O que é PKI e como ela funciona?

A infraestrutura de chave pública (PKI, na sigla em inglês) é uma estrutura de segurança que utiliza pares de chaves criptográficas e certificados digitais para autenticar identidades, criptografar dados e proteger comunicações digitais. É a espinha dorsal de e-mails, serviços bancários on-line, plataformas em nuvem seguras e praticamente todas as interações digitais confiáveis.

A PKI é uma parte essencial da segurança de dados, criando a camada de confiança que sustenta as interações seguras em sistemas, dispositivos e dados críticos de negócios.

Neste guia, veremos como a PKI cria uma base segura para operações digitais, protegendo dados, identidades e transações em um mundo de riscos cibernéticos crescentes.

• A infraestrutura de chave pública é a base da confiança digital, permitindo criptografia, autenticação e assinaturas digitais que mantêm dados, dispositivos e identidades seguros.
• O sistema de PKI inclui certificados, chaves, autoridades de certificação, autoridades de registro, HSMs e software de gerenciamento de suporte, todos os quais trabalham juntos para verificar identidades e proteger informações confidenciais em todos os sistemas.
• A PKI oferece suporte aos principais casos de uso, como SSL/TLS para criptografia, e-mail seguro, assinatura de documentos, autenticação do usuário, segurança de IoT e gerenciamento de identidade de máquina.
• Os benefícios da PKI incluem comunicações seguras, controle de acesso, autenticação e assinatura de código para verificar a integridade do software.
• Setores que lidam com dados sensíveis, como finanças, governo e saúde, utilizam sistemas de Infraestrutura de PKI para cumprir requisitos rigorosos de privacidade.

A infraestrutura de chaves públicas inclui as políticas, funções, hardware, software e procedimentos necessários para criar, gerenciar, distribuir, usar, armazenar e revogar certificados digitais. Esses certificados funcionam como passaportes digitais ou carteiras de motorista, verificando usuários, dispositivos e serviços antes que eles possam se conectar ou compartilhar dados.

A PKI permite que usuários e sistemas compartilhem dados com segurança, confirmando a identidade de ambas as partes. Ela protege atividades sensíveis, como operações bancárias on-line, comércio eletrônico e e-mails criptografados. Nos ambientes de TI atuais, esses sistemas são essenciais para a segurança cibernética e para manter a conformidade com as leis e regulamentações de proteção de dados. 

Por exemplo, quando um funcionário acessa o portal interno da empresa de casa, a PKI criptografa a conexão e verifica a identidade do servidor. Além disso, assina digitalmente as trocas de dados para garantir que não tenham sido alteradas durante a transmissão. Isso permite que funcionários e sistemas compartilhem informações confidenciais com segurança, sabendo que estão se comunicando com entidades legítimas e autorizadas. 

À medida que as ameaças mudam e a computação quântica se torna mais real, a PKI oferece suporte à agilidade criptográfica. Isso significa que as organizações podem adotar padrões de criptografia mais robustos, incluindo aqueles criados para resistir a ataques quânticos, sem interromper suas operações.

A Infraestrutura de Chaves Públicas (PKI) não é uma ferramenta única, mas um sistema de partes interconectadas. Em conjunto, gerenciam a criptografia, protegem os dados e garantem a comunicação segura entre usuários, dispositivos e serviços.

Os componentes de uma infraestrutura de chave pública incluem:

• Chaves PKI: um par de chaves usado para criptografia. Isso protege os dados, tornando-os ilegíveis para qualquer pessoa, exceto o destinatário pretendido. Na criptografia, cada chave pública é pareada com uma chave privada. A chave pública é distribuída livre e abertamente, enquanto a chave privada é secreta para o proprietário.
• Certificados digitais: credenciais eletrônicas que vinculam a identidade do titular do certificado a um par de chaves que pode ser usado para criptografar e assinar informações.
• Certificate Authority (CA): uma entidade que verifica identidades e emite certificados digitais.
• Autoridade de registro (AR): Responsável por aceitar solicitações de certificados e autenticar o indivíduo ou organização por trás delas.
• Repositório de certificados: sistemas de armazenamento seguro que contêm certificados digitais para consulta e validação.
• Software de gerenciamento centralizado: software que permite às organizações gerenciar chaves e certificados digitais em um único local.
• Módulo de Segurança de Hardware (HSM): dispositivos físicos que executam operações criptográficas e armazenam chaves privadas com segurança.

