Certificação e suas variantes

COMPUTERWORLD | COLUNAS | 12/05/2006 Certificação e suas variantesCertificado de atributo, que exibe o perfil do proprietário, é novo desafio para a ICP-BrasilPor Renato Martini12 de maio de 2006 - 15h00Um dos temas que nossa infra-estrutura nacional de certificação digital terá que se deparar num futuro breve, é o tema do certificado de atributo. Para o leitor que ainda busca se familiarizar com a certificação digital em si, talvez seja inquietante saber que poder-se-á encontrar uma espécie de “variante” dentro da plataforma ICP-Brasil.Confesso ao mesmo leitor, não obstante, que tenho diversas dúvidas no tema. Por força de ofício, - devo ainda confessar -, tenho a tendência a olhar mais detidamente a implementação e menos o caráter teórico dos temas de tecnologia da informação. Sim, a certificação digital é repleta de implicações sociais e jurídico-institucionais. Igualmente, outras tantas, teóricas e acadêmicas, onde se envolve quase sempre a dinâmica da inovação tecnológica. O ex-Procurador-Chefe do Instituto Nacional de Tecnologia da Informação, Dr. Marcelo Thompson, atualmente concluindo sua pós-graduação na Universidade de Ottawa, era um entusiasta do uso dos certificados de atributos. E sempre lhe chamava à atenção que regramentos aplicados à tecnologia devem levar em conta a existência de plataformas tecnológicas comerciais e os limites das aplicações.De que adiantaria, decretar a existência de novas regras para a ICP-Brasil, se nossas Autoridades Certificadoras (ACs) não têm ainda como implementá-las? Ou utilizando produtos disponíveis, ou ainda o tempo devido para reutilizar produtos ou suites open source. Tudo isto leva tempo, teste de conceito, debug, existência de suporte, etc. Por outro lado, ainda deve se considerar que novos padrões e regras devem se tornar transparentes para as aplicações. Uma leitura inicial interessante que especialmente indicaria ao especialista é o artigo “Certificados de atributos, ¿el pariente pobre de las infraestructuras de clave pública?” de Álvaro de la Escalera Arminio, que é o Coordenador técnico da área de chaves públicas do órgão espanhol responsável por certificação digital naquele país, a Fábrica Nacional de Moneda y Timbre da Real Casa de la Moneda. O autor espanhol nos chama atenção que se faz necessário, sem dúvida, um esforço de normalização “para que distintas aplicações sejam capazes de processar diferentes atributos”. Em suma, os atributos quando forem configurados, e, assim, passarem a existir, num certificado digital ICP-Brasil, devem ser transparentes e efetivos para a aplicação, para o mundo do software. Senão teremos uma regra no papel, apenas e tão-somente uma regra.O ETSI (European Telecommunications Standards Institute) tem feito um importante esforço para criar as normas para o certificado de atributo. O que é certamente uma condição importante para o aparecimento de produtos estáveis. Ali encontramos a definição de atributo como a informação ligada a um usuário que especifica uma característica deste mesmo usuário, tal como membro de um grupo ou um papel (role), ou outra informação associada com este usuário. Assim sendo, teríamos certificados com uso restritivo frente ao certificado de uso geral. Um estagiário, por exemplo, teria um certificado digital geral identificando-o com tal ou qual nome e outros dados essenciais, e outro certificado de atributo ligado a este com tal atributo “ser estagiário” configurado. Poder-se-ia considerar ainda outros atributos como de assinatura digital ou o de apenas identificação numa rede. Pode ser um recurso útil para ICP-Brasil tal diferenciação. O brasileiro teria no seu smart card um certificado digital e poderia acumular outros atributos no mesmo cartão ou no seu token criptográfico.O que será desafiador para o sistema ICP-Brasil é como está especificada hoje a infra-estrutura para a emissão de certificados de atributo. Na verdade, monta-se um ICP paralela com ACs de atributo, ou emissoras de certificados digitais de atributo, que a ETSI chama de ACA (Attribute Certification Authority). Algumas disciplinas típicas do mundo PKI são simplesmente replicadas, outras figuras são novas para atender a esta ICP de Atributos. Mas o balanço de todo framework escapa aos limites deste artigo.De qualquer forma, os padrões devem encontrar o devido respaldo em produtos comerciais e em projetos de implementação concreta para que nossas ACs possam estar aptas a um tipo novo de certificado. Será sempre assim em tecnologia...NOTAS:a) Para o artigo de Álvaro de la Escalera, consultar a Revista de los Usuarios de las Telecomunicaciones y los Servicios de la Sociedad de la Información, http://www.autel.es. b) Para consultar o trabalho de normalização do ETSI (http://www.etsi.org):• ETSI TR 102 044: Identification of requirements for attribute certification. • ETSI TS 102 158: Policy requirements for certification service providers issuing attribute certificates.