Categorias
Assinatura Digital

Você já sabe qual é melhor tipo de certificado digital para cada profissional de saúde no hospital?

Atualmente, todo o ecossistema de saúde, de grupos hospitalares, seguradoras e pacientes, está no meio de um grande processo de digitalização. A atual crise sanitária acelerou o ritmo das mudanças e as previsões para o setor mostram a consolidação de um novo modelo operacional adotado pelas instituições médicas, apoiado pela tecnologia, a exemplo do certificado digital.

Em termos de digitalização, a crise global revelou as graves deficiências para adotar um modelo de saúde digital: a digitalização e o uso de tecnologias são necessários  e urgentes para melhor combater as constantes ameaças à saúde pública.

Na prática, no processo de transformação digital das instituições de saúde, os certificados digitais são uma das ferramentas mais vantajosas para facilitar a evolução para um sistema que reduzirá ineficiências na prestação de cuidados de saúde, melhora o acesso ao diagnóstico e tratamento, reduzirá custos, aumentará a qualidade e tornará a medicina mais personalizada e precisa.

O certificado digital no contexto da saúde

No sistema de saúde, vários serviços são desenvolvidos com o objetivo de atender às necessidades de prevenção, diagnóstico, tratamento e recuperação dos pacientes. Isso gera um grande número de documentos que devem ser assinados: documentos cadastrais, formulários de consentimento do paciente, avisos de alta, avisos de práticas de privacidade, entre outros. Uma lista verdadeiramente interminável que, em alguns casos, deve ser mantida por anos. 

No que diz respeito aos documentos e informações tratadas, acesso seguro e restrito aos dados médicos, gestão eficiente e economias substanciais de tempo e dinheiro são alguns dos desafios apresentados pelos processos tradicionais de assinatura e arquivamento em papel. 

Nesse sentido, o certificado digital é uma ferramenta que permite que profissionais de saúde e outros não profissionais de saúde, como diretores, gerentes e administrativos, se identifiquem e assinem eletronicamente qualquer documento. 

Os pacientes também podem aproveitar os benefícios do certificado digital. Um exemplo é a assinatura do consentimento informado por meio de assinatura eletrônica baseada em certificado digital, oferecendo dupla proteção ao paciente e ao profissional de saúde. 

Basicamente, no Brasil temos ao todo 12 (doze) tipos de certificados digitais, porém, a ICP-Brasil classifica para usuários finais 8 (oito) tipos relacionados com Assinatura Digital (A1,A2,A3,A4,T3,T4,A CF-e-SAT e OM-BR) e 4 (quatro) com sigilo (S1/S2/S3 e S4). 

Os certificados digitais podem ser classificados de acordo com a sua aplicação ou níveis de criptografia, os mais comuns utilizados por médicos e instituições de saúde são os do tipo A1 e A3. 

A1

Válido por 1 ano, o certificado digital A1 precisa ser instalado no seu computador, e também funciona em dispositivos móveis. Sua instalação também pode ser feita em um servidor, e a certificação pode ser gerada para outras máquinas, permitindo sua utilização em vários computadores.

A3

Válido por 3 anos, o certificado digital A3 é armazenado em um dispositivo externo ao computador, ou na nuvem. O dispositivo externo é similar ao de um pendrive (token) ou cartão (smartcard), e o armazenamento na nuvem funciona da mesma forma que plataformas como softwares médicos.

Além disso, o Conselho Federal de Medicina (CFM) com apoio do ICP-Brasil, disponibiliza o  certificado digital gratuito para todos os médicos brasileiros. De acordo com o presidente do CFM, Dr. Mauro Ribeiro, o certificado gratuito faz parte do conjunto de iniciativas visando a transformação digital no setor de saúde que busca entregar ao médico serviços modernos e de maior qualidade, totalmente alinhados ao mundo cada vez mais digital.

Em termos de garantia e segurança, certificados digitais centralizados ou baseados em nuvem, aqueles gerados e armazenados no servidor seguro e monitorado (HSM), evitam o uso indevido e ajudam a simplificar o trabalho. O armazenamento de todos os certificados num único ponto evita situações de risco, permitindo a gestão e controle da utilização que os administradores fazem do certificado. 

 

 

Uso do certificado digital: benefícios para médicos e instituições de saúde 

Qualificação e segurança

É possível utilizar certificados digitais com total segurança, pois são emitidos por empresas autorizadas pela ICP-Brasil, órgão público brasileiro responsável pela infraestrutura de chaves públicas e certificação digital. Ela garante a identidade da pessoa ou organização a quem é emitido um certificado digital. 

Acesso seguro a dados médicos

Documentos assinados digitalmente por meio de certificados digitais podem ser compartilhados de forma fácil e segura entre os profissionais de saúde e instituições médicas, permitindo o acesso às informações de saúde, após acesso seguro, quando necessário.

O acesso seguro aos dados no sistema de saúde é vital. O certificado digital é um método de autenticação forte que evita a exposição de dados ao uso fraudulento. 

Conformidade regulatória com uso do certificado digital

A constante evolução do quadro legal que rege o setor da saúde bem como a diversidade de normas que compõem o ambiente regulatório deste setor reforça a necessidade de controle, gestão e redução dos riscos a que estão expostos.

HIPAA e a Lei Geral de Proteção de Dados (LGPD) são algumas das legislações aplicáveis ​​ao setor de saúde que impactam a forma como os documentos são armazenados, como as assinaturas são obtidas e como os dados dos pacientes são transmitidos com segurança.

Nesse sentido, certificados digitais e assinaturas eletrônicas baseadas em certificados atendem aos requisitos da lista e muitas outras legislações obrigatórias. 

Madics Sign: a solução ideal para seu hospital

A solução Madics Sign integrado ao uso do certificado digital, permite a aplicação de assinaturas eletrônicas nos sistemas de gestão em saúde, na digitalização de documentos e na prescrição digital de medicamentos.

O Eval Madics Sign é a aplicação preparada para usar o certificado digital gratuito do CFM. Além disso, suporta sistemas como: MV, TASY, MEMED, NEXODATA e todas as integrações relevantes.

O Madics Sign¸ a solução ideal para o gerenciamento de prontuários digitais. Ele combina assinaturas eletrônicas avançadas e qualificadas, para serem usadas conforme as necessidades do hospital.

Compatível com certificados de qualquer autoridade certificadora (AC) ICP-Brasil, é um sistema versátil e transparente para prontuário e operação.

Com ele o hospital eliminará os gastos com registro em papel.

A solução MADICS Sign oferece os recursos necessários para adoção do modelo em conformidade com a resolução 2299 a partir de suas APIs para geração de assinaturas eletrónicas qualificadas e também avançadas, utilizando certificados ICP-Brasil, o que permite gerenciar e autorizar todas as chaves e certificados de assinatura eletrônica do mercado com objetivo de atender múltiplas Autoridades Certificadoras.

