Gerando um certificado digital voc� mesmo

O que � um Certificado Digital

Uma chave p�blica, assim como documentos impressos, deve ter elementos agregados que permitam o reconhecimento de sua legitimidade, pois a chave p�blica � o meio que permite a terceiros o reconhecimento de uma assinatura digital. Se uma chave p�blica n�o puder ter a sua propriedade estabelecida, ou seja, n�o pudermos comprovar a vinculaç�o entre a chave e a pessoa que alega possui-la, podemos concluir que as assinaturas digitais verificadas por essa chave p�blica pode n�o ter validade alguma.

Apenas a chave p�blica garante a individualidade, mas n�o a identidade do seu propriet�rio. Dessa forma, se um usu�rio recebe a chave p�blica e passa a utiliz�-la para lhe enviar mensagens cifradas, o usu�rio est� certo de estar tratando sempre com a mesma pessoa, organizaç�o ou computador, mas n�o consegue garantias sobre a identificaç�o real desta que ele est� tratando.

Portanto, essa situaç�o demonstra que a chave p�blica n�o resolve quest�es cruciais. Uma soluç�o para isso seria a publicaç�o de todas as chaves p�blicas em listagens com os nomes e outros dados dos seus propriet�rios, como uma lista telef�nica. Assim, poder�amos procurar pelo nome da pessoa e achar a sua chave p�blica, mas infelizmente n�o h� um modo efetivo para garantir que a chave publicada pertence realmente a pessoa que se apresenta como propriet�ria.

A soluç�o adotada para solucionar essa lacuna � composta por um sistema um pouco mais complexo que vincula dados un�vocos do propriet�rio com a sua chave p�blica. Al�m disso, essa vinculaç�o deveria ser inequ�voca e � prova de adulteraç�o, utilizando assinatura digital.

No restante do artigo veremos mais sobre certificado digital e posteriormente faremos um exemplo pr�tico de como podemos gerar um certificado digital.

Certificado Digital

Um Certificado digital, tamb�m conhecido como certificado de chave p�blica ou certificado de identidade � um documento eletr�nico que re�ne uma chave p�blica e os dados de identificaç�o do propriet�rio. Esse documento � assinado digitalmente, o que garante a integridade e a coes�o dos dados nele contidos.

Apesar de existirem modelos distintos, basicamente um certificado digital cont�m como componentes uma chave p�blica, o nome do propriet�rio, endereço eletr�nico do propriet�rio, data de criaç�o do certificado, data de validade do certificado, n�mero serial �nico do certificado e assinatura digital sobre o conjunto dos campos anteriores. Assim sendo, um certificado digital � um conjunto formado por chave p�blica, dados de identificaç�o do propriet�rio e uma assinatura digital de outra fonte, que deve ser creditada como confi�vel. Essa soluç�o de uma assinatura digital de terceiros � como uma autorizaç�o dada por uma autoridade com f� p�blica a documentos oficiais ou ao contrato assinado por uma ou mais testemunhas. Com isso, um certificado assinado por um terceiro confi�vel tem prerrogativa de credibilidade.

Curso: O que � Certificado Digital?

X.509

O X.500 foi a primeira vers�o da s�rie aprovada pelo Setor de Padronizaç�o de Telecomunicaç�es da Uni�o Internacional de Telecomunicaç�es (ITU-T) no ano de 1988. O X.500 � um conjunto de padr�es para redes de computadores que tratam sobre serviços de diret�rio, entre eles est� a definiç�o do DAP (Directory Acess Protocol) que � a base para o LDAP e diversos outros serviços de diret�rios. Um padr�o da s�rie X.500 � o X.509 que trata sobre certificados de chave p�blica e, devido � sua grande import�ncia acabou at� mesmo extrapolando o escopo da s�rie.

O X.509 est� na vers�o 3 que foi publicada em 1996 em uma colaboraç�o entre a ISO/IEC, ITU-T e ANSI. Uma caracter�stica fundamental deste certificado � a exist�ncia de um emissor, o que significa que al�m dos dados de identificaç�o do titular, tem tamb�m a identificaç�o de quem emitiu o certificado e, portanto, de quem certifica a validade dos dados. Alguns certificados tamb�m s�o capazes de serem usados para emitir outros certificados.

