Certificado Digital no Brasil: por que é tão complicado?
Um guia simples para entender e não confundir e-CPF,
gov.br, e-Notariado, DocuSign, A1, A3 e assinatura
eletrônica
1. O problema
Poucas coisas parecem tão simples quanto assinar um
documento.
Na prática, porém, no Brasil surgiram tantos nomes
diferentes — e-CPF, e-CNPJ, A1, A3, gov.br, e-Notariado, DocuSign,
Clicksign, assinatura eletrônica, assinatura digital,
certificado digital — que é perfeitamente compreensível que uma pessoa não
saiba mais qual deles precisa.
O principal motivo da confusão é que estamos misturando coisas
de naturezas diferentes.
A maneira mais fácil de entender é separar quatro perguntas:
Quando essas quatro coisas são separadas, o assunto fica
muito mais simples.
2. Primeiro: identidade não é assinatura
Imagine uma situação no mundo físico.
Você apresenta sua carteira de identidade.
Isso responde:
“Quem é essa pessoa?”
Depois você assina um contrato.
Isso responde:
“Essa pessoa manifestou sua vontade neste documento?”
São coisas relacionadas, mas diferentes.
No mundo digital acontece exatamente a mesma coisa.
Uma identidade digital serve para estabelecer quem é
você.
Uma assinatura eletrônica serve para demonstrar que
você manifestou sua vontade em relação a determinado documento ou operação.
Um certificado digital é uma das tecnologias
utilizadas para estabelecer essa identidade e permitir assinaturas com
determinadas características de segurança.
3. O que é, afinal, um certificado digital?
De maneira simplificada, um certificado digital é uma
espécie de credencial eletrônica criptográfica que vincula uma
identidade a uma chave criptográfica.
No caso da ICP-Brasil, existe uma cadeia de autoridades
certificadoras que permite verificar essa relação.
Assim, quando uma pessoa assina digitalmente um documento
utilizando um certificado ICP-Brasil, um sistema pode verificar matematicamente
a assinatura e a cadeia de confiança correspondente.
É por isso que um certificado digital não é simplesmente uma
senha.
Ele envolve criptografia, identidade, validade, integridade
do documento e mecanismos de revogação.
4. O que é a ICP-Brasil?
A ICP-Brasil — Infraestrutura de Chaves Públicas
Brasileira — é a infraestrutura nacional de certificação digital.
Ela estabelece uma cadeia de confiança que permite emitir e
validar certificados digitais.
O ponto importante é:
A ICP-Brasil é uma infraestrutura de confiança.
Ela não é um aplicativo específico.
Você não “entra na ICP-Brasil” como entra no gov.br.
Você possui um certificado emitido dentro dessa
infraestrutura.
É daí que vêm certificados como:
5. O que é o e-CPF?
O e-CPF é, simplificadamente, o certificado digital
de uma pessoa física dentro da ICP-Brasil.
Ele permite que uma pessoa seja identificada digitalmente e
realize operações que exigem certificado digital, inclusive assinaturas
digitais qualificadas.
Portanto:
e-CPF = certificado digital de pessoa física.
Ele não é um aplicativo.
Não é uma plataforma de assinatura.
Não é um tipo de PDF.
É uma credencial criptográfica.
6. E o e-CNPJ?
O conceito é semelhante, mas aplicado à pessoa jurídica.
e-CNPJ = certificado digital associado à pessoa jurídica.
Ele é utilizado em diversas operações fiscais,
governamentais e empresariais.
Há, porém, uma distinção importante:
uma assinatura feita por uma pessoa física em nome da
empresa não é conceitualmente a mesma coisa que simplesmente utilizar uma
credencial da pessoa jurídica.
Essa distinção está inclusive relacionada ao surgimento do
conceito de Selo Eletrônico, destinado a demonstrar a origem e a
integridade de documentos emitidos por uma pessoa jurídica.
7. Então o que são A1 e A3?
Aqui aparece uma das maiores confusões.
A1 e A3 não são concorrentes do e-CPF.
Eles dizem respeito principalmente à forma como o
certificado e suas chaves criptográficas são armazenados e utilizados.
Uma analogia:
e-CPF = sua identidade
A1/A3 = a forma de guardar essa identidade criptográfica
A1
O certificado fica armazenado como arquivo/software.
É bastante utilizado por empresas e sistemas automatizados.
Uma vantagem é a facilidade de utilização por sistemas que
precisam assinar documentos ou realizar operações automaticamente.
A3
A chave privada é protegida por hardware ou mecanismo
equivalente, tradicionalmente associado a dispositivos como token ou cartão.
Historicamente, isso significava carregar um dispositivo
físico para utilizar o certificado.
Certificado em nuvem
É uma evolução da experiência de utilização.
A chave fica protegida em uma infraestrutura remota, e o
usuário autoriza sua utilização por meio de mecanismos de autenticação.
Portanto:
A1, A3 e certificado em nuvem não são três “identidades”
diferentes.
São formas diferentes de armazenar/proteger/utilizar
certificados.
8. E o gov.br?
O gov.br é outra coisa.
