Entenda o universo dos Certificados de Atributo

Por Viviane Bertol

Este artigo objetiva apresentar o que são Certificados de Atributo, como estão regulamentados para uso na ICP-Brasil, quais suas possíveis utilizações e como se tornar uma EEA – Entidade Emissora de Atributos.

Utilização dos Certificados de Atributo

O Certificado de Atributo é uma ferramenta que pode trazer facilidades em termos de segurança e interoperabilidade na gestão de documentos eletrônicos (GDE), agregando não só segurança técnica, mas principalmente segurança jurídica aos processos eletrônicos [1].

Os Certificados de Atributo podem ser usados para as mais diversas finalidades:

·         identificação de profissionais que pertencem a determinada categoria;

·         identificação e definição de cargos/hierarquias de funcionários e servidores de empresas ou órgãos públicos;

·         identificação de pessoas que fazem jus a determinado direito;

·         restrição de acesso de determinados usuários às aplicações;

·         delegação de poderes (procuração);

·         afirmação de fatos sobre o titular que sejam do conhecimento da Entidade Emissora de Certificados de Atributo.

Descrição do Certificado de Atributo

Um certificado de atributo é um documento eletrônico que contém um conjunto de atributos (qualificações) que se referem a um titular (normalmente uma pessoa ou empresa). Seu formato e sintaxe estão definidos pelo padrão X.509 [4], o mesmo padrão utilizado para certificados digitais, o que pode gerar certa confusão.

O certificado digital associa seu titular a uma chave pública. É assinado por uma Autoridade Certificadora.

Já o certificado de atributo não possui chave pública. É assinado digitalmente por uma entidade confiável (chamada de Entidade Emissora de Certificado de Atributo). Pode ser utilizado isoladamente ou em conjunto com um certificado digital. Assim, os atributos constantes no certificado de atributo podem ser alterados ou mesmo revogados sem que isso implique a revogação do certificado digital.

Principais diferenças entre Certificado Digital e de Atributo

A tabela a seguir elucida as principais diferenças entre esses dois tipos de certificados:

Tabela 1 - Comparação entre Certificado Digital e Certificado de Atributo

Característica	Certificado Digital	Certificado de Atributo
Padrão de formato e sintaxe	X.509	X.509
Emissor do Certificado	Autoridade Certificadora (AC)	Entidade emissora de Certificado de Atributo (EEA)
Usuário do Certificado	Titular do Certificado Digital	Titular do Certificado de Atributo
Relação definida no Certificado	Titular ó chave pública	Titular ó atributo
Revogação	Lista de Certificados Revogados (LCR) ou OCSP	Lista de Certificados de Revogados (LCR) ou OCSP

Fonte: [2] e adaptação da autora

Outra boa elucidação sobre o tema pode ser obtida na RFC 5755 [3].

“Algumas pessoas confundem Certificados Digitais e Certificados de Atributo. Uma analogia pode fazer a distinção clara. O Certificado Digital pode ser considerado como um passaporte: identifica o titular, tende a durar por um longo período de tempo e não deve ser trivial de obter. Um Certificado de Atributo é mais parecido com um visto de entrada: é normalmente emitido por uma autoridade diferente e não dura por muito tempo. Obter um visto pode ser um processo mais simples do que obter um passaporte, já que a obtenção de um visto normalmente exige a apresentação de um passaporte.”.

Certificados de Atributo no âmbito da ICP-Brasil

No Brasil a utilização de Certificados de Atributo foi regulamentada pela Resolução 93 do Comitê Gestor da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), de 05 de julho de 2012 [1] que aprovou o documento DOC-ICP-16 - VISÃO GERAL SOBRE CERTIFICADO DE ATRIBUTO PARA A ICP-BRASIL.

“1.3 O uso do certificado de atributo, de forma autônoma ou em conjunto ou diretamente vinculado ao certificado digital pode propiciar um maior fator de segurança para as aplicações, visto que agrega a possibilidade de verificação dos atributos de qualificação do titular do certificado digital. A responsabilidade para emissão de um certificado de atributos é da Entidade Emissora de Certificado de Atributo (EEA) que de fato possui o direito de qualificar o requerente do certificado. As qualificações são representadas por atributos que estão presentes em um certificado de atributos.

Esse tipo de certificado foi criado para atender a uma demanda da sociedade brasileira, que não encontrou no modelo de certificado digital adotado pela ICP-Brasil, em 2001, resposta para várias necessidades de identificação e qualificação dos titulares.

O modelo inicialmente adotado pela ICP-Brasil foi um perfil de certificados chamado de centralizado, pois um único certificado reúne as funções de identificação e de qualificação do seu titular.

Exemplo de campos de IDENTIFICAÇÃO são o nome e data de nascimento do usuário. Exemplos de campos de QUALIFICAÇÃO são o CPF e Título de Eleitor, informações que conferem atributos ao portador: o de ser contribuinte da Receita Federal do Brasil (RFB) e o de ser eleitor cadastrado no Tribunal Regional Eleitoral (TRE), respectivamente [2].

Houve uma tentativa de incluir ainda outros tipos de atributos nos certificados digitais ICP-Brasil, com a criação de campo específico para números de órgãos de classe[1] mas apenas duas entidades solicitaram sua utilização ao Instituto Nacional de Tecnologia da Informação, que faz a gestão desse campo, o que demonstra as limitações desse modelo.

“O problema com o perfil centralizado é que muitas vezes a validade de um atributo é diferente da validade do certificado digital. Além disso, a autoridade que concede um atributo, geralmente não é a mesma que concede o certificado digital [FARRELL et al, 2010, p.2]. Por exemplo: uma Autoridade Certificadora (AC) tem a prerrogativa legal de emitir o certificado digital, mas não pode designar o atributo “médico” ao portador, uma vez que esta prerrogativa é do Conselho Federal de Medicina (CFM). Isso resulta em medidas adicionais para que o emissor do certificado digital obtenha as informações de atributos provenientes da fonte de autorização para que possam ser inseridas no certificado digital”. [2].

