10-Infraestrutura de Chaves Públicas

Prévia do material em texto

Infraestrutura de Chaves Públicas 
APRESENTAÇÃO
Empresas e pessoas passaram a utilizar a Internet para agilizar seus processos e suas atividades 
que precisam de troca de informações, inclusive as financeiras. O problema é que, apesar de a 
Internet oferecer essa possibilidade, ela nunca deu, automaticamente, privacidade, sigilo ou 
segurança. Foi preciso criar uma forma de fazer a transmissão das informações de forma segura 
e confiável. Foi então que surgiu a infraestrutura de chaves públicas (ICP).
Nesta Unidade de Aprendizagem, você estudará o conceito de infraestrutura de chaves públicas 
e o problema da distribuição das chaves, além de reconhecer quem é a principal autoridade 
registradora de chaves públicas.
Bons estudos.
Ao final desta Unidade de Aprendizagem, você deve apresentar os seguintes aprendizados:
Compreender o que é uma infraestrutura de chaves públicas.•
Identificar o problema da distribuição de chaves.•
Reconhecer a principal autoridade certificadora de chaves públicas.•
DESAFIO
A criptografia é o processo de aplicação de um algoritmo de codificação em dados que precisam 
ficar ininteligíveis para aqueles indivíduos que não estão envolvidos nessa transação específica, 
podendo acontecer de forma simétrica ou assimétrica.
Considere que você é o profissional responsável pela segurança da informação da empresa onde 
trabalha, que, apesar de pequena, já executa muitas atividades pela Internet, utilizando 
certificação digital. Os gestores da empresa, como pagam pelos seus serviços, assim como pelo 
certificado digital, querem saber:
a) Qual o motivo de a infraestrutura de chaves públicas utilizar criptografia assimétrica para 
realizar as transações pela Internet?
b) As informações sigilosas da empresa estão realmente seguras sendo enviadas e recebidas 
dessa maneira? Justifique.
INFOGRÁFICO
Uma infraestrutura de chaves públicas (ICP) envolve um conjunto de recursos, serviços e 
políticas que servem para viabilizar a utilização da criptografia de chave pública na intenção de 
autenticar as partes envolvidas em uma transação. Saiba mais sobre o assunto no infográfico. 
CONTEÚDO DO LIVRO
Com o objetivo de tornar mais rápido e ágil o resultado obtido com processos e atividades, 
pessoas e empresas começaram a executar atividades por meio da Internet. O problema é que 
esta é uma ferramenta que, apesar de efetivamente trazer maior conforto e agilidade em diversas 
transações, não oferece, por si só, segurança e confiabilidade no resultado final. Por conta disso, 
foi preciso imaginar uma forma de tornar essas transações, via rede, mais seguras e confiáveis, o 
que originou os certificados digitais, que são documentos eletrônicos assinados virtualmente por 
uma autoridade certificadora. Esses certificados são emitidos, no Brasil, por meio da 
Infraestrutura de Chaves Públicas (ICP-Brasil), que é formada por várias entidades e tem um 
rigoroso processo, desde a solicitação dos certificados até a sua efetiva emissão e entrega ao 
usuário final.
No capítulo Infraestrutura de chaves públicas, da obra Fundamentos de segurança da 
informação, que é base teórica desta Unidade de Aprendizagem, você estudará o conceito de 
infraestrutura de chaves públicas e o problema da distribuição das chaves, assim como 
reconhecerá quem é a principal autoridade registradora de chaves públicas.
FUNDAMENTOS DE 
SEGURANÇA DA 
INFORMAÇÃO
Jeanine dos Santos 
Barreto
 
Infraestrutura de 
chaves públicas
Objetivos de aprendizagem
Ao final deste texto, você deve apresentar os seguintes aprendizados:
  Compreender o que é infraestrutura de chaves públicas.
  Identificar o problema da distribuição de chaves.
  Reconhecer a principal autoridade certificadora de chaves públicas.