Oferecida pela Eval, O MADICS Sign é uma solução de assinatura eletrônica integrada ao prontuário eletrônico do paciente (PEP) que ajuda instituições de saúde a eliminarem papel em seus processos médicos e no uso da receita digital e atestados médicos. 

O MADICS Sign é a maneira mais fácil de eliminar o papel do hospital, melhorando a colaboração entre os médicos, enfermeiros e equipe multi, criando uma experiência incrível.

Considerada a solução mais indicada para eliminação do registro impresso do prontuário, o MADICS Sign se apoia na legislação vigente sobre a validade jurídica de documentos eletrônicos assinados digitalmente e nas resoluções que regulamentam a infraestrutura de certificação digital brasileira e o uso de certificados digitais no setor da Saúde. ​

A solução permite a autenticação do usuário integrada ao sistema de prontuário. O hospital ou seu representante chancelam digitalmente o registro do prontuário e o registro de autenticação do profissional de saúde, garantindo a inalterabilidade do prontuário e autenticação, gerando uma evidência verificável por terceiros.​

Além disso, o MADICS Sign é um sistema híbrido que mantém a assinatura digital ICP-Brasil, transparente para o sistema de prontuário e operação.​ O hospital poderá manter parte dos usuários assinando digitalmente de acordo com sua avaliação.

Quanto tempo sua equipe está perdendo manuseando documentos em papel? Para muitos hospitais, a resposta é: “Não sabemos”.

Embora tenha havido uma mudança nos últimos anos em direção à digitalização de processos de saúde, como o uso de formulários de entrada online simples ou a implementação de sistemas como o prontuário eletrônico do paciente (PEP), muitas práticas ainda lutam com fluxos de trabalho em papel.

Isso pode incluir documentação em papel sendo passada fisicamente entre os membros da equipe, ou mesmo soluções de software não automatizadas, como o envio de um arquivo Excel por e-mail, por exemplo.

Muitos desses processos podem (e devem) ser digitalizados e automatizados, se não por uma questão de conveniência, mas por um outro motivo importante: o custo.

Os sistemas de fluxo de trabalho baseados em papel podem custar à sua clínica milhares de Reais anualmente, mesmo sem você saber.

Nos EUA, por exemplo, o uso de formulários em papel custa US $120 bilhões por ano.

Para as clínicas, a maior parte dos resíduos de papel vem de arquivos de pacientes, formulários de admissão e outros processos de papel relacionados ao atendimento ao paciente, bem como ao trabalho administrativo.

Embora, na prática, o PEP tenha mitigado algum desperdício de papel nas clínicas, isso simplesmente não foi suficiente. Na verdade, espera- se que a demanda por papel dobre antes de 2030.

Forneça experiências de assinatura excepcionais e agilize assinatura de prontuário com MADICS Sign. É a maneira mais fácil de automatizar fluxos de trabalho de PEP. Use o MADICS Sign e elimine uma boa quantia de papel e dor de cabeça.

Sobre a Eval

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.

Categorias
Assinatura Digital Não categorizado

Requisição de certificado digital em hospitais

A certificação digital possibilitou ao setor de saúde garantir a autenticidade e a validade jurídica de documentos no meio eletrônico.

Com a integração do certificado a um sistema de prontuário eletrônico, o médico pode realizar, por exemplo, a autorização de um procedimento a partir de sua assinatura digital.

Sem dúvidas, a eficiência operacional é um dos maiores benefícios da medida, ainda mais quando consideramos as deficiências do setor, que podem ser bastante reduzidas com mais celeridade no atendimento aos pacientes.

Mas como obter o certificado digital? A requisição é o caminho para se obter um certificado digital junto a uma Autoridade Certificadora (AC) para uma entidade final, como por exemplo, o certificado e-CPF, certificado e-CNPJ  ou mesmo um certificado de TLS/SSL para um serviço WEB.

Certificados digitais emitidos no Brasil

No Brasil, o crescente número de emissões de certificados digitais se deve a novas demandas de aplicações e serviços públicos que implementam a infraestrutura de chaves públicas brasileira, também conhecida como ICP Brasil.

Com a crescente emissão de certificados digitais, aumenta também a quantidade de pessoas com dúvidas, por exemplo: como é o procedimento de emissão e quais informações é preciso fornecer? Com esse artigo vamos responder tais questões.

Como é o procedimento de requisição de certificado digital?

Este processo geralmente é executado de duas maneiras:

A primeira consiste na emissão de certificados pessoa física ou e-CPF, onde o requerente vai até uma Entidade de Registro (AR) credenciada pela AC e apresenta os documentos necessários.

O certificado pode ser gerado em um cartão criptográfico, também conhecido como smartcard, utilizando equipamentos da própria AR. Este método possui várias vantagens para o requerente, que deve se preocupar apenas com a sua documentação, não precisando cuidar de detalhes técnicos.

O segundo procedimento é aplicado aos certificados destinados a serviços, como WEB ou processamento de imagem para compensação bancária por exemplo.

Dessa forma, além de providenciar a documentação necessária, o responsável pela solicitação deve executar um procedimento um pouco mais complicado, que geralmente é constituído pelos seguintes passos:

1.A criação do par de chaves;

2. A geração da requisição de certificado digital em um arquivo CSR (Certificate Signing Request);

3.O envio da solicitação de certificado à autoridade certificadora através de um arquivo CSR;

4.A associação do certificado recebido com a chave privada RSA gerada no primeiro passo.

Posteriormente à execução deste procedimento, você ainda terá que configurar o serviço para utilizar este certificado.

Agora vamos falar um pouco mais sobre este processo, a CSR e as dificuldades que talvez você possa encontrar.

Quais as informações em uma CSR?

Uma CSR (Certificate signing request) contém um conjunto mínimo de informações que permite à AC gerar o certificado para o requerente. Estas informações são:

1.A identificação do requerente;

2. A chave pública;

3. Assinatura da requisição, feita com a chave privada parceira da chave pública.

A identificação do requerente é composta por vários campos:

  • CN (Common Name): nome de uma pessoa, empresa, aplicação ou URL;
  • O (Organization): nome da organização;
  • OU (Organizational Unit): departamento ou setor da empresa;
  • L (Locality): sua cidade;
  • S (State): nome do estado ou província;
  • C (Country): sigla do país com 2 caracteres.

 

Dificuldades

São inúmeras as dificuldades enfrentadas pelo usuário ao se gerar uma requisição de certificado, o que gera várias dúvidas, como:

  1. Quais os valores corretos para os campos do nome do requerente para a aplicação?
  2. Qual o tipo e o tamanho apropriado das chaves para a aplicação?
  3. Qual algoritmo utilizar para a assinatura?
  4. Qual o formato de CSR arquivo da CSR?
  5. Qual o conjunto de caracteres a utilizar? Podemos utilizar caracteres especiais, cedilha e acentos?
  6. Qual repositório de chaves utilizar?
  7. Qual ferramenta utilizar?
  8. A CSR gerada está de acordo com as normas brasileiras e as políticas de certificação da AC?
  9. Como instalar a cadeia de certificados? Ou mesmo, o que é uma cadeia de certificados?