A PKI funciona reunindo esses componentes para aplicar políticas de confiança entre usuários, dispositivos e sistemas. Por meio de verificação de identidade, criptografia e gerenciamento de certificados, cria-se uma estrutura escalável que permite apenas que entidades confiáveis troquem informações.

A Infraestrutura de Chaves Públicas (PKI) funciona por meio de criptografia, um subconjunto da criptografia que transforma dados legíveis em um formato ilegível com algoritmos matemáticos.

Os algoritmos de criptografia se dividem em duas categoria principais. A criptografia simétrica usa a mesma chave tanto para criptografar quanto para descriptografar os dados. Se essa chave for comprometida, os dados deixam de estar seguros.

Por outro lado, a criptografia assimétrica usa duas chaves vinculadas. Uma é pública e amplamente divulgada, enquanto a outra é privada e mantida em segredo. A criptografia de PKI utiliza esse método para codificar dados, autenticar usuários e proteger transações.

O processo passo a passo ilustra como a PKI funciona na prática:

1. Cada usuário, dispositivo ou sistema gera uma chave privada (mantida em segredo) e uma chave pública (compartilhada abertamente).
2. Uma Certificate Authority (CA) valida a identidade da entidade e emite um certificado digital, vinculando a chave pública a essa identidade. A vinculação da identidade a um par de chaves oferece suporte à autenticação de PKI, que verifica se apenas usuários, dispositivos e sistemas confiáveis podem acessar recursos confidenciais.
3. Ao enviar dados criptografados, o remetente usa a chave pública do destinatário. Somente a chave privada correspondente pode descriptografar.
4. O remetente também pode aplicar uma assinatura digital usando sua própria chave privada.
5. O sistema do destinatário verifica o certificado em relação a uma CA. Pode utilizar uma lista de revogação de certificados (CRL) ou um protocolo de status online (OCSP) para garantir que o certificado não tenha sido revogado, confirmando a confiança na chave. Isso comprova a origem dos dados, garantindo sua integridade e confirmando que não foram alterados.
6. Caso uma chave ou certificado seja comprometido, os sistemas de PKI podem revogá-los, mantendo a segurança em toda a rede.

Ao verificar identidades e proteger dados, a PKI promove a confiança entre todos os usuários. Além disso, impede ataques do tipo "man-in-the-middle" (MITM), falsificação de identidade e spoofing. Por exemplo, mesmo que um criminoso intercepte uma mensagem, ele não poderá descriptografá-la sem a chave privada.

As organizações podem gerenciar a PKI sem ter que investir em infraestrutura tecnológica interna significativa ou conhecimento especializado com PKI-as-a-Service (PKIaaS). Essa solução baseada em nuvem oferece gerenciamento de certificados escalável, rotação automática de chaves e monitoramento, ajudando organizações de todos os portes a manter comunicações e transações seguras.

Certificação digital

Um certificado digital, às vezes chamado de “certificado de chave pública”, é um documento eletrônico usado para identificar o proprietário de uma chave pública. Isso permite que o destinatário confirme que a chave veio de uma fonte legítima, reduzindo o risco de um ataque MITM. 

Os certificados de PKI normalmente incluem:

• Informações identificáveis, como o nome do titular do certificado, o número de série do certificado e sua data de validade
• Uma cópia da chave pública, que outros podem usar para criptografar dados e verificar assinaturas digitais, garantindo confidencialidade e autenticação
• A assinatura digital da CA emissora para confirmação de autenticidade

O gerenciamento adequado do ciclo de vida do certificado é fundamental para manter a troca de dados segura e garantir que a criptografia e a autenticação estejam funcionando corretamente. Os certificados de PKI devem ser rastreados e monitorados desde a emissão até o vencimento, bem como renovados conforme necessário. Além disso, podem ser revogados se estiverem comprometidos ou desatualizados.