Outro problema com o modelo centralizado é que podem ocorrer alterações nos atributos do titular (por exemplo, um profissional registrado no órgão de classe deixa de exercer a profissão). Com isso, o certificado digital deve ser revogado, o que leva à necessidade de gerar um novo certificado digital, com os custos e transtornos associados.

Com a Resolução 93, a ICP-Brasil adotou outro modelo de perfil de certificado, que é aquele no qual existe a separação das funções de identificação e de qualificação, chamado de descentralizado.

“Neste formato, a identificação fica a cargo de um Certificado Digital de uma ICP e todos os atributos (qualificadores do usuário) apresentam-se no formato de Certificado de Atributo. Esses qualificadores definem os privilégios de acesso dos usuários concedendo-lhes permissões. Esse perfil apresenta vantagens em relação ao centralizado, pois a revogação do Certificado de Atributo ocorre independentemente da revogação do Certificado Digital. Além disso, existem atributos que, dependendo dos requisitos de segurança da aplicação e dos prazos de vigência, dispensam o uso de mecanismos de revogação. Exemplo: um Certificado de Atributo de estado civil emitido por um cartório não necessita de controle de revogação, basta que a validade seja pequena (algumas horas segundo, FARRELL et al (2010)) e que o sistema usuário não considere a revogação como algo relevante. Nesta situação, apenas a validade do Certificado de Atributo é relevante.

Outra vantagem do Certificado de Atributo é a simplicidade da infraestrutura. Serve para qualificar usuários e, assim, não necessita de validação do usuário para sua emissão ou mesmo da sua autorização.

Os serviços eletrônicos que necessitam altos níveis de segurança precisam basicamente de duas verificações: identificação correta do usuário (autenticação) e a concessão dos privilégios aos quais o usuário têm direito de acesso. Uma vez que o processo de identificação ocorra usando um Certificado Digital, de uso geral e comum para todos os sistemas, os privilégios poderiam ser efetuados pelos mais variados Certificados de Atributo. [2].”

Tipos de Certificados de Atributo

Para a ICP-Brasil foram definidos dois tipos de Certificados de Atributo [1]:

Certificado de Atributo Autônomo (CAA) - pode ser emitido sem a presença do titular e não requer a existência de um certificado digital associado. “O processo de emissão requer apenas que a EEA seja a entidade gestora do atributo que será inserido no certificado de atributo assinado. Obviamente é necessário que o certificado de atributo guarde alguma relação direta ou referência com alguma informação relativa ao cidadão (RG, CPF, entre outros) ou a empresa (CNAE, CNPJ, entre outros)”.

Certificado de Atributo Vinculado ao Certificado Digital (CAV) – “este certificado se caracteriza por ter um vínculo direto com algum certificado digital ICP-Brasil previamente emitido. Isso garante maior segurança ao processo de autenticação e autorização associado ao uso da certificação digital. Enquanto o certificado digital permite a identificação de seu titular, o certificado de atributos qualifica este mesmo titular para um determinado ato. Para a emissão de um CAV, a EEA tem que necessariamente ter acesso ao certificado digital do titular para poder associar as informações constantes do certificado digital ao certificado de atributo a ser emitido.”

Um exemplo de utilização de Certificados de Atributo Autônomos seria a emissão desses certificados por instituições públicas, para servirem como certidões ou declarações a respeito do titular. Essa estratégia traria diversos benefícios: a) emissão de um documento eletrônico, neste caso uma certidão eletrônica, com valor probante; b) a certidão eletrônica, na forma de um certificado de atributo, poderia ser tratada (interpretada) eletronicamente, seja para aferir a autenticidade, seja ainda para dar a devido tratamento em um processo eletrônico; c) interoperabilidade em operações eletrônicas seguras [1].

Um Certificado de Atributo Vinculado pode ser usado em conjunto com o certificado digital para autenticação em sistemas, por exemplo. O certificado digital serviria para a autenticação do titular no sistema, enquanto o certificado de atributo seria utilizado para permitir seu acesso às transações para as quais estivesse autorizado.

O caso mais importante de utilização de certificado de atributo no país, até o momento, é a emissão de carteiras estudantis.

“O certificado digital no padrão da Infraestrutura de Chaves Públicas Brasileira – ICP-Brasil será o certificado de atributos, modelo que tem validade jurídica quando assinado com um certificado digital da ICP-Brasil de propriedade da entidade que conceda determinado atributo. Na prática, o cidadão terá sua carteira estudantil emitida quando uma das entidades estudantis, em posse de seu certificado digital ICP-Brasil, assinar digitalmente a emissão do atributo. Declarando eletronicamente que determinada pessoa é estudante, a entidade estudantil responsabiliza-se pela emissão, data de validade e que efeitos legais o título de estudante concederá proprietário desta identidade estudantil.“ [5].

Quem serão as Entidades Emissoras de Certificados de Atributo no Brasil?

Os Certificados de Atributo são emitidos por uma Entidade Emissora de Atributos (EEA), que é a entidade que detém prerrogativa legal na verificação e gestão do atributo conferido. Segundo [1], a premissa para que uma instituição, empresa ou entidade seja também uma EEA é que essa seja responsável pela gestão do ciclo de vida daqueles atributos e do respectivo certificado gerado a partir dos atributos escolhidos. Há inúmeros exemplos de atributos, assim como são inúmeras as entidades candidatas a emitirem Certificados de Atributo. A relação desta entidade com a ICP-Brasil se faz tão somente quando esta mesma entidade emissora assina o certificado de atributo com um certificado digital pertencente à cadeia de confiança da ICP-Brasil. O simples fato de assinar um certificado de atributos com um certificado digital padrão ICP-Brasil confere a esse todas as prerrogativas legais, já que um certificado de atributos é um documento eletrônico assinado num formato específico, neste caso no formato X.509.”

