19 de Abril de 2004

1. José Pina Miranda jose.miranda@multicert.com www.multicert.com Ricardo Costa ricardo.costa@multicert.com www.multicert.com • 19 de Abril de 2004 Workshop FEUP Certificados Digitais

2. MULTICERT desenvolve soluções completas de segurança e certificação digital: • E-Soluções, e-Serviços e e-Produtosseguros para fins profissionais (Plataforma de Votação Electrónica, Web Security Broker, MDDE, ...) • Emisão de Certificados Digitais e Gestão do seu ciclo de vida, • Segurança de Redes e Dados, • Serviços de Valor Acrescentado(TimeStamping – RFC 3161 & EESSI Time Stamping Profile –, Validação OCSP– RFC 2560 –, ...), • Integração, Consultoria e Formação. info@multicert.comwww.multicert.com

3. 40% 20% Accionistas 20% 20% E-Soluções, e-Serviços e e-Produtos seguros para fins profissionais info@multicert.comwww.multicert.com

5. Identificação, Confidencialidade, Integridade e Não repúdio são garantidos através da utilização de certificados digitais Necessidade de certificados digitais

6. Componentes da PKI Publica Certificados Digitais X.509 Entidade Certificação Serviço Directoria / LDAP Entidade Validação Entidade Registo Entidade Timestamping Verifica validade certificado Validação Informação Aplicação / Outro Utilizador CPS - Certification Practice Statement CP - Certification Policy Pedido de certificado

7. Plataforma integrada de Gestão de Certificados Digitais Plataforma Integrada de Gestão de Certificados Digitais – O que é? Emitir e gerir o ciclo de vida (renovação, revogação, re-emissão) dos certificados digitais é muito mais do que dispor de um software e hardware de Entidade de Certificação: • Necessário distinguir entre Entidade de Certificação e Entidade de Registo; • Necessário integrar com processos já existentes, o que supõe integração em aplicações existentes ou disponibilização de interfaces de acesso adequados e seguros; • Necessário integrar com personalizador de tokens físicos (onde par de chaves e certificado é guardado); • Necessário garantir a segurança de ambientes físicos e lógicos; • Necessário definir regras, práticas e políticas; • Necessário formação de operadores de Entidade de Certificação e Entidade de Registo; • Necessário Help-Desk de 1ª ou 2ª linha (para end-users e/ou operadores)

8. Plataforma Integrada de Gestão de Certificados Digitais Entidade de Certificação vs. Entidade de Registo • Entidade de Certificação: Entidade que cria ou fornece meios para a criação e verificação das assinaturas digitais, emite e gere o ciclo de vida dos Certificados Digitais e assegura a respectiva publicidade • Entidade de Registo: Entidade que presta os serviços relativos à identificação/autenticação do detentor do certificado digital, à celebração de contratos de emissão de certificado digital e à gestão de Certificados Digitais, que não se encontrem atribuídos em exclusivo à Entidade de Certificação MULTICERT – Entidade de Certificação em várias Hierarquias de confiança Entidades de Registo na MULTICERT PKI

9. MULTICERT – Autoridades de Registo

10. Plataforma Integrada de Gestão de Certificados Digitais Necessário integrar com processos já existentes, o que supõe integração em aplicações existentes ou disponibilização de interfaces de acesso adequados e seguros • Cada Entidade de Registo tem necessidades específicas de integração.

11. Plataforma Integrada de Gestão de Certificados Digitais Necessário integrar com processos já existentes, o que supõe integração em aplicações existentes ou disponibilização de interfaces de acesso adequados e seguros • Cada Entidade de Registo tem necessidades específicas de integração.

12. Plataforma Integrada de Gestão de Certificados Digitais Necessário integrar com processos já existentes, o que supõe integração em aplicações existentes ou disponibilização de interfaces de acesso adequados e seguros • Cada Entidade de Registo tem necessidades específicas de integração.

