onde é necessário se identificar de forma inequívoca para ter acesso a portais e até mesmo a lugares físicos. 

Já existem portas praticamente intransponíveis que utilizam a autenticação forte e outras que nem precisariam existir, pois são totalmente frágeis. 

Antes de trabalhar na Certisign, eu trabalhei em grandes empresas de comunicação. McCann Erikson, TV Globo, TV Bandeirantes etc e desde meu primeiro dia de estágio já ganhei um crachá para acessar os escritórios. Quando em 1999 vim para a Certisign, um crachá não bastava. Foi um choque cultural. 

Meu crachá passou a ter um chip com certificado digital. Precisava digitar minha senha e colocar minhas digitais em qualquer porta da empresa que eu que passasse. E desde então percebi o quanto ter um crachá simples é totalmente vulnerável para as organizações. Facilmente falsificável! Frágil. Você começa a identificar de forma intuitiva e percebe como as empresas são vulneráveis. 

Depois de 14 anos, essa também é minha sensação quando vejo megas empresas utilizarem senha e login para acesso aos seus sistemas, à sua rede, VPN etc... Até empresas que ofertam soluções seguras. Pra quem como eu, respira autenticação o dia inteiro, essa fragilidade salta aos olhos.

Essa fragilidade é visivelmente exposta também quanto se trata de segurança de sites e portais corporativos. Em lojas virtuais idem. Muitos deles não utilizam certificados digitais SSLs fortes em seus servidores e simplesmente não fazem controle de acesso. 

A solução é muito mais simples do que se imagina. Implementar o controle de acesso com certificados digitais não é um bicho de sete cabeças. Funcionários, fornecedores e clientes não terão que decorar senhas e a empresa terá a certeza de quem esta do outro lado da autenticação. 

No caso do comércio eletrônico, além da autenticação forte dar condições da manutenção do banco de dados classificado, a empresa proporciona aos clientes o conforto de não precisar decorar senhas e adicionalmente tem a possibilidade de conceder condições comerciais especiais. 

O Brasil já tem 5 milhões de usuários com certificados digitais ICP Brasil. Entre advogados, contadores, empresários médicos e engenheiros. Mesmo que a loja virtual não tenha 100% dos clientes com acesso a autenticação forte, se tiver um percentual acima de 20% a 30 %, é excelente. Se for uma livraria virtual então esse percentual será muito superior a 30%, com certeza. Dê uma olhada no perfil de seus clientes. 

Disponibilizar a autenticação forte com certificados digitais é uma solução rápida de implementar e requer pouquíssimo investimento.

Vale a pena analisar e estudar mais sobre o assunto.

Alerta aos titulares de certificados digitais. Se você usa, leia.

Regina Tupinambá

Todos os dias surgem novas aplicações com o uso de certificados digitais. 

Aqui no blog eu publico as novas aplicações com o uso dessa tecnologia, mas são muitos serviços online que já utilizam certificados digitais. Desta forma, não há como divulgar todos os serviços disponíveis então escrevo este artigo por que muitos  que utilizam não conhecem o alcance e o poder de uso desse documento eletrônico de identidade. 

Tenha muito cuidado com a guarda de seu certificado. Até nós  profissionais que lidamos com esse tema em nosso dia a dia  não conhecemos todas as aplicações com o uso dessa tecnologia.

Isso é uma excelente questão, pois mostra que a tecnologia está com uma adoção crescente facilitando os processos e a rotina dos brasileiros que não precisam mais se deslocar para cumprir tarefas burocráticas. Economizam seu tempo, economizam gastos com deslocamentos, insumos como papel, etc, etc. Mas por outro lado, os titulares devem ficar espertos com seus certificados para não ter dor de cabeça.

Não dê a posse de seu certificado a terceiros, porque de acordo com a lei que regulamenta o uso da certificação no Brasil, o que for assinado digitalmente por um certificado digital da hierarquia da ICP Brasil não poderá ser repudiado pelo titular salvo inquérito judicial. Caberá ao titular do certificado digital provar que houve uma coação ou algo do gênero. Nem o furto neste caso se justifica, porque para que o certificado seja acionado no chip existe uma senha que não é compartilhada por nenhum sistema operacional. Só você sabe, ou melhor, só você deveria saber.

A guarda do certificado digital e o que for assinado por ele é responsabilidade do titular conforme art. 10, § 1o, da  Medida Provisória no 2.200-2,  de 24 de agosto de 2001. As declarações em forma eletrônica produzidas com a utilização de processo de certificação disponibilizado pela Autoridade Certificadora emissora do certificado presumem-se verdadeiras em relação aos signatários, na forma do art. 219, da Lei 10.406, de 10 de janeiro de 2002 - Código Civil.

O Titular do certificado responderá integralmente pelos atos que forem assinados com seu  certificado digital, mesmo que tenha sido na verdade praticado por terceiros.

Para quem utiliza certificados dos outros também vale o alerta; o certificado digital compartilhado também fica disponível para outras pessoas utilizarem. O certificado digital pode ser utilizado para ações "não programadas" com finalidades escusas e quem compartilha desse certificado pode acabar se expondo desnecessariamente. Além do mais, quem utiliza poderá responder por falsidade ideológica, pois faz se passar por outra pessoa em atos que exigem a assinatura do titular.

Usar certificados de terceiros é uma responsabilidade que deve ser muito bem avaliada. A solução é obter uma procuração eletrônica e um certificado e-CPF para resolver essa questão.

Atualmente no Brasil a utilização dos certificados digitais em grande escala se dá entre os contribuintes da Receita Federal, advogados e funcionários públicos.

Aqui vai um alerta importante para quem é titular de um certificado digital.

O Certificado Digital não é exclusivo para os serviços da Receita Federal, mesmo sendo os certificados e-CPF ou e-CNPJ.

