Infra-estrutura de Chaves Públicas ICP Brasil André Amaro Toffanello DATASUS/SNIS

Objetivo Conceitos Legislação - MP 2.200-2 - ICPBrasil Aplicação Infra-estrutura Legislação - MP 2.200-2 - ICPBrasil Propósito Principais características Aplicação

ICP - Definição Infra-estrutura de Chaves Públicas Processos normativos e recursos computacionais para gerência de certificados digitais que visam garantir Integridade, Privacidade, Autenticidade em uma transação eletrônica entre entidades finais. Processos normativos – Normas, políticas e procedimentos para controle de chaves públicas e certificados digitais. Métodos computacionais – Tecnologia de hardware, software e processos matemáticos para emissão e controle de chaves públicas e certificados digitais. Integridade – Garantia por processos matemáticos que o conteúdo de uma transação eletrônica não seja alterado em seu tempo de vida. Privacidade – a privacidade dos dados é mantida através da capacidade de criptografia dos dados. Autenticidade – Garantias por meios de processos matemáticos de autenticação de quem efetuou uma transação eletrônica. Transação eletrônica entre partes – qualquer transação eletrônica – autenticidade de uma pagina de internet banking, autenticidade de uma mensagem de correio eletrônico, transações de uma aplicação.

Componentes Política de Certificação DPC – Declaração de Práticas de Certificação AR – Autoridade Registradora AC – Autoridade Certificadora Repositório – CRL, Chaves Públicas Certificado Digital Componente para a infra-estrutura de chave pública: Política de Certificação e a DPC são documentos que declaram as práticas e métodos para a gerência dos certificados digitais. As políticas podem ser baseadas na NBR ISO/IEC 17799 AC, AR e CRL – são mecanismos computacionais de hardware e software que garantam a gerencia de emissão de certificados digitais, guarda e disponibilização de chaves públicas. Todos estes componentes tem um objetivo: emitir o Certificado Digital. CD

Certificado Digital É um arquivo de computador gerado por processos matemáticos complexos que tem a capacidade de associar a identidade de uma entidade final (usuário, computador ou sistemas) a uma chave pública que, usadas em conjunto com uma chave privada, fornecem a comprovação da identidade. Certificado Digital Sistemas assimétrico de criptografia Modo de criptografia Modo de autenticação Algoritmos RSA e DAS Como é obtido o par de chaves? Através de sistemas assimétricos de criptografia, este processo gera um par chaves, uma pública e uma privada

ICP Brasil MP 2.200-2 MP 2.200-2 24 de agosto de 2001, Institui a ICP Brasil e estabeleceu critérios para o seu funcionamento. Validade jurídica de documentos em forma eletrônica, das aplicações de suporte e das aplicações habilitadas que utilizem certificados digitais, bem como a realização de transações eletrônicas seguras Metas do Governo Eletrônico é a regulamentação e efetivação do documento eletrônico como documento legal de uso pleno. O instrumento utilizado para validação de documentos eletrônicos é a Certificação Digital. Foi então instituída pela MP 2.200-2 o ICP-Brasil. Cuja estrutura: Dezoito resoluções da ICP Brasil http://www.icpbrasil.gov.br

ICP Brasil MP 2.200-2 AGP – Autoridade de Gerência de Política, decreto 3.587 de 5 de setembro de 2000; ITI – Responsável pelo AC Raiz da ICP Brasil. AC e AR – Qualquer entidade pública ou privada que atenda aos requisitos da ICP Brasil. AGP ITI – AC-Raiz AC AC + AR AR Responsabilidade de cada entidade da estrutura da ICP-Brasil. Certificado Digital

ICP Brasil MP 2.200-2 Confiança Pontos Relevantes Art.6º parágrafo único. O par de chaves criptográficas será gerado pelo próprio titular e sua chave privada de assinatura será de seu exclusivo controle, uso e conhecimento Art.10 §1º. Declarações constantes em documentos em forma eletrônica produzidos com a utilização de processos de certificação disponibilizados pela ICP Brasil presumem-se verdadeiros aos signatários, na forma do art. 131 da Lei nº 3.071, de 1º de janeiro de 1916. Art.10 § 2º. O disposto nesta MP não obsta a utilização de outro meio de comprovação de autoria e integridade de documentos em forma eletrônica, inclusive os que utilizem certificados não emitidos pela ICP Brasil, desde que adminitido pelas partes como válido ou aceito pela pessoa a quem for oposto o documento. Confiança Transferência de Responsabilidade para o Usuário do uso da chave. E de responsabilidade da ICP manter a estrutura de forma que não seja comprometida. Art.131 Lei. 3.071 Art. 131.  As declarações constantes de documentos assinados presumem-se verdadeiras em relação aos signatários. Parágrafo único.  Não tendo relação direta, porém, com as disposições principais, ou com a legitimidade das partes, as declarações enunciativas não eximem os interessados em sua veracidade do ônus de prová-las. (Redação dada pelo Decreto do Poder Legislativo nº 3.725, de 15.1.1919) Artigo 6: Retira a responsabilidade pela guarda e uso da chave privada da autoridade certificadora. Art.10 – Não repúdio – atributo de uma comunicação que protege contra um dos participantes dita comunicação negar que a mesma tenha ocorrido, (detalhe: não repúdio não significa que os participantes tendem a não repudiar, mas sim que é fácil provar que o repúdio é falso. O termo não repúdio ainda não foi utilizado legalmente para indicar que existe uma forma técnica de fazer o que a definição propõe. Confiança, a relação básica para as ICPs.

ICP Brasil Situação Atual

ICP Brasil Políticas Política de Certificado Obrigações e responsabilidades da AC Raiz, AC e AR Identificação e Autenticação Requisitos Operacionais Segurança Física, Procedimental e de pessoal Controles Técnicos de Segurança Perfis de Certificados e da CRL Obrigações e responsabilidades da AC Raiz, AC e AR Abrangência e Aplicabilidade Auditoria Confidencialidade Direitos de Propriedade Intelectual Identificação e Autenticação Registro Inicial do requerente Autenticação para rotina de renovação automática de chave Autenticação para renovação automática de chave após revogação Autenticação para requisição de revogação Requisitos operacionais Solicitação de emissão de um certificado Emissão de certificado Aceitação de certificado Suspensão e Revogação de Certificados Procedimentos de auditoria do sistema de segurança Arquivo de registros Comprometimento e recuperação de desastre Extinção de AC Segurança Física, Procedimental e de Pessoal Controles Físicos Procedimentos de Controle Controles de segurança pessoal Controles técnicos de Segurança Instalação e geração do par de Chaves Padrões para o Módulo de criptografia Dados de Ativação Controles Técnicos do Ciclo de vida Controles de Segurança de Rede Perfis de certificados e de LCR