O que são assinatura digital, certificados digitais e carimbo de data/hora?

Para vincular as chaves públicas com o usuário associado (proprietário da chave privada), as infraestruturas de chaves públicas (PKIs) utilizam certificados digitais. Os certificados digitais são as credenciais que facilitam a verificação das identidades entre os usuários em uma transação. Assim como um passaporte certifica a identidade do cidadão de um país, o objetivo do certificado digital é estabelecer a identidade dos usuários dentro do ecossistema. Como os certificados digitais são usados para identificar os usuários aos quais os dados criptografados são enviados, ou para verificar a identidade do signatário da informação, proteger a autenticidade e a integridade do certificado é fundamental com o objetivo de manter a confiabilidade do sistema.

A Certificate Authority (autoridade de certificação, CA) é o componente central de uma infraestrutura de chave pública (PKI) responsável pelo estabelecimento de uma cadeia de confiança hierárquica. As CAs emitem as credenciais digitais que são usadas para certificar a identidade dos usuários. As CAs sustentam a segurança da PKI e os serviços que elas apoiam e, portanto, podem ser o foco de sofisticados ataques direcionados. Para diminuir o risco de ataques contra Autoridades de Certificação, são necessários controles físicos e lógicos, bem como mecanismos de endurecimento, tais como módulos de segurança de hardware (HSMs), para garantir a integridade de uma PKI.

Na criptografia de chave pública, a assinatura de código é um uso específico de assinaturas digitais baseadas em certificados que permite a uma organização verificar a identidade do editor do software e certificar que o software não foi alterado desde que foi disponibilizado.

As assinaturas digitais oferecem um processo criptográfico comprovado para que editores de software e equipes internas de desenvolvimento possam proteger seus usuários finais das falhas de cibersegurança, incluindo ameaças persistentes avançadas (APTs) como Duqu 2.0. As assinaturas digitais garantem a integridade e autenticidade do software. As assinaturas digitais permitem que os usuários finais verifiquem as identidades dos editores e verifiquem se o pacote de instalação não foi alterado desde que foi assinado. Todos os sistemas operacionais modernos buscam e validam assinaturas digitais durante a instalação, e avisos sobre códigos não assinados podem fazer com que os usuários finais cancelem a instalação.

O que é timestamping?

Os timestamping são um complemento cada vez mais valioso às práticas de assinatura digital, permitindo às organizações registrar quando um item digital, como uma mensagem, documento, transação ou peça de software, foi assinado. No caso de algumas aplicativos o momento da assinatura digital é fundamental, como no caso do comércio de ações, emissão de bilhetes de loteria e alguns procedimentos jurídicos. Mesmo quando o tempo não é intrínseco ao aplicativo, o timestamping é útil para a manutenção de registros e processos de auditoria, já que fornece um mecanismo para provar se o certificado digital era válido no momento em que foi utilizado. A crescente importância das soluções de assinatura digital criou uma demanda por timestamping, por isso muitos softwares, como o Microsoft Office, suportam recursos de timestamping.

A importância da segurança

Se o timestamping deve agregar valor real, ele precisa ser seguro.

Riscos associados com timestamping inseguros

• A falta de confiança nos processos eletrônicos pode aumentar os custos com papel para fazer backup dos registros eletrônicos.
• Ao manipular o relógio do computador, um invasor pode facilmente comprometer um processo de timestamping baseado em software, invalidando assim o processo geral de assinatura.
• Processos inseguros de timestamping ou assinatura digital podem expor as organizações a problemas de conformidade e jurídicos.
• Mesmo após a revogação das chaves e certificados de assinatura privada, os usuários ainda podem ter acesso a eles. Sem timestamping as organizações não podem provar se as assinaturas foram criadas antes ou depois que o certificado foi revogado.

Saiba mais sobre registro de data/hora em certificados de assinatura de código.