Questão de Segurança da Informação — Conceitos de Certificado Digital — INSTITUTO AOCP 2026

Certificados Digitais e PKI: confiança, revogação e autoassinatura

Gabarito: letra C. A alternativa incorreta afirma que um certificado autoassinado é tratado como confiável por padrão em qualquer ambiente, sem necessidade de importação manual — o que é falso: certificados autoassinados não são confiáveis por padrão, pois não há uma Autoridade Certificadora (CA) terceira atestando a identidade; navegadores e sistemas operacionais exigem importação manual e configuração explícita de confiança. As demais alternativas descrevem corretamente o papel da CA, o protocolo OCSP, o padrão X.509 e a hierarquia da PKI.

A Infraestrutura de Chaves Públicas (PKI) é o conjunto de hardware, software, pessoas, políticas e procedimentos que gerencia certificados digitais, baseando-se na criptografia assimétrica. O certificado digital é um registro eletrônico que associa uma chave pública a uma identidade (pessoa, empresa, servidor), funcionando como uma "identidade virtual". A confiança nesse sistema é estabelecida por uma cadeia hierárquica: a CA Raiz emite certificados para CAs intermediárias, que emitem para entidades finais. Para que um certificado seja válido, toda a cadeia de ACs deve ser válida — e a confiança na raiz é o alicerce de tudo.

A revogação de certificados é um mecanismo crítico: quando um certificado é comprometido ou expira, a CA deve publicar essa informação. Existem dois mecanismos principais: a CRL (Certificate Revocation List), que é uma lista completa de certificados revogados, e o OCSP (Online Certificate Status Protocol), que permite consultas pontuais em tempo real sobre o status de um certificado específico, enviando o número de série e recebendo a resposta do servidor. O OCSP é mais eficiente que a CRL por não exigir o download de listas inteiras.

O padrão X.509 define o formato dos certificados, incluindo campos como versão, número de série, algoritmo de assinatura, nome do emissor, período de validade, nome do sujeito, chave pública do sujeito e extensões. É o padrão mais utilizado no mundo para certificados digitais.

A pegadinha central desta questão está no conceito de certificado autoassinado. Um certificado autoassinado é aquele em que o dono e o emissor são a mesma entidade — ou seja, a própria entidade assina seu próprio certificado, sem a chancela de uma CA terceira. Por isso, ele não é confiável por padrão: não há uma autoridade externa que ateste a identidade. Navegadores e sistemas operacionais não confiam nesses certificados automaticamente; o usuário precisa importá-los manualmente e configurar explicitamente a confiança, o que gera alertas de segurança. A alternativa C inverte exatamente essa lógica, afirmando que são confiáveis por padrão — o que é o erro.

Guarde a fronteira decisiva: certificado autoassinado = confiança manual e explícita; certificado emitido por CA = confiança automática via cadeia de certificação. É exatamente nessa distinção que as alternativas se separam.

Alternativa A — ✅ Correta

A alternativa descreve corretamente o papel da Autoridade Certificadora (CA): emitir certificados digitais que vinculam uma chave pública a uma identidade, e também revogar certificados comprometidos ou expirados, publicando a CRL ou respondendo a consultas OCSP. A CA é o emissor dos certificados e, normalmente, das listas de revogação. A revogação é essencial para invalidar certificados antes do prazo de validade quando há comprometimento.

Alternativa B — ✅ Correta

O protocolo OCSP (Online Certificate Status Protocol) permite verificar em tempo real se um certificado foi revogado, sendo uma alternativa à CRL. A descrição está correta: o OCSP oferece respostas mais pontuais (consulta por número de série) e reduz a necessidade de download de listas completas de revogação. É exatamente essa a vantagem do OCSP sobre a CRL.

Alternativa C — ❌ Incorreta ⟵ GABARITO

O erro está na afirmação de que um certificado autoassinado é "tratado como confiável por padrão em qualquer ambiente, inclusive por navegadores e sistemas operacionais, sem necessidade de importação manual". Isso é falso. Um certificado autoassinado é emitido e assinado pela própria entidade (dono = emissor), mas justamente por não haver uma CA terceira atestando a identidade, ele não é confiável por padrão. Navegadores e sistemas operacionais exibem alertas de segurança e exigem importação manual e configuração explícita de confiança. A banca inverteu a lógica: o autoassinado exige confiança manual, não automática.

Alternativa D — ✅ Correta

A alternativa descreve corretamente o padrão X.509, que define o formato dos certificados digitais. Os campos citados — nome do titular, chave pública, período de validade, identificador do algoritmo de assinatura e assinatura digital da CA emissora — são exatamente os componentes do padrão X.509. É o padrão mais utilizado para certificados digitais.

Alternativa E — ✅ Correta

A alternativa descreve corretamente a hierarquia PKI: a CA Raiz emite certificados para CAs intermediárias, que por sua vez emitem para entidades finais (servidores, usuários). Essa estrutura limita a exposição direta da chave privada da Root CA, pois ela é usada com menos frequência — apenas para assinar os certificados das intermediárias. A chave da raiz pode até ser mantida off-line para maior segurança.

A regra de ouro para a prova: certificado autoassinado = confiança manual e explícita; certificado emitido por CA = confiança automática via cadeia de certificação. A alternativa C inverteu essa lógica, e é por isso que ela é a incorreta.

Gabarito: letra C