Visão Geral Certillion

O Certillion é um serviço de assinatura digital que oferece, dentre outros, diversos benefícios ao desenvolvedor:

• Desenvolver sistemas que aceitem todos os tipos de certificado digital: A1 (arquivo), A3 (cartão ou token usb) e certificados em nuvem;
• Assinar qualquer tipo de arquivo: .doc, .pdf, .xml, etc.;
• Assinar utilizando qualquer padrão – CAdES (qualquer dado), XMLDSig e XAdES (xml) ou PAdES (pdf);
• Acesso via API webservice REST, podendo ser chamada a partir de qualquer linguagem de programação.

Já o usuário final (ou signatário, quem irá assinar documentos) tem as seguintes vantagens:

• Assinar em qualquer plataforma: Windows, Mac, Linux Android e iOS;
• Utilizar o mesmo certificado que já possui, sem precisar adquirir outro para acessar um sistema específico.

Para atingir esses benefícios, o Certillion utiliza uma API Unificada, que possibilita:

• Realizar requisições de assinatura utilizando os certificados locais A1 e A3;
• Realizar requisições de assinatura utilizando certificados em nuvem;

Ambas as ações descritas acima são realizadas sem necessidade de modificação no fluxo de assinatura, sendo preciso apenas a seleção do PSC a ser utilizado. A API aceita os seguintes PSCs:

• CERTILLION_SIGNER (Emula um slot de PSC com o assinador) para assinaturas com certificados locais A1 e A3;
• BIRDID, VAULTID, REMOTEID, SAFEID, VIDAAS, NEOID e DSCLOUD para assinaturas com certificados em nuvem;

Terminologia

Neste documento, são utilizados os seguintes termos:

• AC (Autoridade Certificadora): empresa fornecedora do certificado digital;
• ACT (Autoridade Certificadora do Tempo): empresa fornecedora de carimbo do tempo;
• Aplicação (ou application): sistema que o usuário final utiliza (ex: Prontuário Eletrônico, ERP, portal web, etc);
• App: aplicativo assinador executado no dispositivo do signatário;
• Carimbo do Tempo (ou timestamp): documento digital fornecido por uma Autoridade Certificadora do tempo que atesta o momento exato, com valor legal, de uma assinatura. Contrasta com uma assinatura “auto-declarada”, baseada no horário do computador onde a assinatura foi feita e cujo valor legal pode ser contestado mais facilmente;
• Cliente (ou client): empresa cliente do ponto de vista do Certillion, que desenvolve as aplicações utilizadas por seus usuários finais;
• Dispositivo: o computador ou smartphone onde o app é instalado;
• Hash: código de resumo do documento (em geral, gerado com o algoritmo SHA-256);
• ICP-Brasil (Infraestrutura de Chaves Públicas Brasileira): conjunto de normas para a regulamentação da certificação no Brasil;
• ITI (Instituto Nacional de Tecnologia da Informação): órgão público brasileiro responsável pela manutenção da ICP-Brasil;
• LCR (Lista de Certificados Revogados) ou CRL: arquivo contendo listagem dos certificados digitais revogados (ie, cancelados antes do prazo previsto) emitidos por uma Autoridade Certificadora específica;
• OCSP (Online Certificate Status Protocol): tal como a LCR, fornece informação sobre a validade de um certificado digital, porém apenas de um único certificado;
• Oauth2: padrão de autenticação web onde um site redireciona para outro para que a autenticação seja feita (ex: login via Facebook);
• OTP (One Time Password): senha dinâmica, gerada por um app ou hardware portátil (ex: “chaveirinhos de banco”) e trocada a cada 30 ou 60 segundos;
• Padrão de assinatura: formato de codificação da assinatura digital, os mais comuns são:
  • CAdES: padrão que pode assinar qualquer tipo de arquivo digital – documentos, imagens, vídeos, áudio, etc – e é conhecido pela extensão “.p7s”. Suporta os modos attached e detached e todas as políticas de assinatura;
  • PAdES: padrão de assinatura para arquivos pdf. Suporta apenas o formato attached, onde a assinatura fica dentro do documento pdf. É reconhecido e verificado automaticamente pelo Acrobat Reader no Windows;
  • XAdES e XMLDSig: assinatura específica do padrão xml, o XMLDSig é o padrão utilizado em Nota Fiscal Eletrônica (NFe);
• Políticas de Assinatura: padronizam a geração e verificação de uma assinatura digital:
  • Assinatura Digital com Referência Básica (AD-RB): contém:
    • assinatura em si;
    • certificado digital do signatário;
    • opcionalmente pode conter o documento original (modo attached), se não incluir é chamado de modo detached;
  • Assinatura Digital com Referência do Tempo (AD-RT): AD-RB mais carimbo do tempo;
  • Assinatura Digital com Referências para Validação (AD-RV): AD-RT mais referências para verificar a assinatura;
  • Assinatura Digital com Referências Completas (AD-RC): AD-RT mais LCR ou OCSP, permite verificação da assinatura em modo off-line;
  • Assinatura Digital com Referências para Arquivamento (AD-RA): AD-RC acrescida de novas assinaturas para prolongar a verificabilidade da assinatura por mais anos;
• PSC (Prestadores de Serviço de Confiança): empresa que mantém em nuvem o certificado digital e chave privada do usuário;
• QrCode: imagem contendo informações digitais codificadas, para recuperar é necessário um app com acesso à câmera;
• Signatário ou assinante: usuário final que tem um certificado digital e assina documentos.