Entre os campos do certificado temos a vers�o do X.509, o n�mero serial que � o identificador do certificado no escopo do emissor, o algoritmo de assinatura, a identificaç�o do emissor, a validade do certificado, a entidade, chave p�blica, entre outros.

Se um certificado digital X.509 deve ter explicitamente um emissor, este deve servir para atestar a veracidade do certificado por ele emitido. Dessa forma, se o emissor fosse alguma pessoa ou entidade desconhecida, a assinatura no certificado n�o ofereceria nenhuma garantia e poderia ser desconsiderada. Por isso que o padr�o X.509 estabelece que a emiss�o de certificados digitais aos usu�rios finais deve ser realizada por uma entidade confi�vel como uma Autoridade Certificadora (ou Autoridade de Certificaç�o - AC).

As Autoridades Certificadoras devem controlar todo o ciclo de vida dos certificados que ela emite prezando pelo sigilo da pr�pria chave privada usada na assinatura. Por isso que uma AC tem uma estrutura bastante robusta, com mecanismos de auditoria, toler�ncia a falhas, segurança com salas-cofre e documentaç�o de procedimentos e eventos.

No entanto, as atividades mais burocr�ticas de recolhimento e confer�ncia da documentaç�o dos usu�rios n�o faz parte do escopo de uma AC restando isso para as AR (Autoridade de Registro) que funciona como uma subsidi�ria operacional da AC.

Para mais informaç�es sobre como funciona a cadeia de certificaç�o no Brasil e a ICP veja mais informaç�es sobre o artigo de certificaç�o digital publicada no portal DevMedia.

Na pr�xima seç�o veremos na pr�tica como podemos gerar um certificado digital pr�prio, fazendo a nossa pr�pria cadeia de certificaç�o.

Cadeia de Certificaç�o e ICP

Conforme vimos anteriormente alguns certificados podem assinar outros certificados, essa caracter�stica � especialmente �til para as ACs quando se quer ter um n�vel intermedi�rio entre si e os usu�rios finais, muito em funç�o da complexidade do cen�rio. Assim, as ACs podem ter ACs subsidi�rias que possuem seus certificados assinados pelo certificado da AC principal. Os certificados dos usu�rios finais s�o assinados pelas ACs subsidi�rias.

Esse tipo de estrutura pode ter um elevado n�mero de n�veis e de ramificaç�es em cada n�vel, tornando a hierarquia bastante complexa. Por�m, na pr�tica temos tr�s a quatro n�veis para a maioria das aplicaç�es. Nessa estrutura em �rvore temos tamb�m o conceito de delegaç�o postergada de confiança, onde a AC emite o certificado de um usu�rio final atestando a sua autenticidade, e quem atesta a autenticidade do certificado dessa AC, al�m da confiabilidade das suas pr�ticas, � AC de n�vel superior. Dessa forma, a cada n�vel que subimos na �rvore, a confiança � creditada para a AC que assina os certificados daquele n�vel. Esse processo de confiança vai at� a AC Raiz que est� no topo da �rvore e o seu certificado � auto assinado, ou seja, ela � considerada como possuidora de confiança absoluta para seus devidos fins, de forma que nenhuma outra atividade assina o seu certificado.

Uma infraestrutura de Chaves P�blicas (ICP, do ingl�s Public Key Infrastructure - PKI) � todo o conjunto formado pela comunidade de usu�rios finais, AC Raiz e ACs intermedi�rias. Al�m disso, tamb�m engloba normas e procedimentos regradores desse conjunto, e as estruturas f�sicas e l�gicas que d�o o suporte necess�rio ao funcionamento de todo o sistema. Uma ICP pode ter �mbito organizacional, acad�mico, nacional, entre outros.