Introdução
As empresas e as pessoas passaram a utilizar a Internet para agilizar 
processos e atividades que exigem a troca de informações, inclusive 
as financeiras. Apesar de a Internet possibilitar essas trocas, ela nunca 
ofereceu, automaticamente, privacidade, sigilo ou segurança. Foi preciso 
criar uma maneira de transmitir informações de forma segura e confiável; 
assim, surgiu a infraestrutura de chaves públicas (ICP).
Neste capítulo, você vai estudar o conceito de infraestrutura de 
chaves públicas e o problema da distribuição das chaves. Você vai 
também aprender sobre a principal autoridade registradora de chaves 
públicas.
O que é infraestrutura de chaves públicas
De olho na agilidade de processos e no aumento dos lucros, as empresas 
passaram a utilizar a Internet para fazer negócios. As pessoas passaram a 
executar virtualmente atividades que antes desempenhavam fi sicamente, 
como a entrega da declaração do imposto de renda, os pagamentos de faturas. 
Segundo Baldam (2016), a Internet proporciona a troca de informações de 
maneira rápida e fácil, mas ela nunca ofereceu privacidade, sigilo ou segurança, 
o que traz vários tipos de ameaças para as partes envolvidas na comunicação.
Com o intuito de garantira a transmissão de informações de forma sigilosa, 
íntegra, autêntica, segura, confiável e sempre disponível, foram desenvolvidos 
os certificados digitais, a infraestrutura de chaves públicas e a legislação 
pertinente.
O certificado digital é um documento eletrônico assinado digitalmente 
por uma autoridade certificadora. Ele contém diversas informações sobre o 
órgão emissor e o seu titular, bem como a sua chave pública e a sua validade. 
A função do certificado digital é vincular um indivíduo ou uma entidade a 
uma chave pública.
Todo certificado digital tem uma validade para os usuários finais, que 
pode variar de um a três anos, e outra para as autoridades certificadoras, que 
varia de três a 20 anos. Quando um certificado é renovado, o par de chaves é 
trocado. O certificado digital também pode ser revogado.
Os certificados digitais são em geral armazenados em forma de arquivo, 
mas podem ser guardados também em repositórios físicos, como tokens ou 
smart-cards, que normalmente guardam as chaves privadas.
A infraestrutura de chaves públicas (ICP) consiste em um sistema de 
recursos, serviços e políticas que dão suporte para a utilização de criptografia 
de chave pública para fazer a autenticação das partes envolvidas em uma 
transação. Ela fornece as ferramentas necessárias para o gerenciamento de 
certificados digitais ou chaves públicas.
Esse tipo de infraestrutura pode ser descrito como uma cadeia hierárquica 
de confiança que viabiliza e regulamenta a emissão de certificados digitais para 
a identificação virtual de alguém. A maior parte das ICPs incluem serviços 
adicionais de criptografia e assinatura digital, ainda que não sejam essenciais 
para sua operação.
Baldam (2016) constata que não existe um padrão para definir os compo-
nentes de uma ICP, nem para o processo de emissão de um certificado digital, 
mas normalmente esse processo envolve três elementos:
Módulo público: é um portal em que usuário final pode solicitar o certi-
ficado e configurar seu controle de acesso, e ainda acompanhar o andamento 
da emissão do seu certificado.
Autoridade de registro (AR): é o elemento que fornece uma interface 
entre o usuário e a autoridade certificadora. A AR tem o papel de conferir as 
informações do usuário e enviar a requisição do certificado para a autoridade 
certificadora. O nível de confiança atribuído ao certificado está diretamente 
ligado à qualidade do processo de conferência dessas informações, por isso a 
importância da AR. A autoridade certificadora deve necessariamente confiar 
nas informações da AR, pois o certificado será emitido sem que haja nenhum 
Infraestrutura de chaves públicas2
outro tipo de verificação das informações. Essa confiança entre as autorida-
des é necessária para garantir a confiabilidade do processo como um todo. 
O nível das verificações feitas pela AR pode variar, dependendo da política 
de certificação adotada em determinada infraestrutura de chaves públicas.
