Regulamentos da União Europeia

A Diretiva 93/1999[3]​ estabeleceu um quadro comum aplicável a todos os países da União Europeia, segundo o qual o nível de exigência colocado pelos regulamentos sobre assinatura eletrónica implica que os Provedores de Serviços de Certificação que emitem certificados qualificados sejam dignos de confiança por qualquer terceiro confiante e os seus certificados conferem à assinatura eletrónica avançada que acompanham o mesmo valor que a "assinatura manuscrita" ou "assinatura holográfica".

Regulamentos espanhóis

A 'Lei 59/2003 sobre Assinatura Eletrônica'[4]​ revogou o Real Decreto-Lei 14/1999, de 17 de setembro, sobre assinatura eletrônica, tornando mais eficaz a atividade de certificação em Espanha.

Finalmente, as CAs também são responsáveis ​​pelo gerenciamento de certificados assinados. Isto inclui tarefas de revogação de certificados que podem ser iniciadas pelo titular do certificado ou por qualquer terceiro com interesse legítimo perante a AC por e-mail, telefone ou intervenção pessoal. A lista, chamada Lista de Revogação de Certificados (CRL), contém os certificados que se enquadram nesta categoria, portanto é responsabilidade da CA publicá-la e atualizá-la adequadamente. Por outro lado, outra tarefa que uma AC deve realizar é a gestão associada à renovação de certificados por expiração ou revogação.

Se a CA emitir muitos certificados, você corre o risco de ter CRLs grandes, tornando-os impraticáveis ​​para confiar o download de terceiros. Por isso, desenvolvem mecanismos alternativos para verificar a validade dos certificados, como servidores baseados nos protocolos OCSP e SCVP.

Devido ao grande número de entidades certificadoras existentes, e apesar das medidas de segurança que utilizam para a correta verificação de pessoas singulares e coletivas, existe o risco de uma AC emitir um certificado a um fraudador com identidade falsa. Como não há registo de quais os certificados emitidos por cada AC, não é fácil detectar quais os casos que foram filtrados de forma fraudulenta ou quais os certificados que se referem a um nome igual ou muito semelhante ao de outra entidade. Para evitar esses tipos de problemas, o Google lançou a iniciativa Certificate Transparency, que registra todos os certificados emitidos pelas CAs por meio de arquivos de auditoria criptograficamente não falsificáveis, o que pode ajudar a combater o phishing (em espanhol: roubo de identidade).[5]​.

Os certificados de "entidade final" às vezes designam pessoas (e são chamados de "certificados qualificados") e às vezes identificam servidores web (e então os certificados são usados ​​dentro do protocolo TLS para que as comunicações com o servidor sejam protegidas com criptografia forte de 128 bits).

Contenido

Una CA puede ser o bien pública o bien privada. Los certificados de CA (certificados raíz) de las CAs públicas pueden o no estar instalados en los navegadores pero son reconocidos como entidades confiables, frecuentemente en función de la normativa del país en el que operan. Las CAs públicas emiten los certificados para la población en general (aunque a veces están focalizadas hacia algún colectivo en concreto) y además firman CAs de otras organizaciones.

CAs na União Europeia

O artigo 11.º da Directiva 1999/93CE sobre Assinatura Electrónica estabelece que os países membros notificarão a Comissão e os outros Estados-Membros do seguinte:

Já existe uma página web com a informação sobre o artigo 11.º da Directiva 1999/93.[6]​.

Os navegadores modernos integram nativamente (em formato padrão) uma lista de certificados de diferentes autoridades certificadoras que, dependendo do caso, são escolhidas automaticamente de acordo com critérios internos definidos pelos desenvolvedores do navegador.

Assim, quando uma pessoa física ou jurídica deseja configurar um servidor web utilizando comunicação HTTPS segura protegida por TLS, são geradas uma chave pública e uma chave privada, e então enviam a uma dessas autoridades certificadoras uma solicitação de assinatura de certificado (CSR) que contém sua chave pública, bem como dados sobre sua identidade (postal, telefone, endereço de e-mail, etc.).

Após verificação da identidade do requerente do certificado por uma autoridade de registo (RA), a autoridade de certificação assina o CSR graças à sua própria chave privada (e, portanto, não à chave privada do requerente), que é então convertida num certificado, que depois envia de volta ao requerente.

O certificado assim devolvido sob a forma de ficheiro informático é integrado no servidor web do requerente. Quando um usuário se conecta a este servidor web, ele por sua vez transmite o certificado previamente fornecido pela autoridade certificadora.