Autoridades Certificadoras

Uma certification authority é uma organização terceirizada confiável que cria e emite certificados digitais. Ela valida identidades e ajuda a estabelecer cadeias de confiança para comunicações digitais seguras.

Todas as CAs mantêm listas de revogação de certificados (CRLs), que documentam os certificados revogados antes da data de expiração programada. Isso ajuda as organizações a identificar certificados que não são mais válidos ou seguros.

Em termos gerais, existem dois tipos de CAs:

• CA raiz: a entidade mais confiável em um sistema de PKI. CAs raiz usam certificados autoassinados e criam a base de confiança ao emitir certificados para CAs subordinadas ou diretamente para usuários finais.
• CA subordinado: eles são certificados por uma CA raiz ou uma autoridade subordinada de nível superior. Essas autoridades herdam a confiança e emitem certificados para usuários, dispositivos ou sistemas. 

Cada certificado na cadeia é responsável por certificar a autenticidade do próximo, criando um caminho de confiança contínuo e confiável de cima para baixo.Qualquer comprometimento entre as CAs pode quebrar essa cadeia, comprometendo potencialmente a segurança da Infraestrutura de Chaves Públicas (PKI).

As CAs seguem etapas específicas para criar certificados:

1. Geração de chave: um usuário ou sistema cria um par de chaves pública e privada.
2. Solicitação de certificado: uma solicitação de assinatura de certificado (CSR) é enviada para uma CA, incluindo sua chave pública e informações de identidade.
3. Verificação: a CA valida a identidade do usuário, geralmente com a ajuda de um RA. 
4. Emissão de certificados: Uma vez verificado, a CA emite um certificado digital contendo a chave pública do usuário e outros detalhes de identificação. Este certificado também é assinado pela chave privada da CA, criando uma assinatura digital.

Gerenciar essas etapas em grande escala exige automação, aplicação de políticas e visibilidade. Os serviços de certificação ajudam as organizações a reduzir riscos e atender às expectativas de conformidade sem aumentar a complexidade.

Sistemas de gerenciamento de certificados

Os sistemas de gerenciamento de certificados são soluções de software que facilitam todos os aspectos do ciclo de vida do certificado, desde o provisionamento e a emissão de certificados até a validação, revogação e renovação. Essas ferramentas reduzem o risco, melhoram a visibilidade e garantem que os ativos criptográficos sejam tratados de forma consistente.

Por exemplo, algumas soluções mantêm registros detalhados de todas as atividades relacionadas, auxiliando na conformidade com requisitos regulatórios e auditorias internas. Ao centralizar o gerenciamento por meio de uma única fonte confiável, as organizações reduzem o risco de perda dos prazos de expiração ou do uso indevido de certificados, fortalecendo, ao mesmo tempo, a proteção de dados.

Sistemas automatizados ajudam a prevenir a "proliferação descontrolada de certificados", situação em que milhares de certificados são implantados em ambientes complexos sem controle centralizado. Esses sistemas monitoram prazos de expiração, gerenciam renovações e revogam certificados quando necessário para manter os sistemas seguros.

A automação também pode ajudar as empresas a aplicar políticas de PKI em grande escala, permitindo-lhes alocar recursos de TI com mais eficiência e garantir consistência em toda a organização. De forma geral, o gerenciamento automatizado de certificados previne erros, interrupções e vulnerabilidades que podem prejudicar as operações e abrir portas para a exploração criminosa.

Módulos de segurança de hardware (HSMs)

Os HSMs desempenham um papel fundamental na arquitetura de segurança da PKIEsses dispositivos físicos protegem processos criptográficos gerando, armazenando e manipulando chaves em um ambiente reforçado e resistente a violações.

