Em 2001 foi estabelecida no Brasil uma estrutura legal com políticas e técnicas para a emissão de certificados digitais. Hierárquica e com raiz única, desta estrutura emanam Autoridades Certificadoras (AC) e Autoridades de Registro (AR), que cuidam da comercialização e controle de certificados digitais, os chamados e-CPF ou e-CNPJ.

Este tipo de certificado utiliza o padrão X.509, garantindo mecanismos de criptografia e autenticação muito seguros baseados no uso de chaves públicas confrontadas com chaves privadas.

A assinatura de um documento eletrônico com este tipo de certificado se dá pelo uso da chave privada definida pelo signatário e posterior acoplamento do certificado ao documento, tornando-os uma peça única e indivisível. Toda vez que o documento é aberto, pode-se ver os certificados nele atrelados, indicando assim quem são os signatários.

A acreditação surge em função das políticas da ICP-Brasil e da estrutura legal que a suporta. A formalidade para que uma pessoa tenha acesso ao seu certificado torna-se garantia de autoria, de forma não repudiável. Todo o judiciário brasileiro e diversos órgãos oficiais, como a Receita Federal e as unidades da Secretaria da Fazenda, por exemplo, utilizam e estão preparados para reconhecer as transações firmadas por este meio.

Certificados ICP-Brasil têm ampla oferta, grande aceitação e praticamente todas as empresas os possuem por conta de obrigações tributárias. Fazem uso de um mecanismo de segurança consolidado (o X.509) e são mantidos por políticas rigorosas, justificando sua adoção quando possível. Mas faltam incentivos para que os cidadãos tenham acesso à certificação digital, restringindo este benefício àqueles que podem pagar para obtê-lo

A ICP-Brasil incentiva que os certificados digitais sejam disponibilizados em tokens ou smartcards mas estes, à despeito de sua praticidade, restringem seu uso em dispositivos móveis.

O padrão X.509 é anterior à ICP-Brasil e pode ser utilizado para que uma instituição, pública ou privada, emita os seus próprios certificados digitais baseado em um padrão extremamente seguro, tradicionalmente reconhecido em procedimentos de acreditação de pessoas e processos e, justamente por isso, amplamente utilizado em muitas aplicações, em nível global.

Uma universidade pode emitir certificados para seus alunos e professores, por exemplo, identificando-os de forma segura no acesso a pesquisas, ao resultado de provas, atas, declarações e diplomas, entre outras aplicações.

Uma empresa pode prover certificados para que seus funcionários registrem ponto e acesso a ambientes controlados, ou ainda para que estabeleçam contratos com clientes e fornecedores, por exemplo.

Neste nosso exemplo, empresa e universidade podem ambas manifestar acreditação nos certificados digitais emitidos por um terceiro, com políticas compatíveis com seus interesses, para firmar compromissos acreditados entre si. Isto é algo previsto pela mesma lei que criou a ICP-Brasil, a MP 2.200 / 2001, da qual destacamos o trecho a seguir:

Artigo 10º, § segundo: “O disposto nesta Medida Provisória não obsta a utilização de outro meio de comprovação da autoria e integridade de documentos em forma eletrônica, inclusive os que utilizem certificados não emitidos pela ICP-Brasil, desde que admitido pelas partes como válido ou aceito pela pessoa a quem for oposto o documento”.

Este parágrafo amplia a validade legal em transações firmadas eletronicamente através de qualquer meio, certificados não ICP-Brasil inclusive, desde que haja anuência explícita das partes ao método empregado.

Quando utilizamos certificados X.509 “ICP Específica” seguimos as mesmas regras dos certificados da ICP-Brasil: os certificados dos signatários são acoplados ao documento, tornando-os uma peça única e indivisível. Também aqui, toda vez que o documento for apresentado pode-se ver os certificados nele existentes e, por conseguinte, as pessoas que o assinam efetivamente.

Os certificados digitais “ICP Específica” permitem configurar operações mais especializadas, com menor investimento e possibilidade de uso irrestrito em dispositivos móveis, em processos manuais ou automatizados.