CERTIFICAÇÃO DIGITAL – Conceitos Básicos (remix)

Olá, pessoal!

Segue mais uma palhinha do curso de Segurança da Informação para Perito da Polícia Federal. O curso também é válido para outros concursos, como BACEN e MPU! Mais informações no site http://socratesfilho.wordpress.com

CERTIFICAÇÃO DIGITAL

1. Conceitos

Certificação digital é
o processo que dá suporte à implementação da assinatura digital. É o processo que dá garantia de que a assinatura emitida é da entidade indicada na mesma. A certificação digital faz o registro das assinaturas e fornece informações para que qualquer outra entidade possa conferir sua autenticidade. A implementação de assinaturas digitais depende desse processo. Afinal, como seria possível confiar na assinatura de uma pessoa se não tivesse uma estrutura para confirmar sua veracidade?

Um certificado digital é um arquivo de computador que contém um conjunto de informações referentes a entidade para o qual o certificado foi emitido (seja uma empresa, pessoa física ou computador) acrescido da chave pública da entidade especificada no certificado.

Um certificado normalmente inclui:

  • Informações relativas a entidade para o qual o certificado foi emitido (nome, email, CPF/CNPJ, etc.);
  • A chave pública da entidade especificada no certificado;
  • O prazo de validade;
  • A localização da lista de certificados revogados (endereço de onde se pode consultar se o certificado foi revogado ou não);
  • No caso do modelo hierárquico, a assinatura da autoridade certificadora (AC), ou no caso do modelo de malha de confiança, as entidades que validaram e confiam nas informações do certificado.

O padrão mais comum para certificados digitais no âmbito de uma Infra-estrutura de Chaves Públicas (ICP) é o ITU-T X.509. O X.509 foi adaptado para a Internet pelo grupo da Internet Engineering Task Force (IETF), onde é mais conhecido pelo padrão PKIX.

1.2 Modelos de certificação

Para se fazer a certificação de uma assinatura digital, é necessária uma infra-estrutura que valide o certificado para as demais entidades. Para isso, existem dois modelos de certificação utilizados:

  • Modelo de malha de confiança;
  • Modelo hierárquico.

1.2.1 Modelo de malha de confiança

O modelo de malha de confiança é baseado na criação de uma rede em que as entidades pertencentes devem confiar umas nas outras. Cada vez que um usuário obtém a chave pública de outro usuário, ele pode verificar a assinatura digital da chave obtida por meio das demais entidades, garantindo certeza de que a chave é a verdadeira.
Nesse modelo, a confiança é controlada pelo próprio usuário. Além disso, a confiança não é transitiva, ou seja, se uma entidade A confia em B e B confia em C, isso não significa necessariamente que A confia em C.
Esse modelo é utilizado no software PGP, de certificação de mensagens eletrônicas.

img-1

Vantagens:
– A infraestrutura física para manter esse modelo é mais simples que a do modelo hierárquico;
– Se a chave de uma das entidades que autenticam o certificado for comprometida, não há interferência nas demais chaves. Só ocorre apenas a sua exclusão na rede de confiança.

Desvantagens:
– O gerenciamento dessa estrutura é complicado
– E menos seguro, pois uma pessoa pode mudar seu comportamento se valendo da confiança adquirida;
– O certificado digital precisa da assinatura de todas as entidades que confiam na sua validade, ou seja, quanto mais as pessoas confiam em você, maior será o seu certificado.

1.2.2 Modelo hierárquico

O modelo hierárquico é baseado na montagem de uma hierarquia de Autoridades Certificadoras (AC). As AC’s certificam os usuários e existe uma autoridade certificadora raiz (AC-Raiz) que faz a certificação de todas as AC’s de sua jurisdição. Nesse modelo, os certificados digitais precisam da assinatura digital de uma AC para ser válido. Caso alguma entidade duvide de sua validade, basta consultar na AC para verificar se o certificado não foi revogado. Caso haja dúvida da validade do certificado da AC, basta conferir na AC-Raiz, que, em regra, é assinada por si mesmo e é mantida por uma entidade governamental. Esse é o modelo utilizado para a montagem de Infra-estruturas de Chaves Públicas.

img-2

Vantagens:
– Possui um gerenciamento mais simples e prático
– É muito mais seguro, pois a confiança parte de uma entidade governamental;
– Se o certificado não estiver revogado, ele tem validade em toda a jurisdição a qual ele está ligado perante terceiros;
– Permite que assinaturas digitais seja consideradas juridicamente válidas desde que seja garantida a segurança de toda a infra-estrutura da AC-Raiz e das demais AC’s.

Desvantagens:
– Se a chave de uma AC for comprometida, todos os certificados emitidos por ela tem sua validade comprometida;
– O custo de montagem da infra-estrutura é maior, devido a necessidade de investimentos pesados em segurança para se manter uma AC (geralmente uma AC está instalada em uma sala-cofre protegida contra catástrofes naturais, com acesso restrito e cheio de procedimentos de segurança, possuindo uma cópia da mesma sala em outra cidade);

Padrão X.509

X.509 um padrão da ITU-T para a criação de uma infra-estrutura de chaves públicas (ICP). O X.509, atualmente, está na versão 3, e padroniza os formatos das chaves públicas e atributos para os certificados, listas de revogação de certificados (certificate revocation lists – CRL), e algoritmos para procura do caminho de validação. O X.509 é um padrão derivado da família de padrões X.500, que definiram o Directory Access Protocol – DAP (que originou o LDAP), e por isso, ele é organizado por uma por meio de uma estrutura de diretórios em árvore, cujos elementos podem ser identificados pelos Distinguished Names (DN).