Exemplos de entidades que podem se tornar Emissoras de Certificados de Atributo:

·         órgãos de classe – OAB, CAU, CREA, CFM etc. podem utilizar essa tecnologia para identificar seus profissionais para acesso aos sistemas informatizados respectivos. Um exemplo seria a utilização de certificados de atributo emitidos pelo CREA para limitar aos engenheiros em situação regular o acesso a sistemas eletrônicos de preenchimento de Anotações de Responsabilidade Técnica;

·         faculdades e escolas - podem emitir diplomas e certificados de conclusão para seus alunos, utilizando formato que poderá ser reconhecido por diferentes aplicações; 

·         cartórios e registadores - podem utilizá-lo para emitir certidões dos mais diversos tipos;

·         laboratórios - podem emitir laudos de exames realizados;

·         órgãos públicos – podem emitir certificados de atributos para concessão de benefícios à população em geral, como bolsa-família;

·         empresas em geral - podem emitir certificados de atributo para limitar as operações que cada funcionário pode realizar com seu certificado digital, de acordo com o cargo que ocupa; podem emitir certificados de atributos para concessão de benefícios aos seus funcionários, como vale-alimentação, vale-cultura etc.

Para assinar o certificado de atributo, a Entidade Emissora de Atributo deve utilizar um certificado digital ICP-Brasil de Pessoa Jurídica do tipo A3 ou A4, sendo recomendado que a instituição reserve um certificado digital exclusivamente para essa finalidade.

Para garantir a interoperabilidade dos sistemas, a ICP-Brasil recomenda que a EEA padronize os atributos cuja gestão está a seu cargo, bem como obtenha um. Os OIDs podem ser solicitados à IANA (Internet Assigned Number Authority), de forma gratuita.

O investimento para se tornar uma EEA não é muito expressivo, se escolhidas as soluções adequadas. Para isso recomenda-se a contratação de assessoria especializada, que ajudará na concepção geral do modelo de negócios, na escolha das ferramentas e no registro dos Identificadores de Objeto (OID) para cada atributo.

Conclusão

O uso de Certificados de Atributo ainda está embrionário no País, possivelmente por falta de conhecimento desse poderoso recurso tecnológico e dos benefícios que pode trazer, principalmente por parte da comunidade desenvolvedora de sistemas e de gestores de negócios das empresas privadas e organizações públicas.

O Instituto Nacional de Tecnologia da Informação está empenhado em fomentar o uso de Certificados de Atributo. Para tanto, está desenvolvendo um Sistema Gerenciador de Certificados de Atributo, em parceria, com o Laboratório de Segurança em Computação – LabSEC da Universidade Federal de Santa Catarina – UFSC.

Algumas empresas também já oferecem soluções para as Entidades Emissoras de Certificados de Atributo, como plataformas completas que facilitam a criação e gestão desses certificados, bem como sua utilização para autenticação e autorização de acesso a sistemas seguros.

Espera-se que com isso a sociedade brasileira comece a utilizar essa tecnologia de forma mais abrangente e efetiva essa importante ferramenta tecnológica.

Sobre a Autora
Viviane Bertol - CEO da PKI Consulting.

Doutora em Engenharia Elétrica pela Universidade de Brasília (UnB), com ênfase nas áreas de Segurança da Informação e Certificação Digital.	.
Possui certificação internacional como Auditora Certificada em Sistemas da Informação (CISA) pelo Information Systems Audit and Control Association (ISACA).’
Trabalhou no Instituto Nacional de Tecnologia da Informação (ITI) na Coordenadoria-Geral de Auditoria e Fiscalização e também na Coordenadoria -Geral de Normalização e Pesquisa.
Atuou como Consultora em Segurança de Redes e Certificação Digital pela União Europeia para difundir o uso da Certificação Digital nos países do Mercosul, de 2009 a 2011

Publica artigos e ministra palestras em seminários e congressos de Segurança da Informação com regularidade , no Brasil e no exterior.

 Atualmente é CEO da PKI Consulting.

Bibliografia

[1] Comitê Gestor da ICP-Brasil. Resolução n° 93, de 05 de julho de 2012 – Estabelece o documento visão geral sobre Certificado de Atributo versão 1.0  para a ICP- Brasil (DOC-ICP-16). Infraestrutura de Chaves Públicas Brasileira. Disponível em: . Acesso em: 24 mar 2014 

[2] Fukushima C. Aplicabilidade de Certificados de Atributo no Âmbito da ICP-Brasil. 176 p. Dissertação (Mestrado em Engenharia da Computação) - Instituto de Pesquisas Tecnológicas do Estado de São Paulo - IPT, São Paulo, 2010.

[3] Farrell, S; Housley, R. - RFC 5755 – An Internet Attribute Certificate Profile for Authorization, jan, 2000.

[4] ITU-T Rec. X.509 ISO/IEC 9594-8 - The Directory: Public-key and attribute certificate framework,  mar, 2000.

[5] ITI Notícias – Disponível em: http://www.iti.gov.br/noticias/indice-de-noticias/4186-une-lanca-carteira-estudantil-com-certificado-digital-icp-brasil Acesso em: 25 mar 2014.

[6] ITI Notícias – Disponível em: http://www.iti.gov.br/noticias/indice-de-noticias/4592-iti-e-ufsc-apresentam-sistema-gerenciador-de-certificados-de-atributos.  Acesso em: 25 mar 2014.

---

[1] OID 2.16.76.1.4 - Identificação de Atributos Opcionais de Certificado

Tecnologia digital no RH

Novos tempos pedem novas estratégias 

para a área de gestão de pessoas

Por: Roni Franco

A tecnologia digital está mudando os departamentos de recursos humanos das empresas, o que implica dizer que faz crescer a descentralização da gestão dos talentos. Hoje, os colaboradores participam mais do dia a dia de trabalho e podem gerenciar melhor suas carreiras e um novo perfil de profissional é exigido pelas empresas: o estrategista de RH, que deve pensar, estudar e agir estrategicamente para o bom desempenho de suas funções.

