Questão de Segurança da Informação — Assinatura Digital — CESPE / CEBRASPE 2025

Assinatura digital e infraestrutura de chaves públicas (ICP)

❌ ERRADO. A afirmação inverte o papel das chaves: a assinatura digital é gerada com a chave privada do signatário e validada com a chave pública correspondente — nunca o contrário. O erro está em dizer que se assina com a chave pública e valida com a chave privada do destinatário, o que contraria o princípio fundamental da criptografia assimétrica aplicada à assinatura.

A assinatura digital é um mecanismo criptográfico que garante autenticidade, integridade e não repúdio a um documento ou mensagem eletrônica. Ela se baseia na criptografia assimétrica, que utiliza um par de chaves matematicamente relacionadas: uma chave privada, que deve ser mantida em segredo absoluto pelo seu titular, e uma chave pública, que pode ser amplamente distribuída. A lógica é simples: o que uma chave cifra, somente a outra do mesmo par decifra.

No contexto da assinatura digital, o signatário utiliza sua chave privada para cifrar (assinar) o documento — ou, mais precisamente, o resumo (hash) do documento. Qualquer pessoa que possua a chave pública do signatário pode decifrar essa assinatura e, assim, verificar duas coisas: (1) que o documento realmente foi assinado por quem detém a chave privada correspondente (autenticidade) e (2) que o conteúdo não foi alterado após a assinatura (integridade). Como apenas o titular conhece a chave privada, ele não pode negar a autoria da assinatura (não repúdio).

A confusão entre as chaves é uma das pegadinhas mais comuns em provas de segurança da informação. É fundamental distinguir os dois usos da criptografia assimétrica:

No caso do sigilo, cifra-se com a chave pública de quem vai receber, para que apenas ele, com sua chave privada, possa decifrar. Já na assinatura, o processo é inverso: cifra-se com a chave privada de quem assina, para que qualquer pessoa, com a chave pública do signatário, possa verificar a autoria. A banca explora exatamente essa inversão: troca a chave de assinatura pela chave de validação e ainda menciona a chave privada do destinatário, que não tem qualquer papel na verificação de uma assinatura.

O certificado digital, por sua vez, é o documento eletrônico que vincula a chave pública a uma identidade, sendo emitido por uma Autoridade Certificadora (AC) no âmbito da ICP-Brasil. É por meio da chave pública contida no certificado do signatário que o destinatário consegue validar a assinatura digital. Sem o certificado, não há como associar a chave pública à pessoa que assinou.

Item — ❌ Errado

A afirmação está errada porque inverte completamente o funcionamento da assinatura digital. Ela diz que a assinatura é gerada com a chave pública do signatário e validada com a chave privada do destinatário. O correto é exatamente o oposto: a assinatura é gerada com a chave privada do signatário (que só ele possui) e validada com a chave pública do signatário (que está disponível no certificado digital). A chave privada do destinatário não participa do processo de assinatura — ela só seria usada se o objetivo fosse garantir o sigilo da mensagem, cifrando-a com a chave pública do destinatário.

Gabarito: letra E (Errado).