Programa grátis para Nota Fiscal Eletrônica

No entanto as empresas terão que gastar cerca de R$ 300,00 para obter certificado digital ICP-Brasil.

A Secretaria da Fazenda do Distrito Federal anunciou um benefício para as 20 mil empresas contribuintes do ISS (Imposto Sobre Serviços) com faturamento anual superior a R$ 360 mil e cujas atividades passaram a ter que fornecer Nota Fiscal Eletrônica a partir de 1º de abril.

Será disponibilizado em breve gratuitamente software para emissão de nota fiscal eletrônica. No mercado local, um programa de computador semelhante chega a custar R$ 590,00. Quem insistir em emitir nota fiscal em papel estará sujeito a multa de R$ 1.800,00.

Com a medida, os contribuintes terão menos ônus para cumprir a obrigatoriedade de emissão da NF-e. "Quem ainda não possui sistema adaptado para a emissão da nota fiscal eletrônica poderá, em breve, baixar gratuitamente o emissor, que será disponibilizado pela SEF/DF", informa a Agência Brasília, veículo de comunicação do Governo do Distrito Federal, que relaciona as atividades sujeitas à exigência da NF-e.

No entanto as empresas terão que gastar cerca de R$ 300,00 para obter certificado digital ICP-Brasil, do tipo A1 ou A3, que atesta a identidade do indivíduo ou instituição na internet, por meio de assinatura digital, para a emissão da NF-e.

250 sonegadores eram falsos empreendedores individuais

A Secretaria da Fazenda do Distrito Federal identificou 250 MEIs (Microempreendedores Individuais) que sonegaram impostos nos últimos dois. A Receita identificou que as compras deles são incoerentes com o faturamento máximo de R$ 60 mil anuais estabelecidos para o segmento.

Os empresários identificados informaram um faturamento de R$ 21,6 milhões nos últimos dois anos. No entanto, cruzando dados dos fornecedores que vendem produtos e serviços aos MEIs, os técnicos da Receita perceberam compras no valor de R$ 69,7 milhões. A estimativa é que a fraude tenha causado prejuízo de R$ 6 milhões aos cofres públicos.

"As empresas do setor industrial e atacadista, fornecedores dos MEI, são obrigadas a emitir nota fiscal eletrônica. Através do cruzamento de dados, conseguimos descobrir quem está comprando mais do que seria razoável para sua faixa de faturamento", explicou o subsecretário da Receita do DF, Wilson de Paula, segundo a Agência Brasília.

Aécio comanda articulação a CPI sobre compra de refinaria pela Petrobras

Os escândalos contra a Petronbras entraram na campanha da sucessão presidencial, Líderes da oposição na Câmara e no Senado se reúnem nesta terça-feira (25) para articular a estratégia de criação de comissão parlamentar de inquérito (CPI) para investigar a compra pela Petrobras da refinaria de Pasadena, nos Estados Unidos, em 2006. O negócio custou à estatal 1,18 bilhão de dólares, quase 30 vezes o valor pago pela empresa belga Astra para adquirir a mesma refinaria, um ano antes. A reunião será realizada às 15 horas, no gabinete do senador Aécio Neves (PSDB-MG),.

Em nota à imprensa, a presidente Dilma Rousseff, que à época do negócio presidia o conselho de administração da estatal, reconheceu que a transação foi autorizada mediante parecer "técnica e juridicamente falho". 

O líder da Minoria na Câmara, deputado Domingos Sávio (PSDB-MG), pretende apresentar um projeto de resolução para a criação da CPI furando a fila de outras iniciativas que aguardam vez para serem instaladas. Segundo ele, os partidos de oposição se organizam para conseguir o apoio de parlamentares da base governista. Na mira o apoio formal do deputado Eduardo Cunha (PMDB-RJ), líder do PMDB na Câmara e do chjamado Blocão, grupo dos governistas insatisfetios.

Manual do e-Social tem 207 páginas complexas

A Confederação Nacional do Comércio de Bens, Serviços e Turismo (CNC) avaliou que adecisão da Receita Federal de adiar para outubro a implantação do Programa de Escrituração Fiscal Digital Social (eSocial), previsto anteriormente para entrar em vigor em abril, mostra que o assunto é de grande complexidade e deve ser avaliado com muito cuidado pelas autoridades, devido ao impacto que provocará no comércio, em especial nas micros e pequenas empresas. Aponta que só o manual do eSocial apresenta 207 páginas sobre o complexo sistema de preenchimento de informações.

Aplicativo ajuda consumidor a avaliar serviços

O Inmetro comemorou o Dia do Consumidor, 15 de março, lançando em parceria com a Secretaria de Comércio e Serviços do Ministério do Desenvolvimento, Indústria e Comércio Exterior (MDIC), consulta pública sobre a metodologia de avaliação de serviços do Programa de Excelência em Serviços (Servir). O aplicativo, desenvolvido para smartphones, visa identificar os estabelecimentos que oferecem os melhores serviços, a partir de um conjunto de critérios que poderão ser avaliados em uma escala que vai de E a A, onde E é o menor valor e A, o maior. A sociedade terá 15 dias para apresentar sugestões e críticas relativas aos textos propostos na Portaria Inmetro nº 112, assinada em 14/03/2014.