Essas dúvidas se somam às dificuldades inerentes das ferramentas de software utilizadas para a geração do par de chaves e da requisição como:

  1. Métodos genéricos difíceis para o usuário leigo, como utilizados nas ferramentas OpenSSL e Java KeyTool;
  2. Métodos específicos para as aplicações;
  3. Métodos específicos para HSM (Hardware Security Module).

Algumas respostas

Dependendo da autoridade certificadora que emite o certificado, ou do uso a que o mesmo se destina, as questões levantadas aqui podem mudar de resposta.

Entretanto, algumas regras gerais são válidas para certificados emitidos pelas AC brasileiras: CSRs devem ser geradas com chaves de tamanho de 2048 bits e algoritmo de assinatura sha256WithRSAEncryption. Também prefira utilizar um HSM para a guarda das chaves, pois ele provê o melhor nível de segurança.

Concluindo

 Antes de gerar uma CSR, procure se informar sobre quais as necessidades da aplicação que utilizará o certificado e quais as exigências da AC para a emissão dele. Verifique também, entre as ferramentas disponíveis, qual se encaixa melhor às suas necessidades e que facilita o teu trabalho, pois existem diversos sistemas que podem te auxiliar em todo o processo de geração dos certificados digitais.

Sobre a Eval

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.

Categorias
Proteção de dados

A identidade digital beneficia empresas e clientes: garante a proteção e privacidade de dados, evita prejuízos financeiros e protege sua credibilidade

As empresas entendem que fornecer uma ótima experiência do cliente é essencial nesta era digital.

Porém, para muitos gestores as solicitações de identificação digital e o compartilhando de informações pessoais prejudicam as estratégias voltadas para facilitar a interação de usuários em operações que envolvam a conversão em negócios através de transações digitais.

A prática comum de pedir que clientes confirmem suas identidades em todos os pontos de contato tornou-se um obstáculo. Essa situação afeta tanto os atendimentos quanto a segurança de dados.

Não é potencialmente arriscado continuar informando dados pessoais considerados sensíveis? Quem pode estar escutando ou lendo essa informação? E por que fornecer identificação digital para, por exemplo, se inscrever em um boletim informativo? O que isso tem a ver com segurança?

Os desafios no gerenciamento de identidades digitais

As questões acima destacam dois desafios do gerenciamento de identidades digitais dos clientes.

O primeiro deles é o processo oneroso para o qual a maioria das estratégias de segurança é padronizada, tornando potencialmente tão difícil, “comprar um chaveiro de substituição para um conjunto de chaves do carro quanto comprar o próprio carro”.

A seguir, é apresentada uma visão confusa para o cliente, onde a validação digital geralmente não está conectada à validação não digital. Além disso, os registros de acesso para diferentes pontos de contato do cliente são armazenados em locais separados.

São muitos pontos, mas nenhuma maneira de conectá-los, esse formato ainda é um padrão para muitas empresas.

Por trás desses desafios está a tensão entre os líderes de TI e seus colegas de marketing. Afinal os primeiros desejam proteger esses dados e os segundos desejam explorá-los para melhorar a experiência do cliente. Diante disso, as duas perspectivas podem ser difíceis de conciliar.

Gerenciamento de identidade digital: o potencial para impulsionar o valor da marca

Os CMOs (Chief Marketing Officer) de hoje tem como grande desafio impulsionar o valor da marca. Esse valor vem do prazer dos clientes. Muitas vezes os clientes ficam encantados quando se sentem conectados às marcas. Entretanto, a possibilidade de isso acontecer costuma estar relacionada aos profissionais de marketing obterem acesso aos dados pessoais necessários para personalizar a experiência do cliente.

Quando bem feitas, essas experiências personalizadas podem criar não apenas confiança, mas também a defesa de marca.

Imagine por exemplo um jogador de futebol leal a uma determinada marca. Como essa marca ganhou sua confiança, ele compartilha informações pessoais que não necessariamente compartilharia com outras marcas de futebol.

A experiência do cliente, a conexão emocional criada, o valor da marca percebido, essas coisas agora são inseparáveis ​​e dependem da identidade digital.

A identidade digital é o combustível para o envolvimento do cliente. É também uma fonte de grande preocupação para os CIOs, CISOs e equipes de TI responsáveis ​​por garantir a segurança de informações confidenciais, como identidades digitais por exemplo.

Porém, embora esses pontos para a experiência do cliente e segurança pareçam contraditórios, eles não precisam ser.

Afinal, há um caminho convergente. O que as equipes de marketing e tecnologia precisam para atender melhor e com mais segurança os clientes é uma maneira de ver e conectar os pontos. Uma maneira de fazer isso: autenticação de identidade digital baseada em risco.

Quatro princípios de gerenciamento de identidade digital baseado em risco

Os líderes de negócios e de TI devem considerar a noção de que a identidade do cliente não se refere apenas à segurança.

Em vez disso, eles podem pensar nele como um recurso que também pode ser aplicado de maneira flexível em várias plataformas e adaptado a movimentos de marketing e preferências individuais, além de tornar menos óbvio para os clientes.

Os líderes de marketing e TI podem se ajudar trabalhando juntos para projetar um sistema com quatro características bem definidas.

1. Dependência de contexto

As empresas que usam uma abordagem flexível podem, por exemplo, exigir vários meios de autenticação para transações financeiras, mas em um nível mais baixo de verificação para interações, como atualizar uma assinatura de boletim.

Esse tipo de autenticação baseada em risco tem o benefício potencial de melhorar a experiência do cliente e reduzir a complexidade para a organização.

 

2. Transparência

Em vez de se destacar como uma atividade onerosa e separada, a autenticação baseada em risco pode ser parte integrante das experiências on-line em que os clientes já se envolvem, como por exemplo: pesquisar, comprar, fazer manutenção ou registrar-se.

Livrar-se dos CAPTCHAs ou de lembrar o nome de alguma coisa favorita em cada etapa da jornada do cliente é apenas parte da mudança. Afinal, nessa visão a configuração inicial dos perfis de identidade dos clientes é mais abrangente e se expande além de apenas alguns testes óbvios, de modo que menos etapas de autenticação visíveis (se houver) são necessárias quando o cliente se envolve.

3. Personalização

A era digital nos permitiu definir escolhas: um cliente pode gostar de autenticar através de um gerenciador de senhas seguro, enquanto outro pode preferir o reconhecimento biométrico.

Combine essa capacidade de escolher com um sistema de gerenciamento de relacionamento baseado em identidade capaz de aplicar essas preferências ao longo do tempo e das plataformas, e o resultado pode ser uma experiência que incentiva os clientes a se envolverem com uma marca com mais frequência e com mais disposição.

4. Onipresença

Qualquer sistema de identidade digital amigável ao cliente deve funcionar de forma consistente nas plataformas de marketing, de comércio eletrônico, gestão e ferramentas de comunicação, para que os clientes não precisem lidar com diferentes requisitos de autenticação para diferentes partes do negócio.