Ao contrário do século passado, quando o trabalhador era tido quase que como uma máquina, o colaborador de hoje efetivamente participa e tem responsabilidade sobre o negócio. E os recursos humanos estão cada vez mais entrosados com as diversas áreas das empresas, de forma que a integração se tornou a tônica nas companhias modernas, mediante uma gestão personalizada de talentos.

O advento do cloud computing, por exemplo, vem flexibilizando e agilizando a gestão de talentos, o que resulta melhores serviços para o negócio. Mais: atualmente, existe a tendência de os profissionais de RH gerenciarem aplicativos externos e gerarem sistemas para a própria empresa, facilitando seu cotidiano. É o que aponta estudo do Accenture Instituteof High Performance do início deste ano de 2014.

Já um levantamento da AfferiLab, também de 2014, indica que a área de RH tem como grande desafio no momento desenvolver novas lideranças com vistas a aumentar os índices de retenção, engajamento e desenvolvimento de colaboradores. Um dos reflexos dessa constatação é o fato de que, hoje, os profissionais de recursos humanos mais experientes têm sido justamente os mais procurados pelas empresas, pois entre eles é que, normalmente, se distinguem os líderes.

Em 2014, 65% das contratações na área foram para cargos de nível sênior, de acordo com uma outra pesquisa, esta realizada pela Page Personnel. O estudo aponta ainda que os cargos mais demandados são os de analista sênior de departamento pessoal, de remuneração, business partners e analistas seniores, para os setores de bens de consumo, varejo, construção civil e serviços.

Estão todos visando à uma produtividade cada vez maior, o que faz do RH um departamento estratégico para o negócio. Sendo assim, procuram-se mais candidatos com boa estrutura comportamental e capacidade de analisar o negócio, excelente conhecimento sobre as outras áreas da empresa, foco em resultados e facilidade para negociar. A tecnologia digital acelera as movimentações das empresas, e os planos são traçados para o curto prazo. A área de RH, por sua vez, tem de andar par e passo, cada vez mais depressa, e, para isso, está se tornando muito mais ágil e flexível.

Roni Franco é sócio da TG&C - Trevisan Gestão & Consultoria e da Efycaz Trevisan - Aprendizagem em Educação Continuada.

Fonte: http://www.callcenter.inf.br

Bitcoin: The future of Banking

Recently a friend of mine, I still have one left, entered her local bank carrying a bag of coins. She approached the counter, envisioning a simple transaction; she informed the teller that it was her intention to lodge this money to her account. The teller declined the simple request by informing her that “We have stopped taking coin over the counter.”

It would appear that my friend’s bank, like many others, is moving towards an era, and pushing its customers with it, where all transactions within the branch are, wherever possible, electronic. That need to change is going to cause problems for the, ever decreasing number of, technologically challenged consumers. But customers will have to accept these changes if they want to utilize a government-run monetary system that depends upon banks to carry out the necessary functions of distribution.

CCN

Banks, at least in Europe, have changed. The good old day’s where there were numerous well staffed branches in every street are long gone; we now have smaller, leaner structures that offer an ever decreasing level of services. The banks have, through their own actions, had change forced upon them.

Bitcoin, today’s decentralized cryptocurrency of choice also has its problems; it is far from perfect, but it just might well turn out to be perfect enough. Bitcoin has more in common with commodities; it is actually more seen as more akin to a type of asset, much like gold, than it is to a currency. Many holders seek to hold bitcoins for speculation, or store-of-value, rather than to use it as a currency and to transact business.

When all else goes belly-up, there will still be gold, silver and Bitcoin. This mentality is often seen following a severe recession (The second great depression?) and indeed, following the recent world-wide financial crisis, and the near total collapse of the euro currency, a collapse averted only by quantitative easing (central bank money-printing), it’s easy to see Bitcoin’s appeal. There is also the issue that any alternative to national, fiat currency should be welcomed, if only because open competition always acts to benefit consumers.

Bitcoin’s advantages

Bitcoin has numerous advantages over fiat, or traditional forms of money, Bitcoin is relatively free of transactional charges, at least in comparison to banks and PayPal, and governments are not as free to use it as a tool to manipulative markets. Bitcoin is also seen to be a well structured innovative technological platform that has the capacity to support numerous other applications.

Banking is harnessing new technologies to cut costs and increase profits, but cryptocurrencies must be seen, at least by the governments and the banks, as destructive technology. Bitcoin has the capacity, properly developed, to transform, undermine and destroy banking’s incumbent monopolies. Bitcoin is bringing a new model to banking, and banking is now forced to face the reality that they may well have to embrace it.

This week saw Europe wide protests by taxi drivers against Uber, a car sharing mobile app., that they believe will drastically reduce their incomes. Zopa is another new technology; a broker between people willing to borrow and people willing to lend, taking one percent in the place of the banks ten, and Transferwise is another, they function as broker between buyers and sellers of currency, converting at mid-market rates and again taking only one percent. Airbnb brings property owners and tenants together to rent out their apartments and houses, and all of the above have been subject to resistance from entrenched vested interests.

Monopolies did not get to where they are by ceding market share. The unwillingness to accept change is not just commercially motivated; there is generally a good reason behind the existence of regulation within certain sectors. It is important to maintain consumer confidence, operational standards, and, of course, health and safety. However, banking must address the shortfalls in the services it offers and when there is a level of demand for the services that Bitcoin offers, and there is a considerable demand, they must accept that the technology that is Bitcoin adds economic value.

Bitcoin expands the market and that is what shocks the incumbent monopolies into making changes, and that is how positive economic progress is made.

Throughout Africa, banking has gone through an evolution based on the use of mobile phone networks. This has proved to be low-cost as well as effective in Kenya as well as Zambia and today, Kenya probably has the World’s most advanced electronic banking system. Competition is seen as positive and all the telecommunication companies, that run the service, are looking for more and better products. When they tried to open up this service in South Africa, the banks responded and, acting with the government, succeeded in crushing the incomer with the use of regulation.