Assim como os certificados emitidos para os advogados pela Autoridade Certificadora da OAB não são exclusivos para utilização nos tribunais.

Muitas instituições financeiras já trabalham com certificados digitais e se você for cliente de uma delas, quem tiver de posse de seu certificado e senha poderá movimentar sua conta bancária, fazer empréstimos em seu nome etc.

Existem cartórios de registro civil e imobiliário que também trabalham com escrituras eletrônicas. No setor de saúde prontuários eletrônicos são assinados digitalmente.

No caso da Receita Federal é comum o titular do certificado entregá-lo a seu contador.

Com advogados acontece muito de um colega emprestar seu certificado para que o outro transmita um e-doc.

Por mais confiança que o titular do certificado digital tenha em seu contador ou no colega de trabalho compartilhar o documento eletrônico de identidade não é correto.

Você deixaria seus cartões dos bancos disponíveis em cima da mesa do escritório e as senhas anotadas em post-it ?

Ou emprestaria o cartão e senha com freqüência a terceiros?

Pois é, nesse caso você poderia ter apenas um prejuízo financeiro e, com certeza, você perceberia que houve uma movimentação com certa rapidez.

Mas o certificado digital é muito mais “poderoso” que um cartão de banco, pois ele vale como sua assinatura de próprio punho em documentos eletrônicos e hoje é muito fácil assinar um documento eletrônico com valor legal, veja nesse link.

No caso da Receita Federal  e da CAIXA existe procurações eletrônicas específicas.

Com a procuração Eletrônica o titular do certificado digital dá poderes para que seu contador o represente junto a Receita. Simples! Pegue seu certificado e faça uma procuração eletrônica. 

Não leva mais que um minuto fazer a procuração eletrônica.

No caso do certificado de pessoa jurídica é possível ser feito pelo representante legal a procuração eletrônica para o contador. E no caso de certificados para NF-e é possível a nomeação de um responsável pelo uso do certificado especificamente para a emissão das notas fiscais eletrônicas.

Procuração Eletrônica na Receita Federal

Procuração eletrônica no Conectividade

Ah, outra coisa, em caso de perda ou furto você deverá revogar seu certificado digital junto a Autoridade Certificadora emissora do certificado digital.

Divulgue essa idéia!

Você ainda não sabe como assinar um documento eletrônico?
Então assista esse vídeo e não fique por fora! 
.

Matéria divulgada em Dezembro 06, 2010 

Atualizado em 11 de junho de 2012

Dalazen alerta advogados sobre necessidade da certificação digital

Dalazen em discurso aos advogados: "cooperem conosco na obtenção urgente de certificação, que é fermenta indispensável para atuar no sistema de processo eletrônico"

Na abertura do XXXIV Congresso Nacional dos Advogados Trabalhistas – CONAT ontem (4) em Maceió (AL), o presidente do Tribunal Superior do Trabalho, ministro João Oreste Dalazen, alertou para a necessidade de os advogados obterem a certificação digital.  

"Senhores advogados, cooperem conosco na obtenção urgente de certificação, que é fermenta indispensável para atuar no sistema de processo eletrônico", solicitou.

O alerta se deve ao fato de que, com a chegada do processo eletrônico, para propor uma ação trabalhista ou praticar qualquer ato processual dentro do PJe-JT, o advogado irá precisar de um certificado digital, ferramenta que exerce a função da assinatura pessoal em ambientes virtuais. 

O presidente do TST ressaltou a importância do Processo Judicial Eletrônico da Justiça do Trabalho (PJe-JT), que classifica de "revolução silenciosa".  O sistema, de acordo com ele, irá proporcionar rapidez, produtividade, sustentabilidade ambiental, acessibilidade 24 horas, entre outras vantagens. Por isso, a necessidade de todos os advogados se converterem em usuários e colaboradores capacitados do novo sistema. "Colaboradores inclusive com a bem-vinda crítica construtiva que nos ajudará a evoluir", afirmou.

Dalazen revelou, ainda, que já foram iniciados os procedimentos operacionais para a instalação do processo eletrônico no TST em fevereiro do próximo ano, quando o Tribunal abandonará o atual sistema de digitalização para o envio de peças. "Isso significa que a Justiça do Trabalho começou a dizer adeus ao processo judicial em autos de papel", explicou.

Ele acrescentou que a Justiça do Trabalho "caminha célere e determinada" para torna-se, muito em breve, o primeiro segmento do Poder Judiciário do país a dispor de um sistema uno, nacional e moderno de processo.

Ontem foi implantado o Processo Judicial Eletrônico da Justiça do Trabalho (PJe-JT) no Tribunal Regional do Trabalho de 3ª Região (MG). "É a 14ª região da Justiça do Trabalho que recebeu o novo sistema, cumprindo o compromisso assumido com o Conselho Nacional de Justiça (CNJ), de até o final do ano instalar o sistema em 10% das varas do trabalho de cada uma das 24 regiões da Justiça do Trabalho",  concluiu o presidente.

Clique aqui e saiba mais sobre a certificação digital 

(Augusto Fontenele)

Secom/TST

 

CERTIFICADO DIGITAL

A certificação digital é um dos principais aspectos que o usuário deve estar atento para esta nova fase da Justiça Brasileira. Para propor uma ação trabalhista ou praticar qualquer ato processual dentro do PJe-JT, o advogado irá precisar de um certificado digital, ferramenta que exerce a função da assinatura pessoal em ambientes virtuais. Abaixo, você pode tirar algumas dúvidas a respeito do assunto.

Por que o PJe-JT exige a certificação digital?

A opção pela certificação digital partiu do Conselho Nacional de Justiça e segue uma tendência mundial em segurança da informação. Além de identificar com precisão pessoas físicas e jurídicas,  garante confiabilidade, privacidade, integridade e inviolabilidade em mensagens e diversos tipos de transações realizadas na internet -  como o envio de uma petição, por exemplo.

