Uma assinatura com certificado digital revogado possui validade?

A utilização de certificados digitais para formalização de documentos e demais transações eletrônicas, cresce exponencialmente, sobretudo em um cenário onde o trabalho remoto foi aderido por grande parte da população. Segundo dados do Instituto Nacional de Tecnologia da Informação (ITI), em março de 2021, a ICP-Brasil atingiu a marca de mais de 10 milhões de certificados digitais ativos.

Quando se emite um certificado digital, há um período de validade de utilização. No entanto, alguns motivos podem fazer com que um certificado seja cancelado antes do seu prazo de expiração, podendo ser revogado pelo titular ou pela Autoridade Certificadora (AC).

Motivos que podem fazer com que um certificado digital seja revogado

– Perda;

– Extravio;

– Roubo;

– Uso indevido;

– Alteração de CPF por parte do proprietário;

– Quebra da Cadeia de Confiança da AC emissora;

– Entre outros.

Nessa perspectiva, quando ocorre algum desses eventos, é necessário revogar o certificado digital, ou seja, torná-lo inválido, impossibilitando a sua utilização.

Lista de certificados revogados (LCR)

Para realizar a revogação de um certificado digital, em virtude de um desses motivos levantados anteriormente, o titular precisa acessar a página de revogação da Autoridade Certificadora (AC) responsável pela emissão. Posteriormente, é necessário fornecer todas as informações solicitadas para proceder com a revogação.

Caso a operação tenha sido bem sucedida, o certificado digital será inserido na Lista de Certificados Revogados (LCR), deixando de ser válido a partir de então.

Como a lista de certificados revogados funciona?

As listas de certificados revogados indicam os certificados que foram revogados antes de sua expiração e são emitidas pelas Autoridades Certificadoras e publicadas periodicamente de acordo com as regras da ICP-Brasil.

É de suma importância verificar a validade dos certificados digitais, no momento de seu uso, contra as LCRs das respectivas ACs emitentes. Ademais, também deve ser verificada a autenticidade da AC na LCR da AC-Raiz. Há hoje no Brasil, 27 ACs de 1º nível e 105 ACs de 2º nível.

Nesse sentido, as respostas emitidas por este serviço são individuais (uma para cada certificado) e são assinadas digitalmente a fim de garantir sua confiabilidade.

Outro ponto importante é saber que, além de não estar revogado, para que um certificado digital seja considerado válido é preciso que ele esteja dentro da validade e que a cadeia de certificados seja válida.

Portanto, ressalta-se que um documento assinado com um certificado digital a partir da data de sua revogação, não tem validade legal.

Toda plataforma de assinatura digital faz verificação completa do certificado digital? Quais são os riscos se ela não fizer esta validação?

Com o intuito de garantir que um certificado digital não seja usado de maneira indevida, cada vez que um documento é assinado digitalmente ou um certificado digital é utilizado para autenticar um usuário, é preciso realizar a verificação integral da validade do certificado. Nesse contexto, em aplicações de Assinatura Digital tradicionais, isto implica em estabelecer conexões e processos para verificar a existência de uma nova LCR.

O aumento da utilização da certificação digital, sobretudo no âmbito de soluções corporativas, e as regulamentações legais dos padrões de assinatura digital da ICP-Brasil, demonstram a necessidade de soluções capazes de verificar certificados digitais, bem como administrar lista de certificados revogados.

A plataforma de assinatura digital da QualiSign possui o controle das listas de certificados revogados de todas as ACs, nacionais e internacionais, incluindo ACs privadas que emitem LCRs. De hora em hora essas informações são atualizadas e consolidadas em nosso banco de dados proporcionando maior segurança aos nossos clientes e signatários.

Para mais informações, clique aqui, deixe os seus dados, que um especialista retornará o contato.

Luiz Rodrigues

Olá! Sou Luiz Rodrigues, pai de três filhos e Diretor de Marketing da QualiSign. Sou formado em Processamento de Dados e pós-graduado em Administração pela USP. Com 13 anos de experiência na área de formalização digital, participei da idealização de soluções inovadoras neste mercado.