O que é uma Autoridade de Certificação?

Simplificando, uma autoridade de certificação é uma entidade que emite certificados digitais. As autoridades de certificação desempenham um papel fundamental na segurança cibernética. Os certificados digitais que emitem são uma maneira de você provar que seu site é legítimo e não é operado por hackers ou outros agentes mal-intencionados. Se as autoridades de certificação não existissem, não seria seguro fazer compras, transações bancárias ou transmitir outras informações confidenciais pela Internet. O “s” do prefixo “https” significa “seguro”, para que você saiba que o proprietário do site foi verificado por uma autoridade de certificação.

Diferenças entre autoridades de certificação públicas e privadas

Embora desempenhem funções semelhantes, existem diferenças importantes entre as autoridades de certificação públicas e privadas.

• As autoridades de certificação privadas são específicas de uma empresa e emitem certificados para fins internos e casos de uso, como redes privadas e VPNs, autenticação de usuário e assinatura de código.
• Autoridades de certificação públicas são entidades confiáveis pelos navegadores para fornecer segurança – por meio de verificação e criptografia – para usuários ao interagir com sites e serviços públicos.

Como uma autoridade de certificação ganha confiança?

Autoridades de certificação pública são entidades aprovadas que devem atender aos requisitos de referência estabelecidos pelo CA/Browser Forum. Autoridades de certificação e navegadores da Internet trabalharam juntos para desenvolver padrões mais rígidos e uniformes para o gerenciamento de autoridades de certificação e emissão de certificados TLS/SSL. Os Baseline Requirements 1.0 entraram em vigor em 1º de julho de 2012.

Certificados SSL e PKI

Além do “s” de “https”, quando você acessa um site e vê um cadeado na barra superior do navegador, a tecnologia que o está habilitando é um certificado SSL. Este certificado foi emitido por uma autoridade de certificação publicamente confiável, que é baseada em PKI. A implantação de certificados TLS/SSL é fundamental para proteger sua organização, os clientes em potencial e os clientes atuais contra ataques cibernéticos relacionados a transações no site.

Tipos de certificados TLS/SSL

Toda interação online precisa ser protegida contra ataques maliciosos. Os certificados TSL/SSL são a base para privacidade, proteção e integridade da marca no mundo digital. A maioria das autoridades de certificação oferece diversos tipos de certificados, dependendo dos níveis de garantia desejados, dos requisitos de conformidade e do número de domínios protegidos.

• Os certificados SSL de validação estendida (EV) fornecem a mais alta segurança de garantia, e o processo de verificação é o mais rigoroso. Quando implantado em um site, um ícone de cadeado, o nome da organização e a designação HTTPS ficam visíveis para os visitantes. Esse tipo de certificado geralmente é usado para aplicativos da Web que exigem garantia de identidade para coletar dados, processar logins ou realizar pagamentos on-line.
• Os certificados SSL de validação da organização (OV) fornecem segurança e criptografia de identidade e são mais adequados para criptografar informações do usuário durante transações. A maioria dos sites voltados para o consumidor são obrigados por lei a implantar certificados SSL de OV para garantir que as informações comunicadas durante uma sessão permaneçam confidenciais.
• Os certificados SSL de validação de domínio (DV) têm menos requisitos de verificação de identidade do que os certificados de EV ou de OV, comprovando apenas o controle de domínio. Geralmente são usados por aplicativos de baixo risco, como blogs, comunidades de usuários ou sites informativos. Isso torna os certificados de DV mais baratos e fáceis de obter.
• Os certificados SSL por caracteres curinga são verificados no nível de validação da organização e são uma solução econômica para proteger um domínio base e qualquer número de subdomínios afiliados. Além de terem custos menores (do que a compra de vários certificados individuais), oferecem maior simplicidade porque os usuários não precisam enviar várias solicitações de assinatura de certificado (CSRs) ou gerenciar as datas de expiração de vários certificados TLS/SSL em várias URLs.
• Os certificados SSL de comunicação unificada (UC) são verificados tanto para os níveis de validação estendida quanto para os níveis de validação da organização. Uma maneira eficiente de consolidar vários certificados é aproveitar os Nomes alternativos de assunto (SANs) para economia de custos. Os certificados SSL de UC estabelecem identidades confiáveis​e eliminam as notificações do navegador que avisam a entrada no seu site aos visitantes.

Por que os certificados TLS/SSL são importantes

Ter certificados TLS/SSL confiáveis de uma autoridade de certificação respeitável é extremamente importante por vários motivos.

• Aumento dos requisitos de conformidade. O Regulamento geral de proteção de dados (RGPD) implementado na Europa está sendo adotado em todo o mundo. As organizações que violam os padrões do RGPD enfrentam multas pesadas ou perda de receita.
• Perda de visibilidade do mecanismo de pesquisa. Os mecanismos de pesquisa estão reprimindo sites que representam ameaças à segurança, implantando indicadores de segurança negativos e removendo sites dos resultados dos mecanismos de pesquisa.
• Maior segurança de dados. É fundamental proteger senhas, números de cartão de crédito, transações financeiras e outros dados de alto valor.
• Ênfase na identidade confiável. A autoridade de certificação verifica a identidade das organizações, confirma se a organização tem controle sobre seus domínios e garante que o solicitante do certificado seja empregado da organização.

A necessidade do gerenciamento de certificados

Para organizações que têm um número crescente de certificados, o gerenciamento de certificados pode ser um desafio. As ferramentas de gerenciamento do ciclo de vida do certificado tornam-se necessárias para ter visibilidade completa de seus inventários de certificados. Procure soluções de gerenciamento que forneçam um amplo conjunto de integrações para garantir que seu ambiente de confiança corresponda às suas necessidades de negócios. Os certificados digitais devem estar alinhados com todas as suas necessidades, incluindo casos de uso tradicionais e casos de uso modernos, como Internet das Coisas (IoT) e DevOps. Você também desejará serviços profissionais especializados para resolver problemas complexos e uma equipe de suporte ao cliente que esteja disponível 24 horas por dia, sete dias por semana, 365 dias por ano, se você precisar de ajuda.

A conexão entre autoridades de certificação e PKI

Seja para confiança pública ou privada, as autoridades de certificação são uma peça essencial do ecossistema de PKI (infraestrutura de chave pública) de modo geral. A PKI é a base da segurança de TI e é usada para estabelecer confiança e interações seguras entre pessoas, sistemas e coisas. Isso é realizado de forma mais adequada por meio dos certificados digitais emitidos por uma autoridade de certificação para assinatura, autenticação ou criptografia — ou todos os três.

Diferenças entre Web of Trust e Autoridade de certificação

Web of Trust é um modelo descentralizado de criptografia e serve como alternativa à PKI. Em vez de depender de uma autoridade de certificação, a Web of Trust conta com uma série de assinaturas de fontes diferentes para estabelecer a legitimidade e vincular a chave de criptografia pública ao seu proprietário. O conceito de Web of Trust foi introduzido por Phil Zimmermann em 1992 em seu manual para PGP (Pretty good privacy) versão 2.0. Por outro lado, a autoridade de certificação depende de entidades terceirizadas confiáveis,​ que devem atender a requisitos rigorosos e são auditadas anualmente.