Sou parte num processo que tramita pelo PJe. Também vou precisar de certificado digital para acessá-lo?

Sim. A única situação em que o certificado digital não será necessário é no momento em que o réu precisa ver os documentos iniciais do processo, justamente para saber o que está sendo pedido pelo autor da ação. Nesse caso, ele deverá utilizar as chaves de acesso que constam da citação recebida pelo Correio.

A ideia do CSJT é aperfeiçoar esse sistema de chaves, permitindo que o autor e o réu da ação trabalhista possam visualizar peças do processo, a qualquer tempo, mesmo sem certificado digital. Repare, estamos falando de peças do processo, e não do acompanhamento processual, que continua podendo ser consultado pela internet sem qualquer tipo de restrição.

Em último caso, se você não tiver certificado digital, pode ter acesso à íntegra de seu processo pelos computadores instalados na unidade judiciária, ou ainda solicitar, também à unidade, cópia integral dos autos em arquivo pdf.

Como posso obter meu certificado digital?

O certificado digital deve ser adquirido por meio de uma autoridade certificadora (AC). 

Acessando a página do Instituto Nacional de Tecnologia da Informação (ITI) você pode conferir passo a passo todas as etapas da aquisição. 

Outra fonte de informações é a página da AC-OAB, voltada exclusivamente para os advogados.

 A Associação dos Advogados de São Paulo (AASP) também fornece o certificado digital para os advogados em geral.

Os tribunais onde o PJe já está funcionando fornecem o certificado digital?

Não.

Qual tipo de certificado posso utilizar?

Qualquer certificado registrado em nome de pessoa física, baseado na ICP-Brasil (tipo A3 ou A4). O tipo A3 é comercializado em duas mídias: o cartão, que deve ser encaixado numa leitora ótica com cabo usb; e o token, um equipamento semelhante a um pendrive.

Quais cuidados devo tomar com o meu certificado digital?

A primeira medida é protegê-lo com senha e nunca informá-la a ninguém. Outro bom conselho é ter mais de um, já que o cartão de PVC é uma mídia frágil e quebra-se com facilidade, mesmo guardado dentro da carteira.  Por último, é preciso cuidar da renovação do certificado.

Para peticionar basta ter um certificado digital?

Não. Além de ter em mãos o certificado digital, é necessário o cadastro no sistema PJe. 

Sou advogado e mesmo informando meu CEP no cadastro de advogado, não encontro meu endereço. Por que isso ocorre?

Por dois motivos: ou o CEP informado não está cadastrado no PJe do Tribunal que você quer peticionar, ou está cadastrado com outro logradouro no site dos Correios. Nesses casos, entre em contato com a unidade judiciária que você pretende peticionar para receber as devidas orientações.

Como ocorre a validação do cadastro do advogado?

Com os dados do CPF do advogado o sistema PJe realiza duas validações: na OAB e na Receita Federal.  Na OAB, verifica se os dados do advogado no cartão (nome e número da OAB) e o número da OAB informado no formulário do sistema estão vinculados ao cadastro na OAB. Na Receita, verifica nome e data de nascimento informados no formulário do PJe. Caso os dados passem na validação na OAB e Receita Federal, o cadastro inserido estará com o status ativo, permitindo ao advogado o acesso ao sistema.

O que devo fazer se ocorrer inconsistência na validação do meu cadastro?

O sistema abrirá uma caixa de diálogo, na qual o advogado deverá clicar no botão 'Sim', confirmando a inconsistência. Depois, deverá apresentar à unidade judiciária (aquela na qual pretende peticionar) os documentos que comprovem as informações cadastradas. Assim, o servidor poderá fazer a verificação da autenticidade dos documentos e ativar o cadastro do advogado.

Como faço para obter suporte ao sistema PJe?

O primeiro contato é sempre com a vara ou foro do trabalho para onde você pretende peticionar. Na maioria dos casos, o problema é solucionado ali. Caso isso não aconteça, não se preocupe, pois a unidade judiciária dará encaminhamento ao seu problema para o suporte nacional.

 

Modernização do Fisco com o uso de certificados digitais

A Receita Federal do Brasil (RFB), a Secretaria de Fazenda do Estado de Goiás (Sefaz/GO) e as Lojas Leader encerraram as apresentações do 10ºCertForum - etapa Rio de Janeiro. 

Sob a moderação do coordenador-geral de Auditoria e Fiscalização do Instituto Nacional de Tecnologia da Informação, Pedro Pinheiro Cardoso, as três entidades fizeram considerações sobre como a modernização do Fisco foi um benefício para a própria RFB, que melhorou o controle sobre acesso a dados do contribuinte por parte de seus funcionários, para as secretarias de fazenda de cada estado do Brasil, que melhoram consideravelmente a qualidade dos atendimentos prestados, e para as empresas que, com o uso de certificados digitais no padrão da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), podem emitir notas fiscais eletrônicas, acessar o portal e-CAC da RFB e acompanhar seus históricos fiscais.

Segundo a chefe do Serviço Especial de Tecnologia da Informação – Cotec/RJ, Cláudia Márcia Vasconcelos e Mello Dias, todos os servidores da RFB e estagiários que acessam informações dos contribuintes só o fazem mediante o uso de certificados digitais. “O certificado ICP-Brasil é muito mais vantajoso por ser mais seguro do que o login e senha, por possui uma infraestrutura confiável, auditada pelo Estado e íntegra e também por possuir a característica da legalidade de qualquer manifestação eletrônica que se faça a partir de seu uso”. A RFB, segundo Vasconcelos, a tecnologia do certificado digital permite ainda maior comodidade de acesso, a eliminação de múltiplas senhas por uma única do próprio certificado, além de uma nova cultura por parte de quem presta o serviço e de quem o utiliza.