Fonte:

Direto de Brasília
Abnor Gondim
Abnor Gondim é jornalista e correspondente em Brasília

24/03/2014 - 00h00 | Atualizado em 21/03/2014 - 21h390
"Direto de Brasília":

Primeira versão do assinador de certificados atributos é apresentada em reunião ao ITI

ITI E UFSC APRESENTAM SISTEMA GERENCIADOR DE CERTIFICADOS DE ATRIBUTOS

Na última sexta-feira, 14, reapresentantes do Instituto Nacional de Tecnologia da Informação – ITI e do Laboratório de Segurança em Computação – LabSEC da Universidade Federal de Santa Catarina – UFSC reuniram-se, por meio de videoconferência, para apresentação da primeira versão do Sistema Gerenciador de Certificados de Atributos.

O novo sistema funcionará como um assinador de atributos, ou seja, através dele será possível administrar, gerenciar e operar todo sistema de validação de certificados de atributos de uma entidade. O novo programa contará com versão para desktop e webservice.

Nesta primeira apresentação do assinador, foram debatidas melhorias que podem ser aplicadas para que a plataforma seja ainda mais robusta, segura e eficiente. O Sistema Gerenciador de Certificados de Atributos contará com uma parte técnica, de administração, e outra de gestor, onde as operações de emissão e revogação dos certificados de atributo serão feitas.

Para o diretor da Infraestrutura de Chaves Públicas do ITI, Maurício Coelho, a nova plataforma é um importante mecanismo. “O sistema, desenvolvido pelo LabSEC e pelo ITI, está sendo muito bem pensando e é pertinente com as necessidades do mercado”. O próximo passo, segundo o Assessor técnico do ITI, Ruy Ramos, será a implementação das alterações propostas, para, então, ser feita a apresentação da primeira versão do assinador finalizada.

Sobre o certificado de atributo

O certificado de atributo é um conjunto de informações ou estrutura de dados de segurança e identificação, constantes em campos de um certificado digital, ou anexadas a um outro certificado e assinados com a chave pública da autoridade que o emitiu. Esse certificado traz informações sobre seu titular, como cargo, função, profissão etc. O certificado de atributo também segue o padrão X.509, adotado pela ICP-Brasil na emissão de certificados de pessoa física, jurídica e de equipamentos.

Os DOC ICP nº 16 e 16.1 são os documentos que apresentam a visão geral e perfil de uso geral e requisitos para geração e verificação de certificados de atributo na ICP-Brasil.

Fonte: ITI

Declarantes que utilizarem Certificado Digital receberão declaração pré-preenchida com dados validados pela Receita - Paranashop

Cerca de 27 milhões de brasileiros podem ter menos trabalho ao preencher a Declaração de Imposto de Renda deste ano. A Receita Federal confirmou que todos os brasileiros que utilizarem certificado digital na entrega da declaração deste ano poderão contar com o documento pré-preenchido, apenas para a realização de eventuais ajustes e correções. Com o e-CPF, da Serasa Experian, o cidadão consegue agilizar desde o preenchimento até o acompanhamento do processamento da declaração.

Já adotado em outros países, o modelo de declaração pré-preenchida facilita o processo para o contribuinte, ao evitar que ele precise aguardar por declarações de rendimentos das empresas para as quais trabalha para preencher o documento – os dados são fornecidos pela própria Receita, a partir das informações a ela enviadas pelas fontes pagadoras. Assim, o contribuinte precisa apenas realizar eventuais ajustes ou a adição de informações na declaração. O modelo também evita possíveis erros de digitação ou preenchimento, reduzindo as chances de que a declaração seja retida por contradições ou inconsistências nos dados.

Para ter acesso à declaração pré-preenchida, o contribuinte deverá acessar o Centro Virtual de Atendimento ao Contribuinte (e-CAC), na página da Receita Federal. Basta entrar no site – www.receita.fazenda.gov.br – munido de seu certificado digital e, na parte superior da tela, observar o campo “Acesso ao e-CAC”. Basta clicar sobre o botão indicando “Certificado Digital”: o contribuinte já está no portal e-CAC, Centro Virtual de Atendimento ao Contribuinte da Receita. 

Em seguida, é preciso escolher a opção “Declarações e Demonstrativos”, logo abaixo do cabeçalho. Ao clicar no botão, é aberto outro painel de opções – no qual o contribuinte deve procurar por “Declaração Pré-Preenchida”, abaixo do subitem “DIRPF – Declaração do Imposto sobre a Renda da Pessoa Física”.

Ao clicar em “Declaração Pré-Preenchida”, outra página no site é aberta, com as opções “Declaração do Imposto de Renda Pessoa Física Pré-Preenchida” e “Programa Gerador e Receitanet”. Basta escolher a primeira opção. O contribuinte será levado a outra página, onde haverá a possibilidade de fazer o download do arquivo com a declaração já preenchida, por meio do botão “Recuperar”.

Com o arquivo baixado, basta importa-lo por meio do programa da declaração do imposto de renda, para que o contribuinte faça então a verificação da correção de todos os dados pré-preenchidos, efetuando possíveis alterações, inclusões ou exclusões das informações necessárias. Após a declaração, o e-CPF também permitirá o monitoramento de todo o processo da declaração pela página do Centro Virtual de Atendimento ao Contribuinte (e-CAC), bem como a correção imediata de eventuais inconsistências. Também é possível utiliza-lo para visualizar informações sobre declarações anteriores, verificando possíveis pendências, parcelando débitos ou retificando pagamentos.

Com o objetivo de ajudar o contribuinte no preenchimento e facilitar a entrega e o acompanhamento da declaração, a Serasa Experian oferece até 31 de março um desconto de 30% na aquisição do kit completo do certificado digital e-CPF, com validade de 3 anos. Para participar da promoção, o interessado pode acessar o site www.certificadodigital.com.br ou entrar em contato por meio do telefone 0800 773 7728. A Serasa Experian conta com vasta experiência na emissão de certificados digitais de todos os tipos, tendo sido a primeira autoridade certificadora privada a ser habilitada no Brasil, há mais de dez anos. Somente nos últimos três anos, período em que o uso do Certificado Digital se massificou no país, a Serasa Experian já emitiu mais de 2 milhões de unidades.

