Identidade digital

INFO EXAME | TECNOLOGIA DA INFORMAÇÃO | 26/12/2005

A certificação digital ganha novos usos no país. Será que agora pega Depois de passar três meses tentando obter uma certidão da Receita Federal para solicitar um empréstimo para seu posto de gasolina. o paulista Wagner Scalambrini decide recorrer à internet. Mas. para resolver a questão. só com um certificado digital na mão. Scalambrini foi a um posto da CertiSign. pagou 200 reais e saiu de lá com um smart card onde está armazenada sua nova identidade digital. válida por três anos. Com ela, entrou no site do serviço Receita 222, da Receita Federal. e consultou a situação fiscal de sua empresa. Descobriu um erro no processamento de um imposto já pago e, pela própria internet. fez a correção. "Consegui a certidão no mesmo dia, também pelo site", afirma. "Com a greve dos funcionários da Receita, eu não conseguia sequer saber qual era o problema que impedia a emissão da certidão." O certificado digital funciona exatamente como o RG comum: comprova a identidade da pessoa que está usando um meio eletrônico para obter informações sigilosas, ou para fazer uma transação comercial. É uma forma de identificação considerada segura, porque, além dos dados do usuário (como nome, endereço, data de nascimento, número do CPF ou do RG), contém uma chave criptográfica atribuída a ele no momento em que o certificado é gerado. É justamente essa segurança que tem atraído um número cada vez maior de empresas e órgãos públicos, em vários países - principalmente da Europa -, para a certificação digital. Na Bélgica, por exemplo, o governo criou uma identidade eletrônica, que a população já está usando para acessar serviços públicos pela web. As aplicações baseadas na identidade digital vêm crescendo rapidamente, na medida em que aumentam os serviços e as operações comerciais oferecidos pela internet - e, em conseqüência, a necessidade de proteção contra os crimes eletrônicos. Dentro desse cenário, o Brasil tem se destacado. "Estamos mais avançados nessa área do que muitos países, graças ao apoio do governo e de várias entidades de classe que estão adotando a certificação digital", diz Sergio Kulikovsky, presidente da CertiSign, uma das principais emissoras de certificados digitais no país. Desde que regulamentou o assunto, criando a Infra-Estrutura de Chaves Públicas Brasileiras (ICP-Brasil), em 2001, o governo federal tem feito um esforço para estimular o desenvolvimento de aplicações baseadas nessa tecnologia - e no padrão ICPBrasil. Antes disso, o certificado digital já vinha sendo usado, isoladamente, por alguns bancos e empresas que faziam negócios ou prestavam serviços pela internet. O obstáculo do preço
Existem cerca de 100 mil certificados digitais com a chancela da ICP-Brasil. Kulikovsky prevê que, em 2006, essa quantia deve saltar para mais de 250 mil. É um número modesto, levando-se em conta o potencial de cinco milhões de usuários só na área bancária, estimado pela Federação Brasileira de Bancos (Febraban). Ou os 20 milhões de brasileiros que entregaram suas declarações de Imposto de Renda pela web neste ano. Um dos principais obstáculos para a popularização dessa tecnologia no país ainda é o preço. A CertiSign, por exemplo, cobra 100 reais por um certificado AI - uma versão gratuita, válida por 60 dias, pode ser baixada no endereço www.certisign.com.br/produtos/email/email seguro.isp. Se a identidade digital for do tipo A3. o preço sobe para 200 reais, em smart card (que exige um dispositivo de leitura, à venda por 150 reais em média), e chega a 410 reais, em token. Com isso, a maioria dos usuários de certificação digital acaba sendo as empresas. É para elas, aliás. que se destina boa parte das aplicações já disponíveis baseadas no uso da identidade eletrônica. As pessoas físicas, no entanto. estão na mira. "Nos próximos dois anos, a identidade digital vai estar na vida de todos os brasileiros", afirma Renato Martini, presidente do Instituto Nacional de Tecnologia da Informação (ITI), responsável pela política de certificação no Brasil. Um passo fundamental para isso é reduzir o custo do certificado digital. O outro é aumentar as aplicações para pessoas físicas. O Serpro, por exemplo, desenvolveu um software de emissão dos certificados. baseado em plataforma livre. A idéia é livrar-se do pagamento de royalties para fornecedores estrangeiros e. assim, tornar o preço mais acessível. Uma identidade do tipo A1. para pessoa física, emitida pelo Serpro hoje sai por 90 reais. As do tipo A3 custam a partir de 100 reais (sem o smart card ou token, que a empresa não fornece). Além disso, para facilitar a obtenção da identidade digital, o