Glossário do Certificado Digital: 28 Termos da ICP-Brasil Explicados em Português Claro

Quem começa a lidar com certificado digital esbarra rápido numa parede de siglas: AC, AR, LCR, OCSP, PKCS#12, HSM. Cada uma delas descreve uma peça concreta de um sistema que existe para uma finalidade simples — provar, de forma confiável e verificável, quem assinou um documento ou quem está do outro lado de uma conexão. Este glossário reúne os 28 termos mais frequentes desse universo, organizados por tema, para servir como referência rápida sempre que um desses nomes aparecer num contrato, num aviso do gov.br ou na tela de um sistema fiscal.

A infraestrutura e quem a governa#

Antes de falar de chaves e algoritmos, vale entender o esqueleto institucional que sustenta o certificado digital no Brasil — quem cria as regras, quem as executa e quem garante que tudo funcione em cadeia de confiança.

ICP-Brasil#

A Infraestrutura de Chaves Públicas Brasileira é o conjunto de normas, técnicas e entidades que regula a emissão e o uso de certificados digitais no país. Foi instituída pela Medida Provisória 2.200-2, de 24 de agosto de 2001, que também deu validade jurídica à assinatura digital feita dentro desse sistema. Todo certificado emitido dentro da ICP-Brasil segue as mesmas regras técnicas e de auditoria, o que permite que ele seja aceito por bancos, cartórios, tribunais e órgãos públicos sem verificação caso a caso.

ITI#

O Instituto Nacional de Tecnologia da Informação é a autarquia federal responsável por gerir a ICP-Brasil. Ele define as políticas de certificação, credencia e fiscaliza as entidades que emitem certificados e mantém a estrutura técnica que sustenta toda a cadeia de confiança. Na prática, é o ITI que decide as regras do jogo e garante que elas sejam cumpridas por quem participa dele.

AC Raiz#

A Autoridade Certificadora Raiz é o topo da cadeia de confiança da ICP-Brasil, e é o próprio ITI quem exerce essa função. A AC Raiz não emite certificados para o usuário final; ela certifica as Autoridades Certificadoras que ficam um nível abaixo, atestando que elas seguem as regras da infraestrutura. Se a AC Raiz for confiável, e ela é auditada e publicada oficialmente, toda a cadeia que deriva dela herda essa confiança.

Autoridade Certificadora (AC)#

Uma Autoridade Certificadora é a entidade credenciada que efetivamente emite, renova e revoga certificados digitais para pessoas físicas e jurídicas. Ela opera sob as regras definidas pelo ITI e é auditada periodicamente para manter seu credenciamento. É a AC quem assina digitalmente o certificado do usuário, atestando que os dados nele contidos foram verificados.

Autoridade de Registro (AR)#

A Autoridade de Registro é o elo entre o solicitante do certificado e a AC. É a AR quem faz a validação presencial ou por videoconferência da identidade da pessoa, confere documentos e coleta biometria, antes de encaminhar o pedido para que a AC efetivamente emita o certificado. Uma mesma AC costuma ter várias ARs conveniadas espalhadas pelo país, o que explica por que é possível emitir certificado em pontos de atendimento distintos mesmo quando a AC emissora é a mesma.

Tipos de certificado e mídias#

Um mesmo certificado ICP-Brasil pode existir em formatos diferentes, e a diferença entre eles está em onde e como a chave privada é armazenada — não no valor jurídico do certificado, que é idêntico em qualquer mídia.

Certificado tipo A (A1, A3, A4)#

Os certificados do tipo A são usados para assinatura digital e autenticação, e se distinguem apenas pela mídia de armazenamento e pelo nível de proteção da chave privada, nunca pela validade jurídica do documento assinado. O A1 é gerado e armazenado em software, no próprio computador ou nuvem, com validade mais curta e mobilidade maior. O A3 exige que a chave privada fique em um hardware criptográfico — token USB ou smart card — o que impede que ela seja copiada e eleva o nível de segurança. O A4 segue o mesmo princípio do A3, mas com chaves de tamanho maior, e é usado em cenários que exigem robustez criptográfica adicional. Em todos os casos, uma assinatura feita com A1 tem o mesmo peso jurídico de uma feita com A3 ou A4 — o que muda é apenas o quão protegida está a chave que gerou a assinatura.

Chave pública#

É a metade do par de chaves criptográficas que pode ser distribuída livremente. Ela serve para verificar uma assinatura feita com a chave privada correspondente ou para cifrar uma mensagem que só o dono da chave privada conseguirá ler. Não há problema em divulgar a chave pública; é justamente isso que permite que qualquer pessoa confira a autenticidade de uma assinatura digital.