Tecnologia que permite a identificação de pessoas físicas e jurídicas no ambiente digital, o Certificado Digital é uma assinatura eletrônica que identifica o usuário, de modo semelhante ao reconhecimento de firma, possuindo validade jurídica. Além disso, a tecnologia assegura o sigilo e a autenticidade das informações, garantindo confiabilidade, privacidade e a integridade dos dados.

Você também lê esta notícia em:

http://noticias.serasaexperian.com.br

Fonte: Viviane.Evangelista@br.experian.com

24 horas pela liberdade e privacidade na rede

Entre os dias 11 e 12 de abril de 2014, no Centro Cultural São Paulo durante 24 horas, a CryptoRave trará mais de 28 atividades sobre segurança, criptografia, hacking, anonimato, privacidade e liberdade na rede.

CryptoRave trará mais de 28 atividades sobre segurança, criptografia, hacking, anonimato, privacidade e liberdade na rede.

24 horas pela liberdade e privacidade na rede
cryptorave.org

O que é ter uma chave privada. Algumas Notas. Por RENATO MARTINI

RenatoMartini.Net

17 DE MARÇO DE 2014  

Recentemente a Procuradoria Especializada do ITI exarou uma Nota sobre o tema do hardware criptográfico e seu uso para armazenamento de chaves privadas. 

O texto está publicado e concordo com a essência do documento. Por isso, este artigo, nos limites da sua publicação, não fará nenhuma releitura da sua visão. 

O que não impede que não sendo nenhum texto sacrossanto, não possa ser revisitado pelo profissionais da casa, — a partir de novas demandas sociais e tecnológicas. Desejo apenas fazer algumas anotações sobre o tema, deixando ao leitor a responsabilidade de aprofundar a leitura das fontes. Dou-me por satisfeito se mostrar o espírito que orienta este tema 1.

[1] O primeiro aspecto é o que posso chamar de "uso social" de uma plataforma tecnológica. A ICP-Brasil como um sistema nacional não pode querer se preservar puro diante da vida concreta e real, que sempre dinâmica e mutável, e comparativamente imperfeita face a face com as normas e regras que construímos para infraestruturas.

[2] Segundo aspecto é o aparente equívoco de se pensar que seres humanos podem ter algo assim como "posse de uma chave privada ou secreta". Ao usar usarmos a expressão que "tenho uma chave privada" o faço apenas poranalogia, o que é sempre, e sempre será, a pior forma de definir algo, posto que o defino por mera aproximação. Isto é quase dito num sentido metafórico. Diga-se além do que, e a bem da verdade, que a própria expressão tornada corrente assinatura digital é igualmente uma metáfora.

Visto o uso social da tecnologia ser ponto essencial e irrecusável (ponto [1]). Em outras palavras: monta-se tal ou qual sistema tecnológica para cumprir finalidades sociais. Não há erro gravíssimo em se usar a fortiori, por didatismo que o seja, tais metáforas ou expressões cunhadas por analogia a fatos do mundo da vida. Apenas e tão-somente dever-se-ia ter em mente, em certos casos, a precisão de uma linguagem técnica-formal, o que Alfred Tarski chamou de "linguagem especificada" e a linguagem natural, onde certos temas apenas admitem soluções mais ou menos vagas e "sua solução pode ser unicamente aproximada"2.

Quando a nossa já superada 3 MP 2.200-2 diz: 

"O par de chaves criptográficas será gerado sempre pelo próprio titular e sua chave privada de assinatura será de seu exclusivo controle, uso e conhecimento."

Creio que o espírito da lei, desta ou futura, deve ser preservar o cidadão de qualquer tutela (key recovery ou key escrow) de seus segredos criptográficos pelo Estado. De resto, estamos apenas no campo da semântica: nós não geramos nada, apenas comandamos sistemas de software, geralmente embarcados num hardware, para que ele produza minhas chaves criptográficas. Do mesmo modo não tenho chaves privadas em minha posse. Sim, carrego um cartão de PVC, ou policarbonato vai lá, em meu bolso, ali um chip FIPS-140 onde gerei e armazeno minha chave privada, protegida por uma senha ou PIN4. Este pedaço de "plástico" e seu chip é minha chave? Sim e não. Na verdade, são tantas as mediações entre mim e as chaves plasmadas no circuito integrado, que ficaria temerário afirmá-lo, assim sem maiores considerações. Não, eu não posso ter bits em minha posse, — eu tenho um ICC card, isto sim, um plástico em meu bolso —, mas, por outro lado, posso manifestar meu desejo de usá-los para algo; ou ainda, posso deliberar livremente sobre seus efeitos.

A distância entre o par de chaves que está no chip de meu cartão tipo smartcard ou num dispositivo de hardware tipo HSM5, reside exatamente em todas as complexas camadas de software que possibilitam sua operação efetiva. Um e outro, do pequeno cartão ao hardware mais robusto, tem as mesmas características, resumidamente: operam funções criptográficas básicas e tem algum nível de resistência à violação. Tanto num HSM como num cartão ou token tenho ambas as caraterísticas descritas, e da mesma forma, só tenho acesso a tais dispositivos mediante a presença de drivers, criptoAPIS, um middleware, que fazem de fato exequíveis as cripto operações que nos são exigidas em plataformas como as que temos em nosso país para a ICP-Brasil (Sped, NFe, "conectividade social ICP", e demais).