Trabalhando juntos para garantir que esse seja o caso, o marketing, a TI e outros líderes podem ajudar a fornecer uma experiência do usuário unificada e segura, começando assim a construir a lealdade e a confiança da marca.

Gerando identidades digitais

Uma identidade digital pode ser criada por meio de um certificado digital emitido por uma Autoridade de Certificação (AC), com base em criptografia assimétrica.

O certificado contém dados que estão associados a um usuário ou dispositivo (por exemplo, seu nome ou a cópia da chave pública).

O uso de certificados digitais tem muitos benefícios para as organizações, por exemplo:

  • Garantir conformidade legal;
  • Alto grau de segurança, protegendo as informações e reduzindo os riscos de fraude;
  • Maior confiança do usuário e do cliente.

Por sua vez, os certificados digitais podem ser utilizados para junto com um software de assinatura digital, gerar a assinaturas digitais. Além disso, o gerenciamento de identidades se torna uma questão prioritária para as organizações.

A identidade digital através de certificados digitais já uma realidade

É necessário ter um sistema que permita associar e unificar seus dados, fornecer acesso a todos os sistemas que devem usá-los e, acima de tudo, oferecer um alto grau de privacidade e segurança.

A transformação da identidade digital é mais do que apenas implementar novas tecnologias e ferramentas de segurança. Afinal, ela também envolve mudanças sistêmicas, desde as principais funções de segurança da informação, marketing e serviços a áreas como governança, finanças, cultura, até modelo de negócios.

Em alguns países, a identidade digital está totalmente consolidada e tem muitas aplicações na vida cotidiana. Talvez o exemplo mais notável seja o da Estônia.

Este pequeno país do Báltico, de 1,3 milhão de habitantes, introduziu em 2002 o sistema de identificação digital baseado no registro nacional e no documento nacional de identidade digital.

Este documento, obrigatório para maiores de 15 anos, permite que seus cidadãos votem, comprem passagens de transporte público, criptografem e-mails, renovem seu passaporte, acessem seus registros médicos, assinem documentos e realizem quase qualquer tipo de gerenciamento administrativo on-line, em qualquer lugar a qualquer momento e permitindo que os usuários possuam seus próprios dados.

Mas o sistema estoniano é apenas uma amostra de tudo o que está por vir. Afinal, é esperado que o número de participantes do mercado que se conecta online cresça exponencialmente nos próximos anos.

Graças ao desenvolvimento da Internet das Coisas, milhões de objetos (de geladeiras a contêineres conectados à Internet) previsivelmente começarão a operar simultaneamente e integrados. Assim também será necessário estabelecer padrões para verificar suas identidades.

Sobre a EVAL

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.

Categorias
Proteção de dados

A identidade digital beneficia empresas e clientes

As empresas entendem que fornecer uma ótima experiência do cliente é essencial nesta era digital.

Porém, para muitos gestores as solicitações de identificação digital e o compartilhando de informações pessoais prejudicam as estratégias voltadas para facilitar a interação de usuários em operações que envolvam a conversão em negócios através de transações digitais.

A prática comum de pedir que clientes confirmem suas identidades em todos os pontos de contato tornou-se um obstáculo. Essa situação afeta tanto os atendimentos quanto a segurança de dados.

Não é potencialmente arriscado continuar informando dados pessoais considerados sensíveis? Quem pode estar escutando ou lendo essa informação? E por que fornecer identificação digital para, por exemplo, se inscrever em um boletim informativo? O que isso tem a ver com segurança?

Os desafios no gerenciamento de identidades digitais

As questões acima destacam dois desafios do gerenciamento de identidades digitais dos clientes.

O primeiro deles é o processo oneroso para o qual a maioria das estratégias de segurança é padronizada, tornando potencialmente tão difícil, “comprar um chaveiro de substituição para um conjunto de chaves do carro quanto comprar o próprio carro”.

A seguir, é apresentada uma visão confusa para o cliente, onde a validação digital geralmente não está conectada à validação não digital. Além disso, os registros de acesso para diferentes pontos de contato do cliente são armazenados em locais separados.

São muitos pontos, mas nenhuma maneira de conectá-los, esse formato ainda é um padrão para muitas empresas.

Por trás desses desafios está a tensão entre os líderes de TI e seus colegas de marketing. Afinal os primeiros desejam proteger esses dados e os segundos desejam explorá-los para melhorar a experiência do cliente.

Diante disso, as duas perspectivas podem ser difíceis de conciliar.

Gerenciamento de identidade digital: o potencial para impulsionar o valor da marca

Os CMOs (Chief Marketing Officer) de hoje tem como grande desafio impulsionar o valor da marca. Esse valor vem do prazer dos clientes. Muitas vezes os clientes ficam encantados quando se sentem conectados às marcas.

Entretanto, a possibilidade de isso acontecer costuma estar relacionada aos profissionais de marketing obterem acesso aos dados pessoais necessários para personalizar a experiência do cliente.

Quando bem feitas, essas experiências personalizadas podem criar não apenas confiança, mas também a defesa de marca.

Imagine por exemplo um jogador de futebol leal a uma determinada marca. Como essa marca ganhou sua confiança, ele compartilha informações pessoais que não necessariamente compartilharia com outras marcas de futebol.

A experiência do cliente, a conexão emocional criada, o valor da marca percebido, essas coisas agora são inseparáveis ​​e dependem da identidade digital.

A identidade digital é o combustível para o envolvimento do cliente. É também uma fonte de grande preocupação para os CIOs, CISOs e equipes de TI responsáveis ​​por garantir a segurança de informações confidenciais, como identidades digitais por exemplo.

Porém, embora esses pontos para a experiência do cliente e segurança pareçam contraditórios, eles não precisam ser.

Afinal, há um caminho convergente. O que as equipes de marketing e tecnologia precisam para atender melhor e com mais segurança os clientes é uma maneira de ver e conectar os pontos. Uma maneira de fazer isso: autenticação de identidade digital baseada em risco.

Quatro princípios de gerenciamento de identidade digital baseado em risco

Os líderes de negócios e de TI devem considerar a noção de que a identidade do cliente não se refere apenas à segurança.

Em vez disso, eles podem pensar nele como um recurso que também pode ser aplicado de maneira flexível em várias plataformas e adaptado a movimentos de marketing e preferências individuais, além de tornar menos óbvio para os clientes.

Os líderes de marketing e TI podem se ajudar trabalhando juntos para projetar um sistema com quatro características bem definidas.

1. Dependência de contexto

As empresas que usam uma abordagem flexível podem, por exemplo, exigir vários meios de autenticação para transações financeiras, mas em um nível mais baixo de verificação para interações, como atualizar uma assinatura de boletim.

Esse tipo de autenticação baseada em risco tem o benefício potencial de melhorar a experiência do cliente e reduzir a complexidade para a organização.

2. Transparência

Em vez de se destacar como uma atividade onerosa e separada, a autenticação baseada em risco pode ser parte integrante das experiências on-line em que os clientes já se envolvem, como por exemplo: pesquisar, comprar, fazer manutenção ou registrar-se.