Chave privada#

É a metade do par que deve permanecer secreta e sob controle exclusivo do titular. É com ela que se produz uma assinatura digital e que se decifra uma mensagem cifrada com a chave pública correspondente. Se a chave privada vaza ou é copiada por terceiros, o certificado perde sua função de provar identidade, porque qualquer pessoa de posse dela pode assinar em nome do titular.

Par de chaves#

É o conjunto formado pela chave pública e pela chave privada, geradas juntas e matematicamente relacionadas de tal forma que o que uma cifra só a outra decifra, e o que uma assina só a outra verifica. Essa relação matemática, sem que seja possível deduzir a chave privada a partir da pública, é o que sustenta toda a segurança da criptografia assimétrica.

Criptografia e chaves#

Por trás de todo certificado existe um esquema matemático que garante duas coisas ao mesmo tempo: que apenas o dono da chave privada poderia ter produzido aquela assinatura, e que qualquer alteração no documento assinado é detectável.

Criptografia assimétrica#

É o modelo criptográfico que usa duas chaves diferentes e matematicamente relacionadas — uma pública, uma privada — em vez de uma única chave compartilhada, como faz a criptografia simétrica. Essa assimetria é o que permite duas funções centrais para o certificado digital: cifrar algo que só o destinatário certo consegue abrir, e assinar algo que qualquer pessoa consegue verificar, mas que só o titular da chave privada poderia ter produzido.

PKI / ICP (infraestrutura de chaves públicas)#

PKI, do inglês Public Key Infrastructure, é o conjunto de hardware, software, políticas e procedimentos necessários para criar, gerenciar, distribuir e revogar certificados digitais baseados em criptografia assimétrica. Em português, o termo equivalente é ICP, infraestrutura de chaves públicas — e a ICP-Brasil é justamente a instância nacional desse modelo, com suas próprias regras e sua própria cadeia de autoridades certificadoras.

HSM (Hardware Security Module)#

Um HSM é um dispositivo físico dedicado a gerar, armazenar e usar chaves criptográficas de forma isolada do restante do sistema, sem que a chave privada jamais saia do hardware em texto claro. Autoridades Certificadoras usam HSMs para proteger suas próprias chaves de assinatura, e certificados em nuvem também costumam armazenar a chave privada do usuário dentro de um HSM operado pelo prestador de serviço, o que dispensa o uso de token físico sem abrir mão da proteção de hardware.

Token criptográfico#

É um dispositivo físico, geralmente em formato de pendrive, que armazena a chave privada de um certificado A3 de forma protegida por hardware. A chave nunca é exportada do token em texto claro; toda operação de assinatura acontece dentro do próprio dispositivo, que exige a digitação de um PIN para ser destravado a cada uso.

Smart card / cartão#

É outra mídia física para certificados A3, no formato de um cartão com chip, semelhante a um cartão bancário. Funciona com o mesmo princípio do token: a chave privada fica protegida dentro do chip e nunca é exposta fora dele. Para ser usado, o smart card precisa de uma leitora conectada ao computador.

Leitora de cartão#

É o periférico que faz a comunicação entre o smart card e o computador, permitindo que aplicações de assinatura enviem comandos ao chip do cartão sem nunca ter acesso direto à chave privada armazenada nele. Sem a leitora corretamente instalada e reconhecida pelo sistema operacional, o cartão não pode ser usado para assinar nem autenticar.

PIN#

É a senha numérica que protege o acesso à chave privada armazenada em um token ou smart card. Ela precisa ser informada toda vez que o dispositivo é usado para assinar ou autenticar, e existe um limite de tentativas erradas antes que o dispositivo se bloqueie por segurança, como proteção contra tentativas de adivinhação.

PUK#

É o código de desbloqueio usado quando o PIN é digitado errado o número máximo de vezes permitido e o dispositivo trava. O PUK normalmente é fornecido junto com o kit do token ou cartão no momento da emissão, e deve ser guardado separadamente do PIN — se ambos forem perdidos, o dispositivo pode ficar inutilizável e será necessário emitir um novo certificado.

Certificado em nuvem#

É uma modalidade em que a chave privada não fica em um token físico com o usuário, mas armazenada de forma protegida — normalmente dentro de um HSM — nos servidores de um prestador de serviço credenciado. O acesso para assinar é feito por autenticação remota, geralmente com um segundo fator como aplicativo no celular, o que elimina a dependência de carregar um dispositivo físico sem abrir mão do nível de segurança de hardware.

Validade, revogação e carimbo do tempo#

Um certificado não é eterno e pode deixar de ser confiável antes mesmo do fim do seu prazo. Entender como o sistema verifica se um certificado ainda vale é essencial para confiar numa assinatura.