Estrutura de um certificado X.509 v.3:

  • Certificado (informações)
    • Versão;
    • Número de Série;
    • Algoritmo de Assinatura;
    • Certificador;
      • Validade;
      • Não antes de (data inicial);
      • Não depois de (data final);
    • Entidade (dono do certificado);
      • Informações da chave pública da Entidade;
      • Algoritmo de chave pública usado;
      • Chave pública da entidade;
    • Identificador único do certificador (opcional);
    • Identificador único da entidade (opcional);
    • Extensões (opcional);
  • Algoritmo de assinatura do certificado;
  • Assinatura do certificado.

Exemplo de certificado comum:

Certificate:
Data:
Version: 1 (0x0)
Serial Number: 7829 (0x1e95)
Signature Algorithm: md5WithRSAEncryption
Issuer: C=ZA, ST=Western Cape, L=Cape Town, O=Thawte Consulting cc,
OU=Certification Services Division,
CN=Thawte Server CA/emailAddress=[email protected]
Validity
Not Before: Jul  9 16:04:02 1998 GMT
Not After : Jul  9 16:04:02 1999 GMT
Subject: C=US, ST=Maryland, L=Pasadena, O=Brent Baccala,
OU=FreeSoft, CN=www.freesoft.org/emailAddress=[email protected]
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
00:b4:31:98:0a:c4:bc:62:c1:88:aa:dc:b0:c8:bb:
33:35:19:d5:0c:64:b9:3d:41:b2:96:fc:f3:31:e1:
66:36:d0:8e:56:12:44:ba:75:eb:e8:1c:9c:5b:66:
70:33:52:14:c9:ec:4f:91:51:70:39:de:53:85:17:
16:94:6e:ee:f4:d5:6f:d5:ca:b3:47:5e:1b:0c:7b:
c5:cc:2b:6b:c1:90:c3:16:31:0d:bf:7a:c7:47:77:
8f:a0:21:c7:4c:d0:16:65:00:c1:0f:d7:b8:80:e3:
d2:75:6b:c1:ea:9e:5c:5c:ea:7d:c1:a1:10:bc:b8:
e8:35:1c:9e:27:52:7e:41:8f
Exponent: 65537 (0x10001)
Signature Algorithm: md5WithRSAEncryption
93:5f:8f:5f:c5:af:bf:0a:ab:a5:6d:fb:24:5f:b6:59:5d:9d:
92:2e:4a:1b:8b:ac:7d:99:17:5d:cd:19:f6:ad:ef:63:2f:92:
ab:2f:4b:cf:0a:13:90:ee:2c:0e:43:03:be:f6:ea:8e:9c:67:
d0:a2:40:03:f7:ef:6a:15:09:79:a9:46:ed:b7:16:1b:41:72:
0d:19:aa:ad:dd:9a:df:ab:97:50:65:f5:5e:85:a6:ef:19:d1:
5a:de:9d:ea:63:cd:cb:cc:6d:5d:01:85:b5:6d:c8:f3:d9:f7:
8f:0e:fc:ba:1f:34:e9:96:6e:6c:cf:f2:ef:9b:bf:de:b5:22:
68:9f
Significado dos campos do proprietário (subject) e certificador (issuer):
C: Country – País
ST: State – Estado
L: Location – Localização (cidade)
O: Organization – Organização
OU: Organizational Unit – Unidade da organização
CN: Common Name – Nome Comum

Campo da versão:

– Versão 1: se não houver extensões;.
– Versão 2: se o(s) campo(s) Identificador único do certificador e/ou Identificador único da entidade estiver(em) preenchido(s) e não houver extensões;
– Versão 3: se houver extensões;

DICA: Segundo o padrão X.509, o certificado digital não deve conter a chave privada do usuário. Isso ocorre justamente para que ela não seja comprometida. Para se armazenar a chave privada, usa-se dispositivos físicos que evitam o acesso direto à chave, como Tokens e Smart Cards.

Um exemplo disso caiu na prova de Perito da PF em 2002:

(CESPEPolícia Federal 2002 – Perito Área 3 – Questão 50)

2) O padrão de certificados largamente utilizado hoje em dia é o X.509, em sua versão 3. Um certificado gerado nesse padrão inclui, essencialmente, um identificador da versão utilizada para gerar o certificado (1, 2 ou 3); um número serial que deve ser único para cada certificado emitido por dada AC; um identificador do algoritmo de assinatura utilizado pela AC; um identificador da AC (DN – distinguished name da AC); período de validade do certificado; um identificador do sujeito (DN – distinguished name do sujeito) para o qual está sendo emitido o certificado; a chave pública do sujeito; a chave privada do sujeito; outras informações opcionais padronizadas; por fim, a própria assinatura da AC desse conjunto de informações.
Resposta: Errado

Mais informações no site http://socratesfilho.worpress.com

Bons Estudos!

Sócrates.

»crosslinked«

Deixe uma resposta