Livrar-se dos CAPTCHAs ou de lembrar o nome de alguma coisa favorita em cada etapa da jornada do cliente é apenas parte da mudança.

Afinal, nessa visão a configuração inicial dos perfis de identidade dos clientes é mais abrangente e se expande além de apenas alguns testes óbvios, de modo que menos etapas de autenticação visíveis (se houver) são necessárias quando o cliente se envolve.

3. Personalização

A era digital nos permitiu definir escolhas: um cliente pode gostar de autenticar através de um gerenciador de senhas seguro, enquanto outro pode preferir o reconhecimento biométrico.

Combine essa capacidade de escolher com um sistema de gerenciamento de relacionamento baseado em identidade capaz de aplicar essas preferências ao longo do tempo e das plataformas, e o resultado pode ser uma experiência que incentiva os clientes a se envolverem com uma marca com mais frequência e com mais disposição.

4. Onipresença

Qualquer sistema de identidade digital amigável ao cliente deve funcionar de forma consistente nas plataformas de marketing, de comércio eletrônico, gestão e ferramentas de comunicação, para que os clientes não precisem lidar com diferentes requisitos de autenticação para diferentes partes do negócio.

Trabalhando juntos para garantir que esse seja o caso, o marketing, a TI e outros líderes podem ajudar a fornecer uma experiência do usuário unificada e segura, começando assim a construir a lealdade e a confiança da marca.

Gerando identidades digitais

Uma identidade digital pode ser criada por meio de um certificado digital emitido por uma Autoridade de Certificação (AC), com base em criptografia assimétrica.

O certificado contém dados que estão associados a um usuário ou dispositivo (por exemplo, seu nome ou a cópia da chave pública).

O uso de certificados digitais tem muitos benefícios para as organizações, por exemplo:

  • Garantir conformidade legal;
  • Alto grau de segurança, protegendo as informações e reduzindo os riscos de fraude;
  • Maior confiança do usuário e do cliente.

Por sua vez, os certificados digitais podem ser utilizados para junto com um software de assinatura digital, gerar a assinaturas digitais. Além disso, o gerenciamento de identidades se torna uma questão prioritária para as organizações.

A identidade digital através de certificados digitais já uma realidade

É necessário ter um sistema que permita associar e unificar seus dados, fornecer acesso a todos os sistemas que devem usá-los e, acima de tudo, oferecer um alto grau de privacidade e segurança.

A transformação da identidade digital é mais do que apenas implementar novas tecnologias e ferramentas de segurança. Afinal, ela também envolve mudanças sistêmicas, desde as principais funções de segurança da informação, marketing e serviços a áreas como governança, finanças, cultura, até modelo de negócios.

Em alguns países, a identidade digital está totalmente consolidada e tem muitas aplicações na vida cotidiana. Talvez o exemplo mais notável seja o da Estônia.

Este pequeno país do Báltico, de 1,3 milhão de habitantes, introduziu em 2002 o sistema de identificação digital baseado no registro nacional e no documento nacional de identidade digital.

Este documento, obrigatório para maiores de 15 anos, permite que seus cidadãos votem, comprem passagens de transporte público, criptografem e-mails, renovem seu passaporte, acessem seus registros médicos, assinem documentos e realizem quase qualquer tipo de gerenciamento administrativo on-line, em qualquer lugar a qualquer momento e permitindo que os usuários possuam seus próprios dados.

Mas o sistema estoniano é apenas uma amostra de tudo o que está por vir. Afinal, é esperado que o número de participantes do mercado que se conecta online cresça exponencialmente nos próximos anos.

Graças ao desenvolvimento da Internet das Coisas, milhões de objetos (de geladeiras a contêineres conectados à Internet) previsivelmente começarão a operar simultaneamente e integrados. Assim também será necessário estabelecer padrões para verificar suas identidades.

Sobre a Eval

A EVAL está há mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria. Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presentes nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.

Categorias
Proteção de dados

Saiba mais sobre armazenamento de certificados digitais

Como realizar o armazenamento de certificados digitais e garantir a segurança da empresa? Sem dúvida o caminho passa sempre pela adoção de boas práticas.

Isto é, o armazenamento de certificados digitais e chaves criptográficas fornece uma camada de segurança crítica que protege todos os ativos virtuais de uma empresa. As violações em virtude de ataques baseados em confiança são causadas justamente pelo armazenamento inadequado e a má gestão.

Quando tem sucesso, um ataque realizado contra um certificado digital pode ter efeitos desastrosos para qualquer organização. Além de aspectos ligados à segurança, os certificados expirados provocam grandes prejuízos em negócios perdidos.

Por isso, não basta implementar uma política de uso de certificados digitais e chaves criptográficas: é preciso também desenvolver de forma assertiva processos de armazenamento e gerenciamento.

Continue a leitura deste post para saber mais sobre armazenamento de certificados digitais.

O armazenamento de certificados digitais e os ataques baseados em confiança

Como você sabe, os certificados digitais e as chaves de criptografia são essenciais para os negócios. Afinal, eles protegem os dados, mantêm as comunicações privadas e estabelecem confiança entre as partes em comunicação.

Na prática, os certificados digitais são usados ​​para diversas finalidades. Entre elas, estão a checagem de identidade, criptografia de arquivos, autenticação da web, segurança de e-mail e verificação de assinatura de software.

Apesar de sua importância, muitas empresas estão vulneráveis ​​a violações, pois permitem que o gerenciamento de certificados e chaves seja visto como um problema operacional, em vez de ser considerado como uma vulnerabilidade de segurança que precisa ser corrigida imediatamente.

De fato, existe muito mais uma falha nas políticas e nos processos de armazenamento de certificados digitais do que uma vulnerabilidade ocasionada pela ausência de updates de segurança ou bugs que possam comprometer qualquer tipo de estrutura tecnológica de uma organização.

Afinal, os hackers se concentram em chaves e certificados como vetores de ataque. Com más intenções, eles as roubam para obter um status confiável e, em seguida, usam isso para evitar a detecção e ignorar os controles de segurança.

O ataque acontece justamente quando ocorre a quebra de confiança

Cibercriminosos usam ataques baseados em confiança para se infiltrar em empresas, roubar informações valiosas e manipular domínios. Ou seja, se chaves privadas usadas para assinar um certificado digital caírem em mãos erradas, o sistema pode ser violado e o site derrubado.

Quando essas chaves são perdidas, tempo e energia significativos são desperdiçados para acessar sistemas ou renovar certificados.

Para você ter uma ideia, se os certificados de assinatura de código usados ​​para assinar um aplicativo para iPhone ou Android, por exemplo, forem comprometidos, um desenvolvedor não autorizado poderá lançar um malware com a ajuda da identidade corporativa violada.

A fim de reduzir o risco de ataques baseados em confiança, os certificados digitais e as chaves criptográficas precisam ser protegidos e armazenados com segurança. Assim, evita-se que sejam perdidos ou caiam em mãos erradas.