Por exemplo, um HSM pode gerar um par de chaves usando geradores de números aleatórios de alta qualidade, que são essenciais para uma criptografia forte. Como as chaves nunca saem do dispositivo em texto não criptografado, a exposição a ameaças é minimizada.

Outra função importante é o armazenamento de chaves privadas. Manter as chaves em um hardware seguro as protege de serem extraídas ou comprometidas por entidades não autorizadas. Isso não apenas protege as chaves, mas também permite que as empresas apliquem políticas de segurança rigorosas no nível do hardware. Consequentemente, para empresas em setores que exigem alta garantia de segurança, como o financeiro ou o governamental, os HSMs são essenciais em sistemas de PKI para proteger dados e manter a confiança.

Entender onde a PKI é usada torna seu valor evidente. Confira algumas das maneiras mais significativas pelas quais as organizações aproveitam a PKI em seu benefício.

Comunicações seguras

A PKI é fundamental para proteger diversas formas de comunicação digital, incluindo e-mail, serviços de mensagens e muito mais. Isso não apenas protege esses canais, mas também os torna mais confiáveis para todas as partes envolvidas, incluindo consumidores, parceiros, funcionários, cidadãos, entidades reguladoras etc.

Controle de autorização e acesso

A PKI fornece mecanismos de autenticação fortes para usuários que acessam sistemas, redes ou serviços on-line. Os certificados podem servir como uma forma de identificação digital segura, garantindo que o acesso seja concedido apenas a usuários verificados.

Essas funcionalidades fazem da PKI uma parte fundamental de um modelo de segurança de Confiança Zero. A Confiança zero opera com base no princípio de "nunca confie, sempre verifique", o que exige autenticação contínua para confirmar cada usuário e dispositivo que acessa recursos, independentemente da localização.Ao integrar a PKI em uma estratégia de Confiança Zero, as organizações podem aprimorar a segurança, simplificar a conformidade e reduzir o risco de ameaças cibernéticas em larga escala.

Assinatura de documentos e registro de data e hora

Assinaturas digitais fornecidas pela PKI verificam a autenticidade e a integridade de documentos eletrônicos. Isso é essencial para documentos legais, contratos e outros registros em que seja necessária prova de originalidade, confidencialidade e consentimento.

Os certificados de assinatura de documentos atendem a três propósitos principais:

• Autenticidade: o certificado confirma que o documento foi assinado pelo indivíduo ou entidade que detém a chave privada correspondente à chave pública no certificado.
• Integridade: qualquer alteração no documento após sua assinatura invalida a assinatura digital. Isso garante que o documento recebido seja exatamente o que o signatário pretendia enviar, sem nenhuma modificação.
• Non-Repudiation: o signatário não pode negar a autenticidade de sua assinatura em um documento, pois a assinatura digital e o certificado associado fornecem fortes evidências da identidade do signatário e de sua concordância com o conteúdo do documento no momento da assinatura.

Além disso, a combinação de praticidade e forte garantia de segurança das assinaturas digitais proporciona maior eficiência e aumento acelerado da receita: Até 80% dos contratos com assinaturas digitais são concluídos em menos de um dia e 44% em menos de 15 minutos.

Code Signing

Os desenvolvedores de software usam certificados de code signing para autenticar seus scripts. Dessa forma, os usuários finais podem verificar se o software que baixaram não foi alterado. Isso ajuda a proteger contra malware, manter a integridade do software e aumentar a confiança do consumidor.

Integridade do software

A PKI é usada na assinatura de código para verificar a origem e a integridade do software. Isso garante que aplicativos, drivers e atualizações não tenham sido adulterados durante a distribuição.

Internet das coisas (IoT)

Dispositivos "inteligentes" que coletam, armazenam e transmitem dados para outras máquinas são potencialmente vulneráveis a ameaças cibernéticas. Com o crescente número de dispositivos e cargas de trabalho conectados, especialmente em ambientes de nuvem e IoT, garantir uma autenticação segura e escalável tornou-se um grande desafio.