13. Fábrica de Certificados™ Entidade de Certificação Entidade de Registo Produção de chipcard/CD-card Distribuição Meios usuais Plataforma Integrada de Gestão de Certificados Digitais Necessário integrar com personalizador de tokens físicos (onde par de chaves e certificado é guardado) • Geração de par de chaves criptográficas e certificado digital efectuado por Entidade de Certificação, a pedido de Entidade de Registo • Securização da linha de comunicação; • Garantia que personalização física corresponde a personalização lógica;

14. Plataforma Integrada de Gestão de Certificados Digitais Necessário garantir a segurança de ambientes físicos e lógicos • Utilização de Hardware ciptográfico para geração (realização de cerimónia de geração de par de chaves) e arquivo de par de chaves da Entidade de Certificação, assim como assinatura digital dos certificados digitais a emitir; • Vários níveis de zonas de segurança, não sendo possível comunicar directamente com a Entidade de Certificação a partir do exterior da rede; • Utilização de Bunker nas instalações da INCM; • Acesso restrito e controlado a software e hardware da Entidade de Certificação; • Acesso restrito e controlado a Entidade de Registo – operadores através de chipcard com certificado e assinatura das operações efectuadas; • Redundância e alta disponibilidade da infra-estrutura; • Disponibilização de certificados digitais emitidos e lista de certificados revogados, através de repositório público.

15. Plataforma Integrada de Gestão de Certificados Digitais Necessário definir regras, práticas e políticas: • MULTICERT participou na definição das Certificate Policies, da Certificate Practice Statement e do Rule Book enquanto membro da GTA (Global Trust Authority) – de acordo com Directiva Europeia; • Regras, práticas e políticas adaptadas, tendo em conta a legislação portuguesa; • Tarefa mais consumidora de tempo na construção da Plataforma de Gestão de Certificados Digitais; • Regras, práticas e políticas adoptadas têm que ser auditaveis e … cumpridas.

16. Plataforma Integrada de Gestão de Certificados Digitais Necessário formação de operadores de Entidade de Certificação e Entidade de Registo: • Os recursos humanos são fundamentais para o correcto funcionamento das Entidades de Certificação e Entidades de Registo;

17. Plataforma Integrada de Gestão de Certificados Digitais Necessário Help-Desk de 1ª ou 2ª linha (para end-users e/ou operadores): • Os end-users necessitam de apoio telefónico ou on-line para a correcta utilização dos certificados ou mesmo para tirarem dúvidas sobre as suas funcionalidades; • Os operadores da Entidade de Registo e Entidade de Certificação necessitam de se sentir acompanhados no inicio da sua “carreira”;

18. Plataforma Integrada de Gestão de Certificados Digitais Plataforma integrada de Gestão de Certificados Digitais Desenvolvida pela MULTICERT, tem permitido: • emitir certificados em várias hieraquias de confiança, • adicionar diferentes Entidades de Registo a operarem na Europa e América do Sul, • flexibilizar a integração dos processos de registo, • integração total com fábrica de certificados, • centralizar gestão de Entidade de Certificação e Entidades de Registo.

19. MULTICERT – Cédula Profissional de Advogado (chipcard)

20. Chip tem três áreas: • Área de memória (equivalente a cerca de 7.000 caracteres) onde só a OA pode escrever (para já, conterá o domicilio profissional); • Área de certificados digitais (e respectivo par de chaves); • Sistema Operativo – permite acesso controlado a memória, geração de par de chaves criptográficas, carregamento de certificados e par de chaves, cifra/decifra/assinatura digital de dados, entre outros. Configuração: • Instalar drivers/aplicação de leitor e chipcard • Carregar certificado MULTICERT – Cédula Profissional de Advogado (chipcard) • Utilização para identificação no Mundo Físico e Electrónico; • Tecnologia utilizada (chip criptográfico) é a mesma dos novos B.I.s da Finlândia, Suécia, Estónia, …;

21. MULTICERT – Cédula Profissional de Advogado (chipcard) Identificação no Mundo Electrónico serve para: • Identificação através de meios electrónicos perante entidades acessíveis através da Internet (para já, serviços on-line do Portal da Ordem dos Advogados, Tribunais Administrativo e Fiscal); • Assinatura/cifra digital de mensagens; • Identificação perante aplicações informáticas distintas; • Espaço de memória do chip pode ser utilizado para outras funcionalidades adicionais; • Voto Electrónico; • Eficiência na gestão documental.

22. MULTICERT – Web Security Broker

23. MULTICERT – Anuncios Electrónicos & Associação Portuguesa de Seguradores

24. MULTICERT – Anuncios Electrónicos & Associação Portuguesa de Seguradores