Já o gerente de Informações Econômico-Fiscais da Sefaz/GO, Marcelo de Mesquita Lima, apontou para fatores como a arrecadação espontânea, a velocidade em que se identificam erros ou tentativas de fraudes nos sistemas das Secretarias estaduais e transparência total da administração tributária. 

Por sua vez, o gerente de Contabilidade das Lojas Leader, Luis Cláudio de Oliveira, a eletronização de procedimentos traz economias diversas para o empresariado que utiliza certificados digitais ICP-Brasil. “Não é mais necessária a emissão de notas fiscais em papel nem a locação de espaço físico para acomodar arquivos, já que todos esses dados estão armazenados em computadores. A economia é enorme”, enfatizou.

Fonte: ITI

Entidades discutem futuro da Certificação Digital

Avaliar a evolução do uso e dos benefícios da Certificação Digital no país. Esse foi o principal objetivo debatido em reunião ocorrida na tarde de sexta-feira, 04, na sede da Fenacon, em Brasília. Além do presidente da Fenacon, Valdir Pietrobon, o encontro contou com a participação de representantes de várias entidades (veja lista abaixo). Entre os pontos mais importantes destacados está a necessidade de maior massificação quanto ao uso da ferramenta. Para se ter uma ideia, atualmente, existem mais de 2.000 aplicações, entre ações de governo e pessoas, possíveis de ser executadas. Os presentes foram unânimes em afirmar que a Certificação Digital é segura, reduz a burocracia e tem facilitado cada vez mais o dia a dia das pessoas. Além disso, é uma ferramenta de apoio à sustentabilidade ambiental uma vez que reduz consideravelmente o desperdício de papel.  Em relação as propostas avaliadas para tornar todas as ações em realidade está a reavaliação do “Programa Nacional Integrado de Disseminação da Certificação Digital para ME e EPP no Brasil”. Esse movimento foi criado em 2008 com o objetivo de desenvolver o uso da certificação digital para microempresas (ME) e empresas de pequeno porte (EPP). O grupo considerou que as ações avançaram significativamente, porém será preciso atualizar os objetivos propostos. Para o presidente da Fenacon, esse encontro foi fundamental no sentido de abrir a discussão sobre o tema. “Este foi apenas um pontapé inicial de um movimento que está iniciando. Precisamos, cada vez mais, levar ao conhecimento de todos os grandes benefícios que a Certificação Digital pode trazer, no sentido de reduzir a burocracia e facilitar a vida de todos”, afirmou Valdir Pietrobon. O grupo deverá reunir-se novamente em junho.  Participaram do encontro:  Fenacon – Valdir Pietrobon; Instituto FENACON– Carlos José de Lima Castro; Instituto FENACON– Carlos Roberto Victorino; Comitê Gestor do Simples Nacional– Silas Santiago; Sebrae– Bruno Quick; Sebrae – Helena Rego; Instituto de Tecnologia da Informação  (ITI) – Mauricio Coelho; Certisign –Julio Consentino Serpro– Gilberto Netto; Serasa– Igor Rocha; Correios– Carlos Nunes; Confederação das Associações Comerciais– Luiz Bortolin; Caixa Econômica Federal– Vander Branco; Caixa Econômica Federal – Henrique Santana; Caixa Econômica Federal – Sérgio Gomes; Caixa Econômica Federal – Marcelo Altavini.

Fonte: Sistema Fenacon

Pacotão de segurança: certificados digitais e computador sem antivírus

 (Foto: Divulgação)

Por: Altieres Rohr

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.

É preciso ter maneiras de detectar a presença de vírus no computador

Sem antivírus

Tive experiências desagradáveis com mau funcionamento de antivírus e, por isso, na última vez em que formatei meu computador (que roda Windows x64), não instalei nenhum antivírus. Meu uso de internet é limitado a Twitter, e-mail (e evito abrir anexos, mesmo de parentes ou amigos), Orkut e Facebook (uso limitado) e download de seriados que acompanho. Estou tentando seguir a filosofia do meu irmão: não ter apego aos arquivos do computador (os muito importantes têm backup), e qualquer problema se resolve com formatação. Já ouvi falar nos vírus de BIOS, mas não acredito que são uma ameaça ao usuário normal.

Bárbara Rocha

Bárbara, você não fez exatamente uma pergunta, mas quis expor a forma que lida com os problemas de segurança. Faltou apenas um detalhe: como saberá quando está infectada para realizar a formatação do seu disco rígido?

A coluna já comentou que desinstalar o antivírus pode ser uma boa ideia – mas somente se isso vai ajudar a reconhecer os riscos durante o uso do PC. Aparentemente você conseguiu fazer isso – delineando as atividades que realiza no PC e os riscos associados a elas. Em seguida, determinou que precisa apenas do backup para conseguir rapidamente reformatar o computador e ter ele sempre em um estado de funcionamento pleno.

Porém, hoje os vírus tentam o máximo possível permanecerem silenciosos no computador, roubando dados – tais como as senhas dos serviços utilizados, como o Orkut, Twitter, Facebook e e-mail, além de dados financeiros como cartões de crédito. Isso pode ou não ser um problema para você, dependendo do uso feito em cada um desses serviços. Logo, tem-se aí um problema que um vírus pode estar em execução no seu computador sem o seu conhecimento.

Existem algumas soluções alternativas a ter um antivírus sendo executado o tempo todo no computador. Por exemplo, iniciar o PC a partir de um CD para examinar o disco rígido com um antivírus sem o sistema operacional estar em execução. Ou mesmo ter um antivírus sem a função de proteção em tempo real e apenas executável periodicamente.