Autoridade certificadora (AC): é o elementoresponsável por emitir, 
gerar, renovar e revogar os certificados digitais, distribuir as chaves públicas 
e emitir a lista de certificados revogados (LCR), bem como manter as regras 
de publicação dos certificados digitais. A AC pode ser uma empresa, uma 
organização, ou também um indivíduo, público ou privado. É a AC que vai 
receber a requisição do certificado digital – que foi assinada pela AR –, conferir 
a assinatura digital da AR e emitir o certificado digital que será conferido ao 
usuário final. A forma de funcionamento de uma AC vai determinar quais os 
tipos de certificado digital que ela é capaz de emitir; isso está descrito em um 
documento chamado declaração de práticas de certificação (DPC).
A Figura 1 apresenta o esquema de emissão dos certificados digitais.
Figura 1. Esquema de emissão de certificado digital.
Fonte: Adaptada de Infraestrutura..., [2018]. 
Insere
os dados
Re
qu
is
ita
nt
e
Requisição do
certi�cado
digital
Autenticação Autoridade
de registro
Emissão e
publicação
do certi�cado
digital
Pu
bl
ic
aç
ão
 d
e 
ce
rt
i�
ca
do
s
Solicitação de
emissão
autenticada
pelo agente AR
Autoridade
certi�cadora
Módulo
público
O processo de emissão dos certificados digitais passa por uma infra-
estrutura de chaves públicas, formada por uma hierarquia de autoridades 
certificadoras, e envolve vários certificados, classificados como raiz, interme-
diários e final. O caminho percorrido para a certificação digital é importante, 
pois determina o nível de confiança em um certificado específico. Conforme 
Martini (2008), a emissão de um certificado digital normalmente envolve as 
seguintes verificações, para cada certificado:
  se algum certificado intermediário necessário está faltando;
  a validade do certificado;
  o status do certificado – se, por acaso, ele não está revogado;
3Infraestrutura de chaves públicas
  se o certificado foi assinado pelo emissor;
  se o certificado digital do emissor tem realmente valor de assinatura 
de certificado;
  se o certificado do emissor pode mesmo emitir certificado digital para 
outra entidade;
  se a lista de certificados revogados é válida e não está expirada;
  se a lista de certificados revogados está assinada pelo emissor do 
certificado;
  se o certificado do emissor da lista de certificados revogados tem valor 
de assinatura desse tipo de lista.
É obrigatório, para toda entidade responsável por uma ICP, que ela elabore 
um documento com as suas políticas de certificação (PC), que correspondem 
aos itens utilizados pela organização para fazer a emissão do certificado digital. 
Esse documento é útil para facilitar a compreensão do processo por todos os 
usuários. No documento de políticas de certificação estão todos os detalhes 
dos itens adotados pela entidade para que a segurança do processo de emissão 
e manutenção dos certificados digitais seja assegurada.
Entre outros elementos, um documento bem elaborado de políticas de 
certificação deve conter a responsabilidade de cada componente dentro de 
uma ICP, a discriminação das responsabilidades que um usuário assume 
quando requisita e utiliza um certificado digital e, ainda, as instruções sobre a 
manutenção do par de chaves que fica sob responsabilidade do usuário. Essas 
políticas devem descrever detalhadamente os itens envolvidos no processo, da 
solicitação do certificado digital até sua expiração ou revogação.
Outro documento muito importante é chamado de declaração de práticas 
de certificação (DPC). Ele não descreve os itens ou elementos envolvidos no 
processo, mas como a emissão do certificado será feita. Nessa declaração estão 
os detalhes de como cada elemento de uma ICP contribui para o cumprimento 
da política de certificação. Ela deve informar à qual política de certificação 
determinada prática está associada e quais os procedimentos que serão ne-
cessários para que a política seja implantada e assegurada. A DPC precisa ter 
informações suficientes, a ponto de comprovar que tudo o que está na política 
de certificação vai ser satisfeito por algum procedimento. 
Infraestrutura de chaves públicas4
O problema da distribuição das chaves
A criptografi a simétrica, também chamada de codifi cação simétrica, crip-
tografi a com chave privada, ou ainda criptografi a com chave secreta, consiste 
na utilização de uma mesma chave para fazer a criptografi a e a descriptografi a 
dos dados. Logo, conforme Silveira (2006), o algoritmo utilizado por essa 
criptografi a é mais simples, e ela funciona de maneira mais rápida. 
