|
1 - Certificado digital
É o seu certificado de uso pessoal, que foi emitido por uma autoridade de certificação.
A MP 2200-2/2001 dispõe sobre chaves públicas (ICP - Brasil).
O certificado de uso pessoal pode ser A1 ou A3.
- O A1 fica instalado no computador e sua senha só é usada no momento da instalação.
- O A3 possui um token ou cartão, que precisa estar conectado no computador no momento do uso.
A senha deve ser informada cada vez que o certificado é usado.
Um certificado digital utiliza o algoritmo RSA com um par de chaves (pública e privada) para garantir a segurança.
| Arquivo | Formato | Codificação | Chave | Obs |
| CER / CRT | X.509 | DER ou PEM | Pública | - |
| DER | X.509 | DER ou PEM | Pública | - |
| KEY | - | - | Privada | Associado a CER / CRT |
| P7B | PKCS#7 | DER ou PEM | Pública | - |
| P12 / PFX | PKCS#12 | DER | Pública e privada | Comum em certificado A1 |
| PEM | - | PEM | Pública e privada | - |
|
O formato X.509 é um padrão internacional para um certificado digital de chave pública.
PKCS#7 permite conter uma cadeia de certificados em um único arquivo (sem chave privada).
PKCS#12 guarda o certificado e a respectiva chave privada em um único arquivo, protegido por senha.
A codificação DER usa os dados em formato binário (não legível para humanos).
PEM usa os dados em texto legível com base 64.
- Exemplo PEM: -----BEGIN CERTIFICATE-----[dados criptografados em base64]-----END CERTIFICATE-----
- Exemplo PEM: -----BEGIN PRIVATE KEY-----
- Exemplo PEM: -----BEGIN PKCS7-----
A chave privada é a contrapartida secreta da chave pública do certificado X.509 e nunca deve ser exposta.
Um arquivo com chave pública (CER ou CRT) pode estar associado a um arquivo com a chave privada (KEY).
A verificação se o público pertence ao KEY é feita comparando o módulo (modulus).
O arquivo SST pode conter múltiplos certificados (parecido com ZIP).
A linha de comando OpenSSL é usada para manusear certificados (bash):
- openssl pkcs7 -in arquivo.p7b -print_certs -out certificado.pem (converter p7b/pem em crt/pem).
- openssl pkcs7 -in arquivo.p7b -inform DER -print_certs -out certificado.pem (converter p7b/der em pem).
- openssl pkcs12 -export -out certificado.p12 -inkey chavePrivada.key -in certificado.crt (junta CRT + KEY em P12).
- openssl pkcs12 -in certificado.p12 -info -nodes (mostra informações de P12 sem extrair as chaves).
- openssl pkcs12 -in certificado.p12 -clcerts -nokeys -out certificado.crt (extrai o certificado CRT de P12).
- openssl pkcs12 -in certificado.p12 -nocerts -out chavePrivada.key -nodes (extrai a chave privada KEY de P12).
2 - Autoridade de certificação (AC)
AC é uma instituição que emite um certificado digital.
O computador já vem com diversas AC instaladas.
Conforme o serviço onde você está usando o seu certificado digital, pode ser preciso instalar mais algumas AC, como:
Se for preciso instalar algum dos certificados acima, faça o download do certificado e o instale no repositório de Autoridades de Certificação Raiz Confiáveis.
No repositório de autoridades só deve haver uma linha para cada certificado "Autoridade Certificadora Raiz Brasileira" v1, v2, v5 e v10.
- Se houver mais de uma linha é recomendável excluir as linhas adicionais.
- As finalidades (v1, v2, v5 e v10) devem ser "Todos".
Se não for, clique com o botão direito na linha, clique em Propriedades e mude as finalidades para "Ativar todas as finalidades deste certificado".
Cadeia de certificados - São diversas autoridades de certificação.
3 - Instalação do certificado (pessoal ou AC)
Como instalar um certificado A1 ou AC (Autoridade Certificadora)
- Execute o arquivo que tem o certificado: X.509 (.CER), PCKS7 (.P7B) ou PKCS12 (.P12 ou .PFX).
- Clique em Instalar Certificado - Avançar.
- Se houver senha para a instalação, informe a senha.
- No certificado A1 a opção "Habilitar proteção de chaves privadas fortes. Se habilitar esta opção, você será avisado sempre que a chave privada for usada por um aplicativo." deve estar desmarcada para não haver pergunta durante o uso do certificado.
Se a opção estiver marcada pode aparecer a pergunta "Deseja permitir que o aplicativo acesse sua chave privada?" cada vez que o certificado for usado.
- Se você escolher "Selecionar automaticamente o repositório de certificados conforme o tipo de certificado" o Windows escolhe o repositório.