Ele é uma infraestrutura de identidade digital do cidadão,
utilizada para acessar serviços públicos e realizar determinadas operações
digitais.
Uma conta gov.br pode possuir diferentes níveis de
confiabilidade, como bronze, prata e ouro.
Além de autenticação, o gov.br permite realizar assinaturas
eletrônicas.
A assinatura realizada através do gov.br é, em determinadas
condições, uma assinatura eletrônica avançada.
Portanto:
gov.br não é simplesmente um e-CPF gratuito.
Essa distinção é importante.
Um e-CPF ICP-Brasil e uma conta gov.br podem ser utilizados
para demonstrar a identidade de uma pessoa e realizar determinadas assinaturas,
mas são mecanismos diferentes e possuem características jurídicas e
tecnológicas diferentes.
9. O que são assinatura simples, avançada e qualificada?
A legislação brasileira estabeleceu três categorias
principais de assinatura eletrônica:
Assinatura simples
É a modalidade mais básica.
Pode utilizar mecanismos relativamente simples de
identificação.
Assinatura avançada
Oferece mecanismos mais robustos de identificação e
vinculação da assinatura ao signatário.
A assinatura realizada através do gov.br é um exemplo
importante dessa categoria.
Assinatura qualificada
É aquela baseada em certificado digital no âmbito da
ICP-Brasil.
É o nível de maior confiabilidade previsto na classificação
legal brasileira.
Isso não significa que toda assinatura precise ser
qualificada.
O nível necessário depende do documento, da legislação
aplicável, do procedimento e das exigências da instituição envolvida.
10. E o e-Notariado?
O e-Notariado adiciona outra dimensão: a atividade
notarial.
Ele permite realizar determinados atos notariais em ambiente
eletrônico e utiliza mecanismos próprios de identificação e assinatura
associados ao sistema notarial.
Aqui aparece uma diferença fundamental:
e-Notariado não existe simplesmente para substituir o
e-CPF.
Ele existe para digitalizar e operacionalizar determinados
serviços e atos relacionados aos tabelionatos de notas.
Por isso, em determinadas situações, não basta perguntar:
“Qual certificado eu tenho?”
É necessário perguntar:
“Qual é o ato jurídico que estou tentando realizar?”
Um contrato particular e um ato notarial podem exigir coisas
completamente diferentes.
11. E a DocuSign?
A DocuSign é outra categoria
completamente diferente.
Ela é uma plataforma de assinatura eletrônica.
O mesmo vale, conceitualmente, para
outras plataformas do mercado.
Uma plataforma desse tipo pode cuidar de:
Portanto:
DocuSign não é um tipo
de certificado digital.
É uma plataforma que operacionaliza processos de assinatura
eletrônica.
12. A diferença entre certificado e plataforma
Uma analogia ajuda bastante.
Imagine que você tem um passaporte.
O passaporte é uma credencial que comprova sua identidade.
Agora imagine uma agência de viagens que organiza sua
viagem.
A agência não é seu passaporte.
Da mesma forma:
Certificado digital = credencial criptográfica
Plataforma de assinatura = sistema que organiza o
processo de assinatura
Uma plataforma pode, inclusive, utilizar diferentes
mecanismos de identificação e assinatura.
Por isso não faz sentido colocar:
e-CPF × DocuSign
como se fossem dois produtos equivalentes.
Eles estão em camadas diferentes.
13. Afinal, por que existem tantos sistemas?
Essa é a pergunta realmente importante.
O Brasil possui uma infraestrutura nacional de certificação
digital — a ICP-Brasil.
Então por que precisamos de:
A resposta está principalmente na fragmentação
institucional e histórica.
Cada ambiente pode possuir:
Assim, embora exista uma infraestrutura nacional de
confiança, nem todos os sistemas foram construídos para funcionar como uma
única identidade digital universal.
14. O problema pode ser visualizado assim
Para o cidadão, o sistema ideal seria:
UMA
IDENTIDADE DIGITAL
│
▼
┌─────────────┐
│ VOCÊ │
└──────┬──────┘
│
┌──────────────┼──────────────┐
▼ ▼ ▼
Governo Cartório Empresa
│ │ │
└──────────────┼──────────────┘
▼
AUTENTICAÇÃO
│
▼
ASSINATURA
Você teria uma identidade digital única.
Cada sistema verificaria essa identidade.
E o sistema determinaria qual nível de segurança seria
necessário para aquela operação.
15. O que temos hoje é mais parecido com isto
VOCÊ
│
┌───────────────┼────────────────┐
│ │ │
▼ ▼ ▼
gov.br e-CPF e-Notariado
│ │ │
▼ ▼ ▼
Governo A Sistema B Cartório C
│
▼
Plataforma
de assinatura
E ainda podem existir:
O cidadão acaba tendo que descobrir qual identidade é
aceita em cada lugar.
16. Isso aumenta a possibilidade de fraude?
A resposta precisa ser cuidadosa.
A fragmentação, por si só, não significa que exista uma
intenção de facilitar fraudes.