De uma forma ou de outra, é preciso considerar a possibilidade de um vírus silencioso estar no computador e tomar alguns passos para detectá-las. É verdade que a eficácia dos antivírus hoje está bastante baixa, mas eles ainda são a melhor forma automatizada de detectar a maioria das pragas digitais.

Certificado Digital A3 no Brasil é armazenado em cartão e tem validade de três anos

Compartilhar certificados digitais

Tem alguma forma de compartilhar certificados digitais do tipo token ou A3?

Duarth Fernandes

Você compartilharia seu RG ou seu CPF? O certificado digital garante sua identidade – garante que você é você.

Independentemente da mídia em que ele está, se cartão ou token – isso é o menos importante, do ponto de vista da função do certificado. O importante são os dados ali contidos que garantem sua identidade nos documentos e serviços que forem assinados ou utilizados com a autenticação do certificado. Nenhum certificado, independentemente da mídia em que ele foi armazenado, deve ser compartilhado.

Existem certificados feitos para representar uma organização (como no caso do e-CNPJ) e que, portanto, serão usados por todas as pessoas que podem representar a organização. Mas documentos individuais não devem ser compartilhados.

A coluna Segurança Digital vai ficando por aqui. Se você tem dúvidas sobre segurança, deixe-as na área de comentários. Toda quarta-feira a coluna responde dúvidas deixadas pelos leitores. Até lá!

*Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades. Na coluna “Segurança digital”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca.

Veja mais colunas de 'Segurança Digital'

Pacotão de segurança: computador sem antivírus e certificados digitais

Fonte: G1

Pacotão de segurança: identidade, criptografia e certificação digital

Por Altieres Rohr  

Especial para o G1*

08/06/2011 07h05 - 

Atualizado em 08/06/2011 10h05

Coluna responde dúvidas sobre o ‘cadeado’ de segurança.
Área de comentários está aberta para perguntas.

A coluna da segunda-feira passada levantou o assunto da certificação digital e leitores deixaram questões sobre o assunto. O pacotão de hoje esclarece a relação entre a criptografia e a verificação de identidade no mundo virtual, e as diferenças entre assinatura digital, certificação digital e “token”. Confira!

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.

 

‘Cadeado’ protege internauta contra interceptação
de dados como parte sua função para identificar
um site (Foto: Reprodução)

Identidade e criptografia

Será que o articulista que se esqueceu de explicar também sobre o processo de criptografia de informações que são trafegadas entre o browser do cliente e o servidor do site acessado, dando maior segurança no caso de roubo destas informações? O certificado é muito mais do que uma simples “identidade”.

Frederico Cabral

O leitor deixou essa pergunta na coluna sobre o funcionamento dos “cadeados” exibidos nos navegadores web em páginas ditas “seguras”. Na coluna, é explicado que o “cadeado” serve como uma identificação do site – como um “RG” do banco, por exemplo. É um atestado de que aquele site (endereço) realmente pertence à instituição acessada e não foi desviado por algum criminoso ou erro de configuração na rede.

A coluna realmente não comentou questão da criptografia, ou seja, que a conexão, além de autenticada com a instituição, também está segura contra interceptação de informações porque teve seu conteúdo “embaralhado”. Mas há motivos para isso, Frederico.

Em primeiro lugar, não é difícil obter criptografia de dados na rede. Essa criptografia pode ser realizada por outros protocolos de segurança e mesmo certificados digitais inválidos são suficientes para proporcionar criptografia. A criptografia, por si só, não é uma tecnologia complexa ou que necessita de fornecedores – é só um conjunto de fórmulas matemáticas.

Por outro lado, a criptografia, nesse contexto, é completamente inútil sem a autenticação das pontas da conexão (banco e cliente). Ou seja, o cliente precisa saber que está no banco e o banco precisa saber que está “conversando” com o mesmo cliente.

O banco compartilha com o cliente as informações necessárias para iniciar a comunicação segura. No entanto, se o banco não for quem ele diz ser, a comunicação “segura” (no sentido de codificada por criptografia) ainda será iniciada, porém com a instituição falsa.

Ou seja, a “identidade” na internet não é algo simples ou dispensável. Sem a identidade, não há utilidade para a criptografia, porque a criptografia, neste sentido, depende do fato de você estar conversando com a organização certa. A criptografia, por sua vez, exerce uma função garantidora: toda a comunicação criptografada passou pelos mesmos computadores, garantindo a integridade do que foi comunicado.

No fim das contas a criptografia é um meio, uma tecnologia necessária à identidade e ao sigilo. Uma tecnologia digital de codificação que não leva esse princípio em conta será eventualmente quebrada porque depende de um segredo que pode ser descoberto.

 

Exemplo de token de senhas usado pelo Banco
Bradesco (Foto: Altieres Rohr/Especial para o G1)

Certificado digital e assinatura digital

Qual seria a diferença entre certificado digital e assinatura digital? E o que é o token e para que ele serve?

ML Lima

A certificação digital é exatamente o que o nome sugere: um arquivo de computador (digital) que certifica que você é você. Ele faz isso normalmente por meio de uma sistema conhecido como “sistema de chaves públicas e privadas”.

A coluna já descreveu com detalhes como funciona esse sistema. Em poucas palavras, seu certificado digital é composto de dois arquivos: a chave pública e a chave privada.

A chave privada é secreta e jamais deve ser compartilhada. Se acontecer de ela vazar, precisará ser trocada. A chave pública você dará a outras pessoas.

A assinatura digital é sua “marca” feita em um documento, por exemplo, que você marcar como lido, como sendo seu ou que de outra forma esteja relacionado a você – exatamente como uma assinatura em papel. Mas, ao invés de caneta, essa marca é feita com sua chave privada (que outras pessoas não têm e, portanto, não podem imitar). Mas detalhe: ela é feita de tal forma que sua chave pública (que qualquer pessoa pode obter) é capaz de autenticar essa assinatura, ou seja, garantir que ela é sua mesmo.