A criptografia envolve a aplicação de um algoritmo de codificação em dados que 
precisam ficar incompreensíveis e ininteligíveis para pessoas que não estão participando 
de uma transação específica.
A criptografia simétrica exige que as chaves públicas tenham um compri-
mento no mínimo igual ao da mensagem que precisa ser codificada, para que 
ofereça um mínimo de segurança. Além disso, esse tipo de criptografia exige 
que seja utilizado um canal protegido para que a troca da chave seja feita, o 
que o torna menos utilizado.
Em resumo, a operação de um algoritmo de chave simétrica é mais sim-
ples porque existe apenas uma chave envolvida na comunicação. Essa chave 
representa um segredo que é compartilhado entre os envolvidos para que um 
canal de comunicação minimamente confidencial possa ser estabelecido e 
mantido, como mostra a Figura 2.
A premissa da criptografia simétrica é que apenas uma chave é usada por 
cada um dos envolvidos, e que essa chave é conhecida apenas por eles, o que 
é praticamente impossível de ser assegurado, pois existe uma facilidade muito 
grande de ataque e interceptação da troca de mensagens.
5Infraestrutura de chaves públicas
Figura 2. Esquema de criptografia simétrica.
Texto legível
Estudar
é bom
demais!
Algoritmo de
criptogra�a
Algoritmo de
descriptogra�a
Chave secreta
compartilhada
Chave secreta
compartilhada
Texto criptografado
LSDJHSAD
JFHASJDAJ
DSDKSJAKJ
SKLJDKSJD
Texto legível
Estudar
é bom
demais!
Meio seguro
Algumas desvantagens podem ser identificadas com a utilização da crip-
tografia simétrica:
  o maior problema é com a distribuição das chaves, pois um usuário 
que precisa se comunicar com n outros usuários ao mesmo tempo vai 
precisar utilizar uma quantidade de (n x (n – 1))/2 chaves privadas, para 
que seja garantida uma confidencialidade mínima;
  a despesa com o uso de canais seguros e com a distribuição de chaves 
torna possível sua utilização apenas para quem pode pagar por isso, 
como governos e grandes instituições bancárias;
  como a mesma chave é utilizada tanto para a criptografia quanto para a 
descriptografia, essa chave se torna um segredo compartilhado entre as 
partes, o que torna a comunicação não confiável. As partes que trocam 
os dados devem conhecer e ter acesso à chave da criptografia, o que 
gera problemas de segurança, pois indivíduos não autorizados podem 
ter acesso à chave;
  exige o gerenciamento de chaves, que consiste em escolher, distribuir e 
armazenar chaves sem erro e sem perda, de forma que sejam mudadas 
frequentemente e mantidas da forma mais segura possível durante a 
distribuição e a efetivação da transação.
Infraestrutura de chaves públicas6
A utilização de criptografia simétrica consiste em compartilhar uma única chave entre 
todos os envolvidos na transação. Isso ocasiona o problema de distribuição das 
chaves, que nada mais é do que a dificuldade em passar a chave para todos sem que 
ela seja roubada por alguém enquanto a comunicação acontece.
O problema da distribuição das chaves pode ser resolvido por meio da 
utilização da criptografia assimétrica. Ela utiliza duas chaves diferentes para 
criptografar e descriptografar os dados, que são chamadas individualmente 
de chaves privadas e chaves públicas e, em conjunto, de par de chaves. 
Conforme Martini (2008), apesar de serem diferentes, as duas partes desse 
par de chaves devem ser matematicamente ligadas.
A criptografia assimétrica ou criptografia com chavepública usa algoritmos 
mais complexos do que a simétrica e, por isso, é mais lenta. Isso quer dizer que 
um algoritmo de chave assimétrica com bastante qualidade pode ser milhares 
de vezes mais lento do que um algoritmo de chave simétrica que tenha uma 
qualidade equivalente.
Na criptografia assimétrica, somente uma parte mantém a chave privada, 
e essa parte é chamada de assunto; todas as outras partes podem acessar a 
chave pública. Ou seja, a chave pública é divulgada para todos, enquanto a 
chave privada é mantida em segredo, como mostra a Figura 3.
