Questão de Segurança da Informação — X.509 — CESPE / CEBRASPE 2023

Certificado digital X.509: chave privada fora do certificado

✅ CERTO. Segundo o padrão X.509, o certificado digital não deve conter a chave privada do usuário — ele contém apenas a chave pública do titular, além de dados de identificação, validade e a assinatura da autoridade certificadora. A chave privada é gerada e mantida em local seguro pelo próprio titular, nunca sendo embutida no certificado. Essa é uma distinção fundamental entre os dois elementos do par de chaves assimétricas.

O certificado digital é um documento eletrônico que funciona como uma identidade virtual, vinculando uma pessoa ou entidade a uma chave pública. Ele é emitido e assinado por uma Autoridade Certificadora (AC), que atesta a autenticidade dessa vinculação. O padrão X.509, definido pela ITU-T, especifica exatamente o formato desses certificados, incluindo campos como versão, número de série, nome do emissor, período de validade, nome do sujeito e, crucialmente, a chave pública do sujeito.

A lógica por trás disso é simples e essencial para a segurança: o certificado é um documento público, distribuído a qualquer pessoa que queira se comunicar com o titular. Se a chave privada estivesse nele, qualquer um que obtivesse o certificado teria acesso ao segredo que deveria ser exclusivo do titular, comprometendo toda a segurança do sistema. A chave privada é o elemento secreto e pessoal que permite ao titular assinar digitalmente documentos e decifrar mensagens, enquanto a chave pública, contida no certificado, permite que terceiros verifiquem essas assinaturas e cifrem mensagens para ele.

Na prática, a chave privada pode ser armazenada em diferentes mídias, dependendo do tipo de certificado. No modelo da ICP-Brasil, por exemplo, o certificado tipo A1 pode ter a chave privada armazenada no próprio computador, enquanto o tipo A3 exige que ela seja gerada e mantida em hardware criptográfico, como um smartcard ou token USB. Em ambos os casos, a chave privada nunca é incluída no certificado em si — ela reside em um local separado e protegido, sob controle exclusivo do titular.

A confusão que a banca explora neste tema é justamente a inversão entre os papéis das chaves: muitos candidatos, ao pensar em certificado digital, imaginam que ele contém o par completo de chaves. A pegadinha está em lembrar que o certificado é um documento de divulgação pública da chave pública, e que a chave privada é um segredo que jamais deve ser compartilhado ou embutido em um documento distribuível. Guarde essa fronteira: certificado contém chave pública; chave privada fica com o titular — é exatamente nela que esta questão se decide.

Alternativa C — ✅ Certo ⟵ GABARITO

A afirmação está correta. O padrão X.509 define que o certificado digital contém a chave pública do titular, juntamente com informações de identificação, validade e a assinatura da AC. A chave privada é um elemento secreto, de posse exclusiva do titular, e não faz parte do conteúdo do certificado. Incluí-la no certificado anularia toda a segurança do sistema, pois o certificado é um documento público e amplamente distribuído.

Alternativa E — ❌ Errada

A afirmação de que o certificado deveria conter a chave privada está incorreta. Isso contraria o princípio fundamental da criptografia assimétrica, em que a chave privada deve ser mantida em sigilo absoluto pelo seu dono. Se a chave privada estivesse no certificado, qualquer pessoa que obtivesse o documento poderia se passar pelo titular, assinar documentos em seu nome e decifrar mensagens a ele destinadas, destruindo a confidencialidade, a autenticidade e o não repúdio.

Gabarito: letra C (Certo).