Autoridade Certificadora

Autoridade Certificadora (AC) é a entidade, pública ou privada, que emite e gerencia certificados digitais. Ao emitir, ela vincula um par de chaves criptográficas ao titular e assina digitalmente o certificado, que funciona como declaração da identidade dele.

Na ICP-Brasil, as ACs são credenciadas pela AC Raiz, cujo papel é exercido pelo ITI. O art. 6º da MP 2.200-2/2001 diz que cabe às ACs emitir, expedir, distribuir, revogar e gerenciar certificados, manter listas de certificados revogados e guardar registro das suas operações.

Como funciona a cadeia

A estrutura é hierárquica. A AC Raiz é a primeira autoridade da cadeia e emite os certificados das ACs de nível imediatamente subsequente ao seu. A MP também proíbe a AC Raiz de emitir certificados para o usuário final, e proíbe qualquer AC de certificar nível diferente do imediatamente seguinte ao seu (art. 5º, parágrafo único, e art. 9º).

Na prática, quem valida uma assinatura sobe a cadeia: o certificado do titular, a AC que o emitiu e assim por diante até a Raiz. O programa só reconhece a assinatura como confiável se tiver a cadeia, por isso o ITI mantém um repositório com as cadeias da ICP-Brasil para download.

Quem faz o quê na emissão

A AC não atende sozinha. As Autoridades de Registro (AR), vinculadas a cada AC, recebem os pedidos e identificam o solicitante. A identificação pode ser presencial ou por videoconferência, conforme o ITI. Depois da validação, a AC emite o certificado.

O ITI lista na página de cadeias da ICP-Brasil ACs como Certisign, Serasa, Serpro, Soluti, Valid e outras. A lista muda com o tempo, então consulte a página oficial antes de contratar.

Revogação

As ACs publicam a Lista de Certificados Revogados (LCR): certificados que deixaram de valer antes da data de expiração. Se um certificado está na lista, a assinatura com ele não pode mais ser feita. Em caso de perda ou roubo do token, a revogação é pedida à AC emitente ou à AR vinculada.

Antes de comprar

O ITI informa que não regula os preços do mercado, que variam por AC, tipo e prazo de validade, e que a AC deve dar suporte técnico para instalar e usar o certificado. Confira se a AC aparece na lista oficial do ITI: certificado que não é da ICP-Brasil não tem os efeitos jurídicos previstos na MP 2.200-2 para a ICP-Brasil e pode não ser aceito em sistemas públicos. Mais no guia sobre certificado digital e no verbete certificado digital.