Serpro fez um acordo com os Correios. que vão atuar como autoridade de registro. "A intenção é usar o serviço de balcão dos Correios para massificar o registro". diz Antonio Sérgio Borba Cangiano, diretor do Serpro. Esse serviço está começando a ser oferecido em uma agência dos Correios na Alameda Santos. em São Paulo. No início do ano, deverá ser expandido para cem agências, nas principais cidades do Brasil. A Caixa Econômica Federal. que também emite certificados ICP-Brasil. caminha nessa mesma direção. Hoje, ela tem 80 autoridades de registro no país. mas a meta é ampliar a rede em 800 novos postos, principalmente no Rio de Janeiro. São Paulo e Minas Gerais - estados que representam 70% das operações das empresas com a Caixa no que diz respeito ao recolhimento do FGTS. Desde 1999, as informações mensais sobre esse recolhimento são enviadas para a Caixa via web, com assinatura digital. A chave da segurança
O certificado digital não serve apenas para comprovar a identidade de quem está fazendo uma operação pela internet. Ele também garante que os documentos enviados não sofreram alteração no caminho percorrido na rede, já que eles são criptografados com a chave do usuário. No padrão de certificação adotado no Brasil - que se baseia em criptografia assimétrica, o usuário recebe um par de chaves diferentes. Uma é a chave pública, que pode ser distribuída livremente para outras pessoas. A outra é a chave privada, ou secreta, que deve ser bem guardada e protegida por uma senha. Nos casos de perda do smart card ou do token. ou de roubo do notebook onde está o certificado digital, o usuário deve pedir seu cancelamento para a autoridade que o emitiu. Poucas empresas no país estão autorizadas pela ICP-Brasil a emitir esses certificados. Até porque isso exige um investimento elevado, da ordem de 10 milhões de reais. Tudo para garantir segurança máxima ao processo. Com isso. os bancos, a Receita Federal, o Poder Judiciário (que até criou uma autoridade certificadora), os cartórios e diversas empresas estão apostando na certificação digital. Um dos exemplos é a Indiana Seguros. que adotou essa tecnologia para eliminar o papel na emissão das apólices de seguros de automóveis. Na verdade, essas apólices já eram emitidas pelos corretores de seguros. depois de aprovadas. em geral eletronicamente, pela Indiana. "Só que, por lei, a proposta precisava ser assinada pelo corretor em papel e enviada para a seguradora", diz Reinaldo oErrico, superintendente de informática da Indiana. Em dezembro de 2004, as empresas de seguros foram autorizadas a receber as propostas pela internet. desde que assinadas com um certificado da ICP-Brasil. No mesmo mês, a Indiana anunciou o seu sistema de emissão de apólices totalmente digital. Escolheu dez corretores de São Paulo. aos quais forneceu gratuitamente o certificado. Até outubro, eles emitiram cerca de 600 apólices de seguros de automóveis usando essa identidade eletrônica. Vai de A1 ou de A3
Há dois tipos de certificado digital no Brasil: o A1 e o A3. A principal diferença entre eles está no modo de geração e de armazenamento das chaves criptográficas pública e privada. Além disso, também variam o preço e o prazo de validade. o certificado tipo AI, válido por um ano, é gerado no próprio micro - ou notebook ou handheld - do usuário. A chave privada fica armazenada no disco rígido desse computador e é protegida por uma senha de acesso, que pode ser criada no Windows. Já o certificado tipo A3 tem três anos de validade e é gerado na mídia em que ficará guardado - pode ser um smart card ou um token. É mais seguro do que o certificado AI e ainda tem a vantagem de poder ser levado para qualquer lugar, na carteira ou no bolso da camisa. O usuário opta por um tipo ou outro na hora de tirar o certificado. Como ter um
O primeiro passo para obter uma identidade digital é entrar no site de uma das autoridades certificadoras credenciadas pela ICP-Brasil (confira as principais no endereço www.iti.br/twiki/bin/wiew/main/autcerti) preencher uma solicitação. Ao enviá-la, o site emite um termo de titularidade, que deve ser impresso e levado pessoalmente a uma autoridade de registro, junto com um documento de identidade, CPF, comprovante de residência e uma foto 3x4. O pagamento do certificado - que custa a partir de 90 reais - pode ser feito pela própria internet, no banco ou na autoridade de registro. É nesse local que a documentação é conferida e o termo de titularidade deve ser assinado, na presença de um funcionário responsável pela identificação física da pessoa. Depois, é só baixar o certificado pela web. Ou pegar o smart card ou token na própria autoridade de registro.