In Europe and America, banking’s only major development in the last twenty years has been the ATM, and the main function of that innovation was to reduce staff and increase shareholder profit. Banking is looking at Bitcoin’s technology platform and wondering how it can adapt it. It is unlikely that they would consider any pre-existing crypto currency in its present form. The available margin alone would not suit the banking bottom line.

Banking remains the incumbent and banking is also very much hated. It has become a case of adapt or die. State Regulation can hold back the tide back for only so long.

Featured image by Shutterstock.

Fonte: http://www.cryptocoinsnews.com

Bitcoin a cripto-moeda

Austrália em breve divulgará leis fiscais que se relacionam com a Bitcoin, cripto-moeda.

Bitcoin e outras moedas digitais fazem com que os governos do mundo todo criem leis especialmente no que diz respeito à legislação tributária. 

Enquanto alguns países como China, EUA e Austrália têm tentado entender o mercado da cripto-moeda - com ATMs Bitcoin e criar controles e leis tributárias, outros países foram mais cautelosos. O Japão, por exemplo, declarou recentemente que bitcoin "não é uma moeda" e proibiu os bancos de fornecê-lo aos clientes. 

Inicialmente alguns governos eram "céticos" em relação as moedas de internet, até que viram o potencial para as pessoas usá-las para a evasão fiscal. Agora correm para criar leis tributárias. 

A Austrália divulgou essa semana que prepara novas regras tributárias a respeito. O governo Australiano tem produzido "relatórios detalhados" sobre o fenômeno fiscal. 

Blog Certificação Digital

Certificação digital móvel na Soluti

O Brasil será palco de uma das primeiras iniciativas de certificação digital móvel do mundo.

A novidade foi desenvolvida ao longo de três anos pela empresa nacional e-Sec, com apoio da Finep, e será adotada inicialmente pela goiana Soluti.

Segundo o MobileTime, será possível assinar documentos com validade legal, realizar transações financeiras que requeiram maior segurança ou emitir notas fiscais eletrônicas, tudo através do celular. 

Um exemplo de operação bancária que hoje pode ser feito por apps de mobile banking e que passaria a ser possível com a certificação digital móvel é a assinatura de contratos de câmbio. 

"As autoridades certificadoras estão olhando apenas para o desktop e esquecendo o mobile, onde falta segurança", comenta o CEO da Soluti, Vinícius Sousa.

A certificação digital é um processo de confirmação de identidade por meio eletrônico que tem validade legal e que vem sendo cada vez mais usado no Brasil, especialmente em trâmites burocráticos com entidades governamentais e na emissão de notas fiscais eletrônicas. 

Para cada certificado são geradas duas senhas, uma pública e outra privada, que confirma a identidade do seu portador. A geração de um certificado digital precisa ser feita pessoalmente, em algum posto autorizado que faça parte da rede de uma das autoridades certificadoras do país, dentre as quais estão Serasa, Certisign, Valid e Soluti. 

O controle das autoridades certificadoras e das chaves geradas é garantido pelo Instituto Nacional de Tecnologia da Informação (ITI) por meio da Infraestrutura de Chaves Públicas Brasileiras (ICP-Brasil). 

Há hoje cerca de 5 milhões de certificados digitais ativos no Brasil e outros 2,5 milhões são gerados a cada ano. Trata-se de um mercado que movimenta aproximadamente R$ 1 bilhão por ano no Brasil.

A solução móvel criada pela e-Sec foi batizada como Certillion. 

Ela consiste em um aplicativo para Android, iOS, Java e BlackBerry que pode se comunicar com aplicativos de terceiros, como os de bancos, de m-commerce ou de governos, para confirmar a identidade do portador para uma determinada transação ou assinatura de contrato. 

O download do app será gratuito, mas para gerar um certificado digital dentro dele será preciso comparecer pessoalmente a um posto autorizado, tal como feito para qualquer outra certificação digital tradicional. 

A princípio, a chave privada ficará guardada no software, o que limitará sua validade a um ano. Em soluções que usam um hardware dedicado para o armazenamento da chave, como um smartcard ou token, o certificado tem validade de três anos. 

A e-Sec e a Soluti estudam a possibilidade de adotar um cartão microSD ou mesmo um SIMcard especial para essa finalidade. 

"Podemos proteger qualquer transação, de mobile banking a mobile health, passando por chat seguro, e em qualquer ambiente, do Galaxy S5 a um feature phone, pois otimizamos a solução para que rode em processadores mais lentos", afirma o CEO da Soluti. 

Um primeiro piloto comercial deve entrar em operação este ano através de uma parceria que ainda não pode ser revelada. As empresas estão conversando principalmente com bancos, redes varejistas e operadoras celulares.

A ideia da e-Sec e da Soluti é adotar para a certificação digital móvel um modelo de negócios diferente do tradicional. Em vez de uma taxa única para a geração do certificado, a proposta é cobrar por uso. 

Isso facilitaria a popularização da solução, pois diminuiria seu custo inicial de adoção por pessoas físicas ou pequenas e médias empresas.

A Soluti está negociando com operadoras móveis nacionais sobre a possibilidade de distribuição de um SIMcard com a solução embarcada. Os preços ainda não foram definidos.

Diante do potencial de mercado dessa solução, a Soluti adquiriu 20% de participação acionária na e-Sec, pela qual pagou R$ 4 milhões. 

Apesar disso, é importante ressaltar que a Certillion não será uma solução exclusiva da Soluti. A ideia é oferecê-la para todas as outras autoridades certificadoras que se interessarem, no Brasil e no exterior. 

Hoje, 30 países aceitam legalmente certificados digitais e há centenas de autoridades certificadoras neles.

Fonte: http://www.baguete.com.br/

Amazon lança seu próprio smartphone dia 18 de junho

O smartphone da Amazon será lançado em 18 de junho e

a Apple expande uso de identificação via impressões digitais

Vamos ver o que mais nos atrai

A Amazon planeja lançar um smartphone no final deste mês, de acordo com uma pessoa com conhecimento do assunto, mergulhando mais profundamente a maior varejista online do mundo no competitivo mercado dos dispositivos de telefonia móvel. 