Figura 3. Esquema de criptografia assimétrica. 
Texto legível
Estudar
é bom
demais!
Algoritmo de
criptogra�a
Algoritmo de
descriptogra�a
Chave pública
divulgada
Chave privada
con�dencial
Texto criptografado
LSDJHSAD
JFHASJDAJ
DSDKSJAKJ
SKLJDKSJD
Texto legível
Estudar
é bom
demais!
7Infraestrutura de chaves públicas
Os dados criptografados por meio da chave pública só podem ser descrip-
tografados por meio da utilização da chave privada, e os dados criptografados 
pela chave privada só podem ser descriptografados pela chave pública. Dessa 
forma, esse tipo de criptografia oferece segurança e confiabilidade. A chave 
pública é disponibilizada publicamente, e assim qualquer um pode criptografar 
dados. Por outro lado, como somente a parte do assunto mantém a chave 
privada, a empresa pode ter uma boa margem de certeza de que somente o 
destinatário pode descriptografar os dados, porque é praticamente impossível 
deduzir a chave privada a partir da chave pública.
A utilização da criptografia assimétrica traz alguns benefícios em contraste 
com o uso da criptografia simétrica:
  permite que usuários troquem mensagens com segurança, mesmo que 
não tenham grande poder aquisitivo;
  não é necessário que o remetente e o destinatário da mensagem com-
partilhem chaves secretas através de um canal seguro;
  toda e qualquer comunicação envolve somente chaves públicas, e 
nenhuma chave privada é transmitida ou compartilhada durante a 
comunicação.
Certificação de chaves públicas no Brasil
A infraestrutura de chaves públicas brasileira (ICP-Brasil) surgiu com 
o objetivo de regulamentar a certifi cação digital no país, algo que segue em 
grande desenvolvimento. Conforme Martini (2008), a ICP-Brasil é responsável 
por um conjunto de regras e padrões que permitem a compatibilidade entre 
os vários tipos de certifi cados digitais existentes e, ainda, fornece um nível 
de segurança compatível com os melhores padrões disponíveis atualmente.
Existe um rígido controle por auditoria em todas as entidades que compõem 
a ICP-Brasil, o que é fundamental, pois aumenta a confiabilidade depositada 
nos padrões seguidos. A ICP-Brasil é formada pelas entidades a seguir (INSTI-
TUTO NACIONAL DE TECNOLOGIA DA INFORMAÇÃO, 2017): 
AC-Raiz: é a autoridade certificadora raiz, a primeira da cadeia de certifi-
cação. Ela é responsável por executar as políticas de certificados e as normas 
técnicas e operacionais que são aprovadas pelo comitê gestor da ICP-Brasil. 
Compete a essa autoridade a emissão, a expedição, a distribuição, a revogação e 
o gerenciamento dos certificados das ACs de nível imediatamente subsequente 
ao seu nível. A AC-Raiz também emite a lista de certificados revogados (LCR) 
Infraestrutura de chaves públicas8
e fiscaliza e audita as autoridades certificadoras, as autoridades de registro 
e os demais prestadores de serviço que são habilitados pela ICP-Brasil. É 
responsabilidade da AC-Raiz verificar se as autoridades certificadoras estão 
atuando em conformidade com as diretrizes e as normas técnicas estabelecidas 
pelo comitê gestor da ICP-Brasil.
Autoridade Certificadora – AC: é a entidade pública ou privada, su-
bordinada à hierarquia da ICP-Brasil, que tem o papel de fazer a emissão, 
a distribuição, a renovação, a revogação e o gerenciamento de certificados 
digitais. É dela a responsabilidade de verificar se o titular do certificado tem 
a chave privada correspondente à chave pública que faz parte daquele certi-
ficado. A AC cria e assina digitalmente o certificado do usuário, sendo que o 
certificado emitido pela AC representa a declaração de identidade do titular, 
que possui um par único de chaves pública e privada. A AC também deve 
emitir a lista de certificados revogados e manter os registros de suas operações, 
em conformidade com as práticas definidas na DPC, que são as políticas de 
segurança fundamentais para assegurar a autenticidade da identificação.