Revisão v. 2.0 

Uma leitura muito interessante e fundamental sobre este e outros temas é o artigo de Fabiano Menke & Viviane Bertol, que atuaram conosco no ITI: Nota do ITI sobre uso de HSM. [↩]

Cf. A. Tarski. Logic, Semantics, Metamathematics. Hackett Publishing Company, 1983; e também "La concepción semántica de la verdad y los fundamentos de la semántica". In: Teorías de la verdad en el siglo XX. Madrid, Tecnos, 1997. [↩]

Ao falar "superada" não quero em absoluto dizer que ela não tenha realizado seu papel histórico, e mesmo realizado seu ciclo, o fez, e com bastante utilidade ao país. Mas passados quase uma década o seu aspecto quase lacônico relativamente ao uso efetivo que a sociedade fez desta plataforma técnico-jurídica, urge a sua reconstrução e releitura. [↩]

Personal identification number... [↩] 

Hardware Security Module. Pode ser definido como " ... a piece of hardware and associated software/firmware that usually attaches to the inside of a PC or server and provides at least the minimum of cryptographic functions. These functions include (but are not limited to) encryption, decryption, key generation, and hashing. The physical device offers some level of physical tamper resistance and has a user interface and a programmable interface."https://www.sans.org/reading-room/whitepapers/vpns/overview-hardware-security-modules-757. [↩]

Categories: certificação digital, criptografia, ICP-Brasil, ITI Tags: criptografia, HSM, ICP-Brasil

Fonte: http://renatomartini.net 

Novidades Imposto de Renda 2014 _ Vídeo da Receita

Receita lança vídeo na internet com novidades 
Imposto de Renda 2014

Como comprar um Certificado SSL

Ai vão algumas dicas importantes e fundamentais para você que pretende adquirir  Certificados Digitais SSL. Leia o artigo mesmo que você já compre SSL há anos, tem muita novidade no mercado!

Você sabe a diferença entre os certificados SSL, SSL EV, SSL SAN e WILDECARDS? 

Qual é a solução mais adequada pra sua empresa?

A compra de certificados SSL, no mercado brasileiro atualmente demanda atenção e muitas vezes uma consultoria. É necessário que o comprador compreenda os diferentes processos de validação e a diferença entre os tipos certificados digitais SSL. 

O mercado ainda não distingue com facilidade as funcionalidades dos diferentes tipos de certificados SSL. Por exemplo: não é claro as diferenças entre certificados Múltiplos Domínios, Certificados SAN e Wildcards. Os compradores de SSL  não tem o hábito de buscar as informações sozinhos por meio da leitura de tutoriais com informações técnicas disponíveis nos sites dos fornecedores. Somada à falta de tempo do comprador para a leitura, contamos com a falta de informações sobre o assunto. Esse tipo de informação, não está disponível com facilidade. 

Adicionalmente, a compra muitas vezes é atribuída às áreas de compras das empresas que não possuem conhecimento como os técnicos de TI. Portanto, demandam o atendimento personalizado para distinguir entre as diferentes ofertas recebidas dos fornecedores.

Também hoje, muitas empresas optam por servidores em nuvem, nesse caso é necessário conhecimento de quem desenha o projeto de segurança de novas funcionalidades dos SSL e de como aplicar os certificados digitais nesse nova estrutura para não encarecer o projeto. Atenção porque haverá economia de um lado, mas se não for projetado com conhecimento, das duas uma: Ou o projeto vai precisar de um números de SSL superior ao que se usava na antiga estrutura ou poderá haver brechas de segurança que comprometerá todo o projeto.

Também ao adquirir um certificado SSL, o comprador precisa conhecer a DPC de cada autoridade certificadora. Não sabe o que é? Então leia O que é DPC

Leia e explique para sua área de compras que ao adquirir um certificado digital SSL sua empresa estará aderindo aos procedimentos da autoridade certificadora.

Leia também os artigos

Tipos de Certificados SSL para proteger seu site

O que são SSL, SSH, HTTPS?

O que é Certificado SSL EV - Extended Validation?

Não se trata da compra de software e sim contratação de serviços. E serviços de CONFIANÇA.

Regina Tupinambá
Autora do Blog Certificação Digital 

Atuou no start up da Internet brasileira e participou do nascimento da primeira autoridade certificadora no Brasil e a terceira do mundo. Desde 1995 me dedica ao comércio eletrônico nos segmentos de varejo e clientes corporativos.

Desenvolveu no Brasil o mercado de SSL, a área de Educação em Certificação Digital e trabalhou na implantação de importantes Autoridades Certificadoras e de Registro no âmbito da ICP Brasil.

ao longo de 15 anos na Certisign Certificadora Digital,  também dirigiu as  áreas de Marketing, Comercial, Licitações, Ouvidoria, SAC,  Suporte e Treinamentos. 

Hoje é CEO da Insania Publicidade, - www.insania.com.br 

Tá em dúvida do que adquirir? Mande um e-mail pra mim.

e-mail rtupinamba@gmail.com

Este Blog publica matérias e artigos extraídos da mídia que expressam a opinião dos respectivos autores e artigos escritos por mim que expressam, exclusivamente, minha opinião pessoal sem vínculo a nenhuma organização.

Declaração pré-preenchida de Imposto de Renda facilita, mas exige cuidados

Especialista diz que qualquer alteração de dado capturado vai reter o documento.

São Paulo - O contribuinte pode importar a declaração pré-preenchida de 2014 desde que possua certificado digital e tenha declarado em 2013. 

A Declaração do Imposto sobre a Renda Retido na Fonte (Dirf) no ano-base 2013, de responsabilidade da empresa, também precisa estar disponível.

