ICP-Brasil publica seus Padrões de Assinatura Digital

Os padrões da ICP-Brasil para Geração, Armazenamento e Verificação de Assinatura Digital foram publicados, na última terça-feira (13/01), no Diário Oficial da União.

 

A Resolução ICP-Brasil nº 62, de 09 de janeiro de 2009, aprova a versão 1.0 do documento Visão Geral sobre Assinaturas Digitais na ICP-Brasil (DOC-ICP-15) que estabelece formatos e políticas para assinatura digital de documentos eletrônicos.

 

A Instrução Normativa nº 1, dessa publicação, aprova a versão 1.0 do documento sobre Requisitos Mínimos para Geração e Verificação de Assinaturas Digitais na ICP-Brasil (DOC-ICP-15.01). Este documento regulamenta as premissas a serem observadas nos processos que tratam de Assinaturas Digitais, quanto a:

• Algoritmos e parâmetros para criação de Assinaturas Digitais ICP-Brasil;
• Formato e método de criação de Assinaturas Digitais;
• Procedimentos para verificação e condições para validação de Assinaturas Digitais.

A Instrução Normativa nº 2, por sua vez, aprova a versão 1.0 do Perfil para Assinaturas Digitais na ICP-Brasil (DOC-ICP-15.02). Tal perfil foi criado com o objetivo de minimizar as diferenças entre implementações e maximizar a interoperabilidade das aplicações para geração e verificação de assinaturas digitais. O formato escolhido é baseado em um subconjunto dos atributos/propriedades definidos nos padrões internacionais CAdES e XAdES.

 

A Instrução Normativa nº 3, por fim, aprova a versão 1.0 dos Requisitos Mínimos para Políticas de Assinatura Digital na ICP-Brasil (DOC-ICP-15.03), estabelecendo as premissas a serem obrigatoriamente observadas pelas Entidades Criadoras de Políticas de Assinatura Digital no âmbito da ICP-Brasil.

 

Finalmente, esta evolução da ICP-Brasil é um marco na história da Certificação Digital em nosso país, uma vez que a utilização de formatos padronizados de Assinatura Digital é essencial para a confiabilidade e credibilidade do processo de criação e validação de assinaturas, contribuindo fundamentalmente para a interoperabilidade entre sistemas e documentos assinados digitalmente.

 

Fica instituído o prazo de um ano para que as entidades integrantes da ICP-Brasil adaptem seus sistemas para o atendimento a este padrão.

 

Gerson Rolim é diretor executivo da Câmara Brasileira de Comércio Eletrônico (camara-e.net) e a fonte do artigo é o Blog da Economia Digital ( http://gersonrolim.blogspot.com/)

Descoberta de vulnerabilidade em protocolo de criptografia não afeta o comércio online no Brasil

Gerson Rolim

Em dezembro de 2008, um time composto por 03 pesquisadores revelou a possibilidade de exploração de uma vulnerabilidade (ataque) do protocolo MD5 durante o evento Chaos Communication Congress. A vulnerabilidade foi publicada no Paper denominado "MD5 considered harmful today" - www.win.tue.nl/hashclash/rogue-ca.

No que consiste o Ataque?

Segundo os pesquisadores, obteve-se sucesso no procedimento intitulado “MD5 collision attack” ( “Colisão” no algoritmo de hash MD5), quando utilizou-se um substancial poder computacional para criar um certificado SSL falso, por meio de uma Autoridade Certificadora falsa, a RapidSSL - www.rapidssl.com/index_ssl.htm.

Este tipo de ataque já era conhecido há alguns anos, todavia ainda não havia sido executado na prática contra um Certificado Digital emitido por uma Autoridade Certificadora.

O ataque é consiste em uma ação denominada “Colisão” executada contra o algoritmo de hash MD5. Uma Colisão acontece quando dois conjuntos de dados têm o mesmo resultado de hash. Vale lembrar que algoritmos como o MD5 são desenhados para que colisões sejam extremamente difíceis de serem encontradas.

Impactos práticos

Como citado, a vulnerabilidade relacionada às colisões encontradas no algoritmo MD5 não são novidade, tendo sido demonstradas pela primeira vez em 2004. Desde esta época, diversas organizações relacionadas à Certificação Digital abandonaram o uso do protocolo MD5 em todo o mundo. Sedo que a maioria das Autoridades Certificadoras atualmente em operação utiliza o algoritmo de hash SHA-1, mais forte e até o momento 100% seguro. Ressaltando que os Certificados Digitais assinados usando algoritmo SHA-1 não são afetados por este ataque.

O Brasil está totalmente imune a essa vulnerabilidade, pois, na ICP-Brasil, o uso do algoritmo MD5 não é permitido, conforme demonstra documentação que reza sobre os padrões e algoritmos criptográficos a serem empregados em todos os processos que envolvem geração de chaves criptográficas, solicitação, emissão e revogação de certificados digitais no âmbito da ICP-Brasil - www.iti.gov.br/twiki/pub/Certificacao/DocIcp/DOC-ICP-01.01_-_v_1.1.pdf.