- Se você escolher "Colocar todos os certificados no repositório a seguir" (recomendável) você escolhe o repositório.
Neste caso clique em Procurar, selecione Pessoal (seu certificado digital) ou Autoridades de Certificação Raiz Confiáveis e clique em OK.
- Clique em Avançar.
- Clique em Concluir.
- Se o computador pedir confirmação (geralmente pede quando você escolhe o repositório de autoridades), confirme a instalação.
Como instalar um certificado A3 - É preciso instalar os drivers da certificadora.
Com os drivers instalados, ao conectar o token / cartão o certificado é instalado automaticamente.
Como verificar os certificados instalados
- Execute o comando CERTMGR.MSC no Windows e clique no tipo desejado (Pessoal ou Autoridades de Certificação Raiz Confiáveis) - Certificados.
- Ou acesse o Painel de Controle e clique em Opções da Internet - Conteúdo - Certificados.
- Ou acesse o Internet Explorer 11 - menu Ferramentas e clique em Opções da Internet - Conteúdo - Certificados.
Assinatura - Para ver o tipo de assinatura (sha1, sha256) suportado pelo certificado:
- Acesse o certificado (caminho acima), abra o certificado, clique em Detalhes e veja o conteúdo do campo "algoritmo de assinatura".
Atualização automática - Para controlar a atualização automática de certificados:
- Execute o comando GPEDIT.MSC no Windows.
- Clique em Configuração do computador - Configurações do Windows - Configurações de segurança - Diretivas de chave pública - Configurações de validação de caminho do certificado - Recuperação de rede - (s/n) Definir estas configurações de diretivas - (s/n) Atualizar certificados automaticamente no Microsoft Root Certificate Program.
4 - Senha do certificado
Um certificado pode ter 3 senhas:
- PIN (utilização) - É solicitada toda vez que o certificado é usado.
Após 3 tentativas incorretas do PIN, o certificado é bloqueado e para desbloqueá-lo deve-se usar a senha PUK.
- PUK (desbloqueio) - É utilizada em caso de bloqueio do PIN.
Após 3 tentativas incorretas do PUK, o certificado é definitivamente bloqueado.
- Identificação e revogação - É utilizada para emissão ou cancelamento do certificado.
A revogação deve acontecer em caso de perda, roubo, modificação, acesso indevido ou comprometimento do certificado.
Após a revogação o certificado não poderá mais ser usado.
O tamanho das senhas e os caracteres permitidos (somente números, alfanuméricos ou outros caracteres) dependem do emitente do certificado.
Exemplo AC LINK: PIN (4 a 8 números), PUK (4 a 8 números), revogação (8 a 20 números).
5 - Gerenciamento do token
- Insira o token no computador.
- Execute o comando TOKEN no Windows (mostra os tokens conectados).
- Clique no menu Token - Mostrar objetos do token (ou dê um duplo clique no certificado).
- Clique na linha Chave pública.
- Clique em Mostrar objetos privados.
- Informe a senha do certificado.
- Se aparecer a linha Chave privada é porque o certificado tem o uso da chave previsto.
6 - Assinatura digital
A assinatura pode ser feita com certificado digital ou com conta Gov.BR, garantindo quem assinou.
Existe outro tipo de assinatura (sem identificação), que garante apenas que os dados não sofreram alterações (integridade do arquivo).
| Arquivo | Certificado / Formato | Arquivo | Assinatura |
| P7S | Digital / PKCS#7 | Qualquer tipo | Anexa ou desanexa |
| SHA-1 | Digital / Criptografia 160 bits (40 char hexadecimais) | Qualquer tipo (comum em XML) | Anexa ou desanexa |
| SHA-256 | Ditital / Criptografia 256 bits (64 char hexadecimais) | Qualquer tipo (comum em XML) | Anexa ou desanexa |
| PDF | Digital | pdf | Anexa |
| Gov.BR | Conta Gov.BR (prata ou ouro) | doc, docx, odt, jpg, png e pdf (até 20 MB) | Anexa |
|
Na assinatura anexa a assinatura é incorporada ao próprio arquivo (conteúdo e assinatura no mesmo arquivo).
Na assinatura desanexa a assinatura fica em um arquivo separado (destacado) que valida o arquivo original, mas não o modifica.
Para checar se uma assinatura é valida acesse o validador ITI.
7 - Chave privada
Ao usar o certificado A1 pode aparecer a pergunta "Deseja permitir que o aplicativo acesse sua chave privada?".
Para que esta mensagem não seja mais exibida, é preciso que durante a instalação do certificado a opção "Habilitar proteção de chaves privadas fortes. Se habilitar esta opção, você será avisado sempre que a chave privada for usada por um aplicativo." estaja desmarcada.
Se for o caso, você deve remover o certificado e instalar novamente.
| 