Questão de Segurança da Informação — ICP e Autoridades Certificadoras — VUNESP 2024

Autoridade Certificadora (AC) e Certificados Digitais

Gabarito: letra C. A função central da Autoridade Certificadora (AC) é emitir e assinar digitalmente os certificados digitais, que vinculam a identidade do titular à sua chave pública — exatamente o que a alternativa C descreve. Esse papel está na própria definição de AC dentro da Infraestrutura de Chaves Públicas (ICP/PKI), e é reforçado por dispositivos legais que exigem certificados emitidos por autoridade certificadora credenciada (como o art. 20, I, "b", da Res. CONTRAN 809/2020 e o art. 12, § 2º, da Lei 14.133/2021).

A Autoridade Certificadora é o terceiro confiável da criptografia de chave pública: é a entidade que garante, por meio da assinatura digital, que uma determinada chave pública realmente pertence à pessoa ou entidade declarada no certificado. Sem essa intermediação, qualquer atacante poderia gerar um par de chaves e se passar por outra pessoa — o famoso ataque man-in-the-middle. Por isso, a AC não apenas emite, mas também gerencia o ciclo de vida do certificado: distribui, renova, revoga e publica a Lista de Certificados Revogados (LCR/CRL).

Na prática, o fluxo funciona assim: o usuário gera seu par de chaves (pública e privada) e envia a chave pública à AC, junto com seus dados de identificação. A AC valida essas informações (muitas vezes por meio de uma Autoridade de Registro — AR, que faz a interface com o usuário) e, então, cria o certificado contendo a chave pública e os dados do titular, assinando-o digitalmente com a chave privada da própria AC. Qualquer pessoa que confie na AC pode verificar a assinatura do certificado usando a chave pública da AC, garantindo que o certificado é autêntico e não foi adulterado.

A distinção que mais confunde em prova é entre os papéis da AC e da AR, e entre o que é público e o que é privado:

A pegadinha clássica da banca é inverter essas funções ou atribuir à AC o papel de guardar a chave privada do usuário — o que é um erro grave de segurança, pois a chave privada é personalíssima e nunca deve ser compartilhada, nem mesmo com a AC. A AC guarda a sua própria chave privada (usada para assinar certificados), mas jamais a do titular.

Guarde esta fronteira: AC = quem assina o certificado (vinculando identidade à chave pública); titular = quem guarda a chave privada; AR = quem valida a identidade do solicitante. É exatamente nesses três papéis que as alternativas se dividem.

Alternativa A — ❌ Incorreta

A AC não mantém armazenada a chave privada do usuário. A chave privada é personalíssima e deve permanecer sob controle exclusivo do titular — armazená-la em servidor da AC violaria o princípio de segurança e o próprio propósito da criptografia assimétrica. A AC guarda a sua própria chave privada, usada para assinar os certificados que emite. A alternativa confunde o papel da AC com o de um cofre de chaves, o que não existe na ICP.

Alternativa B — ❌ Incorreta

Hospedar websites HTTPS é função de um servidor web, não da AC. O certificado digital é usado pelo servidor para estabelecer a conexão segura, mas quem o emite e assina é a AC. A alternativa troca o papel de emissor (AC) pelo de usuário do certificado (o site). É como dizer que a função do cartório é morar na casa cuja escritura ele registra.

Alternativa C — ✅ Correta ⟵ GABARITO

Esta é a definição precisa do papel da AC: assinar digitalmente o certificado, que contém o identificador do usuário e sua chave pública. Ao assinar, a AC atesta que aquela chave pública pertence àquele titular — é o vínculo de confiança que torna o certificado válido. A assinatura da AC é o que permite a qualquer terceiro verificar a autenticidade do certificado usando a chave pública da AC.

Alternativa D — ❌ Incorreta

A AC não fornece a chave pública do usuário mediante apresentação da chave privada. A chave pública é, por definição, pública — não há necessidade de apresentar a chave privada para obtê-la, e fazê-lo seria um risco de segurança absurdo. A alternativa inverte a lógica: a chave privada nunca é usada como credencial para obter algo público. A distribuição da chave pública ocorre justamente por meio do certificado assinado pela AC, sem qualquer exigência de apresentar a chave privada.

Gabarito: letra C — a AC assina digitalmente o certificado que vincula o identificador do usuário à sua chave pública.