Autoridade de Registro – AR: é a entidade responsável por fazer a inter-
face entre o usuário e a AC. Ela é vinculada a uma AC e visa a receber, validar 
e encaminhar as solicitações de emissão ou revogação de certificados digitais 
e identificar de forma presencial os solicitantes. Essa entidade também deve 
manter um registro de todas as suas operações e pode estar localizada fisica-
mente em uma AC, ou ser uma entidade de registro que opera remotamente.
Autoridade Certificadora do Tempo – ACT: é a entidade em que os 
usuários de serviços de carimbos de tempo confiam para que eles sejam emi-
tidos. Essa entidade é responsável pelo fornecimento do Carimbo do Tempo, 
que é um conjunto de atributos fornecidos pela parte confiável, que confere 
prova da existência do documento em determinado período, sendo associado 
a uma assinatura digital. Em outras palavras, um documento é produzido, 
seu conteúdo é criptografado, ele recebe atributos como ano, mês, dia, hora, 
minuto, segundo, e é atestado em uma assinatura, realizada por meio de um 
certificado digital que comprova sua autenticidade. A ACT atesta, então, a 
questão de tempo de uma transação e também o seu conteúdo.
Prestador de Serviço de Suporte – PSS: é a entidade que executa as 
atividades descritas na política do certificado (PC) e na declaração de certi-
ficação (DPC) da AC à qual está vinculado diretamente, ou por intermédio 
da AR. O PSS se classifica, conforme o tipo de atividade prestada, em três 
tipos: disponibilização de infraestrutura física e lógica; disponibilização de 
recursos humanos especializados; e disponibilização de infraestrutura física 
e lógica e de recursos humanos especializados.
9Infraestrutura de chaves públicas
Prestador de Serviço Biométrico – PSBio: é a entidade que tem capacidade 
técnica para realizar a identificação biométrica, o que gera um registro único 
nos bancos de dados e sistemas de dados biométricos de toda a ICP-Brasil. Ele 
possibilita a verificação biométrica do requerente de um certificado digital 
e faz a comparação da biometria, que tem característica perene e única, de 
acordo com padrões internacionais de utilização.
A ICP-Brasil conta com uma variedade de autoridades certificadoras e, por 
isso, não é possível identificar qual delas é a mais importante. Ainda assim, 
é possível destacar aquelas que correspondem a órgãos do governo e grandes 
entidades (INSTITUTO NACIONAL DE TECNOLOGIA DA INFORMAÇÃO, 
2017): 
Serpro (Serviço Federal de Processamento de Dados): foi a primeira 
autoridade certificadora credenciada pela ICP-Brasil. Essa empresa vem divul-
gando o uso da tecnologia de certificação digital para os diversos segmentos 
para os quais trabalha, desde a data da criação do seu Centro de Certificação 
Digital, em 1999.
CEF (Caixa Econômica Federal): é a única instituição financeira brasileira 
credenciada como autoridade certificadora da ICP-Brasil. A CEF trabalha 
ainda para que a certificação digital faça a integração dos serviços e traga 
melhorias para os seus funcionários, clientes e titulares das contas do Fundo 
de Garantia por Tempo de Serviço (FGTS).
Serasa Experian: é uma autoridade certificadora que pertence ao setor 
privado. Ela fornece a segurança dos certificados digitais para quase a to-
talidade dos grupos financeiros que participam do Sistema de Pagamentos 
Brasileiro (SPB).
Receita Federal do Brasil: disponibiliza uma grande quantidade de ser-
viços, objetivando a simplificação ao máximo da vida dos contribuintes e 
facilitandoo cumprimento espontâneo de todas as obrigações tributárias para 
aqueles que possuem certificados digitais ICP-Brasil.
Certisign: tem foco duplo no segmento da certificação digital pois, além 
de fornecer uma ferramenta tecnológica, ela ainda desenvolve soluções para 
utilização exclusiva com certificados digitais emitidos pela ICP-Brasil.