O navegador do cliente autentica o certificado do servidor graças ao certificado (nativamente integrado ao navegador) previamente assinado pela autoridade certificadora. A identidade do servidor é assim confirmada ao utilizador pela autoridade de certificação.

O navegador então contata a autoridade de certificação correspondente para confirmar, através de uma solicitação OCSP, que o certificado do servidor não foi revogado desde que foi emitido pela autoridade de certificação.

Anteriormente, certos navegadores baixavam regularmente Listas de Revogação de Certificados (CRLs) de autoridades de certificação em vez de contatá-las diretamente por meio de solicitações OCSP. Esta prática foi abandonada devido ao uso excessivo e inútil da largura de banda.

A nível técnico, esta infraestrutura de gestão chave garante que:

Solicitação de certificado

O mecanismo típico para solicitar um certificado de servidor web de uma CA é que a entidade solicitante, usando certas funções do software do servidor web, preencha certos dados de identificação (incluindo o localizador de URL do servidor) e gere um par de chaves pública/privada. Com essas informações, o software servidor cria um arquivo "Arquivo (computação)") que contém uma solicitação CSR (Certificate Signing Request) no formato PKCS#10 que contém a chave pública e é enviada para a CA escolhida. Este, após verificar por si ou através dos serviços de uma Autoridade de Registo (Autoridade de Registo, RA) os dados de identificação fornecidos e efetuar o pagamento, envia o certificado assinado ao requerente, que o instala no servidor web com a mesma ferramenta com a qual gerou o pedido de CSR.

Neste contexto, o PKCS corresponde a um conjunto de especificações que são padrões de facto denominados Padrões de Criptografia de Chave Pública.

A hierarquia de certificação

As CAs têm seus próprios certificados públicos"), cujas chaves privadas associadas são usadas pelas CAs para assinar os certificados que emitem. Um certificado CA pode ser autoassinado quando não há nenhuma CA de classificação superior que o assine. Este é o caso dos certificados CA raiz, o elemento inicial de qualquer hierarquia de certificação. Uma hierarquia de certificação consiste em uma estrutura hierárquica de CAs na qual começa a partir de uma CA autoassinada, e em cada nível, há uma ou mais CAs que podem assinar certificados de 'entidade final' (titular do certificado: servidor web, pessoa, aplicação de software) ou certificados de outras ACs subordinadas que estejam totalmente identificadas e cuja Política de Certificação") seja compatível com ACs de nível superior.

Confie na CA

Uma das maneiras de estabelecer confiança em uma CA para um usuário é "instalar" no computador do usuário (terceiro confiável) o certificado autoassinado da CA raiz da hierarquia na qual você deseja confiar. O processo de instalação pode ser feito, em sistemas operacionais do tipo Windows, clicando duas vezes no arquivo que contém o certificado (com extensão crt) e iniciando assim o "assistente de importação de certificados". Como regra geral, o processo deve ser repetido para cada um dos navegadores existentes no sistema, como Opera "Opera (navegador)"), Firefox ou Internet Explorer, e em cada caso com suas funções específicas de importação de certificados.

Se uma CA estiver instalada no repositório de CAs confiáveis ​​​​de cada navegador, qualquer certificado assinado por essa CA poderá ser validado, desde que esteja disponível a chave pública para verificar a assinatura transportada pelo certificado. Quando o modelo CA inclui uma hierarquia, a confiança deve ser explicitamente estabelecida nos certificados de todas as cadeias de certificação confiáveis. Para isso, seus certificados podem ser localizados por diversos meios de publicação na Internet, mas também é possível que um certificado contenha toda a cadeia de certificação necessária para ser instalado com segurança.

Regulamentos da União Europeia

A Diretiva 93/1999[3]​ estabeleceu um quadro comum aplicável a todos os países da União Europeia, segundo o qual o nível de exigência colocado pelos regulamentos sobre assinatura eletrónica implica que os Provedores de Serviços de Certificação que emitem certificados qualificados sejam dignos de confiança por qualquer terceiro confiante e os seus certificados conferem à assinatura eletrónica avançada que acompanham o mesmo valor que a "assinatura manuscrita" ou "assinatura holográfica".

Regulamentos espanhóis

A 'Lei 59/2003 sobre Assinatura Eletrônica'[4]​ revogou o Real Decreto-Lei 14/1999, de 17 de setembro, sobre assinatura eletrônica, tornando mais eficaz a atividade de certificação em Espanha.

