CIAB 2010
Prevenção de fraudes
em documentos
eletrônicos
09/06/10
Wander Blanco
Agenda
Documentos Eletrônicos
Prevenção
Casos de uso
Boas Práticas
Documentos Eletrônicos
Fraudes com documentos eletrônicos
Não é relevante o conceito de original e cópia
Alterações fáceis
Prevenção
Implementar mecanismos que:
Identifiquem o autor
Identifiquem alterações
Possuam rotinas de manipulação padronizadas
Possam ser usados como prova
Assinatura Digital
DOCUMENTO
ELETRÔNICO
1 4 : 0 4 : 3 2
0 3 /2 0 / 0 0
ASSINATURA
DIGITAL
Autenticidade
Integridade
Irretratabilidade
Assinatura Digital fraca
Assinatura fraudada
Algoritmo fraco (MD5)
Assinaturas digitais são idênticas
Assinaturas Digitais
Padrão validado pelo Governo Federal
Interoperabilidade - geração e verificação
padronizadas
Validação a médio e longo prazo
5 formatos de assinaturas (CAdES/XAdES)
Uma sem carimbo do tempo
Quatro com carimbo do tempo
Preocupação com implementações seguras
Quantidade de certificados ICP-Brasil emitidos
Formatos de Assinatura Digital
a) Assinatura Digital com Referência Básica (AD-RB)
b) Assinatura Digital com Referência do tempo (AD-RT)
c) Assinatura Digital com Referências para Validação (AD-RV)
d) Assinatura Digital com Referências Completas (AD-RC)
e) Assinatura Digital com Referências para Arquivamento (AD-RA)
AD-RA
AD-RC
AD-RV
VAL
REF
AD-RT
AD-RB
Documento Atributos
Eletrônico Assinados
Política
Assinatura
de
Digital
Assinatura
Carimbo
do Tempo
sobre
AD-RB
Referências
sobre
certificados
e dados de
revogação
Carimbo do
tempo sobre
AD-RT +
REF
Valores dos
certificados
e dos dados
de revogação
Carimbo do
tempo sobre
AD-RC
Assinatura Digital com Referência Básica
Campo de Aplicação
Este tipo de assinatura deve ser utilizado em aplicações
ou processos de negócio nos quais a assinatura digital
agrega segurança à autenticação de entidades e
verificação de integridade, permitindo sua validação
durante o prazo de validade dos certificados dos
signatários.
Uma vez que não são usados carimbos do tempo, a
validação posterior só será possível se existirem
referências temporais que identifiquem o momento
em que ocorreu a assinatura digital. Nessas situações,
deve existir legislação específica ou um acordo prévio
entre as partes definindo as referências a serem
utilizadas.
Casos de uso
Contratos de Câmbio
Situação atual
Padrão de assinaturas proposto pela FEBRABAN em
2003 e validado pelo BACEN
Circulares 3.134 e 3.234, de ABR/2004
Utiliza a referência de tempo do próprio documento
Assinatura funciona como chancela de contratos
registrados no SISBACEN
Avaliação
Indicação pelo uso da assinatura AD-RB
Encaminhamento
Proposta de ajustes na regulamentação de contratos de
câmbio tendo em vista o padrão de assinaturas da ICPBrasil enviada em dez/09 FEBRABAN ao BACEN.
Troca eletrônica de cheques
Situação atual
Características da imagem do cheque:
Preto e branco
Formato TIFF – ISO 12639
200 dpi
22 Kb por imagem (Registros de 27 Kb)
lotes 400 cheques (800 imagens)
Avaliação
Indicação de uso de assinatura ICP-Brasil AD-RB
Utilizar o horário da máquina que esta assinando o arquivo
Encaminhamento
Recomendações incorporadas ao manual técnico (v.5)
Sistema de Pagamentos Brasileiro (SPB)
Situação atual
Mensageria em XML com protocolo proprietário
Usa rede privada: RSFN (Sistema Financeiro
Nacional)
Assinatura garante integridade e autenticidade
da transação
Protocolo de criptografia proprietário
(cabeçalho de 332 bytes)
Cabeçalho de segurança do SPB
RSA 1024
128 bytes
RSA 2048
256 bytes
Algoritmos Criptográficos
Resolução nº 65, de 09 de junho de 2009
Padrões e Algoritmos Criptográficos da ICP-Brasil(versão 2)
Algoritmos(Chaves)
ATUAIS
NOVOS
3DES
AES(128/256)
RSA(1024*/2048) RSA(4096), ECDSA(256/512)
SHA-1*
SHA-2(256/512)
* Recomendado até 31/12/2010
A ICP-Brasil emitirá certificados com
SHA-1 e RSA1024 até final de 2011.
Sistema de Pagamentos Brasileiro (SPB)
Avaliação
Proposta de ajustes no padrão
SPB(Manual de segurança da RSFN):
Algoritmos:
de
segurança
do
Substituir a função hash SHA-1 por SHA-256
Substituir as chaves RSA1024 por RSA2048
Assinatura:
Incluir o conceito de “criptograma de autenticação”
Excluir o conceito de “assinatura digital”
Possibilidade de uso de certificados do tipo A3
Encaminhamento
Enviada a proposta da FEBRABAN ao BACEN em 11/02/10
Framework de Certificação Digital
.
Carimbo
do tempo
GERENCIADOR DE LCRs
VALIDADOR
CARIMBADOR
VERIFICADOR
Web Services
Aplicações
ASSINADOR
Framework
Framework de Certificação Digital
Boas Práticas na prevenção de fraudes
Autenticação usando Certificados Digitais
Algoritmos criptográficos fortes
Assinatura padrão da ICP-Brasil
Acompanhar/participar das definições da
FEBRABAN
Obrigado!
WANDER BLANCO NUNES
Gerência de Certificação Digital
Vice-presidência de Tecnologia
CAIXA ECONÔMICA FEDERAL
[email protected]