A empresa tuitou ontem que iria fazer o anúncio do lançamento do produto em um evento em Seattle em 18 de junho organizada pelo CEO Jeff Bezos. 

O post incluía uma foto de um dispositivo fino preto com o nome Amazon estampado em prata. Um smartphone da Amazon deverá escalar sua rivalidade com a Apple, o que fabrica o iPhone. As empresas estão cada vez maisdisputando cabeça a cabeça em dispositivos como tablets e em serviços Web, incluindo entretenimento online, porque se esforçam para ser gateways digitais para os consumidores. Mobile é fundamental para esse esforço à medida que mais pessoas carregam aparelhos e fazem computação em movimento. Fonte: BloombergBusinessweek

Pesquisa: millennials não admitem fidelidade a marcas sem um programa

Dove, Adidas e JetBlue obtiveram notas altas em satisfação dos seus programas de fidelidade, de acordo com um novo relatório da Bond Brand Loyalty, novo nome da Maritz Loyalty Marketing. 

Em seu quarto estudo anual com mais de 6.000 consumidores, a agência descobriu que 69% dos participantes de programas de fidelidade estão satisfeitos com eles. “Não há muitas marcas sem algum tipo de programa de fidelidade”, disse Scott Robinson, estrategista de fidelidade do consumidor na Bond. 

Na verdade, parece que os consumidores mais jovens de hoje esperam que as marcas ofereçam programas de incentivo. Quase 30% de todos os entrevistados disseram que fidelidade à marca requer um programa desse tipo. Um CMO pode reagir negativamente à notícia de que apenas um terço dos clientes sejam fiéis à marca”, sugeriu Robinson. “Já o profissional de marketing de fidelidade vai dizer ‘Eu quero receber um aumento este ano.” O número vai a 37% quando se trata dos Millennials, jovens de 20 a 34 anos, pesquisados ​​para o estudo. Esse grupo afirmou não ser fiel a uma marca que não tem um programa de fidelidade forte e também que alteraria seu comportamento de compra com base em ofertas de fidelidade. De acordo com o estudo, 68% mudam de loja para receber recompensas de fidelidade e 60% troca de marca. Fonte: Advertising Age

A Apple expande uso de identificação via impressões digitais

A Apple atualizou o iOS para incluir um novo recurso de scanner de impressão digital por toque do iPhone. O objetivo é tornar mais fácil para os usuários o logon em aplicativos de terceiros, sem a introdução de nomes de usuário ou senhas. Com o iOS8, a empresa permite aos proprietários do iPhone fazer logon usando um scanner de impressão digital e acelerar a adoção de pagamentos móveis e serviços bancários. Segundo Derek Webster, CEO da CardFlight, “o uso de um mobile wallet atualmente é muito mais oneroso do que puxar um pedaço de plástico da carteira, razão pela qual a adoção tem realmente sido lenta até o momento. A esperança é que, ao envolver identificação por impressão digital, será possível reduzir bastante os passos e fazer com que pagar com uma carteira móvel seja melhor do que o modelo atual de passar o cartão.

 Fonte: Re/code

http://laboratoriododoutornin.wordpress.com/2014/06/05/o-smartphone-da-amazon-sera-lancado-em-18-de-junho-e-mais/

Como evitar a clonagem do seu cartão

Copa do Mundo 2014: como evitar a clonagem do seu cartão

Por: 

 Fabio Assolini

Publicado: 

 Wed, 05/28/2014

Você está planejando viajar para assistir os jogos da Copa do Mundo? Tenha boa viagem! Espero que você desfrute a sua estadia. Como você está planejando pagar suas contas? Dinheiro ou cartão? Você se preocupa com a clonagem do seu cartão de crédito? Se não está preocupado, deveria estar.

O Brasil possui grupos de organizados de criminosos especializados na clonagem de cartão de crédito, e eles são muito criativos, infelizmente adoram atacar pessoas que não sabem dos riscos, essas são as vítimas mais fáceis, especialmente quando estão pagando contas num restaurante ou sacando dinheiro num caixa eletrônico.

Na segunda parte da nossa série de blogs sobre a Copa do Mundo vamos detalhar como funcionam os ataques em caixas eletrônicos e PDVs (pontos de vendas), onde tudoo que os criminosos querem é clonar seu cartão usando ‘chupa-cabras’, ‘frentes falsas’ e claro, malware, muito malware.

Cartão de crédito, o jeito brasileiro

Esqueçam os cheques, pagamentos com cartões são atualmente os mais populares no país. Seja em restaurantes, supermercados, postos de gasolinas, até taxistas aceitam cartão. De acordo com o Banco Central os cartões de débito e crédito correspondem por 70% dos pagamentos feitos no país, quando não se usa dinheiro:

Cartões com chip e senha são os mais comuns. Apesar de vermos notícias recentes de falhas existentes no protocolo desses cartões, eles ainda são bem mais seguros quando comparados com os de tarjeta magnética. Se você ainda tem um desses, fale com seu banco e peça um com chip o mais rápido  possivel.

Mas isso não é assim em outros lugares do mundo: americanos ainda usam cartões sem chip. Mas há também outro problema: europeus e americanos possuem o péssimo hábito de entregar o cartão para o atendente ou garçom na hora de pagar a conta, que costumam  levá-lo para dentro, longe da vista do cliente. Isso é bastante comum nos países onde vivem, mas no Brasil sabemos que isso é uma oportunidade de ouro que certamente os golpistas irão usar para clonar um cartão. Esse fato torna os “gringos” vítimas fáceis desses golpes.

Fique esperto:  jamais deixe seu cartão longe da sua vista, se possível peça para que lhe tragam a ‘maquinha de cartão’ para sua mesa ou o local onde está, e faça o pagamento ali na hora. Essa é a maneira mais fácil de não ter seu cartão clonado durante uma compra. Se a empresa não tiver a máquina, vá até o caixa e acompanhe o pagamento de perto, sem tirar os olhos do seu cartão.