Finalmente, as CAs também são responsáveis ​​pelo gerenciamento de certificados assinados. Isto inclui tarefas de revogação de certificados que podem ser iniciadas pelo titular do certificado ou por qualquer terceiro com interesse legítimo perante a AC por e-mail, telefone ou intervenção pessoal. A lista, chamada Lista de Revogação de Certificados (CRL), contém os certificados que se enquadram nesta categoria, portanto é responsabilidade da CA publicá-la e atualizá-la adequadamente. Por outro lado, outra tarefa que uma AC deve realizar é a gestão associada à renovação de certificados por expiração ou revogação.

Se a CA emitir muitos certificados, você corre o risco de ter CRLs grandes, tornando-os impraticáveis ​​para confiar o download de terceiros. Por isso, desenvolvem mecanismos alternativos para verificar a validade dos certificados, como servidores baseados nos protocolos OCSP e SCVP.

Devido ao grande número de entidades certificadoras existentes, e apesar das medidas de segurança que utilizam para a correta verificação de pessoas singulares e coletivas, existe o risco de uma AC emitir um certificado a um fraudador com identidade falsa. Como não há registo de quais os certificados emitidos por cada AC, não é fácil detectar quais os casos que foram filtrados de forma fraudulenta ou quais os certificados que se referem a um nome igual ou muito semelhante ao de outra entidade. Para evitar esses tipos de problemas, o Google lançou a iniciativa Certificate Transparency, que registra todos os certificados emitidos pelas CAs por meio de arquivos de auditoria criptograficamente não falsificáveis, o que pode ajudar a combater o phishing (em espanhol: roubo de identidade).[5]​.

Os certificados de "entidade final" às vezes designam pessoas (e são chamados de "certificados qualificados") e às vezes identificam servidores web (e então os certificados são usados ​​dentro do protocolo TLS para que as comunicações com o servidor sejam protegidas com criptografia forte de 128 bits).

Contenido

Una CA puede ser o bien pública o bien privada. Los certificados de CA (certificados raíz) de las CAs públicas pueden o no estar instalados en los navegadores pero son reconocidos como entidades confiables, frecuentemente en función de la normativa del país en el que operan. Las CAs públicas emiten los certificados para la población en general (aunque a veces están focalizadas hacia algún colectivo en concreto) y además firman CAs de otras organizaciones.

CAs na União Europeia

O artigo 11.º da Directiva 1999/93CE sobre Assinatura Electrónica estabelece que os países membros notificarão a Comissão e os outros Estados-Membros do seguinte:

Já existe uma página web com a informação sobre o artigo 11.º da Directiva 1999/93.[6]​.

Os navegadores modernos integram nativamente (em formato padrão) uma lista de certificados de diferentes autoridades certificadoras que, dependendo do caso, são escolhidas automaticamente de acordo com critérios internos definidos pelos desenvolvedores do navegador.

Assim, quando uma pessoa física ou jurídica deseja configurar um servidor web utilizando comunicação HTTPS segura protegida por TLS, são geradas uma chave pública e uma chave privada, e então enviam a uma dessas autoridades certificadoras uma solicitação de assinatura de certificado (CSR) que contém sua chave pública, bem como dados sobre sua identidade (postal, telefone, endereço de e-mail, etc.).

Após verificação da identidade do requerente do certificado por uma autoridade de registo (RA), a autoridade de certificação assina o CSR graças à sua própria chave privada (e, portanto, não à chave privada do requerente), que é então convertida num certificado, que depois envia de volta ao requerente.

O certificado assim devolvido sob a forma de ficheiro informático é integrado no servidor web do requerente. Quando um usuário se conecta a este servidor web, ele por sua vez transmite o certificado previamente fornecido pela autoridade certificadora.

O navegador do cliente autentica o certificado do servidor graças ao certificado (nativamente integrado ao navegador) previamente assinado pela autoridade certificadora. A identidade do servidor é assim confirmada ao utilizador pela autoridade de certificação.

O navegador então contata a autoridade de certificação correspondente para confirmar, através de uma solicitação OCSP, que o certificado do servidor não foi revogado desde que foi emitido pela autoridade de certificação.

Anteriormente, certos navegadores baixavam regularmente Listas de Revogação de Certificados (CRLs) de autoridades de certificação em vez de contatá-las diretamente por meio de solicitações OCSP. Esta prática foi abandonada devido ao uso excessivo e inútil da largura de banda.

A nível técnico, esta infraestrutura de gestão chave garante que: