ICP-Brasil

1. O que é a ICP-Brasil?

Infraestrutura de Chaves Públicas Brasileira – ICP-Brasil é uma cadeia - ou elos - hierárquica de confiança que viabiliza a emissão de certificados digitais para identificação virtual do cidadão e de empresas.

O modelo brasileiro é o de certificação com raiz única. A AC-Raiz é a primeira autoridade da cadeia de certificação, na ICP-Brasil a AC-Raiz é o ITI, que executa as Políticas de Certificados e as normas técnicas e operacionais aprovadas pelo Comitê Gestor da ICP-Brasil.

O ITI, além de desempenhar o papel de Autoridade Certificadora Raiz – AC-Raiz, credencia e descredencia os demais participantes da cadeia, supervisiona e audita os processos.

2. Qual a estrutura da ICP-Brasil?

A ICP-Brasil é composta por uma cadeia de entidades credenciadas, formada por Autoridade Certificadora Raiz - AC-Raiz, Autoridades Certificadoras - ACs, Autoridades de Registro - ARs, Autoridades Certificadoras do Tempo - ACTs, Prestadores de Serviço Biométrico - PSBios, Prestadores de Serviço de Suporte - PSS e, ainda, por uma autoridade gestora de políticas, ou seja, o Comitê Gestor da ICP-Brasil.

3. A AC-Raiz tem acesso à chave privada dos usuários de certificados digitais?

As normas da ICP-Brasil, definem que a Autoridade Certificadora Raiz e as Autoridades Certificadoras não têm acesso às chaves privadas dos titulares de certificados digitais.

A MP 2.200-2 determina que o par de chaves criptográficas seja gerado sempre pelo titular e que a sua chave privada de assinatura seja de seu exclusivo controle, uso e conhecimento.

4. O que é uma Autoridade Certificadora - AC?

As ACs são entidades públicas ou pessoas jurídicas de direito privado credenciadas à AC-Raiz e que emitem certificados digitais vinculando pares de chaves criptográficas ao respectivo titular.

De acordo com o art. 6º da MP 2.200/01, as ACs emitem, expedem, distribuem, revogam e gerenciam os certificados, disponibilizando aos usuários lista de certificados revogados e outras informações necessárias, e mantendo o registro de suas operações.

5. O que é uma Lista de Certificados Revogados - LCR?

É uma lista assinada digitalmente pela Autoridade Certificadora, publicada periodicamente, contendo certificados que foram revogados antes de suas respectivas datas de expiração. A lista, geralmente, indica o nome de quem a emite, a data de emissão e a data da próxima emissão programada, além dos números de série dos certificados revogados e a data da revogação.

Se o certificado estiver na lista não poderá ser realizada a assinatura pelo interessado.

6. O que é uma Autoridade Certificadora do Tempo - ACT?

Uma ACT é uma entidade de confiança que emite o Carimbo do Tempo. Possui a responsabilidade geral pelo fornecimento do Carimbo do Tempo, através de um conjunto de atributos fornecidos pela parte confiável que, associado a uma assinatura digital, prova a sua existência em determinado período.

7. O que é um Prestador de Serviço Biométrico - PSBio?

Os PSBios são entidades com capacidade técnica para realizar a identificação biométrica, tornando um registro/requerente único em um ou mais bancos/sistemas de dados biométricos para toda ICP-Brasil, a verificação biométrica do requerente de um certificado digital e a comparação de uma biometria, que possua característica perene e unívoca, de acordo com os padrões internacionais de uso.

8. O que é um Prestador de Serviço de Suporte - PSS?

O PSS desempenha atividade descrita nas Políticas de Certificado - PC e na Declaração de Práticas de Certificação - DPC da AC a que estiver vinculado, diretamente ou por intermédio da AR, ou nas Políticas de Carimbo do Tempo - PCT e na Declaração de Práticas de Carimbo do Tempo - DPCT da ACT a que estiver vinculado, ou ainda nas atividades de PSBio.

Classifica-se conforme a atividade prestada dentre três categorias: disponibilização de infraestrutura física e lógica; disponibilização de recursos humanos especializados; ou disponibilização de infraestrutura física e lógica e de recursos humanos especializados.

9. Qual o papel do Comitê Gestor da ICP-Brasil?

O Comitê Gestor da Infraestrutura de Chaves Públicas Brasileira - CG ICP-Brasil de acordo com o Decreto 6.605 de 14 de outubro de 2008, exerce a função de autoridade gestora de políticas de certificação digital.

Vinculado à Casa Civil da Presidência da República, o Comitê é composto por sete representantes governamentais e cinco representantes da sociedade civil, todos designados pelo Presidente da República.

10. Como credenciar-se como Autoridade Certificadora ou Autoridade de Registro da ICP-Brasil?

No caso de solicitação de credenciamento para o início das atividades como AC ou AR (pessoa jurídica), a entidade interessada deve requerer o credenciamento de acordo com o DOC-ICP-03, aprovado pela Resolução do CG ICP-Brasil nº 178 de 20 de outubro de 2020, e suas alterações, e se submeter à auditoria pré-operacional pelo ITI.

Os candidatos ao credenciamento na ICP-Brasil devem atender a diversos critérios, como: ser órgão ou entidade de direito público ou pessoa jurídica de direito privado; estar quite com todas as obrigações tributárias e os encargos sociais instituídos por lei; atender aos requisitos relativos à qualificação econômico-financeira conforme a atividade a ser desenvolvida; e atender às diretrizes e normas técnicas da ICP-Brasil relativas à qualificação técnica aplicáveis aos serviços a serem prestados.

Para ser uma AC, é necessário apresentar, no mínimo, uma entidade operacionalmente vinculada, candidata ao credenciamento para desenvolver as atividades de Autoridade de Registro AR, ou solicitar o seu próprio credenciamento como AR; apresentar a relação de eventuais candidatos ao credenciamento para desenvolver as atividades de Prestador de Serviço de Suporte - PSS; ter sede administrativa localizada no território nacional; e instalações operacionais e recursos de segurança física e lógica, inclusive sala-cofre, compatíveis com a atividade de certificação, localizadas no território nacional, ou contratar PSS que a possua.

Para se tornar uma AR, é necessário estar operacionalmente vinculada a, pelo menos, uma AC ou ser candidata à AC, relativamente às Políticas de Certificados, ter sede administrativa, instalações operacionais e recursos de segurança física e lógica compatíveis com a atividade de registro. Para mais informações, consulte o DOC-ICP-03.