No ano de 2001 o governo federal do Brasil instituiu a ICP Brasil (Infra-Estrutura de Chaves P�blicas Brasileira). Essa norma especificou as bases para a criaç�o das estruturas e das organizaç�es que d�o suporte a essa ICP. Entre algumas das definiç�es o Instituto Nacional de Tecnologia da Informaç�o (ITI) foi transformado em autarquia e passou a desempenhar a funç�o de Autoridade Certificadora Raiz, e foi criado um Comit� Gestor, que � respons�vel pela definiç�o de pol�ticas e fiscalizaç�o da AC Raiz. Entre as atribuiç�es do comit� est�o: adotar medidas necess�rias e a coordenaç�o da implantaç�o e do funcionamento da ICP-Brasil, estabelecer a pol�tica, crit�rios e normas t�cnicas para o credenciamento das ACs, ARs e demais prestadores de serviço de suporte � ICP-Brasil. Outras atribuiç�es incluem o ajuste e revis�o de procedimentos e pr�ticas da ICP-Brasil para garantir a compatibilidade e atualizaç�o tecnol�gica do sistema e conformidade com as pol�ticas de segurança.

O papel da ITI, o AC Raiz, � de executor das normas aprovadas pelo comit�, assim como emitir, expedir, distribuir, revogar e gerenciar os certificados das AC de n�vel imediatamente subsequente. Tamb�m cabe a AC Raiz fiscalizar e auditar as ACs e ARs que fazem parte da ICP.

Gerando um Certificado Digital Pr�prio

Gerar um certificado e inclusive nos tornarmos a nossa pr�pria Autoridade Certificadora � simples como veremos nessa sess�o, basta utilizarmos as ferramentas corretas como a OpenSSL.

Para isso devemos primeiramente baix�-la em http://www.slproweb.com/products/Win32OpenSSL.html. Se quisermos baixar para Linux devemos baix�-lo no site www.openssl.org.

A Figura 1 mostra a p�gina de download para plataforma Windows do OpenSSL. Escolha a primeira opç�o �Win32 OpenSSL v1.0.1i Light�.

Figura 1. Download do OpenSSL.

Ap�s o download e a instalaç�o do OpenSSL devemos ir at� o diret�rio de instalaç�o do OpenSSL em �C:\OpenSSL-Win32\bin� e executar o aplicativo openssl.exe. N�o devemos esquecer de execut�-lo como administrador, para isso basta clicar com o bot�o direito do mouse em cima do �cone do prompt e clicar em �Executar como administrador�.

Segue na Figura 2 o prompt de comando do OpenSSL aberto.

OpenSSL">

Figura 2. Prompt de comando do OpenSSL.

Aberto o aplicativo do OpenSSL podemos começar gerando um certificado auto assinado (o de uma Autoridade Certificadora) atrav�s do comando:

genrsa -des3 -out ca.key 4096

Este comando gera uma chave rsa de 4096 bits, armazena a chave no arquivo ca.key e protege este arquivo cifrando-o com o 3DES.

Ap�s executar o comando a tela da Figura 3 ser� exibida, esta tela mostra o comando sendo processado.

Figura 3. Comando sendo processado pelo OpenSSL para geraç�o da chave rsa.

Ap�s o processamento ser realizado o openSSL solicitar� a digitaç�o da phrase que ir� cifrar esta chave. N�o podemos nos esquecer de memorizar a phase. Para fins de exemplo digitamos �testphrase�. Segue a Figura 4, onde mostra a solicitaç�o da phrase.

Figura 4. Solicitaç�o da phrase para cifrar a chave.

Ap�s isso ser� solicitado para confirmar a phrase digitada anteriormente, apenas devemos colocar a mesma phrase conforme digitado anteriormente.

Na Figura 5 podemos observar a criaç�o do arquivo ca.key no diret�rio.

Figura 5. Arquivo ca.key criado no diret�rio.

Ap�s isso devemos gerar um certificado x509 que ser� v�lido por 10 anos (3650 dias) que conter� a chave p�blica do arquivo ca.key e ser� armazenado no arquivo ca.crt. Ap�s executarmos o comando ser� necess�rio entrarmos com v�rias informaç�es que far�o parte do certificado. Portanto, basta executarmos o comando abaixo:

req -new -x509 -days 3650 -key ca.key -out ca.crt

Ap�s executar o comando podemos verificar a solicitaç�o da phrase conforme j� digitado anteriormente. Segue a Figura 6 que mostra a solicitaç�o da phrase.

Figura 6. Digitando o comando para criaç�o do certificado e o pass phrase.

Se o pass phrase for digitado incorretamente teremos um erro apresentado na tela conforme mostra a Figura 7.