As opções de armazenamento de certificados digitais e as práticas recomendadas

Toda vez que um certificado digital é emitido, um par de chaves — privada e pública — é gerado.

Sem dúvida, a melhor prática é manter a chave privada segura. Afinal, caso alguém consiga usá-la, poderá criar sites de phishing com o certificado da sua organização na barra de endereços, fazer autenticação em redes corporativas se passando por você, assinar aplicativos ou documentos em seu nome e ler seus e-mails criptografados.

Em muitas empresas, os certificados digitais e as chaves de criptografia são as identidades de seus funcionários e, portanto, uma extensão da identificação de sua organização. A proteção delas equivale a proteger suas impressões digitais ao usar credenciais biométricas.

Certamente você não permitiria que um hacker pegasse sua impressão digital. Então, por que deixá-lo ter acesso ao seu certificado digital?

O armazenamento de certificados digitais

As modalidades mais utilizadas para armazenamento de certificados digitais no Brasil são duas: A3, em token ou cartão, e A1, em arquivo no computador ou outro dispositivo.

A3 armazenado em token

Trata-se de um tipo de certificado que fica armazenado em um token criptográfico, um dispositivo semelhante a um pendrive, que deve ser conectado diretamente a uma porta USB do computador do usuário ou servidor onde rodará o sistema. Além disso, não é possível fazer cópia, sob pena de bloqueio da mídia.

A3 armazenado em cartão

Este tipo de certificado fica armazenado em um cartão inteligente com chip, igual aos novos cartões bancários. Em suma, ele deve ser conectado a uma leitora que precisa ficar ligada em uma porta USB do computador do usuário ou servidor onde rodará o sistema. Igualmente, não é possível fazer cópia, sob pena de bloqueio da mídia criptográfica.

A1 armazenado em arquivo no computador ou outro dispositivo

É um arquivo eletrônico gravado no computador do usuário ou servidor onde rodará o sistema. Geralmente possui as extensões .PFX ou .P12 e não necessita de tokens ou cartões para ser transportado de um lado para outro.

A1 armazenamento em nuvem

Com ele é possível acessar o seu certificado e assinar documentos digitalmente por meio de qualquer dispositivo: desktops, smartphones e tablets. Por fim, também ganha-se em segurança e elimina-se a preocupação com danos físicos, roubos e perdas.

Não perca seus certificados digitais

Em síntese, o armazenamento de certificados digitais precisa ser eficiente e tratado como uma prioridade na organização. A escolha da melhor forma de armazenar dependerá das políticas e dos processos de segurança implementados na empresa e, principalmente, de quem usa os certificados e para que eles são usados.

Dessa forma, quaisquer regulamentações que sua empresa precise cumprir, custos e recursos internos serão assegurados por meio do armazenamento dos certificados digitais.

Sobre a Eval

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.

Categorias
Assinatura Digital

Saiba como funciona a Assinatura Digital

Não confunda com certificado digital! Esse é o primeiro passo para saber como funciona a assinatura digital. Ela serve para validar a autenticidade e integridade de uma mensagem, software ou documento eletrônico.

Equivalente a uma assinatura manuscrita ou selo carimbado, a assinatura digital oferece segurança e autenticidade no formato eletrônico. Ela é destinada a resolver problemas como adulteração e representação em comunicações digitais.

Se você ainda tem dúvidas sobre a eficiência da assinatura digital em seu negócio, confira este post e esclareça qualquer duvida sobre como ela funciona e as vantagens de adotar esse recurso em sua empresa.

O valor estratégico da assinatura digital para as empresas

Para empresas essas soluções fornecem garantias de evidência de origem, identidade e status de documentos eletrônicos, transações ou mensagens. Além disso, ela também garante reconhecimento e autenticidade daquilo que foi assinado digitalmente.

Para se ter uma ideia da eficiência da assinatura digital nas empresas, podemos ver os Estados Unidos. Afinal, lá as assinaturas digitais têm o mesmo significado legal que as formas mais tradicionais de documentos assinados.

O Escritório de Impressão do Governo dos Estados Unidos publica regularmente versões eletrônicas do orçamento, das leis públicas e privadas e das contas do Congresso com assinaturas digitais.

O que tem por trás da assinatura digital

Basicamente as assinaturas digitais utilizam criptografia de chave pública ou assimétrica para serem criadas. Uma criptografia de chave pública envolve um par de chaves: uma pública e outra privada.

As duas chaves estão matematicamente relacionadas. A chave pública, como o nome já indica, está aberta e disponível para quem quiser acessa-la. Ela pode, por exemplo, ser armazenada em um servidor de chaves públicas.

Por outro lado, a chave privada é mantida em um ambiente seguro da empresa, ela nunca será transmitida publicamente. O remetente de um documento eletrônico usa sua chave privada para cifrar esse documento, esta é a assinatura digital.

Por fim, o receptor então decifra a assinatura com a chave pública para verificar se ela corresponde ao anexo. Além disso, as chaves privadas são exclusivas para cada usuário, fornecendo autenticidade verificada à mensagem do remetente.

Somente a chave privada do remetente pode ser usada para criar a assinatura digital. A chave pública correspondente é usada para confirmar essa assinatura, para isso, o certificado digital é utilizado.

O uso da assinatura digital otimiza investimentos e aumenta a produtividade

Uma assinatura digital pode ser usada com qualquer tipo de mensagem, seja ela criptografada ou não. Ela é utilizada para que o destinatário tenha certeza da identidade do remetente e de que a mensagem chegou intacta.

Dessa forma as assinaturas digitais tornam difícil para o “assinante” negar ter assinado algo (não-repúdio). Afinal a assinatura digital é única para ambos, o documento e o assinante.

O certificado digital contém a assinatura digital da autoridade emissora de certificados e vincula uma chave pública a uma identidade, podendo ser usado para verificar se uma chave pública pertence a uma pessoa ou entidade específica.

A maioria dos programas de e-mail, navegadores de Internet e leitores de texto, como o Adobe Reader, suportam o uso de assinatura e certificado digital. Dessa forma facilita-se a assinatura de qualquer e-mail de saída e a validação de mensagens recebidas, ou outros tipos de arquivos assinados digitalmente.

As assinaturas digitais também são amplamente usadas para fornecer provas de autenticidade, integridade de dados e não repúdio de comunicações e transações realizadas pela Internet.

É possível reduzir custos com assinatura digital

Ao migrar seus processos de negócio para o meio digital as empresas reduzem o consumo de papel e os custos ligados a impressão e transporte do documento. Essa estratégia permite, por exemplo, direcionar o que foi economizado para setores estratégicos da organização.

E ainda ampliar a produtividade

Além de otimizar os investimentos ao core business, o fato de reduzir os gastos de impressão e utilizar o meio digital para automatização de processos também faz com que as empresas aumentem a produtividade.