Malware para Pin Pad e PDVs

Cibercriminosos brasileiros estão exportando do Leste Europeu malware especializado na clonagem de cartões e usando-os por aqui. Sabemos de ataques assim ocorrem desde 2009, mas foi em 2010 que detalhamos um ataque bastante interessante de um malware desenvolvido totalmente no país; o chamamos de “Vírus chupa-cabra” visto que o objetivo do trojan é exatamente o mesmo dos dispositivos acoplados em caixas eletrônicos.      

O Trojan-Spy.Win32.SPSniffer possuí diversas variantes que foram detectadas desde sua descoberta em 2010:

Este trojan afeta diretamente PIN Pads e PDVs (ponto de vendas), ambos são bastante comuns em estabelecimentos comerciais. Esses dispositivos são conectados a um computador através da porta serial ou USB para se comunicar com um software TEF (Transferência Eletrônica de Fundos). O trojan captura todos os dados que saem desses dispositivos, transmitidos por essas portas.

Os PIN Pads são equipados com recursos de segurança para garantir que as chaves de segurança sejam apagadas caso alguém tente abri-lo. Sua senha é cifrada no exato momento em que ela é digitada, geralmente usando o algoritmo 3DES. Mas o Track 1 (número do cartão, data de validade, código de serviço e CVV) e os dados públicos do CHIP não são cifrados no hardware de PIN Pads antigos e desatualizados, fazendo com que esses dados sejam transmitidos em modo ‘texto puro’ para o computador onde ele está conectado. Capturar esses dados é mais do que suficiente para clonar seu cartão.

As operadoras de cartão, cientes do problema promoveram uma atualização em massa do firmware desses equipamentos, porém como novas variantes desse trojan ainda aparecem isso é um sinal de que esses ataques ainda são efeitos em alguns lugares do país.

Não há muito que você possa fazer para evitar ser vítima desse ataque, por isso fique atento ao saldo do seu cartão de crédito, verifique as transações regularmente e informe sua bandeira imediatamente ao constatar algo irregular. Onde for possível prefira pagar usando máquinas de cartão sem fio, essas usam tecnologia 3G e são bem mais seguras.

Chupa-cabras, frentes falsas e malware ‘jackpot’

O Brasil está entre os países que mais possuem caixas eletrônicos no mundo, de acordo com o Banco Mundial. Existem quase 120 mil oportunidades para os golpistas instalarem “chupa-cabras”, e eles fazem isso o tempo todo, mesmo durante o dia, com agências lotadas de clientes, num clima bastante relaxado:

https://www.youtube.com/watch?v=-iCs3dEHCyQ

Usar sua mão para cobrir o teclado na hora de digitar a senha é uma maneira que evita boa parte dos chupa-cabras, visto que a maioria deles se baseiam em câmeras escondidas. Mas alguns criminosos vão além, levando o “chupa-cabras” para um nível nunca visto antes, instalando um caixa eletrônico inteiramente falso:

https://www.youtube.com/watch?v=z1CrmlK5zMM

Alguns ainda instalam “frentes falsas” onde a tarjeta magnética do cartão será clonada, a senha capturada e enviada para o criminoso através de um modem 3G:

https://www.youtube.com/watch?v=eASP7XeYieo

Ante essa situação diversos bancos implementaram caixas eletrônicos com autenticação biométrica. Se o seu banco oferece essa opção, é uma boa medida de segurança ativá-la na sua conta; apesar de sabermos que dispositivos biométricos podem ser burlados, isso é uma camada a mais de segurança para proteger seu uso do caixa eletrônico.

Para se proteger nesses vale ter um olho vivo, se você ver algo suspeito em um caixa eletrônico, notifique o banco e vá sacar dinheiro em outro lugar. 

A FEBRABAN também dá dicas muito úteis para se proteger nessas situações:

• Nunca empreste seu cartão para ninguém nem permita que estranhos o examinem sob qualquer pretexto. Pode haver troca, sem que você perceba;
• Não deixe seu cartão sem assinatura;
• Se não conseguir memorizar a senha e precisar anotá-la, guarde a anotação em lugar diferente do cartão, reduzindo seus riscos em caso de roubo ou perda;
• Caso seu cartão seja roubado, perdido ou extraviado, comunique o fato imediatamente à Central de Atendimento do banco, pedindo o cancelamento. Em caso de assalto, também registre a ocorrência na delegacia mais próxima;
• Em caso de retenção do cartão no caixa automático, aperte as teclas "ANULA" ou "CANCELA" e comunique-se imediatamente com o banco. Tente utilizar o telefone da cabine para comunicar o fato. Se ele não estiver funcionando, pode tratar-se de tentativa de golpe. Nesses casos nunca aceite ajuda de desconhecidos, mesmo que digam trabalhar no banco, nem digite senha alguma na máquina;
• Cuidado com a “saidinha de banco”;
• Tome especial cuidado com esbarrões ou encontros acidentais, que possam levá-lo a perder de vista, temporariamente, o seu cartão magnético. Se isso ocorrer, verifique se o cartão que está em seu poder é realmente o seu. Em caso negativo, comunique o fato imediatamente ao banco;
• Ao efetuar pagamentos com seu cartão, não deixe que ele fique longe do seu controle e tome cuidado para que ninguém observe a digitação da sua senha. Se estiver efetuando o pagamento com cartão de crédito e alegarem que a fatura não ficou bem decalcada, exija que a mesma e a cópia carbono sejam rasgadas e inutilizadas. Ao recebê-lo de volta, verifique se é efetivamente o seu cartão;
• Solicite sempre a via do comprovante de venda e, antes de assiná-lo, confira o valor declarado da compra;
• Em viagem, se não for usar o cartão, deixe-o guardado no cofre do hotel; 

Outros ataques interessantes que ja por aqui são os virus “jackpot”. Recentemente vimos o Ploutus no México e alguns casos já foram reportados no Brasil. Nesses ataques os criminosos infectam o caixa eletrônico usando um pendrive USB, o que é uma tarefa trivial pois a maioria dos caixa ainda rodam Windows XP.  O vírus programa o equipamento para “cuspir” todo o dinheiro em situações específicas. Isso não afeta você diretamente, mas pode deixar um caixa eletrônico totalmente sem dinheiro e você terá que fazer seu saque em outro lugar.

