Compartilhar via

Certificados e chaves públicas

  • Artigo

Os Serviços de Certificados são uma base para a PKI (Infraestrutura de Chave Pública) que fornece os meios para proteger e autenticar informações. A relação entre um titular do certificado, a identidade do titular do certificado e a chave pública do titular do certificado é uma parte crítica da PKI. Essa infraestrutura é composta pelas seguintes partes:

O par de chaves pública/privada

A PKI requer o uso de pares de chaves públicas/privadas. A matemática dos pares de chaves públicas/privadas está além do escopo desta documentação, mas é importante observar a relação funcional entre uma chave pública e privada. Algoritmos criptográficos PKI usam a chave pública do receptor de uma mensagem criptografada para criptografar dados e a chave privada relacionada e apenas a chave privada relacionada para descriptografar a mensagem criptografada.

Da mesma forma, uma assinatura digital do conteúdo, descrita em mais detalhes abaixo, é criada com a chave privada do signatário. A chave pública correspondente, que está disponível para todos, é usada para verificar essa assinatura. O sigilo da chave privada deve ser mantido porque a estrutura se desfaz depois que a chave privada é comprometida.

Dado tempo e recursos suficientes, um par de chaves pública/privada pode ser comprometido, ou seja, a chave privada pode ser descoberta. Quanto maior a chave, mais difícil será usar a força bruta para descobrir a chave privada. Na prática, chaves suficientemente fortes podem ser usadas para tornar inviável determinar a chave privada em tempo hábil, tornando a Infraestrutura de Chave Pública um mecanismo de segurança viável.

Uma chave privada pode ser armazenada, em formato protegido, em um disco, nesse caso, ela só pode ser usada com esse computador específico, a menos que seja fisicamente movida para outro computador. Uma alternativa é ter uma chave em uma cartão inteligente que possa ser usada em um computador diferente, desde que tenha um leitor de cartão inteligente e software de suporte.

A chave pública, mas não a chave privada, do assunto de um certificado digital é incluída como parte da solicitação de certificado. (Portanto, um par de chaves pública/privada deve existir antes de fazer a solicitação de certificado.) Essa chave pública se torna parte do certificado emitido.

A solicitação de certificado

Antes que um certificado seja emitido, uma solicitação de certificado deve ser gerada. Essa solicitação se aplica a uma entidade, por exemplo, um usuário final, um computador ou um aplicativo. Para discussão, suponha que a entidade seja você mesmo. Os detalhes de sua identidade estão incluídos na solicitação de certificado. Depois que a solicitação é gerada, ela é enviada a uma AC (autoridade de certificação ). Em seguida, a AC usa suas informações de identidade para determinar se a solicitação atende aos critérios da AC para emitir um certificado. Se a AC aprovar a solicitação, ela emitirá um certificado para você, como a entidade nomeada na solicitação.

A Autoridade de Certificação

Antes de emitir seu certificado, a AC verifica sua identidade. Quando o certificado é emitido, sua identidade é associada ao certificado, que contém sua chave pública. Seu certificado também contém a assinatura digital da AC (que pode ser verificada por qualquer pessoa que receba seu certificado).

Como seu certificado contém a identidade da AC emissora, uma parte interessada que confia nessa AC pode estender essa confiança ao seu certificado. A emissão de um certificado não estabelece confiança, mas transfere confiança. Se o consumidor do certificado não confiar na AC emissora, ele não confiará (ou pelo menos não deve) no certificado.

Uma cadeia de certificados assinados permite que a confiança também seja transferida para outras ACs. Isso permite que as partes que usam CAs diferentes ainda possam confiar em certificados (desde que haja uma AC comum na cadeia, ou seja, uma AC confiável por ambas as partes).

O Certificado

Além da chave pública e da identidade da AC emissora, o certificado emitido contém informações sobre as finalidades da chave e do certificado. Além disso, ele inclui o caminho para a lista de certificados revogados da AC e especifica o período de validade do certificado (datas de início e término).