Imprensa Oficial do Estado de São Paulo: responsável por oferecer pro-
dutos e serviços de certificação digital para os Poderes Executivo, Legislativo e 
Judiciário, para todas as esferas da Administração Pública, tanto direta quanto 
indiretamente, nos âmbitos municipal, estadual e federal.
AC Jus: impulsionou a implantação da certificação digital no Poder Judi-
ciário, por meio do estímulo ao desenvolvimento de aplicações para a comu-
nicação e a troca de arquivos eletrônicos. Foi responsável pela viabilização 
Infraestrutura de chaves públicas10
do Processo Judicial Eletrônico, conhecido como PJ-e. Essa não é uma AC 
que emite certificados digitais para usuários finais, e sim para autoridades 
certificadoras subordinadas que, então, fazem a emissão para os usuários 
finais, que podem ser magistrados e servidores, aplicações ou equipamentos 
dos Poderes Executivo, Legislativo e Judiciário, nos níveis federal ou estadual.
Casa da Moeda do Brasil: é uma das mais antigas instituições públicas 
brasileiras. A Casa da Moeda é responsável por consolidar a modernização 
de sua estrutura produtiva e administrativa, além de prestar atendimento ao 
mercado de segurança na era da tecnologia.
Ministério das Relações Exteriores: essa autoridade certificadora foi a 
14ª a se credenciar na ICP-Brasil. O Ministério das Relações Exteriores tem 
o papel exclusivo de fazer a emissão do certificado digital que assina os com-
ponentes eletrônicos do modelo mais atualizado de passaporte brasileiro, em 
conformidade com o Public Key Directory (PKD) da Organização da Aviação 
Civil Internacional (ICAO), que é a agência especializada das Nações Unidas.
AC Defesa: objetiva a emissão e o fornecimento de certificados digitais 
para o Ministério da Defesa e para as forças da Marinha, do Exército e da 
Aeronáutica. Seu propósito é aumentar a segurança e garantir a operação 
conjunta das Forças Armadas.
Para conhecer o procedimento de obtenção de certificado 
digital por meio do Serpro, acesse o link abaixo ou código 
ao lado.:
https://goo.gl/z4gZjX
11Infraestrutura de chaves públicas
BALDAM, R. Gerenciamento de conteúdo empresarial. Rio de Janeiro: Elsevier, 2016.
INFRAESTRUTURA de chaves públicas. [2018]. Disponível em: <https://www.gta.ufrj.
br/grad/07_2/delio/Infra-estruturadeChavesPblicas.html>. Acesso em: 24 maio 2018.
INSTITUTO NACIONAL DE TECNOLOGIA DA INFORMAÇÃO- ITI. ICP–Brasil. 2017. Dispo-
nível em: <http://www.iti.gov.br/icp-brasil>. Acesso em: 24 maio 2018.
MARTINI, R. S. Tecnologia e cidadania digital: tecnologia, sociedade e segurança. Rio 
de Janeiro: Brasport, 2008.
SILVEIRA, S. A. Criptografia assimétrica... você ainda vai precisar dela. Revista Eletrônica 
- A REDE, São Paulo, n.10, p. 32-33, jan. 2006. 
Infraestrutura de chaves públicas12
Encerra aqui o trecho do livro disponibilizado para 
esta Unidade de Aprendizagem. Na Biblioteca Virtual 
da Instituição, você encontra a obra na íntegra.
DICA DO PROFESSOR
A criptografia é o processo de aplicação de um algoritmo de codificação em dados que precisam 
ficar ininteligíveis para aqueles indivíduos que não estão envolvidos nessa transação específica. 
Ou seja, uma transação em que duas partes trocam dados em forma de mensagens pode ser feita, 
caso use criptografia, de duas formas: simétrica e assimétrica. Na Dica do 
Professor, você aprenderá sobre o problema da distribuição das chaves.
Conteúdo interativo disponível na plataforma de ensino!
EXERCÍCIOS
1) O que é um certificado digital? 
A) É o algoritmo que faz a criptografia de uma mensagem e fornece a chave privada para 
descriptografá-la.
B) É um documento eletrônico que é assinado digitalmente por uma autoridade certificadora 
da ICP-Brasil.