Essas são algumas dicas para que você aproveite sua viagem durante a Copa do Mundo e use seus cartões de maneira segura. 

Em nosso próximo blog da série meu amigo Dmitry Bestuzhev irá explicar como viajantes podem usar redes Wi-Fi públicas e carregadores de celular de uma maneira segura.

Fonte:http://brazil.kaspersky.com/especial-copa-do-mundo-2

PROGRAMA MINAS DIGITAL

PROGRAMA MINAS DIGITAL DIVULGA CERTIFICAÇÃO DIGITAL ICP-BRASIL

O programa Minas Digital nasceu da parceria entre a Caixa de Assistência aos Advogados – CAA/MG com a Seccional Mineira da Ordem dos Advogados do Brasil – OAB/MG e a Escola Superior de Advocacia. 

O programa tem a missão de acelerar o processo de inclusão dos advogados mineiros no Processo Judicial Eletrônico – PJ-e, sistema que faz uso do certificado digital no padrão da Infraestrutura de Chaves Públicas Brasileira ICP-Brasil.

O projeto prevê a capacitação de funcionários para conceder suporte técnico ao advogado e a promoção de cursos de atualização sobre o PJ-e. Todas as informações sobre a certificação digital, resoluções dos tribunais e vídeos com aulas práticas poderão ser encontradas no site do Minas Digital.

Três centrais de apoio físico para dar capacitação e suporte ao advogado estão sendo inauguradas, uma em Belo Horizonte, outra em Juiz de Fora e em Uberlândia. Tudo isso para facilitar ao máximo a inclusão digital dos mais de 90 mil advogados do Estado. Com uma agenda de cursos que contempla diversos municípios, o programa visa tornar a inserção dos advogados no PJ-e uma realidade, facilitando a transição do meio analógico para o digital.

“É um sistema que veio para ficar e por isso investimos na capacitação dos colaboradores da OAB/MG, dos professores de Direito e dos próprios advogados”, explica Andréa Vasconcellos, coordenadora do Minas Digital.

Fonte: ITI www.iti.gov.br

Câmara de Comercialização de Energia Elétrica (CCEE) lança Portal de Assinatura Eletrônicas

A partir de julho, todos os contratos, mesmo que pendentes, passam a utilizar o Portal de Assinaturas CCEE 

A Câmara de Comercialização de Energia Elétrica (CCEE) disponibilizou no início de junho o Portal de Assinaturas CCEE, uma nova ferramenta, desenvolvida em parceria com a Certisign, para assinatura digital de Contratos de Comercialização de Energia no Ambiente Regulado (CCEARs).

A partir de agora esses documentos, decorrentes de leilões regulados, poderão ser assinados de maneira mais simples e diretamente pela internet no endereço portaldeassinaturas.ccee.org.br.

O novo processo utiliza certificados digitais (e-CPF, padrão ICP-Brasil) e dispensa a assinatura biométrica, que era exigida no antigo processo. Sem a biometria, também não será mais necessário o uso de tablets para validação dos contratos e nem o comparecimento presencial dos agentes à sede da CCEE.

“Estamos satisfeitos com a ferramenta, que vai facilitar o processo para todos os agentes, já que as empresas poderão conferir online o status de cada contrato e acompanhar o processo de assinatura até a conclusão”, explicou o gerente de Administração dos Agentes e Contratos da CCEE, Bruno Santo. O gestor apresentou o portal durante a última edição do encontro InfoPLD, realizada na segunda-feira (2/6).

Bruno Santo lembrou que a CCEE estava em contato com os agentes desde o final de 2013 para providenciar uma solução que trouxesse melhorias no processo de assinatura dos CCEARs, o que envolveu a realização de apresentações e testes com um grupo de empresas ao longo deste ano.

Em julho, a antiga ferramenta (BAM) deixará de operar, sendo que os documentos que estiverem pendentes de assinatura serão todos transferidos para a plataforma online. Já os contratos novos serão disponibilizados diretamente na nova ferramenta. 

Fonte: jornaldaenergia.com.br/

Google está preparando uma extensão do Chrome para criptografar e-mails

A empresa americana deu mais um passo em direção à criptografia dos e-mails. 

Ela anunciou estar preparando uma extensão para o seu navegador Chrome, chamada de End-to-End. O Google proporia, assim, a proteção dos e-mails e seu conteúdo, com o formato de criptografia OpenPGP. 

Mais segurança através de uma extensão do ChromeEm um recente comunicado de imprensa, o Google garante que a segurança dos usuários é uma das prioridades da empresa. Referindo-se a vários sistemas de segurança implementados - uma conexão criptografada do envio de e-mails e mensagens de alerta em caso de suspeita de malware ou phishing, o Google diz que quer ir ainda mais longe. 

O projeto atual diz respeito à extensão para o navegador Chrome, chamado de End-to-end. Ele está atualmente em fase de desenvolvimento mas, quando terminado, deverá permitir a criptografia total dos e-mails, usando o formato de criptografia OpenPGP . 

"Isso significa que os dados que deixam seu navegador serão criptografados até que o destinatário de e-mail o decifre e, que as mensagens criptografadas enviadas para você permaneçam criptografadas até que você as decifre", explica Stephan Somogyi, encarregado do projeto para o Google, no seu comunicado. 

A extensão está disponível para ser testada pela comunidade, a fim de detectar falhas. O Google acredita que ela será proposta ao público assim que "estiver pronta". 

Fonte: Google Online Security blog. quinta 5 de junho de 2014 - 13:48:43