Uma Política de Assinatura (PA) define um conjunto de regras para a geração e validação de assinaturas digitais. As regras devem ser seguidas por softwares assinadores e verificadores para garantir a segurança técnica e jurídica dos documentos. Afinal, todo sistema que se preze precisa de padrões bem estabelecidos para seu correto funcionamento. Com as assinaturas não seria diferente, claro!
A Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) busca exatamente padronizar a produção de assinaturas digitais confiáveis, para a preservação a longo prazo e a interoperabilidade entre os diversos sistemas operacionais utilizados. Dessa forma, criou um conjunto de políticas de assinaturas, onde cada uma é recomendada para um contexto de utilização, e tornou o uso delas obrigatório para todos os padrões de assinatura normatizados no contexto nacional. As políticas de assinatura permitidas na ICP-Brasil são cinco:
As cinco políticas podem ser utilizadas para os padrões CAdES e XAdES, já para o padrão PAdES o AD-RV não possui representação. Segue um resumo relacionando o padrão de assinatura e as políticas permitidas:
A partir das diretrizes da ICP-Brasil é possível garantir que as assinaturas digitais serão lidas e verificadas pelos diversos sistemas de instituições públicas e privadas.
Além da interoperabilidade, ou seja, a capacidade dos sistemas e organizações trabalharem em conjunto, de forma transparente, o outro benefício das Políticas de Assinatura é a segurança. Com as normas estabelecidas, algoritmos e regras frágeis não poderão ser aplicados em assinaturas, nem para realização, nem para validação.
A assinatura digital ganhou validade jurídica em 2001 no país, obedecendo aos padrões estabelecidos pela ICP-Brasil. O padrão é importante porque todo arquivo que não siga à regra pode gerar brechas jurídicas na sua autenticação, e assim ser passível de contestação.
Ou seja, é mais uma prova de que a assinatura digital tem validade jurídica, é segura e confiável.
Para assinar um documento seguindo o que preconiza o Padrão Brasileiro de Assinaturas, é preciso informar qual a política que deverá ser utilizada. O que isso significa? Que há diversos padrões diferentes e válidos para validação dessa assinatura, mas o sistema precisa identificar todos os formatos autorizados em território brasileiro.
No Brasil, adotamos padrões de assinatura digital já utilizados internacionalmente, desenvolvidos pelo Instituto Europeu de Padrões de Telecomunicações (ETSI). Atualmente, utilizam-se os padrões CAdES, XAdES e PAdES.
O CAdES (CMS Advanced Electronic Signature) é o padrão adotado pela ICP-Brasil para a assinatura da maioria dos tipos de documentos digitais, inclusive arquivos em PDF. Apesar de ser um dos padrões mais adotados, o CAdES acaba produzindo arquivo p7s que exige uma aplicação compatível com ele para verificar a assinatura,, dificultando a sua visualização.
Já o padrão PAdES (PDF Advanced Electronic Signature) é utilizado exclusivamente para documentos PDF. A representação visual da assinatura no próprio documento é um diferencial deste formato em relação aos outros, já que utiliza um leitor de arquivos PDF para exibir e verificar a assinatura se o plugin correto estiver configurado no leitor. A assinatura digital acaba se assemelhando à uma assinatura à caneta.
Saindo dos padrões aceitos para PDF, o padrão XAdES (XML Advanced Electronic Signature) é recomendado para documentos no formato XML.
Quanto às questões técnicas, como o sistema identifica e valida as assinaturas? Caso o documento assinado esteja seguindo os padrões adotados, ele passará a conter o identificador (OID) da Política de Assinatura dentro de uma de suas propriedades. Já o processo de validação extrai o OID da política e verifica se a assinatura foi realmente realizada seguindo os padrões definidos por ela.
De forma geral, as etapas em que as assinaturas são feitas e validadas, são simples. Primeiro, identifica-se a Política de Assinatura usada e verifica-se a data da assinatura digital ICP-Brasil. Depois, são analisados os dados da assinatura que o signatário incluiu na assinatura digital ICP-Brasil e a sequência de códigos.
Para tornar ainda mais seguro, o Instituto Nacional de Tecnologia da Informação (ITI) publica novas versões das Políticas de Assinatura para os padrões CAdES, XAdES e PAdES. Todas as versões estão disponíveis no site do Instituto.
A BRy Tecnologia atende a todos os padrões de assinatura digital ICP-Brasil. Mas, caso você não utilize uma de nossas soluções e precise saber se o seu documento está em conformidade com o DOC-ICP-15, o próprio ITI oferece uma página de serviço gratuito: o Verificador de Conformidade.
Quer saber qual a melhor solução de assinatura digital para o seu negócio? Ou entender melhor como funciona? É só bater um papo com a gente!