Ao fornecer a cada dispositivo um certificado digital exclusivo, a PKI cria uma base de confiança escalonável, verificando se os dispositivos que se comunicam são realmente legítimos. Isso impede o acesso não autorizado, a falsificação e a manipulação de dados, mesmo em grandes redes distribuídas.

Além da autenticação, a infraestrutura de chave pública também permite a criptografia de ponta a ponta para dados em trânsito, garantindo que as comunicações entre dispositivos, aplicativos e cargas de trabalho na nuvem permaneçam seguras e invioláveis.

A PKI é essencial em setores que enfrentam ameaças específicas e onde as violações de dados acarretam graves consequências legais, financeiras e regulatórias.

• O setor financeiro depende da PKI para operações bancárias on-line seguras, autenticação de transações e conformidade com os rigorosos requisitos de KYC (Conheça Seu Cliente) e AML (Antilavagem de dinheiro). Uma sólida segurança com certificados digitais ajuda a proteger os dados do cliente durante as transferências, verifica identidades em grandes transações e previne fraudes e acessos não autorizados.
• Agências governamentais dependem da PKI para comunicações seguras de informações confidenciais, assinaturas digitais em documentos oficiais e verificação de identidades de cidadãos. Também oferece suporte a transações on-line seguras, como declaração de imposto de renda e cadastramento na previdência social e outros benefícios. Ao garantir autenticidade e integridade, a PKI ajuda a manter a confiança nos sistemas governamentais digitais.
• Organizações de saúde utilizam a PKI para proteger registros eletrônicos de saúde (EHR), cumprir as regulamentações da HIPAA relativas a dados de pacientes e autenticar dispositivos médicos em redes. Também pode garantir a confidencialidade durante consultas de telemedicina e portais de pacientes, permitindo que os sistemas de saúde ofereçam serviços on-line e remotos a uma população maior de pacientes.
• Grandes empresas com equipes de trabalho dispersas implementam a PKI para tudo, desde criptografia de e-mail até acesso VPN e autenticação de dispositivos IoT. À medida que as organizações enfrentam ataques cada vez mais sofisticados, a PKI ajuda a garantir que apenas usuários e dispositivos verificados possam acessar os recursos.

Essas práticas recomendadas ajudam a fortalecer a implementação da sua PKI e a dar suporte ao gerenciamento seguro de certificados.

• Manter as políticas e procedimentos atualizados: Políticas de certificação (CP) e declarações de práticas de certificação (CPS) são essenciais para PKI. O CP é um documento abrangente que descreve as diferentes classes de certificados emitidos por uma Certificate Authority e suas políticas aplicáveis. O CPS detalha como a CA implementa essas políticas em uma capacidade técnica. Manter esses documentos atualizados é fundamental para manter a segurança, a confiança e a conformidade legal. Eles devem ser revisados e revisados regularmente para se alinharem ao cenário dinâmico de segurança cibernética, tecnologia e mudanças regulatórias.
• Proteger chaves privadas: mecanismos fortes, como HSMs, fornecem proteção física e lógica contra adulteração e acesso não autorizado.
• Praticar a rotação e renovação regular de chaves: chaves e certificados não devem ser usados indefinidamente. Estabeleça uma rotina para rotação regular de chaves e certificados para mitigar os riscos associados à exposição de chaves e evitar expirações inesperadas. Esse tipo de agilidade criptográfica é cada vez mais essencial para se preparar para as ameaças pós-quânticas, já que os criminosos buscam coletar dados agora e descriptografá-los quando os computadores quânticos com capacidade para quebrar os algoritmos atuais estiverem disponíveis.
• Implementar esquemas de autenticação fortes: exija a autenticação multifator (MFA) para aumentar a segurança para acessar sistemas de PKI e executar operações confidenciais, como emissão ou revogação de certificados.
• Centralizar o gerenciamento de certificados e chaves: implemente ferramentas e processos que ofereçam maior visibilidade de controle para gerenciar todo o ciclo de vida dos certificados, desde a emissão até a revogação. Isso também facilita auditorias e garante a conformidade, possibilitando transparência e rastreabilidade.
• Definir políticas de backup e recuperação de chaves: estabeleça e teste regularmente procedimentos de backup e recuperação para confirmar que componentes críticos de PKI podem ser recuperados de forma rápida e segura após uma interrupção ou desastre.