Finalmente, a fim de resguardar o atual estado de segurança absoluta em sua ICP, o Brasil já estuda a migração para uma nova cadeia de certificação usando a família SHA-2 (SHA-256 ou SHA-512), aposentando o SHA-1, dentro em breve.

Gerson Rolim é diretor executivo da Câmara Brasileira de Comércio Eletrônico (camara-e.net) e a fonte do artigo é o Blog da Economia Digital ( http://gersonrolim.blogspot.com/)

Movimento amplia a atuação e entra na era da segurança 2.0

Igor Rocha

Em 2008 o Movimento Internet Segura (MIS) manteve o ritmo de crescimento registrado desde sua fundação. Conquistou novos e significativos sócios como Google, Certisign e Verisign. Lançou o Prêmio Internet Segura de Jornalismo e consolidou a Central de Apoio aos Internautas.

Hoje, a Central é uma importante aliada não só do usuário final, mas também dos próprios lojistas, sobretudo aqueles que estão entrando recentemente para o comércio eletrônico.

O Prêmio Internet Segura de Jornalismo destinou R$ 12 mil em compras nas principais lojas do comércio eletrônico brasileiro para três profissionais da imprensa. Eles foram os vencedores por terem apresentado as reportagens mais educativas a respeito de segurança na web nas categorias defesa do consumidor, tecnologia e economia, segundo a avaliação dos membros do MIS.

A iniciativa teve 53 trabalhos inscritos por profissionais de dez Estados. A divisão por mídia resultou em 13 matérias publicadas em veículos on-line, 19 em jornais, 13 em revistas, seis em rádio e duas em televisão.

Atento a tudo o que se refere à segurança na rede, ainda em 2008, o MIS está anunciando sua adesão à luta pela proteção da infância e da adolescência. Com isso o Movimento aumenta a abrangência de sua atuação para um dos temas que mais têm preocupado a todos que trabalham com a internet no Brasil e no mundo.

Com a própria força de seus associados, o site do MIS já foi dotado de informações didáticas básicas a respeito do novo foco de atuação. Mas o Movimento entende que isto não é suficiente. É preciso somar forças. Trabalhar com a colaboração de todos. E para conseguir isto, a humanidade não criou ainda nada melhor do que a própria internet.

Com novas ferramentas dispostas no seu site, como blog, chat e webcasting, o MIS entende estar entrando num conceito de Segurança 2.0. Isto significa fornecer e ao mesmo tempo colher informações, sugestões e críticas sobre sua atuação para poder avançar no sentido de tornar a internet um ambiente cada vez mais seguro tanto para os negócios, como para o lazer e o entretenimento.

Convidamos todos a participar.

Acesse www.internetsegura.org e fique à vontade.

Igor Rocha é coordenador do Movimento Internet Segura e Gerente de Certificação Digital da Serasa.

Perspectivas e desafios do comércio eletrônico em 2009

Gastão Mattos

Com base no turbulento cenário deste final de ano chacoalhado pela crise econômica mundial, a GMATTOS realizou uma pesquisa com as principais lojas de varejo on-line no Brasil. O objetivo foi conhecer as expectativas dos verdadeiros atores deste segmento em relação ao desempenho no próximo ano.

O resultado foi bastante animador, com todos os entrevistados projetando continuo crescimento tanto para este Natal como para transcorrer de 2009. Os mais pessimistas apenas apontaram provável crescimento em menor escala para o ano que vem, mas nada significativo. Assim, projeta-se crescimento de 37% no volume de vendas de 2009 em relação a 2008.Isto posto, considerando movimentação de R$ 9,3 bilhões em 2008 para o segmento (já ajustado, em relação à expectativa inicial, que era de movimentação na ordem de R$ 10bilhões), chegaríamos ao faturamento total em 2009 de R$ 12,6 bilhões somente para o varejo on-line.Nada mal para um cenário de crise global na economia.

Mas isto não significa que os varejistas virtuais poderão ficar parados e apenas surfar na ‘marola’ identificada pelo presidente Lula. O segmento tem lições de casa a fazer e elas passam pelos seguintes temas:
• Logística – discussão com os Correios para nova expansão do serviço e-Sedex. Ao mesmo tempo, fomento para o desenvolvimento de novas empresas de Logística para suportar o crescimento exponencial do setor.• Inovações – foco no uso do celular no varejo on-line tanto em ações de marketing, como analise da plataforma como meio de pagamento.• Inclusão de novos compradores – desenvolvimento de ações institucionais, unindo os players do mercado para o crescimento mais acentuado do número de compradores na internet.• Combate a lojas ilegais – o crescimento do mercado tem despertado o interesse de players informais, que através de sonegação de impostos, conseguem vender em condições imbatíveis para o comércio legal. Imperativo discutir como combater a sonegação.

Gastão Mattos é sócio da GMATTOS Projetos de Marketing e consultor do Movimento Internet Segura