Figura 7. Pass phrase digitado incorretamente na geraç�o do certificado.

Digitando corretamente o comando o OpenSSL ser� solicitado para digitarmos o �Country Name� que dever� conter duas letras. No nosso caso digitamos BR de Brasil conforme mostra a Figura 8.

Figura 8. Solicitaç�o do Country Name na geraç�o do certificado.

Ap�s isso ser� solicitado o �State�. No nosso exemplo digitamos �Rio Grande do Sul� conforme mostra a Figura 9.

Figura 9. Solicitaç�o do State na geraç�o do certificado.

Agora ser� solicitada a �City�. No nosso exemplo de certificado colocamos �Porto Alegre� conforme mostra a Figura 10.

Figura 10. Solicitaç�o da City na geraç�o do certificado.

Agora ser� solicitado a �Organization Name�. No nosso exemplo colocaremos �Devmedia Organization� conforme mostra a Figura 11.

Figura 11. Solicitaç�o da Organization na geraç�o do certificado.

A pr�xima solicitaç�o � para digitarmos a �Organizational Unit Name�. No nosso exemplo colocaremos �Devmedia Certification� conforme mostra a Figura 12.

Figura 12. Solicitaç�o da �Organizational Unit Name� na geraç�o do certificado.

Ap�s isso ser� solicitado o �Common Name�. No nosso exemplo colocaremos um nome pr�prio �Higor Medeiros� conforme mostra a Figura 13.

Figura 13. Solicitaç�o do �Common Name� na geraç�o do certificado.

Agora ser� solicitado o �Email Address�. No nosso exemplo colocaremos o e-mail pr�prio higor@devmediacertification.com, conforme mostra a Figura 14.

Figura 14. Solicitaç�o do �Email Address� na geraç�o do certificado.

Podemos verificar a criaç�o do certificado �ca.crt� no diret�rio conforme mostra a Figura 15.

Figura 15. Geraç�o do certificado ca.crt no diret�rio.

Clicando duas vezes no certificado podemos verificar diversas informaç�es como: para quem e por quem o certificado foi emitido, a validade do certificado, o seu algoritmo de assinatura, sua vers�o, algoritmo de identificaç�o, chave p�blica, entre outras informaç�es. AsFiguras 16 a 18 mostram o certificado criado e cada uma das suas abas.

Figura 16. Informaç�es da aba �Geral� do certificado.

Figura 17. Informaç�es da aba �Detalhes� do certificado.

Figura 18. Informaç�es da aba �Caminho de Certificaç�o� do certificado.

Ap�s gerarmos o certificado raiz podemos gerar um certificado de um servidor. Para isso devemos executar o comando abaixo:

genrsa -des3 -out server.key 4096

Este comando gera uma chave rsa para o servidor (server.key). A Figura 19 mostra o processamento do comando.

Figura 19. Processamento do comando para geraç�o da chave rsa para o servidor.

Ap�s isso ser� solicitado a pass phrase, nesse caso digitaremos �testphrase� conforme mostra a Figura 20.

server.keys">

Figura 20. Solicitaç�o do pass phrase para server.keys.

Ap�s isso devemos confirmar a pass phrase digitando a mesma pass phrase digitada anteriormente.

Na Figura 21 podemos observar a criaç�o do arquivo server.key no diret�rio.

Figura 21. Arquivo server.key criado no diret�rio.

A seguir faremos uma requisiç�o de certificado (server.csr) com o comando abaixo:

req -new -key server.key -out server.csr

Ap�s executar o comando acima teremos uma s�rie de solicitaç�es para que possamos cria-lo. Por�m primeiramente devemos inserir o pass phrase digitado anteriormente conforme mostra a Figura 22.

Figura 22. Solicitaç�o do pass phrase para execuç�o do comando.

Figura 23. Solicitaç�o do Country Name na geraç�o do certificado.

Ap�s isso ser� solicitado o �State�. No nosso exemplo digitamos �Rio Grande do Sul� conforme mostra a Figura 24.

Figura 24. Solicitaç�o do State na geraç�o do certificado.

Agora ser� solicitada a �City�. No nosso exemplo de certificado colocamos �Porto Alegre� conforme mostra a Figura 25.