Os serviços de PKI gerenciados são úteis para organizações que precisam da PKI, mas não têm a experiência necessária. Nessas situações, um fornecedor de PKI gerenciado ajuda a administrar as políticas, o hardware e o software para garantir que a PKI esteja sendo operada de acordo com as práticas recomendadas.

A PKI em nuvem é um modelo de implantação baseado em serviços, no qual a Certificate Authority (CA), o gerenciamento de chaves e as ferramentas de ciclo de vida são hospedados por um provedor. As organizações podem implementar e gerenciar certificados digitais sem a necessidade de investir ou manter sua própria infraestrutura física. Em comparação com a PKI local, que oferece controle total, mas exige custos e recursos de TI significativos, a PKI em nuvem proporciona implantação mais rápida, escalabilidade mais fácil e gerenciamento simplificado.

A PKI em nuvem é uma excelente opção para empresas com ambientes de TI grandes ou distribuídos. Isso permite a emissão mais rápida de certificados, oferece suporte ao gerenciamento automatizado do ciclo de vida e melhora a visibilidade para fins de conformidade.

Existem também modelos de implantação híbridos. As implementações de PKI híbrida combinam serviços baseados em nuvem com infraestrutura local. Esse modelo oferece às organizações maior flexibilidade, permitindo que elas mantenham o controle sobre componentes sensíveis e, ao mesmo tempo, se beneficiem da escalabilidade da nuvem.

As organizações devem escolher o modelo que esteja alinhado com seus recursos, prioridades e objetivos, que as ajude a cumprir os requisitos regulamentares e que possa se adaptar às mudanças na carga de trabalho.

A infraestrutura de chave pública continuará sendo a base da confiança digital à medida que os métodos criptográficos evoluem. No entanto, precisará acompanhar esses avanços e mudanças na tecnologia e nos negócios.

Com o rápido avanço da computação quântica, os algoritmos de chave pública atuais deixarão de ser seguros, ameaçando a confidencialidade e a integridade das comunicações digitais. Para se prepararem, as empresas precisam se concentrar agora na agilidade em criptomoedas para garantir sua capacidade de acompanhar a tecnologia sem interromper as operações. 

O NIST lançou os primeiros padrões de criptografia pós-quântica em 2024 para ajudar a padronizar algoritmos projetados para resistir a ataques quânticos. Esses novos padrões irão reformular a maneira como as organizações protegem identidades, dados e transações. A transição para a criptografia pós-quântica exige planejamento cuidadoso, visibilidade em todos os sistemas de certificados e ferramentas escaláveis para gerenciamento do ciclo de vida.

Para se manterem na vanguarda, as organizações precisam de sistemas de Infraestrutura de Chaves Públicas (PKI) que suportem a automação e permitam a integração de novos algoritmos sem interrupções. Agilidade, visibilidade e prontidão para os padrões são essenciais para lidar com a evolução das regulamentações e as futuras ameaças criptográficas.

A Entrust oferece uma variedade de soluções de software de PKI, incluindo PKI como serviço (PKIaaS) nativas da nuvem, opções de serviços de PKI gerenciados e nossa solução de PKI local, a Entrust Certificate Authority. Essas ferramentas permitem que sua organização concilie habilitação e segurança com base em suas necessidades específicas e ecossistema digital.

Para organizações que buscam uma solução completa para todas as suas necessidades de gerenciamento de segurança criptográfica, a Plataforma de segurança criptográfica da Entrust fornece todos os componentes essenciais da infraestrutura de chave pública, combinados com gerenciamento do ciclo de vida do certificado, gerenciamento de chaves e segredos e HSMs em uma interface de gerenciamento centralizada e poderosa.

Experimente a plataforma conferindo nossa demonstração interativa hoje mesmo.