"Outra condição é que a declaração de 2013 não pode estar em malha fina", completa Eliana Lopes, coordenadora de Imposto de Renda da H&R Block, consultoria especializada em serviços de Imposto de Renda da Pessoa Física. O arquivo importado contém informações e valores sobre rendimentos, deduções, bens e direitos e dívidas e ônus reais.

A pré-preenchida facilita o trabalho do contribuinte e evita erros que poderiam reter o documento em malha fina. "A tendência é a Receita Federal fornecer a pré-preenchida cada vez mais completa e o contribuinte apenas dar OK, o que pode elevar a arrecadação pela redução de sonegações", diz Vanessa Miranda, gerente de Tributos Diretos da Thomson Reuters no Brasil.

A opção, porém, envolve custo anual em torno de R$ 100, porque o certificado digital precisa ser adquirido de uma das 14 certificadoras habilitadas. "O certificado também permite obter cópia de declarações e retificar online", explica Ângelo Tonin, diretor de Novo Negócios da Boa Vista Serviços, empresa habilitada a emitir o certificado. Declarar com certificado digital é opcional para a maioria hoje, mas Mariana Pinheiro, presidente da Unidade de Negócios Identidade Digital da SerasaExperian, avalia que essa será uma exigência. "Hoje existe a obrigatoriedade de certificado para declarações com rendimentos acima de R$ 10 milhões."

A declaração pré-preenchida não está disponível para entrega via tablet ou smartphone.

Cuidados

A Receita alerta que "é responsabilidade do contribuinte verificar a correção dos dados pré-preenchidos, devendo realizar as alterações, inclusões e exclusões das informações necessárias".

Anderson Loyola Dumas, professor de Administração Tributária do Ibmec, ressalta que qualquer alteração nos dados pré-preenchidos colocará a declaração em malha fina, por divergência com os arquivos da Receita. "O contribuinte só deve alterar a pré-preenchida se tiver comprovante que justifique a modificação." Ele ressalta que "a Receita ainda não tem acesso antecipado a todos os rendimentos e despesas do contribuinte - por exemplo, um aluguel, recibo de dentista, um novo dependente".

Outro cuidado é não validar a pré-preenchida apressadamente. "Nem pensar que está tudo pronto e é só enviar, precisa verificar se tudo que recebeu e pagou está no documento", alerta o tributarista Samir Choaib, do escritório Choaib, Paiva e Justo.

Como importar

Para gerar o arquivo da pré-preenchida, basta acessar o site www.receita.fazenda.gov.br e clicar em "Certificado Digital", na parte superior direita. Depois, selecionar "Declarações e Demonstrativos" e "Dirpf pre - Declaração do Imposto de Renda de Pessoa Física Pré-Preenchida". Para baixar o arquivo, clicar em "Recuperar" e salvá-lo. Para importar a pré-preenchida, abrir o programa de 2014, clicar em "Importar Declaração Pré-Preenchida" e selecionar a pasta em que o arquivo foi gravado.

Fonte: http://www.d24am.com

Criptografia é a melhor defesa contra as trevas, diz Snowden

Numa participação à distância no festival South by Southwest, Edward Snowden falou sobre o uso da tecnologia para proteger a privacidade

Por: Victor Caputo

"Vigiar as comunicações de todos os cidadãos 

é falha de inteligência." 
Edward Snowden: 

São Paulo – Numa participação à distância no festival South By Southwest (SXSW), que acontece nesta semana em Austin, no Texas, Edward Snowden pregou o uso de criptografia nas comunicações para proteger a privacidade. 

Snowden, ex-prestador de serviços para a Agência Nacional de Segurança (NSA) dos EUA, participou do SXSW à distância, por meio do serviço Google Hangouts. Snowden vive exilado na Rússia por ter passado a jornalistas arquivos secretos sobre espionagem da NSA.

Além de Snowden, a palestra contou com Christopher Soghoian e Ben Wizner, membros da União Americana pelas Liberdades Civis. O grande assunto, como não poderia deixar de ser, foi a vigilância do governo sobre cidadãos e privacidade.

Snowden afirmou que a vigilância é, na realidade, uma grande falha de inteligência. “Nós estamos monitorando todas as comunicações ao invés de comunicações de suspeitos e isso fez com que perdêssemos pistas que poderiam ter nos ajudado”, disse.

Durante a conversa, o analista de segurança e ativista Christopher Soghoian ressaltou que Snowden ajudou a população em diversas maneiras. Graças às suas ações, houve uma retomada na discussão de privacidade e segurança. As consequências disso ajudam a população a se proteger tanto da espionagem do governo, quanto de um hacker que usa um notebook numa loja Starbucks (onde há acesso à internet gratuito).

Snowden ainda disse que é preciso parar o governo para que não haja uma proliferação de ações desse tipo ao redor do mundo. “Se nós permitirmos que a NSA continue fazendo o que faz sem qualquer controle, outras comunidades internacionais irão ver isso como uma luz verde para fazer o mesmo”, disse.

Ele destacou a importância da criptografia na comunicação. “A criptografia funciona. É a nossa defesa contra as artes obscuras do mundo digital”, afirmou Snowden. Os debatedores comentaram que empresas como o Google não têm interesse em aplicar a tecnologia nas comunicações das pessoas uma vez que seus lucros saem do uso das informações pessoas de seus usuários.

O canal de áudio e vídeo com a imagem de Snowden passou por diversos servidores, de modo a ocultar sua localização, antes de chegar à tela do festival SXSW.

