Questão de Segurança da Informação — Conceitos de Certificado Digital — FCC 2024

Certificação digital e assinatura digital: garantindo integridade e autoria

Gabarito: letra E. Para garantir a integridade e a origem de documentos oficiais emitidos por uma prefeitura, a solução adequada é o uso de certificado digital emitido por uma Autoridade Certificadora (CA) combinado com assinatura digital — e, entre as opções, a que usa o algoritmo SHA-256 é a correta, pois é um hash seguro e atual. A assinatura digital, que utiliza criptografia assimétrica, garante autenticidade, integridade e não repúdio, e o certificado emitido por uma CA confere validade jurídica e confiança à chave pública do emissor.

A assinatura digital é um mecanismo criptográfico que permite comprovar a autenticidade (que o documento foi realmente gerado por quem diz ter feito) e a integridade (que não foi alterado). O processo funciona assim: o emissor calcula o hash (resumo) do documento, cifra esse hash com sua chave privada — gerando a assinatura — e envia o documento junto com a assinatura. O destinatário, de posse da chave pública do emissor (obtida por meio do certificado digital), decifra o hash e o compara com o hash que ele mesmo calcula do documento recebido. Se os dois hashes coincidirem, a assinatura é válida e o documento é íntegro e autêntico.

O certificado digital é o elemento que vincula a chave pública a uma identidade (pessoa física ou jurídica), funcionando como uma "carteira de identidade" eletrônica. Ele é emitido por uma Autoridade Certificadora (AC), que é uma entidade confiável dentro de uma Infraestrutura de Chaves Públicas (ICP). No Brasil, a ICP-Brasil, coordenada pelo ITI, é a raiz dessa hierarquia de confiança. Um certificado autoassinado (alternativa D) é aquele em que o dono e o emissor são a mesma entidade — ou seja, não há uma terceira parte confiável atestando a identidade, o que não é adequado para documentos oficiais que precisam de validade jurídica e confiança pública.

A escolha do algoritmo de hash também é crucial. O SHA-1 é considerado inseguro e obsoleto, pois já foram demonstradas colisões (duas mensagens diferentes com o mesmo hash). O SHA-256 é um algoritmo de hash seguro e amplamente utilizado, recomendado para assinaturas digitais. Já o MOS não existe como algoritmo criptográfico — é um termo inventado pela banca para confundir o candidato.

A criptografia simétrica (alternativas A e B) usa uma única chave para cifrar e decifrar, e não é adequada para assinatura digital, pois não garante autenticidade nem não repúdio — qualquer um que possua a chave poderia assinar. Além disso, a alternativa B comete outro erro: classifica o RSA como simétrico, quando na verdade é um algoritmo assimétrico.

Portanto, a solução correta é: certificado digital emitido por uma CA (para dar confiança e validade jurídica) + assinatura digital com SHA-256 (para garantir integridade e autenticidade com um algoritmo seguro).

Alternativa A — ❌ Incorreta

A criptografia simétrica (3DES) não é usada para assinatura digital, pois não garante autenticidade nem não repúdio — qualquer detentor da chave poderia assinar. Além disso, "hash MOS" não existe; o termo correto seria SHA-256 ou similar.

Alternativa B — ❌ Incorreta

Erro duplo: o RSA é um algoritmo de criptografia assimétrica, não simétrica. E o SHA-1 é um hash considerado inseguro e obsoleto para assinaturas digitais.

Alternativa C — ❌ Incorreta

O certificado digital emitido por uma CA é correto, mas o algoritmo "MOS" não existe — é um distrator inventado. O hash correto seria SHA-256.

Alternativa D — ❌ Incorreta

O certificado autoassinado não é adequado para documentos oficiais, pois não há uma terceira parte confiável (CA) atestando a identidade do emissor. Além disso, o SHA-1 é inseguro.

Alternativa E — ✅ Correta ⟵ GABARITO

Esta é a solução completa e correta: certificado digital emitido por uma CA (garante confiança e validade jurídica) + assinatura digital com SHA-256 (garante integridade e autenticidade com algoritmo seguro).

Gabarito: letra E