LCR (Lista de Certificados Revogados / CRL)#

A Lista de Certificados Revogados, ou CRL em inglês, é um arquivo publicado periodicamente pela Autoridade Certificadora contendo os números de série de todos os certificados que foram revogados antes do fim de sua validade normal. Softwares de verificação de assinatura consultam essa lista para confirmar que o certificado usado numa assinatura não havia sido revogado no momento da assinatura.

OCSP#

O Online Certificate Status Protocol é um protocolo que permite consultar em tempo real, junto à Autoridade Certificadora, se um certificado específico está válido ou revogado, sem precisar baixar a lista completa de revogados. Ele é mais ágil que a LCR para verificações pontuais, e por isso muitos sistemas de validação de assinatura usam os dois métodos de forma complementar.

Carimbo do tempo (e a ACT — Autoridade de Carimbo do Tempo)#

O carimbo do tempo é um registro criptográfico que comprova que um determinado documento existia, em determinado estado, num instante específico — de forma independente do relógio do computador de quem assinou. Ele é emitido por uma Autoridade de Certificação do Tempo, a ACT, uma entidade credenciada especificamente para essa função. É o carimbo do tempo que permite que uma assinatura continue comprovável mesmo depois que o certificado do signatário expira ou é revogado, porque fixa a data da assinatura de forma inquestionável.

Assinatura digital#

É o resultado da aplicação da chave privada de um titular sobre o resumo criptográfico de um documento, produzindo um bloco de dados que só pode ter sido gerado por quem possui aquela chave privada. Diferente de uma assinatura eletrônica simples, a assinatura digital feita com certificado ICP-Brasil garante três propriedades ao mesmo tempo: autenticidade de quem assinou, integridade de que o documento não foi alterado depois de assinado, e não repúdio, ou seja, a impossibilidade de o signatário negar validamente que assinou.

Função hash / resumo criptográfico#

É um algoritmo que transforma um documento de qualquer tamanho em uma sequência de caracteres de tamanho fixo, chamada de resumo ou hash, de forma que qualquer alteração mínima no documento original produza um resumo completamente diferente. É esse resumo, e não o documento inteiro, que efetivamente é cifrado pela chave privada na hora de assinar — o que torna o processo rápido e permite detectar qualquer alteração posterior ao comparar o hash recalculado com o que foi assinado.

Revogação#

É o cancelamento antecipado da validade de um certificado, feito antes do fim do seu prazo normal de expiração, por motivos como perda ou comprometimento da chave privada, erro nos dados do certificado ou solicitação do próprio titular. Uma vez revogado, o certificado entra na LCR e passa a ser recusado por consultas OCSP, e nenhuma assinatura feita com ele depois da data de revogação é considerada válida.

Validade / expiração#

É o período durante o qual um certificado é considerado válido para uso, definido no momento da emissão e registrado dentro do próprio certificado. Passado esse prazo, o certificado expira automaticamente e não pode mais ser usado para assinar ou autenticar, exigindo emissão de um novo — o que é diferente de revogação, que é um cancelamento antecipado por outro motivo que não o simples decurso do prazo.

Documentos e siglas técnicas#

Alguns termos descrevem não o certificado em si, mas o formato em que ele é armazenado ou os documentos que regem como ele foi emitido.

Arquivo PKCS#12 (.pfx / .p12)#

PKCS#12 é um formato padrão de arquivo usado para armazenar, num único pacote protegido por senha, tanto o certificado digital quanto sua chave privada correspondente. É esse formato, com extensão .pfx ou .p12, que caracteriza um certificado A1, já que ele é justamente o arquivo que contém a chave privada armazenada em software. Por conter a chave privada, esse arquivo deve ser protegido com o mesmo cuidado que se teria com uma senha de banco.

DPC (Declaração de Práticas de Certificação) e PC (Política de Certificado)#

A Política de Certificado, ou PC, é o documento que define as regras, requisitos e finalidades de uma determinada categoria de certificado dentro da ICP-Brasil — por exemplo, o que é exigido para emitir um certificado A3 de pessoa física. A Declaração de Práticas de Certificação, ou DPC, é o documento em que a própria Autoridade Certificadora detalha como ela efetivamente cumpre essas regras na prática, desde a validação de identidade até os procedimentos de segurança do seu HSM. Juntos, PC e DPC formam a base documental que sustenta a confiança técnica e jurídica de cada certificado emitido.

Conhecer esse vocabulário não é apenas uma questão de curiosidade técnica: entender a diferença entre revogação e expiração, saber por que A1 e A3 têm o mesmo valor jurídico, ou compreender o que uma leitora de cartão realmente faz, ajuda a escolher o tipo de certificado mais adequado para cada necessidade e a resolver problemas do dia a dia — um PIN bloqueado, uma assinatura que não valida, um token que a leitora não reconhece — com muito mais autonomia e segurança.