Fonte: http://exame.abril.com.br/tecnologia/noticias

Victor Caputo 

Receita Federal usa certificado digital para simplificar a declaração do IR

Dados dos clientes são armazenados em servidores digitais protegidos
Quem tiver o certificado terá todos os dados preenchidos automaticamente

O prazo para a entrega da declaração do Imposto de Renda neste ano já está aberto. Desta vez, os brasileiros começam a conhecer uma opção mais ágil para acertar as contas com o leão. RG, CPF, comprovante de residência, escolha de senhas, registro de biometria, pagamento de taxa. Tudo para autenticar o chamado certificado digital. “Vale a pena a organização porque, se for olhar, é dinheiro”, diz o cineasta Marcos Melo.

O certificado digital é como uma assinatura reconhecida em cartório, só que na internet . Isso prova de que você é você mesmo. Quem regulamenta é o Instituto de Tecnologia da Informação, ligado ao ministério da Casa Civil. Além disso, poucas empresas estão autorizadas a emitir esse carimbo online.

Segurança é uma das exigências que o Instituto de Tecnologia da Informação faz às autoridades certificadoras. Os dados dos clientes são armazenados em servidores que ficam numa sala cofre a cinco portas, sendo três delas de aço. Nesses sistemas, só passam técnicos autorizados e identificados por biometria.

Neste ano, a Receita Federal decidiu usar a ferramenta para as declarações de Imposto de Renda. Para quem já tiver o certificado, a Receita vai preencher automaticamente alguns dados da declaração, aqueles já informados pelas empresas empregadoras.

A novidade traz agilidade e segurança na declaração, segundo as empresas certificadoras. “Você já sabe o que está na base da Receita e evita aquela situação em que, às vezes, pode ter um erro de digitação ou até mesmo receber um comprovante com informação equivocada. Aí você acaba fornecendo uma informação diferente do que a Receita recebeu”, explica Mariana Pinheiro presidente de identidade digital da Serasa.

“A ideia é que essa declaração, que está começando agora, se torne a principal declaração, com o contribuinte recebendo todas as informações e apenas conferindo esses dados e reenviando à Receita Federal”, diz Joaquim Adir, supervisor do Imposto de Renda/Receita Federal.

Assista o vídeo neste Link.

Fonte: http://g1.globo.com/jornal-da-globo/noticia/2014/03/ 

Renata RibeiroSão Paulo, SP

Nota do ITI sobre uso de HSM - Por Viviane Bertol e Fabiano Menke

PKIconsulting Blog › PKIconsulting

Por Viviane Bertol e Fabiano Menke
Posted on 02/03/2014 at 14:26

O presente artigo foi escrito no mês de novembro de 2012. Em 12.02.2014, a Procuradoria Federal Especializada do Instituto Nacional de Tecnologia da Informação veiculou Nota Pública em que registrou: “Em revisão de seu posicionamento anterior, externado em nota pública datada de 03 de outubro de 2012, não se pode afirmar, antecipadamente, que assinaturas digitais de pessoas físicas providas por meio de certificados armazenados em soluções mercadológicas de uso compartilhado de HSM (Hardware Secure Module), em modelo de rede, seja inválida“. Para a íntegra da Nota Pública de 12.02.2014, acessar: http://www.iti.gov.br/noticias/indice-de-noticias/4581-nota-publica-sobre-assinatura-digital-hsm

Devem ser consideradas inválidas, sob a ótica jurídica, as assinaturas digitais apostas com base em chave privada armazenada em HSM (hardware secure module)?

Fabiano Menke

Professor da Faculdade de Direito da Universidade Federal do Rio Grande do Sul. Doutor em Direito pela Universidade de Kassel, Alemanha. Mestre em Direito pela Universidade Federal do Rio Grande do Sul. Autor dos livros Die elektronische Signatur im deutschen und brasilianischen Recht: Eine rechtsvergleichende Studie, publicado pela Editora Nomos, na Alemanha, em 2009, e A Assinatura Eletrônica no Direito Brasileiro, publicado pela Editora Revista dos Tribunais, em 2005. 

Viviane Bertol

Consultora em certificação digital, com Mestrado e Doutorado nessa área pela Universidade de Brasília. Trabalhou no Instituto Nacional de Tecnologia da Informação (ITI) na Coordenadoria-Geral de Auditoria e Fiscalização e Coordenadoria-Geral de Normalização e Pesquisa, tendo participado da elaboração de metodologias de auditoria e realizado auditorias em Autoridades de Registro e Autoridades Certificadoras. Participou da elaboração de diversos normativos da ICP-Brasil.

Sumário: 1- Introdução; 2- O funcionamento dos Hardware Secure Module (HSM); 3 – A questão da validade jurídica no âmbito da ICP-Brasil; 4 – O controle da chave privada no âmbito da Medida Provisória nº 2.200-2 e das regras da ICP-Brasil; 5 – Conclusões.

1- Introdução

Em 03.10.2012 o Instituto Nacional de Tecnologia da Informação exarou Notificação Pública com o seguinte teor[1]:

“A geração e a guarda da chave privada de pessoa física em HSM (Hardware Secure Module), compartilhado por outras pessoas físicas (modelo de rede, com o HSM controlado por um servidor), contraria o padrão ICP-Brasil, de forma que as manifestações eletrônicas que utilizem essa solução não terão validade jurídica, haja vista que a Medida Provisória nº 2.200-2, de 24 de agosto de 2001, em seu art. 6º, parágrafo único, é expressa:

Art.6º(…).

Parágrafo único. O par de chaves criptográficas será gerado sempre pelo próprio titular e sua chave privada de assinatura será de seu exclusivo controle, uso e conhecimento.