Se a chave privada não for comprometida, esse sistema garante que somente você pode assinar documentos, mas qualquer pessoa pode verificar essa assinatura. É mais rápido do que o sistema em papel, em que a verificação adequada de uma assinatura depende de um cartório ou de algum tipo de registro prévio e conferência manual. Qualquer computador pode verificar sua assinatura digital instantaneamente, desde que possa obter sua chave pública, mesmo que ele jamais tenha visto algo antes assinado por você.

Note que, além da assinatura, o certificado digital permite a criptografia, ou seja, permite que você codifique uma informação para que somente pessoas pré-determinadas possam ler seu conteúdo. Para colocar essas pessoas como destinatárias da informação, você precisa da chave pública delas. A partir disso, o código gerado só poderá ser decifrado pela chave privada do destinatário, que só ele possui.

 

Vários tipos de tokens, incluindo tokens de senha, como o dos bancos, e tokens criptográficos, como os de cartão (smartcard) e USB (Foto: Arnold Reinhold/CC-BY-SA)

“Token” é uma palavra que tem alguns significados diferentes para a segurança. Significa algo único. Por exemplo, um “token de autenticação” usado por alguns bancos no Brasil é um dispositivo que gera senhas únicas para serem usadas no internet banking.

No contexto de certificação digital, um token é um dispositivo que armazena sua chave privada com o objetivo de mantê-la secreta e realizar os cálculos de assinatura diretamente nesse token, sem que o arquivo do certificado precise ser copiado para o PC.

E a coluna Segurança Digital vai ficando por aqui, mas toda quarta-feira tem o pacotão, então não se esqueça de deixar sua dúvida na área de comentários. Até a próxima!

*Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades. Na coluna “Segurança digital”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca.

Saiba o que está por trás do 'cadeado de segurança' dos sites da web

Grupo seleto de organizações verifica 'identidade' dos sites.
Falhas e busca pelo lucro afetam a qualidade do serviço.

 

Por Altieres Rohr Especial para o G1*

30/05/2011 08h50 - 

Atualizado em 30/05/2011 08h50

Você já deve ter visto essa dica, aqui na coluna ou em outro lugar: em sites de banco ou qualquer página em que você está digitando informações pessoais como cartões de crédito, é uma boa ideia verificar a presença do “cadeado de segurança” em algum lugar da janela do navegador. Mas o que faz ele aparecer é um conjunto de parcerias entre empresas privadas e desenvolvedores de navegadores web. Apesar das falhas técnicas e outras incoerências criadas pela busca do lucro, ainda não se sabe exatamente quais são os critérios para que tudo funcione em favor de um “cadeado”.

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.

 

O cadeado de segurança nas páginas de internet,
como ele normalmente se apresenta
(Foto: Reprodução)

Embora exista todo um aparato técnico para o “cadeado”, ele é simplesmente um atestado de identidade – da mesma forma que cidadãos brasileiros têm um CPF e um RG, sites de internet também podem apresentar um documento comprovando sua identidade. Ou seja, o site do banco apresenta um documento comprovando que se trata mesmo do site do banco e não um site falso – daí aparece o cadeado.

Esse “documento de identidade” digital tem o nome de certificado. Mas, diferente do RG que é emitido pelos estados e do CPF emitido pelo governo federal, a identidade na internet precisa valer para o mundo todo e não existe um governo “global” para gerenciar essa infraestrutura. Quem aproveitou a oportunidade foram em sua maioria empresas particulares. Em outras palavras, o “cadeado” é um documento de identidade digital emitido por uma organização confiada dentro do sistema de “identidade” global.

Qualquer pessoa pode criar um certificado digital, mas isso não iria funcionar: criminosos poderiam atestar a identidade de seus próprios sites. É por isso que os navegadores de internet (Firefox, Chrome, Internet Explorer) possuem meios para verificar se o certificado apresentado por um site é válido, ou seja, se ele foi mesmo emitido por uma das empresas de confiança e não por “qualquer um”. Embora isso seja positivo por um lado – por impedir abusos -, criou-se um grupo fechado de organizações habilitadas a emitir esses certificados.

Há alguns anos, o governo brasileiro entrou nesse mercado com a criação da ICP-Brasil. Até hoje, os certificados emitidos pela ICP-Brasil não são reconhecidos pelo Firefox, por exemplo. Entrar nesse “grupo” fechado pode ser complicado, porque é preciso ser reconhecido por todos os navegadores de internet. Até mesmo o governo brasileiro está tendo dificuldades. Quem se dá bem com isso são as empresas estabelecidas no ramo.

O mercado de certificação digital é interessante porque o custo para se emitir um certificado é insignificante, praticamente zero - o governo poderia emitir certificados para todos os cidadãos sem problema. No entanto, o preço cobrado pela emissão de um certificado pode ser de centenas de reais por ano. O único trabalho da emissora do certificado é validar se a pessoa é quem ela diz ser, da mesma forma que o governo deve tomar cuidado para não emitir o seu número de RG ou CPF para outra pessoa que está tentando se passar por você.

 

Conexão segura com a Receita Federal é considerada 'não confiável' pelo Firefox porque o navegador não reconhece a ICP-Brasil (Foto: Reprodução)

Falhas, lucro e validação estendida

Embora essas organizações emissoras de certificados tenham a responsabilidade de manter em segurança suas bases de dados, as informações de seus clientes e seus sistemas capazes de emitir certificados, há casos bem documentados sobre falhas de segurança. Na semana passada, a revendedora de certificados Comodo Brasil sofreu uma invasão que expôs sua lista de clientes. Hackers colocaram tudo na internet. Segundo a empresa, o sistema de certificação não foi comprometido.