As organizações e seus funcionários deixam de executar processos manuais e podem focar nas atividades principais sem que tenham de parar suas tarefas para imprimir documentos ou levar para diferentes departamentos, ou seja, é possível com a assinatura digital, alcançar ganhos estratégicos em toda a empresa.

Qualquer empresa pode utilizar uma assinatura digital?

Por fim você pode estar pensando se qualquer firma ou organização pode obter uma assinatura digital. Como ela é obtida? Será que vale a pena investir?

Para responder a essa pergunta, basta revisar os conceitos que vimos logo no início do artigo. Ou seja, quando algum usuário cria um documento, ele assina com uma assinatura digital exclusiva e o envia ao destinatário.

Se a assinatura do remetente utilizar uma autoridade certificadora reconhecida, no caso do Brasil as que estão homologadas pelo ITI, dentro do ICP-Brasil, o destinatário confiará na autoridade certificadora para confirmar a identidade do editor. Dessa forma ele autentica a mensagem e fornece o não-repúdio.

Portanto, sim, qualquer pessoa, empresa, agência, etc. pode e deve obter uma assinatura digital. Além disso, é uma questão de segurança estratégica da empresa. Além disso, existem várias companhias, conhecidas como autoridades certificadora (CA), que gerenciam a emissão de certificados digitais e são homologadas pelo ITI.

Como você deve ter visto, as empresas só têm a ganhar ao adotar a assinatura digital em seus processos de negócios.

Em plena era da Transformação Digital adotar essa tecnologia faz com a empresa como um todo, fornecedores e clientes possam ser beneficiados com a eficiência estratégica em relação a venda de produtos e serviços.

Se ainda ficou alguma dúvida sobre o tema, entre em contato agora mesmo com a EVAL. Os nossos especialistas estão prontos para ajudar a sanar suas dificuldades e iniciar seu projeto de adoção da assinatura digital.

Sobre a Eval

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.

Categorias
Proteção de dados

Sigilo e verificação de origem utilizando criptografia assimétrica

Quando falamos em criptografia é muito comum pensar apenas em técnicas de manutenção do sigilo da informação. No entanto, a criptografia pode ser utilizada em muitas outras situações. Nesse post trataremos da aplicação de técnicas de criptografia assimétrica para a verificação de origem de uma mensagem.

Criptografia assimétrica

Inicialmente, precisamos dizer que uma das características mais marcantes da criptografia assimétrica é a presença de um par de chaves, com uma parte pública e outra privada. Enquanto a parte pública pode ser divulgada a todos os interessados, a parte privada não. Afinal, ela deve ser protegida e mantida secreta pela entidade detentora do par, seja uma pessoa ou sistema.

Esse par de chaves é algo muito especial, pois quando uma das chaves é utilizada para cifrar um dado, somente a chave parceira do par pode ser utilizada no processo inverso. E é essa característica que possibilita a existência de vários esquemas criptográficos na comunicação entre duas entidades.

As mensagens de Alice e Bob

Para facilitar o entendimento vamos usar a analogia clássica. Ela pressupõe a existência de dois usuários, Alice (A) e Bob (B), cada qual com seu par de chaves. Alice e Bob trocam cartas (mensagens) entre si e toda carta é colocada em um envelope que possui um cadeado especial, que quando fechado com uma das chaves, só pode ser aberto com a chave parceira do par.

Perceba que como temos dois pares de chaves, um para cada usuário, temos um total de 4 chaves que podem ser utilizadas para fechar o cadeado do envelope! Então qual chave deve ser utilizada? Bem, depende de qual serviço de segurança se deseja implementar no envio desta carta.

Criptografia assimétrica para o sigilo

Se o desejo for garantir o sigilo da carta, Alice deve fechar o cadeado com a chave pública de Bob. Desta forma, a única chave capaz de abrir é a chave parceira, ou seja, a chave privada de Bob. Lembrando que a chave privada de Bob, por definição, deve ser de conhecimento somente de Bob. Assim, somente Bob pode abrir o cadeado do envelope e retirar a carta.

Criptografia assimétrica para a origem

Se o desejo for verificar a origem da carta, Alice pode fechar o envelope usando sua chave privada. Desta forma, a única chave que abre o envelope é a chave parceria, ou seja, a chave pública de Alice.

Lembrando que a chave pública de Alice, por definição, é de conhecimento público. Assim, todos poderiam abrir o envelope utilizando a chave pública de Alice.

Note que nessa situação, apesar da carta estar em um envelope lacrado com cadeado, não há sigilo do conteúdo. Afinal, qualquer um pode abrir o cadeado do envelope utilizando a chave pública de Alice.

O que há é a verificação da origem da carta (ou autoria do remetente). Ou seja, para Bob verificar se a carta veio de Alice basta abrir o cadeado com a chave pública dela.

Note que nessa situação, apesar da carta estar em um envelope lacrado com cadeado, não há sigilo do conteúdo. Afinal, qualquer um pode abrir o cadeado do envelope utilizando a chave pública de Alice.

O que há é a verificação da origem da carta (ou autoria do remetente). Ou seja, para Bob verificar se a carta veio de Alice basta abrir o cadeado com a chave pública dela.

Criptografia simétrica

Interessante notar que o serviço de sigilo também poderia ser implementado com criptografia simétrica (aquela que possui uma única chave). Afinal, ela é muito mais rápida.

Dessa maneira, é comum observar protocolos de segurança que utilizam esquemas híbridos com criptografia simétrica e assimétrica para implementação dos serviços de sigilo, verificação de origem, autenticação e irretratabilidade, aproveitando as vantagens de cada um: velocidade da criptografia simétrica e flexibilidade de uso da criptografia assimétrica.

Por fim, após toda essa explicação, pelo menos uma questão ficou em aberto: como Bob tem certeza que está com uma cópia da chave pública de Alice e como Alice tem certeza que está com a chave pública de Bob?

A maneira utilizada para confiar na chave pública de alguém é pegar a cópia dessa chave com alguém de confiança. É necessária uma marca na chave que informa: “esta é a chave pública de fulano”.

A combinação entre a chave pública da entidade com as informações de identificação da entidade é denominada certificado digital, um tópico para outro post.

Também escrevemos um artigo que pode ser de seu interesse, pois fala sobre criptografia de dados e sua importância no mercado financeiro, clique aqui e acesse.

Assine nossa Newsletter e fique por dentro das novidades e tecnologias Eval. Continue acompanhando nossos conteúdos no blog e aproveitando nosso perfil do Linkedin.

Sobre a Eval 

A EVAL está há mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria. Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presentes nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias. 

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos. 

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível. 

Eval, segurança é valor. 

Categorias
Gestão de Documentos e Contratos

Qual a diferença entre assinatura digital, assinatura eletrônica e certificado digital?

Uma das dúvidas mais comuns sobre assinaturas digitais é a diferença entre uma assinatura digital, assinatura eletrônica e também um certificado digital. Portanto vamos abordar nesse post algumas diferenças para deixar claro para você.