Logo, a validade jurídica da assinatura digital ICP-Brasil encontra-se condicionada à tutela exclusiva da chave privada pelo seu titular, fato esse inocorrente acaso se utilize a solução de HSM como um centralizador de diversas chaves privadas de pessoas físicas, haja vista que o controle, uso e conhecimento exclusivo da chave privada pelo seu titular é requisito imprescindível para a segurança das manifestações eletrônicas e a sua consequente validade jurídica.”

Ou seja, de acordo com a Notificação Pública, não terão validade jurídica os documentos eletrônicos assinados com base em chave privada armazenada nos denominados HSM (Hardware Secure Module, que vem sendo traduzido para o português como “módulo criptográfico de segurança”), quando este (o HSM) for compartilhado, ou seja, quando mais de uma pessoa tenha a sua chave privada gravada no mesmo HSM.

A seguir, faremos uma análise da referida Notificação Pública, confrontando-a com a Medida Provisória nº 2.200-2 e com as normas pertinentes da ICP-Brasil (resoluções do Comitê Gestor e demais regras) a fim de chegarmos a uma conclusão de se é correto afirmar que os denominados HSMs compartilhados efetivamente gerarão assinaturas digitais inválidas sob o ponto de vista jurídico.

A fim de responder esse questionamento, descreveremos o funcionamento do HSM compartilhado (2); analisaremos a questão a partir do exame da validade jurídica do documento eletrônico assinado digitalmente (3); passando pelo aspecto do controle da chave privada de acordo com o disposto na Medida Provisória 2.200-2 e nas regras da ICP-Brasil (4) e finalizaremos com a conclusão (5).

2. O Funcionamento dos HSMs

2.1 Introdução

A sigla HSM significa “Hardware Security Module” ou, em Português, Módulo de Segurança Criptográfica (MSC).

Um HSM é um dispositivo de criptografia baseado em hardware, fisicamente seguro e resistente à violação, que fornece funcionalidades criptográficas com capacidade de geração e armazenamento de chaves criptográficas simétricas e assimétricas voltadas para utilização em uma Infraestrutura de Chaves Públicas (ICP).

Um HSM gera, armazena e protege chaves criptográficas e geralmente fornece aceleração de hardware para operações criptográficas. Pode se constituir de um dispositivo independente ou apenas de uma placa auxiliar. Nesse último caso, atende unicamente ao servidor em que está instalado. Caso seja um dispositivo independente, um HSM pode atender a diversos servidores, via rede, dependendo de seu modelo e da forma como foi configurado.

Para prover segurança às chaves criptográficas e parâmetros críticos nele armazenados, um HSM mantém conformidade com padrões de construção de hardware, levando em consideração os mais diversos ataques possíveis. Exemplos de padrões são:

FIPS PUB 140-2 (publicado pelo governo americano)

ITSEC Common Criteria (ISO/IEC 15408) (baseado no padrão europeu ITSEC para avaliação de segurança de produtos e sistemas)

Manuais de Condutas Técnicas 7 (MCT-7) da ICP-Brasil (publicado pelo Instituto Nacional de Tecnologia da Informação)

Esses padrões estabelecem requisitos de conformidade e classificam os equipamentos em níveis crescentes, levando em consideração projeto, especificação, ambiente operacional, contenções de ataques e procedimentos de autenticação.

2.2 Utilização de HSMs na ICP-Brasil

A ICP-Brasil admite a utilização de HSMs e de outros dispositivos criptográficos, como cartões ou tokens, para a geração e guarda de chaves de titulares de certificados do tipo A3, A4, S3 e S4, desde que tais dispositivos estejam homologados na ICP-Brasil (ver documento Padrões e Algoritmos Criptográficos da ICP-Brasil (DOC ICP-01.01) - Versão 2.3 de 06 de julho de 2012):

O processo de homologação na ICP-Brasil está definido no documento Regulamento para Homologação de Sistemas e Equipamentos de Certificação Digital no Âmbito da ICP-Brasil (DOC-ICP-10) – Versão 3.0 de 27 de setembro de 2012.

Segundo aquele documento, a homologação tem por objetivo “asseverar a plena aderência dos sistemas e equipamentos avaliados aos padrões e especificações técnicas mínimos estabelecidos nas normas editadas ou adotadas pela ICP-Brasil, tendo como enfoque específico a garantia da interoperabilidade desses sistemas e equipamentos e a confiabilidade dos recursos de segurança da informação por eles utilizados.“

Os sistemas e equipamentos homologados devem atender aos requisitos técnicos definidos nos Manuais de Conduta Técnica (MCT) elaborados pelo Instituto Nacional de Tecnologia da Informação (ITI).

Para obter a homologação o fabricante ou outra parte interessada solicita a avaliação do dispositivo criptográfico a um laboratório acreditado, municiando-o de documentação e exemplares do dispositivo, para avaliação e testes. Caso o produto atenda ao disposto no MCT respectivo, a homologação é concedida e publicada no Diário Oficial da União.

Uma relação completa dos dispositivos homologados é mantida na página http://www.iti.gov.br/servicos/homologacoes/132-servicos/homologacoes/4550-processos-de-homologacoes

No caso específico de HSMs, aplica-se o MCT 7 – Volume I – Requisitos, Materiais e Documentos Técnicos para Homologação de Módulos de Segurança Criptográfica (MSC) no Âmbito da ICP-Brasil – versão 1.0 – São Paulo, 23 de novembro de 2007.

Segundo o MCT-7:

“O objetivo do processo de homologação do módulo de segurança criptográfico é propiciar a interoperabilidade e operação segura do serviço criptográfico ICP oferecido por um módulo de segurança criptográfico por meio da avaliação técnica de aderência aos requisitos técnicos definidos para este processo.”