Figura 25. Solicitaç�o da City na geraç�o do certificado.

Agora ser� solicitado a �Organization Name�. No nosso exemplo colocaremos �Devmedia Organization� conforme mostra a Figura 26.

Figura 26. Solicitaç�o da Organization na geraç�o do certificado.

A pr�xima solicitaç�o � para digitarmos a �Organizational Unit Name�. No nosso exemplo colocaremos �Devmedia Certification� conforme mostra Figura 27.

Figura 27. Solicitaç�o da �Organizational Unit Name� na geraç�o do certificado.

Ap�s isso ser� solicitado o �Common Name�. No nosso exemplo colocaremos um nome pr�prio �Higor Medeiros� conforme mostra a Figura 28.

Figura 28. Solicitaç�o do �Common Name� na geraç�o do certificado.

Agora ser� solicitado o �Email Address�. No nosso exemplo colocaremos o e-mail pr�prio higor@devmediacertification.com conforme mostra a Figura 29.

Figura 29. Solicitaç�o do �Email Address� na geraç�o do certificado.

Podemos verificar a criaç�o do certificado �ca.crt� no diret�rio conforme mostra a Figura 30.

Figura 30. Geraç�o do certificado server.csr no diret�rio.

Feito isso devemos assinar o certificado com o certificado raiz. Para isso devemos utilizar o comando abaixo:

x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 10102014 -out server.crt

Ap�s a execuç�o do comando ser�o apresentadas algumas informaç�es e a solicitaç�o do pass phrase novamente, conforme mostra a Figura 31.

Figura 31. Execuç�o da assinatura do certificado com o certificado raiz.

Este comando assina a requisiç�o server.csr com o certificado ca.crt e gera um certificado server.crt. Uma diferença � que este certificado tem validade de um ano (365 dias) e um n�mero s�rie igual a 10102014.

Ap�s todos esses passos realizados j� temos um certificado digital raiz (ca.crt) e um certificado para o servidor (server.crt) que foi assinado pela nossa pr�pria autoridade certificadora. Para us�-los tamb�m precisaremos das chaves ca.key e server.key.

Refer�ncias:

[1] STALLINGS, William. Criptografia e segurança de redes: Princ�pios e pr�ticas, 4 ed. S�o Paulo: Prentice Hall, 2008.

[2] Certsign, dispon�vel em http://www.certisign.com.br/certificado-digital

[3] Certificado Digital - ITI. Dispon�vel em http://www.iti.gov.br/certificacao-digital/certificado-digital

Links �teis

ICP-Brasil:
A Infraestrutura de Chaves P�blicas Brasileira � ICP-Brasil � uma cadeia hier�rquica de confiança que viabiliza a emiss�o de certificados digitais para identificaç�o virtual do cidad�o.
Instituto Nacional de Tecnologia da Informaç�o:
Site oficial do instituto de tecnologia do Brasil
Certificado Digital:
Na pr�tica, o certificado digital ICP-Brasil funciona como uma identidade virtual que permite a identificaç�o segura e inequ�voca do autor de uma mensagem ou transaç�o feita em meios eletr�nicos, como a web.

Saiba mais sobre Assinaturas Digitais

Ciclo de vida de uma Certificaç�o Digital em .NET Neste artigo trataremos do Ciclo de Vida de um Certificado Digital, seus principais usos e exemplos de assinatura digital e criptografia com um Certificado de Cliente.
Autenticaç�o de Usu�rios com Certificados Digitais Atualmente todos est�o preocupados com a segurança e autenticidade de documentos e relacionamentos eletr�nicos...
O que � Certificado Digital? Os certificados digitais j� s�o uma realidade obrigat�ria no Brasil, principalmente para aqueles que lidam com softwares de automaç�o comercial.

Gerando um Certificado Digital Pr�prio

Veja neste artigo o que é um certificado digital e do que ele é composto, o que é o X.509 e como se dá a cadeia de certificação e o ICP. Também veremos na prática como se dá a emissão de certificados.

O que � um Certificado Digital

Certificado Digital

X.509

Cadeia de Certificaç�o e ICP

Gerando um Certificado Digital Pr�prio

Links �teis

Saiba mais sobre Assinaturas Digitais

Artigos relacionados