 

Lista de certificadoras reconhecidas pelo Firefox.
Certificados emitidos por empresas que não estão
na lista são apresentados como falsos
(Foto: Reprodução)

Em março, porém, outra revendedora da Comodo sofreu uma invasão ainda pior, porque o hacker conseguiu emitir certificados falsos. Seria o equivalente a alguém invadir o sistema do governo para criar CPFs à vontade, com números iguais em nomes de outras pessoas. Em 2008, ainda outra revendedora da Comodo não estava realizando qualquer verificação na identidade dos solicitantes de certificados, e um especialista conseguiu um certificado para o site “mozilla.com” sem ter qualquer ligação com os criadores do Firefox.

Em 2009, um grupo de pesquisadores mostrou que o descaso da Verisign, outra emissora de certificados, criou a possibilidade de geração de identidades falsas. Na ocasião, a empresa reclamou que os pesquisadores não entraram em contato antes de divulgar o resultado do experimento. No entanto, o ataque demonstrado era teoricamente possível há anos e a empresa, que deveria zelar pela qualidade dos certificados emitidos, estava adiando a adoção de uma tecnologia mais moderna e segura.

A intolerância com “novas organizações” para a entrada no mercado de certificações não aparece quando se trata de falhas nas instituições já credenciadas. A Comodo, apesar das repetidas falhas, continua na lista de “certificadoras confiáveis” do Firefox – a mesma que, há anos, tem o governo brasileiro como “pendente” na lista de instituições candidatas à adição.

Mais recentemente, na tentativa de conseguir mais dinheiro, as emissoras de certificados inventaram o “EV-SSL”. Trata-se de um “novo” cadeado de segurança. Ou seja, o “antigo” (hoje em uso por quase todos os sites) aparentemente não é bom o suficiente, embora ainda seja vendido. O “novo”, mais caro, passa por uma “validação estendida” da empresa ou indivíduo que o solicita.

Em outras palavras, em vez de consertar os problemas conhecidos do modelo antigo e de realmente melhorar a internet, eles criaram um certificado novo, mais rigoroso, e mais caro. É como se pessoas ricas tivessem direito a um RG mais bonito e diferente, e também mais difícil de fraudar.

Propaganda do EV-SSL, destinado a lojas on-line:
veja o que a barra verde pode fazer por você. De
graça por 30 dias (Foto: Reprodução)

Os desenvolvedores de navegadores web aceitaram essa ideia e exibem esses certificados estendidos de outra forma, mais visível e colorida. Se eles fossem exibidos da mesma forma que os anteriores, o usuário nem notaria diferença, porque a tecnologia é idêntica. Há duas explicações: ou quem compra o certificado estendido está sendo enganado (exceto pelos benefícios gerados pela visualização diferente no navegador), ou o sistema anterior é inadequado.

Nada disso quer dizer que os cadeados são inseguros ou que não são importantes. Se o seu computador está com vírus, os cadeados são sim irrelevantes, porque várias pragas digitais adicionam entidades falsas à lista de organizações confiadas dos navegadores. O resultado é que certificados falsos aparecem como verdadeiros. Fora disso, no entanto, a segurança proporcionada pelo “cadeado” é sim relevante. Apenas é interessante saber o que está por trás dele – e que o acesso a esse recurso de segurança poderia estar mais difundido e, provavelmente, deverá estar no futuro da internet.

Ausência de identidade global

A falta de uma organização (ou sistema padronizado descentralizado) capaz de gerenciar o problema das identidades mundialmente tem tido consequências práticas para a internet. Por exemplo, apenas pessoas que possuem um certificado podem provar que são elas mesmas quando enviam um e-mail; enquanto criadores de vírus podem mandar mensagens como se fossem qualquer outra pessoa. O tráfego da internet poderia ser todo mais seguro se a certificação estivesse disponível para sites pessoais. O spam poderia acabar.

É também por isso que hoje precisamos de senhas para entrar nos serviços. Se os sites pudessem saber quem nós somos, não seria preciso de senhas.

Claro que o “caos” de identidade também trouxe benefícios. O anonimato – proibido no Brasil, mas uma proibição irrelevante na internet – deu o direito de expressão para minorias e visões políticas dissidentes em países opressores.

No entanto, ainda há quem veja a necessidade de se criar uma forma global de identificação. Os Estados Unidos estão trabalhando nisso, por exemplo. Na coluna Segurança Digital da próxima segunda-feira você poderá conferir a segunda parte deste texto, explicando o plano de identidade do governo americano. Até lá.


*Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades. Na coluna “Segurança digital”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca.

Fonte:  G1

Plano dos EUA quer permitir autenticação sem uso de senhas

Governo criou a estratégia de identidades digitais.
NSTIC viabiliza a identificação segura dos internautas.

Por Altieres Rohr Especial para o G1*

Imagine se você pudesse visitar o site de um hospital em que um parente seu esteve recentemente e obter, sem complicação, sem precisar de uma senha de acesso, o relatório médico criado pelo hospital – e que ainda isso pudesse ser feito pelo celular de forma segura. Esse é um cenário contemplado na estratégia de identidades digitais dos Estados Unidos (NSTIC), um plano que busca implantar, dentro de dez anos, um conjunto de tecnologias que deve viabilizar a identificação segura dos internautas.

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.

 

Site oficial do NSTIC, no Instituto Nacional de
Normas e Tecnologia dos EUA (Foto: Reprodução)

Um dos problemas atualmente existentes na internet é a questão de identidade. No modelo atual, cada site que precisa identificar o internauta requer um usuário e senha. No entanto, certas conexões, como envio de e-mails e a autenticação em bancos, entre outras, ainda carecem de uma segurança maior.

Até hoje, o envio de e-mails não é sempre autenticado, ou seja, alguém pode enviar um e-mail parecendo ser você. Já nas transações bancárias pela internet existe a possibilidade de fraudes como phishing, em que um criminoso cria uma página similar à do banco para confundir correntistas.