…..

“O processo de homologação é baseado em um conjunto de requisitos técnicos que devem ser atendidos por um módulo de segurança criptográfico para garantia da interoperabilidade e operação segura.

Esses requisitos técnicos são avaliados segundo ensaios de aderência aos requisitos técnicos. Para a realização dos ensaios, a parte interessada deve submeter ao processo de homologação um conjunto de materiais requisitados, através de um procedimento denominado depósito de material.”

Segundo o MCT-7, os HSMs utilizados na ICP-Brasil devem atender a requisitos técnicos relativos às seguintes áreas:

Documentação do módulo criptográfico

Identificação de portas e interfaces do módulo criptográfico

Nível de identificação de papéis, serviços e autenticação do operador

Descrição do modelo de estado finito

Nível de segurança física

Ambiente operacional

Gerenciamento de chaves criptográficas

Interferência e compatibilidade eletromagnética

Auto-testes

Garantia do projeto

Mitigação de outros ataques

Algoritmos criptográficos obrigatórios

Gerenciamento

Interoperabilidade

Restrição de substâncias nocivas.

Para o estudo ora em foco, ou seja, para avaliar se é viável a utilização de um HSM para armazenamento de chaves privadas de diferentes titulares de certificados, vamos analisar alguns desses requisitos, a saber:

Nível de identificação de papéis, serviços e autenticação do operador

O MCT 7 prevê diferentes papéis para acesso a um HSM:

“REQUISITO III.3.3: [FIPS 140-2, 4.3.1] O módulo criptográfico deve suportar, no mínimo, os seguintes “papéis autorizados”:

● Oficial de segurança (SO): Necessário para realizar funções de gerenciamento, inicialização, distribuição e fechamento de acesso ao módulo.

● Usuário: Necessário para realização de serviços de segurança oferecidos pelo módulo depois de sua inicialização, incluindo operações criptográficas, criação de chaves criptográficas, o uso do sistema de arquivos, sobrescrita do valor de chaves criptográficas com zeros binários (key zeroization), etc….. “

Com relação ao papel de usuário, especifica o MCT os seguintes requisitos:

“3.3.1.1 Papel de acesso Usuário

REQUISITO III.3.6: Funcionalidades atribuídas ao papel de acesso “Usuário” devem incluir:

Manipulação (leitura, escrita, criação e remoção) de chaves criptográficas e PCS no módulo criptográfico;

Acesso às funcionalidades de segurança, como por exemplo: autenticação, transferência segura de mensagens por meios eletrônicos (secure messaging), criptografia, decifração, assinaturas digitais, geração de resumos criptográficos (hashing) e códigos MAC, etc;

Geração de chaves RSA;

Requisição de informações de estado do módulo criptográfico.”

Do acima visto, conclui-se que é possível a utilização do HSM por diferentes usuários e que esses usuários podem e realizar funções geração de chaves criptográficas e assinatura digital .

Relatório de Emissão de certificados digitais por AC - JAN 2013/JAN 2014

Grupos de ativistas dizem planejar invadir sites vinculados à da Copa do Mundo

Grupos de ativistas dizem planejar invadir sites vinculados à organização da Copa do Mundo ou de seus patrocinadores, como forma de protesto ao Mundial. 

De acordo com a agência inglesa de notícias Reuters, o grupo conhecido como Anonymous já colocou os sites oficiais do torneio da Fifa como alvo para futuros ataques cibernéticos. 

Ainda assim, o governo brasileiro afirma que estará pronto para lidar com esse tipo de situação e evitar a atuação dos hackers durante a Copa no país.

- Seria imprudente para qualquer nação que dizer que é 100% segura com relação a uma ameaça digital, mas o Brasil está preparado para responder a isso - afirmou o general José Carlos dos Santos, chefe do comando cibernético do Exército.

A agência inglesa de notícias Reuters conversou com um dos hackers ativistas que prometem ataques contra os sites vinculados à Copa. Com o nome fictício de Eduardo Dioratto, ele afirma que os grupos saberão driblar a segurança cibernética brasileira para promover as invasões.

- Nós já estamos com tudo planejado, não acho que há muito o que eles possam fazer para nos impedir - disse.

Segundo os ativistas, a Copa do Mundo oferece uma audiência internacional muito grande que pode ser aproveitada para mostrar a indignação dos grupos com relação ao Mundial no Brasil.

\\\\\\\'Rápido e prejudicial\\\\\\\'

Uma das estratégias utilizadas pelo grupo Anonymous para os ataques cibernéticos é tirar um site do ar por meio de uma sobrecarga de acessos simultâneos. De acordo com outro ativista ouvido pela Reuters, essa e outras táticas serão utilizadas contra páginas de empresas parceiras da Fifa e terão um efeito \\\\\\\"devastador\\\\\\\".

- Os ataques serão direcionados aos sites oficiais e outros de empresas que patrocinam a Copa. Será rápido, devastador e relativamente simples de executar - explicou outro ativista com o nome fictício de Che Commodore.

Especialistas concordam que pouca atenção tem sido dada à estrutura de telecomunicações no Brasil e que a segurança cibernética ainda recebe pouco investimento.

- Não é uma questão de se a Copa será alvo desses ataques, mas sim de quando isso vai acontecer. Então a resistência e a resposta a esses ataques serão extremamente importantes - disse William Beer, especialista em segurança cibernética e consultor da empresa Alvarez&Marsal.

A Fifa, por enquanto, ainda não se pronunciou sobre o assunto.

Redação do FNDC Fonte: Correio do Brasil