Assinatura digital

A assinatura digital não é uma imagem da sua rubrica colada no PDF. No âmbito da ICP-Brasil, é um recurso criptográfico que liga o documento ao titular de um certificado digital: se qualquer coisa no arquivo mudar depois, a assinatura deixa de ser válida. Quem recebe o documento consegue conferir de quem veio e se ele foi alterado.

No Brasil, o documento assinado com certificado da ICP-Brasil tem as declarações presumidas verdadeiras em relação aos signatários (art. 10, §1º, da MP 2.200-2/2001). A Lei 14.063/2020 chama esse caso de assinatura eletrônica qualificada, o nível mais alto de confiabilidade entre os três que ela prevê.

Como funciona

A assinatura usa criptografia assimétrica: um par de chaves, uma privada e uma pública. A chave privada fica só com o titular, e a pública vai no certificado digital. O que foi cifrado com uma chave só se decifra com a outra do mesmo par, e é isso que permite verificar a assinatura sem falar com quem assinou.

O programa assinador trabalha com um hash do documento, uma sequência curta que representa o conteúdo do arquivo. Na verificação, o leitor refaz o cálculo sobre o arquivo recebido e confere com o que a assinatura registrou. Se não bate, o documento foi alterado depois de assinado.

Pelas regras da ICP-Brasil, nem a AC Raiz nem as autoridades certificadoras têm acesso à chave privada do titular. A MP determina que o par de chaves seja gerado pelo próprio titular e que a chave privada seja de uso exclusivo dele.

Na prática

O ITI, órgão que gere a ICP-Brasil, cita entre os usos da assinatura digital: contratos e outros documentos digitais, serviços da Receita Federal, processos judiciais e administrativos eletrônicos, envio de documentos a cartórios, transações com instituições financeiras e prescrição eletrônica. Os sistemas de cada órgão definem qual nível de assinatura aceitam.

Para conferir um PDF assinado, o Validador de Assinaturas Eletrônicas do ITI (validar.iti.gov.br) aceita arquivos com assinatura ICP-Brasil ou gov.br e informa o titular do certificado e se o documento foi alterado depois da assinatura. O site informa que não armazena os arquivos enviados.

Não confunda com assinatura eletrônica

Toda assinatura digital é eletrônica, mas nem toda assinatura eletrônica é digital. Um clique em “li e concordo” ou a imagem da sua rubrica é assinatura eletrônica simples. O próprio ITI explica que a assinatura digitalizada, uma imagem da assinatura manuscrita, não garante autoria nem integridade, porque pode ser copiada e colocada em outro documento.

Segundo a MP 2.200-2 (art. 10, §2º), documentos assinados com meios que não sejam da ICP-Brasil também podem ter validade, desde que as partes admitam o meio como válido ou que ele seja aceito por quem recebe o documento. O guia comparando as duas detalha os níveis.

O assinador do FacilPDF aplica assinatura eletrônica simples (imagem, desenho ou texto) direto no navegador. Ele não usa certificado ICP-Brasil e não gera assinatura digital.

Validade do certificado e carimbo do tempo

Só é possível assinar com certificado enquanto ele estiver válido. Para provar depois que a assinatura foi feita dentro desse prazo, usa-se o carimbo do tempo, emitido por uma terceira parte confiável. A RFC 3161, que define o protocolo, traz exatamente esse uso como exemplo: provar que uma assinatura foi gerada durante a validade do certificado.