C) É o algoritmo que faz a descriptografia de uma mensagem recebida, para exibi-la ao 
destinatário.
D) É o nome da entidade da ICP-Brasil que faz a emissão dos documentos digitais.
E) É o nome do par de chaves de uma infraestrutura de chaves.
2) O que é uma infraestrutura de chaves públicas? 
A) É o nome do processo de criptografar e descriptografar mensagens, por meio da utilização 
de apenas uma chave, que é pública.
B) É o nome da autoridade que trata da revogação dos certificados dos cidadãos contribuintes.
C) É o nome do processo de criptografar e descriptografar mensagens, por meio da utilização 
de um par de chaves, sendo uma pública e outra privada.
D) É o nome da autoridade que faz a emissão do certificado digital, que pode ser uma 
empresa ou uma pessoa física.
E) É uma cadeia hierárquica de confiança que viabiliza a emissão de certificados digitais, que 
servirão para fazer a identificação virtual de alguém.
3) O que é criptografia simétrica? 
A) É o processo que criptografa e descriptografa mensagens, utilizando apenas uma chave, 
que é privada.
B) É a maneira de criptografar mensagens divididas em pacotes de mesmo tamanho, 
simétricos.
C) É o processo que criptografa, utilizando uma chave pública, e descriptografa, utilizando 
uma chave privada, ou seja, utiliza um par de chaves para fazer o processo de 
comunicação.
D) É a maneira de efetivar uma transação mediante um meio seguro, em que não há 
necessidade de criptografia.
E) É o processo de distribuir chaves privadas entre os participantes da comunicação, para que 
eles possam criptografar a mensagem recebida.
4) O que é criptografia assimétrica? 
A) É o processo que criptografa e descriptografa mensagens, utilizando apenas uma chave, 
que é pública.
B) É a maneira de criptografar mensagens divididas em pacotes de tamanhos diferentes, 
assimétricos, para confundir prováveis invasores.
C) É a maneira como são distribuídas as validades dos certificados digitais para os usuários 
finais.
D) É o processo que criptografa, utilizando uma chave pública, e descriptografa, utilizando 
uma chave privada, ou seja, utiliza um par de chaves para fazer o processo de 
comunicação.
E) É o processo de descriptografar uma mensagem, utilizando uma chave pública recebida da 
autoridade registradora da ICP.
5) Estão entre as principais autoridades certificadoras da ICP-Brasil: 
A) Prefeitura Municipal e Câmara de Vereadores.
B) Banco do Brasil e Correios.
C) SERPRO e AC Defesa.
D) SPC e Serasa.
E) Bancos privados e bancos públicos.
NA PRÁTICA
A ICP-Brasil conta com uma variedade de autoridades certificadoras e, por isso, não é possível 
identificar qual delas é a mais importante, pois cada uma tem uma característica que a difere das 
demais. 
O certificado digital é um documento eletrônico assinado digitalmente por uma autoridade 
certificadora, que associa uma chave pública a uma entidade, que pode ser uma pessoa, um 
computador, uma empresa. O certificado digital funciona como se fosse uma carteira de 
identidade virtual, permitindo que seja feita uma transação segura por meio de computadores. O 
processo de obtenção do certificado digital tem alguns procedimentos que buscam garantir a 
confidencialidade, a segurança e a integridade das informações trocadas pelas partes envolvidas 
na transação.
 
Veja, na prática, como uma pessoa física pode adquirir um certificado digital para efetuar 
transações pela Internet, de maneira segura. 
SAIBA +
Para ampliar o seu conhecimento a respeito desse assunto, veja abaixo as sugestões do 
professor:
ICP BRASIL
Assista ao vídeo para conhecer o processo de certificação digital ICP-BRASIL na segurança da 
informação.
Conteúdo interativo disponível na plataforma de ensino!
Criptografia simétrica e assimétrica
Assista ao vídeo para saber mais sobre os tipos de criptografias.
Conteúdo interativo disponível na plataforma de ensino!Certificado digital: que bicho é esse e para que serve?
Assista ao vídeo para saber mais sobre certificação digital, quais modelos existem e para que 
servem.
Conteúdo interativo disponível na plataforma de ensino!