Não há base para afirmar que a multiplicidade de sistemas
tenha sido criada com esse objetivo.
Mas existe um problema objetivo:
quanto mais sistemas, cadastros, senhas, aplicativos e
processos de autenticação uma pessoa precisa administrar, maior é a
complexidade operacional e maior é a superfície potencial para ataques, erros e
golpes.
Cada novo sistema pode criar:
Nesse sentido, simplificação e interoperabilidade podem
ser importantes medidas de segurança, além de serem melhores para a
experiência do usuário.
17. Então por que não existe simplesmente uma identidade
digital universal?
Essa é uma questão de arquitetura institucional, não de
impossibilidade tecnológica.
A tecnologia necessária para estabelecer identidades
digitais e verificar assinaturas criptográficas já existe.
O desafio é estabelecer:
quem é a autoridade nacional de identidade, quais
sistemas são obrigados a aceitá-la, para quais finalidades, com quais níveis de
segurança e sob quais responsabilidades jurídicas.
Isso envolve muito mais do que criptografia.
Envolve:
18. Uma solução mais racional
Em termos conceituais, seria muito mais simples separar duas
coisas.
Identidade
Uma pessoa deveria possuir uma identidade digital nacional.
Essa identidade poderia ser utilizada para provar:
“Eu sou João.”
Assinatura
Quando João precisasse assinar alguma coisa, o sistema
perguntaria:
“Que nível de garantia é necessário para este ato?”
E então poderia utilizar:
O usuário não deveria necessariamente precisar compreender a
infraestrutura técnica por trás disso.
Idealmente, a experiência seria:
“Assinar documento”
e não:
“Escolha entre certificado A1, A3, ICP-Brasil, gov.br,
certificado notarizado, plataforma X ou plataforma
Y.”
19. A grande distinção
Todo o assunto pode ser resumido nesta tabela:
|
Nome |
O que é? |
Principal finalidade |
|
ICP-Brasil |
Infraestrutura nacional de confiança |
Certificação digital |
|
e-CPF |
Certificado de pessoa física |
Identificação/assinatura |
|
e-CNPJ |
Certificado associado à pessoa jurídica |
Identificação/uso empresarial |
|
A1 |
Forma de armazenamento do certificado |
Uso em software/arquivo |
|
A3 |
Forma de armazenamento/proteção |
Hardware ou mecanismo equivalente |
|
Certificado em nuvem |
Forma de disponibilização do certificado |
Uso remoto |
|
gov.br |
Identidade digital governamental |
Autenticação e assinatura |
|
e-Notariado |
Infraestrutura de serviços notariais digitais |
Atos e serviços notariais |
|
DocuSign |
Plataforma de assinatura |
Gestão do processo de assinatura |
|
Clicksign/ZapSign etc. |
Plataformas de assinatura |
Gestão do processo de assinatura |
|
Assinatura simples |
Categoria jurídica/técnica |
Assinaturas de menor exigência |
|
Assinatura avançada |
Categoria jurídica/técnica |
Maior garantia de autoria/integridade |
|
Assinatura qualificada |
Categoria jurídica baseada em ICP-Brasil |
Maior nível de confiabilidade |
20. A regra de ouro
Quando alguém disser:
“Você precisa de certificado digital.”
a pergunta correta é:
“Para fazer exatamente o quê?”
Depois:
“Esse procedimento exige assinatura simples, avançada ou
qualificada?”
E finalmente:
“Qual sistema ou instituição aceita qual mecanismo?”
Só então faz sentido decidir se você precisa de:
21. Em uma frase
A maior confusão do sistema brasileiro é tratar como se
fossem a mesma coisa:
identidade digital + certificado digital + assinatura
eletrônica + plataforma de assinatura + serviço notarial.
Eles não são.
A ICP-Brasil fornece uma infraestrutura nacional de
confiança.
O e-CPF é um certificado de pessoa física dentro dessa
infraestrutura.
A1 e A3 dizem respeito principalmente à forma de
armazenamento/proteção do certificado.
O gov.br é uma infraestrutura de identidade digital que
também oferece assinatura eletrônica avançada.
O e-Notariado acrescenta a camada dos serviços e atos
notariais.
DocuSign e plataformas semelhantes
organizam o processo de assinatura eletrônica.
E as assinaturas simples, avançadas e qualificadas são categorias
de assinatura, não nomes de produtos.
22. A pergunta que deveria orientar todo o sistema
Em vez de o cidadão perguntar:
“Qual certificado eu tenho que comprar?”
o sistema deveria permitir que ele simplesmente perguntasse:
“Qual é a forma mais segura e juridicamente adequada de
provar que sou eu e assinar este documento?”
E o próprio sistema deveria cuidar da complexidade técnica.
Essa seria uma experiência de identidade digital muito mais
próxima daquilo que o usuário comum naturalmente espera de um Estado digital: uma
identidade, múltiplos serviços e o mínimo possível de cadastros e credenciais
independentes.
A tecnologia para isso já existe. A dificuldade está
principalmente em interoperabilidade, legislação, governança e integração
entre os diferentes ecossistemas.