Já o uso de uma grande quantidade de senhas incentiva os usuários a usarem senhas fracas ou as mesmas senhas várias vezes, enquanto se apresenta como uma barreira para novos sites. Por exemplo, um site de compras precisa primeiro convencer o internauta a gerar um cadastro antes de finalizar a aquisição do produto ou serviço.

É para resolver esses problemas que foi criado o a “estratégia nacional para identidades confiáveis no ciberespaço” (NSTIC).

O plano escrito pela Casa Branca prevê mais ações da iniciativa privada do que do governo. As empresas fornecedoras de identidades (“RGs digitais”, por assim dizer) seriam instituições privadas, como provedores de serviços de comunicação, bancos, universidades, entre outros. As empresas responsáveis por autorizar outras organizações a participarem no “Ecossistema de Identidades” também seriam privadas.

Ao governo caberia supervisionar as atividades e ser o pioneiro a adotar o sistema em suas operações internas e externas para criar os incentivos necessários à adoção do plano. As especificidades do NSTIC estão sendo discutidas pelo NIST, o órgão de normas dos EUA, equivalente à ABNT no Brasil.

 
Usuário obtém identidade em um provedor. Empresas
e indivíduos podem autenticar usuários sem precisar
de um cadastro específico (Foto: Reprodução)

Como funcionaria
No exemplo que deu início a esta coluna, o provedor de identidade seria a operadora do serviço de telefonia de celular. Ao acessar o ambiente seguro do hospital, a identidade da pessoa é verificada de forma transparente. Quando o histórico médico do parente é solicitado, o hospital busca um “provedor de atributos”, que vai confirmar sua autorização para solicitar esses dados em nome do seu parente. Tudo isso é feito de tal forma que nem o provedor de atributos, nem a companhia de celular tenham detalhes da operação, mantendo a privacidade.

O “provedor de atributos” é capaz de fornecer informações de um indivíduo sem revelar informações precisas. Por exemplo, alguém que quer acessar uma sala de bate-papo para adolescentes entre 13 e 19 anos terá um provedor de atributos que irá garantir que o internauta atende esse critério, sem precisar revelar a data de nascimento exata e sem precisar todos os dados disponíveis no provedor de identidade.

Outro exemplo dado pelo governo americano é de alguém que compra um produto em uma farmácia. Um provedor de identidade confirma que o internauta é quem ele diz ser, enquanto um provedor de atributos confirma que o internauta tem a receita para comprar o remédio – e tudo isso acontece sem que os fornecedores dessas informações saibam em qual farmácia o paciente adquiriu o remédio.

O objetivo é permitir que internautas usem as identidades e informações já cadastradas em bancos de dados de instituições que ele conhece para conseguir entrar em sistemas novos, nos quais ele ainda não possui cadastro, sem precisar criar um par de login e senha específico para aquele serviço. Seria, em alguns aspectos, semelhante ao Facebook Connect – serviço do Facebook que permite a outros sites autenticar um usuário pelo login do Facebook. Porém, as informações teriam atribuição de confiabilidade: a informação do banco é mais confiável que a fornecida pela escola, por exemplo.

Certificação digital
A difusão de provedores de identidade permitirá que um mesmo usuário tenha vários deles e, caso algum sofra alguma falha que o torne pouco confiável, outros podem ser usados sem perda de funcionalidade. É diferente do atual sistema de certificados digitais, em que um usuário tem apenas um provedor de certificado e esses provedores são tão poucos que, caso algum venha a falhar, é extremamente difícil tirá-lo do sistema sem comprometer o seu funcionamento.

 
Identidades baseada em “provedores” poderia
reduzir ou acabar com as senhas na web
(Foto: Divulgação)

Ao mesmo tempo, os provedores de identidade podem fornecer ao internauta o equivalente a certificados digitais. O plano menciona arquivos digitais certificadores, cartões inteligentes e dispositivos USB que poderiam autenticar transações e arquivos.

Empresas poderiam usar o mesmo sistema, padronizado, para autorizar seus próprios funcionários dentro de sua rede interna, permitindo que eles acessem os serviços da empresa de outros locais e ainda servindo como provedor de identidade para terceiros.

Esbarrando na realidade
O NSTIC quer fornecer serviços de identidade sem acabar com o anonimato – um direito nos Estados Unidos que não existe no Brasil (aqui, o anonimato é proibido). Por isso, a adesão ao sistema seria voluntária. Usuários ainda poderiam usar usuários e senhas, com pseudônimos, sem que sua identidade fosse verificada de qualquer forma.

O plano ainda não define qualquer tecnologia a ser usada. Ninguém ainda sabe como tudo iria acontecer, apenas quais são os objetivos do sistema. Não há incentivos definidos para que as empresas venham a fazer parte do esquema. Mesmo assim, o governo americano quer que tudo venha a ser desenvolvido com o objetivo de ser usado “internacionalmente”.

Até, talvez por isso, que a previsão de definição das tecnologias seja de dez anos – depois disso é que seria analisado a difusão do sistema para a população e internacionalmente.

Mesmo assim, a estratégia americana, embora não seja totalmente inovadora, mostra que há um grande interesse em eliminar os atuais problemas de identidade na internet de uma forma um pouco diferente da que está sendo normalmente pensada, em que existem poucos provedores de identidade e cada organização ou indivíduo tem apenas um provedor e não vários, como prevê a proposta.

A coluna Segurança Digital de hoje fica por aqui, mas volta na quarta-feira. Se você tem dúvidas, deixe na área de comentários. Sugestões de pautas, críticas ou elogios também podem ser escritos. Todos os comentários são lidos. Até a próxima!

*Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades. Na coluna “Segurança digital”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca

Fonte: G1 - Tecnologia e Games