Supondo que o consumidor do certificado confie na AC emissora do seu certificado, o consumidor do certificado deve determinar se o certificado ainda é válido comparando as datas de início e término do certificado com a hora atual e verificando se o certificado não está na lista de certificados revogados da AC.

A Lista de Revogação de Certificados

Supondo que o certificado esteja sendo usado em um período de tempo válido e o consumidor do certificado confiar na AC emissora, há mais um item para o consumidor de certificado marcar antes de usar o certificado: a CRL (lista de revogação de certificados). O consumidor do certificado verifica a CRL da AC (o caminho para o qual está incluído como uma extensão em seu certificado) para garantir que seu certificado não esteja na lista de certificados que foram revogados. As CRLs existem porque há momentos em que um certificado não expirou, mas ele não pode mais ser confiável. Periodicamente, a AC publicará uma CRL atualizada. Os consumidores de certificado são responsáveis por comparar certificados com a CRL atual antes de considerar o certificado confiável.

Sua chave pública usada para criptografia

Se um remetente quiser criptografar uma mensagem antes de enviá-la para você, o remetente primeiro recuperará seu certificado. Depois que o remetente determina que a AC é confiável e seu certificado é válido e não revogado, o remetente usa sua chave pública (lembre-se de que faz parte do certificado) com algoritmos criptográficos para criptografar a mensagem de texto sem formatação em texto cifrado. Quando você recebe o texto cifrado, usa sua chave privada para descriptografar o texto cifrado.

Se um terceiro interceptar a mensagem de email de texto cifrado, o terceiro não poderá descriptografá-la sem acesso à sua chave privada.

Observe que a maior parte das atividades listadas aqui são tratadas por software, não diretamente pelo usuário.

Sua chave pública usada para verificação de assinatura

Uma assinatura digital é usada como confirmação de que uma mensagem não foi alterada e como confirmação da identidade do remetente da mensagem. Essa assinatura digital depende da chave privada e do conteúdo da mensagem. Usando a mensagem como entrada e sua chave privada, os algoritmos criptográficos criam a assinatura digital. O conteúdo da mensagem não é alterado pelo processo de assinatura. Um destinatário pode usar sua chave pública (depois de verificar a validade do certificado, emitir AC e status de revogação) para determinar se a assinatura corresponde ao conteúdo da mensagem e determinar se a mensagem foi enviada por você.

Se um terceiro interceptar a mensagem pretendida, alterá-la (mesmo que ligeiramente) e encaminhá-la e a assinatura original para o destinatário, o destinatário, após examinar a mensagem e a assinatura, poderá determinar que a mensagem é suspeita. Da mesma forma, se um terceiro criar uma mensagem e a enviar com uma assinatura digital falsa sob o pretexto de que ela se originou de você, o destinatário poderá usar sua chave pública para determinar que a mensagem e a assinatura não correspondem umas às outras.

A nãorepudiação também é compatível com assinaturas digitais. Se o remetente de uma mensagem assinada negar o envio da mensagem, o destinatário poderá usar a assinatura para refutar essa declaração.

Observe que a maior parte das atividades listadas aqui também são tratadas por software, não diretamente pelo usuário.

Função Serviços de Certificados da Microsoft

Os Serviços de Certificados da Microsoft têm a função de emitir certificados ou negar solicitações de certificados, conforme direcionado por módulos de política, que são responsáveis por garantir a identidade do solicitante de certificado. Os Serviços de Certificados também fornecem a capacidade de revogar um certificado, bem como publicar a CRL. Os Serviços de Certificados também podem distribuir centralmente (por exemplo, para um serviço de diretório) certificados emitidos. A capacidade de emitir, distribuir, revogar e gerenciar certificados, juntamente com a publicação de CRLs, fornece os recursos necessários para a infraestrutura de chave pública.