Certificado digital

Primeiro, vamos falar sobre o certificado digital. Ele funciona como uma “carteira de identidade” no mundo virtual. Isso acontece quando um documento eletrônico é assinado digitalmente por uma autoridade certificadora com o objetivo de vincular uma pessoa ou empresa a uma chave pública.

Além disso, um certificado digital deve conter:

  • chave pública do titular.
  • nome e endereço de e-mail.
  • período de validade.
  • nome da autoridade certificadora que o emitiu.
  • número de série do certificado digital.
  • assinatura digital da autoridade certificadora.

Nós também escrevemos um artigo sobre o que é uma requisição de certificado digital para ajuda-lo a entender sobre o assunto. Leia aqui.

Assinatura digital

Agora vamos ver sobre assinatura digital, pois é necessário entender que a assinatura digital é usada para garantir a autenticidade, integridade e não repúdio de um documento, para tanto, ela utiliza algoritmos de criptografia assimétrica. Em outras palavras, é uma modalidade de assinatura eletrônica que fica vinculada a um documento eletrônico. Caso o documento sofra qualquer tipo de alteração a assinatura digital não poderá ser verificada e a validade será questionada.

Uma assinatura digital deve:

  • ser única para cada documento.
  • comprovar a autoria do documento eletrônico.
  • possibilitar a verificação da integridade do documento.
  • assegurar ao destinatário o “não repúdio” do documento eletrônico.

Por fim, no Brasil as assinaturas digitais devem estar em conformidade com a ICP Brasil. Além disso escrevemos um outro artigo que pode ajuda-lo a entender melhor sobre assinatura digital. Leia aqui.

Assinatura eletrônica

A assinatura eletrônica funciona do mesmo jeito que uma assinatura no papel, apesar de se utilizar de meios digitais para tal. Afinal, o seu uso garante a validade de documentos eletrônicos. Há alguns tipos de assinatura eletrônica, no qual, podemos citar alguns conhecidos:

Diferente da assinatura digital, que pelo uso do PKI e processos ICP-Brasil, garantem autenticidade, integridade e não repúdio. A assinatura eletrônica busca outras formas para garantir isso coletando de informações para uma possível validação futura. Como exemplo, pode-se efetuar a coleta dos seguintes dados:

  • Data e hora em que foi feita a assinatura eletrônica.
  • Nome do usuário.
  • CPF do usuário.
  • IP do usuário.
  • Hash do documento.

Por fim, pode-se adicionar alguns controles para aumentar a segurança, como por exemplo, a assinatura eletrônica com chancela de terceiro agrega uma assinatura digital de um terceiro na assinatura eletrônica gerada de forma que garante a integridade do documento. Também escrevemos um artigo no blog da validade legal da assinatura eletrônica, não deixe de conferir aqui.

Sobre a Eval

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.

Categorias
Proteção de dados

Google Chrome e a mensagem “Sua conexão não é particular”

Passados quase 2 meses desde o lançamento da versão 58 do Google Chrome, lançada em 25 de abril desse ano, ainda há muita gente por aí encontrando a mensagem “Sua conexão não é particular” com o código de erro NET::ERR_CERT_COMMON_NAME_INVALID ao acessar sites com cadeados (sites protegidos pelo protocolo SSL ou TLS).

Sua conexão não é particular

Mas o que essa mensagem no Google Chrome realmente significa e como ela surgiu?

Bem, primeiramente é preciso saber o que acontece quando os navegadores web acessam um site protegido por SSL.

Certificado do servidor

Há uma série de verificações de segurança nos navegadores. Dentre elas, a mais importante para os propósitos dessa explicação é a verificação da validade do certificado apresentado pelo servidor.

Essa verificação tem o objetivo de determinar se o certificado apresentado pelo servidor que hospeda o site é válido. Pode-se verificar no Google Chrome, por exemplo, se o certificado foi emitido por uma Autoridade Certificadora confiável, se sua assinatura está válida, se o propósito de uso do certificado está correto, se a URL para o qual o certificado foi emitido corresponde à URL do site, etc.

Vamos entender melhor: quando o navegador web acessa o servidor na URL https://www.meusite.com.br, “https” indica que deve ser utilizado o protocolo HTTPS e www.meusite.com.br indica o nome do servidor na internet.

Assim, quando o protocolo SSL é ativado, o navegador web inicialmente recebe o certificado digital do servidor. Em seguida, inicia o procedimento de sua validação. Como informado anteriormente, uma das etapas da verificação é determinar se a URL do servidor é a mesma para a qual o certificado foi emitido.

Por exemplo, o certificado do servidor do Google Chrome possui a informação da URL do servidor em dois locais: no campo Requerente e no campo de extensão Nome Alternativo para o Requerente:

Campo Requerente:

  • CN = *.google.com;
  • O = Google Inc;
  • L = Mountain View;
  • S = California;
  • C = US.

Campo Nome Alternativo para o Requerente:

  • Nome DNS=*.google.com;
  • Nome DNS=*.android.com.

Como se valida um certificado e um servidor

Agora que sabemos parte do que acontece quando acessamos um site protegido por SSL, entra em cena o documento RFC 2818. Este documento dá instruções sobre como os certificados digitais de servidores devem ser validados. Ele nada mais é do que um tipo de especificação pública para os fabricantes de software.

Na seção 3.1 da RFC 2818 é possível encontrar as duas formas de identificação da URL do servidor que podem ser utilizadas em um certificado digital:

  1. No componente Common Name (CN) incluída junto ao nome da entidade Requerente (campo Subject);
  2. Campo de extensão Nome Alternativo para o Requerente (ou Subject Alternative Names).

Common Name é utilizado há bastante tempo como a forma principal de identificação. Além disso, sua visualização é bem intuitiva.

Proposta de alternativa

No início desse ano começou um extenso debate sobre a remoção do suporte a validações baseadas somente no Common Name. No lugar dele se propunha adotar o Subject Alternative Names.

Podemos discutir se essa atualização está de acordo com todas as especificações necessárias, ou se realmente traz benefícios para a segurança. Entretanto esse assunto é mais abrangente e vamos deixar para uma próxima oportunidade. Nesse momento o importante é o Subject Alternative Names passou a ser obrigatório no Google Chrome.

Agora é preciso que os certificados de SSL possuam a extensão Subject Alternative Names também. Do contrário, as validações de segurança realizadas pelo Google Chrome vão resultar no alerta “Sua conexão não é particular” com o código de erro NET::ERR_CERT_COMMON_NAME_INVALID.

Assim, se você é responsável por servidores que apresentam esse tipo de problema com os certificados digitais, entre em contato com a Autoridade Certificadora de sua preferência e solicite um certificado contendo o campo Subject Alternative Names.

Caso isso não seja possível imediatamente, mas mesmo assim você quer se livrar dessa mensagem, é possível sobrescrever o comportamento das verificações de certificados através da opção de configuração EnableCommonNameFallbackForLocalAnchors.

Tome cuidado, pois como o próprio link menciona, essa opção não é recomendada. Essa opção de configuração valerá até a versão 65, sem data de lançamento prevista.

Sobre a Eval

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.