022.1 Lição 2

A Infraestrutura de Chave Pública (PKI) é fundamental para estabelecer confiança e proteger as comunicações digitais. No seu núcleo, a PKI fornece uma estrutura organizada para gerenciar certificados digitais e pares de chaves público-privada, que são essenciais para a verificação de identidades e a segurança das trocas de dados na internet. Quando duas entidades, como um usuário e um site, precisam se comunicar de forma segura, a PKI garante que cada parte possa ter confiança na identidade da outra e na integridade dos dados compartilhados.

A PKI permite a comunicação segura por meio do gerenciamento de pares de chaves públicas e privadas. Entidades como sites, servidores ou indivíduos recebem um certificado digital que vincula sua identidade a uma chave pública.

Certificados digitais funcionam como um “passaporte” eletrônico para uma entidade — seja uma pessoa, dispositivo ou serviço. Este certificado é emitido por uma terceira parte confiável conhecida como Autoridade Certificadora (CA, na sigla em inglês).

Antes de emitir um certificado, a CA realiza um processo de verificação minucioso para confirmar a legitimidade da identidade da entidade. Esse processo impede que agentes maliciosos finjam ser outra pessoa. Uma vez que o certificado é emitido, ele pode ser usado para criptografar dados com a chave pública da entidade. Somente a chave privada correspondente, que é mantida de forma segura pela entidade, pode descriptografar esses dados, garantindo que informações confidenciais permaneçam protegidas e acessíveis apenas ao destinatário pretendido.

No centro da PKI estão as Autoridades Certificadoras e as Autoridades Certificadoras Raiz Confiáveis, que formam a espinha dorsal da cadeia de confiança (chain of trust, na sigla em inglês) que sustenta a segurança dos certificados digitais usados na navegação na web, e-mails seguros e outras aplicações.

As Autoridades Certificadoras (CAs, na sigla em inglês) desempenham um papel crucial na Infraestrutura de Chaves Públicas, emitindo, validando e gerenciando certificados digitais. Uma vez emitido, o certificado pode ser confiável por outros usuários ou sistemas que dependem da autoridade da CA.

As Autoridades Certificadoras Raiz (Root CAs, na sigla em inglês) formam o topo da hierarquia de confiança na Infraestrutura de Chaves Públicas. As Root CAs emitem certificados para CAs intermediárias, criando uma cadeia de confiança que se estende até os certificados dos usuários finais. Os certificados raiz são pré-instalados em sistemas operacionais e navegadores, fornecendo a base para todos os certificados emitidos na hierarquia.

Essa cadeia de confiança é essencial, criando uma relação hierárquica entre as Autoridades Certificadoras Raiz (Root CAs, na sigla em inglês), as CAs intermediárias e as entidades às quais elas emitem certificados. Cada certificado na cadeia é validado pelo certificado imediatamente acima, levando, em última instância, a uma Root CA confiável. Esse modelo hierárquico garante que usuários e sistemas possam confiar nos certificados que encontram em interações digitais.

Aqui está um exemplo de uma cadeia de confiança envolvendo uma Autoridade Certificadora Raiz (Root CA), uma CA intermediária e certificados de entidades finais.

Certificados X.509 são o formato padrão de certificado digital usado na Infraestrutura de Chave Pública (PKI) e são essenciais para verificar a identidade de entidades em comunicações seguras. Frequentemente chamados de “passaportes digitais”, esses certificados estabelecem uma associação confiável entre a identidade de uma entidade e sua chave pública por meio da certificação por uma Autoridade Certificadora (CA) confiável.

Cada certificado X.509 contém campos que detalham a chave pública da entidade, o nome da CA emissora e informações específicas de identidade, como o nome de domínio ou o nome da organização da entidade. Esse formato padronizado garante que os certificados X.509 forneçam um método consistente e confiável para autenticar entidades em uma ampla gama de aplicações digitais.

Compreender o papel dos certificados X.509 é essencial, pois eles são utilizados para facilitar conexões seguras em muitas aplicações, incluindo HTTPS para navegação web segura, SSL/TLS para criptografia de dados e assinaturas digitais para verificar a autenticidade e integridade de documentos eletrônicos.

O certificado contém uma assinatura digital gerada pela CA usando sua chave privada, que vincula a chave pública à identidade da entidade. Essa assinatura digital pode ser verificada por qualquer pessoa usando a chave pública da CA, garantindo que o certificado não foi adulterado e que, de fato, provém da CA confiável.

Existem dezenas de CAs ao redor do mundo, a maioria das quais oferece serviços pagos de emissão de certificados. CAs conhecidas incluem o Let’s Encrypt, que fornece certificados SSL/TLS gratuitos e automatizados, promovendo a ampla adoção do HTTPS.

O Let’s Encrypt transformou o processo de obtenção e gerenciamento de certificados X.509 ao oferecer certificados SSL/TLS gratuitos e automatizados. Essa iniciativa promove a ampla adoção do HTTPS, tornando a internet mais segura ao reduzir as barreiras para a criptografia.

Antes do Let’s Encrypt, obter certificados SSL/TLS era frequentemente um processo caro e tecnicamente complexo. O Let’s Encrypt simplifica isso ao automatizar o processo de emissão e renovação de certificados, permitindo que sites protejam suas comunicações de forma fácil e sem custo.

O Let’s Encrypt desempenhou um papel significativo no aumento da adoção do HTTPS, melhorando a segurança e a privacidade na web. No entanto, é importante notar que o Let’s Encrypt emite certificados de Validação de Domínio (DV), que verificam a propriedade do domínio, mas não oferecem o mesmo nível de garantia que os certificados de Validação de Organização (OV) ou Validação Estendida (EV).

Os certificados do Let’s Encrypt são válidos por apenas 90 dias. Esse curto período de validade garante que os certificados sejam atualizados regularmente, reduzindo o risco de uso indevido em caso de comprometimento. Devido à curta duração dos certificados do Let’s Encrypt, a renovação automática é crucial para manter a segurança.