Certificação digital

A Certificação Digital é um tipo de tecnologia de identificação que possibilita que informações trocadas entre duas entidades sejam realizadas com garantia de autenticidade, integridade e confidencialidade das informações, evitando que as informações possam ser manipuladas de alguma forma durante o tráfego das mesmas entre o remetente e o destinatário.

A certificação digital se baseia na utilização de assinaturas digitais, um certificado digital e chaves criptográficas.

Além de permitir a geração de uma assinatura digital em um documento, a utilização de certificados digitais permite estabelecer comunicações seguras baseadas em protocolo SSL ou TLS (com este tipo de conexão é garantida a confidencialidade das informações, onde é utilizado um canal seguro de comunicação e permite a identificação do servidor que receberá a requisição e do solicitante da requisição).

A SEFAZ e a maioria das prefeituras utilizam padrão de comunicação SSL ou TLS, desta forma, é imprescindível que o certificado digital armazenado no banco de dados do eDocs possua todas as cadeias de certificação disponibilizadas, desta forma permitindo ao sistema operacional Windows estabelecer a comunicação segura com o servidor.

Para entendimento de como funciona a utilização do certificado digital no momento em que a comunicação entre o cliente e a SEFAZ/Prefeitura, bem como entender de qual componente é a responsabilidade de estabelecer a conexão segura, verifique o fluxo demonstrado abaixo.

Através do fluxo definido acima, é possível concluir que o eDocs apenas armazena em seu banco de dados o certificado digital da filial e empresa e, no momento em que é solicitada a comunicação com a SEFAZ, encaminha este certificado digital para o componente .Net, que por sua vez solicita ao sistema operacional Windows o estabelecimento da comunicação. Desta forma, é o sistema operacional Windows o responsável por garantir a comunicação segura com a SEFAZ/Prefeitura utilizando o certificado digital disponibilizado pelo eDocs.

Conforme explicado no tópico Conexão, a responsabilidade por estabelecer a comunicação segura com a SEFAZ/Prefeitura é do sistema operacional Windows do servidor onde o sistema está instalado. No entanto, em algumas ocasiões existem dúvidas de como um aplicativo instalado no servidor consegue efetuar conexão com a SEFAZ/Prefeitura e o eDocs não consegue efetuar esta mesma conexão.

Abaixo segue um fluxo explicativo e comparativo, demonstrando como é o processo de comunicação do servidor do cliente com a SEFAZ tanto quando a comunicação é solicitada pelo eDocs(que utiliza sessões de serviços do Windows), como quando a comunicação é solicitada por um aplicativo instalado no servidor (que utiliza sessões de usuários do Windows).

De acordo com o fluxo acima, é possível perceber que aplicativos instalados como aplicação no servidor (e não como serviços) utilizam permissões do Windows diferente de aplicativos que são executados como serviço. Desta forma, dependendo das permissões definidas no ambiente do cliente, um aplicativo poderá terá a conexão segura com a SEFAZ/Prefeitura estabelecida através do Windows, enquanto um outro aplicativo executado como serviço (que é o caso do eDocs), poderá ter problemas de comunicação, já que o Windows não conseguirá estabelecer a conexão segura.

Um problema comum no processo de configuração de um certificado digital no eDocs e que acarreta em problemas de comunicação do servidor do cliente com a SEFAZ/Prefeitura, é a utilização de um arquivo de certificado digital que não possui a chave privada ou não possui as propriedades estendidas (cadeias de certificação). Como o eDocs apenas encaminha o certificado digital ao .Net, e esse por sua vez encaminha ao Windows, a ausência destas informações faz com que o Windows não consiga estabelecer a comunicação segura com o servidor da SEFAZ/Prefeitura.

A chave privada deverá ser disponibilizada juntamente com o arquivo .PFX originalmente disponibilizado pela Autoridade Certificadora (AC) que disponibilizar o certificado digital ao cliente. Não há uma forma de coletar a chave privada, caso ela não seja disponibilizada no arquivo .PFX original. Caso o cliente não possua mais o arquivo do certificado digital que contenha a chave privada, é necessário contato com a Autoridade Certificadora (AC) responsável por gerar o certificado digital para que seja disponibilizado um novo arquivo que contenha a chave privada do certificado.

As propriedades estendidas (cadeias de certificação) podem ser obtidas pelo sistema operacional Windows automaticamente no momento em que o certificado digital é utilizado ou importado pelo Windows. No entanto, este processo de obtenção das cadeias de certificação pode não ser executado, dependendo das permissões de acesso à Internet definidas no ambiente onde o processo está sendo realizado. Abaixo indicaremos um processo que poderá ser realizado para que um arquivo .PFX que não contenha as cadeias de certificação embutidas venha a ser gerado novamente com estas propriedades.

1. Acesse um ambiente que não tenha restrições de acesso à Internet;

O Windows pode obter as propriedades estendidas de um certificado quando estiver conectado à Internet em um ambiente que não tenha nenhuma restrição de acesso. Desta forma, para efetuar todo o processo é necessário executar os procedimentos a partir de um ambiente que não tenha nenhum tipo de restrição (assim é garantido que o Windows tenha acesso a todos os endereços necessários para coletar as cadeias de certificação).

2. Faça a instalação do certificado digital (arquivo .PFX) no ambiente que não possui restrições de acesso.

No ambiente que não possua restrições de acesso à Internet, faça a instalação do certificado digital (arquivo .PFX). A instalação pode ser efetuada a partir do Console de Gerenciamento do Windows (mmc.exe) ou executando o arquivo .PFX para abrir o Assistente de Importação para Certificados.

O processo de instalação pode variar dependendo da versão do sistema operacional Windows utilizada, no entanto, as opções Marcar esta chave como exportável e Incluir todas as propriedades estendidas devem ser marcadas durante o processo de importação (a descrição das opções pode variar de acordo com a versão do Windows). Abaixo segue uma imagem exemplificando as opções a serem marcadas (imagem coletada do sistema operacional Windows 10).

Após a sequência do processo de importação, é exibida uma mensagem indicando que a importação foi executada com sucesso.

3. Faça a exportação do certificado digital através do Console de Gerenciamento do Windows (mmc.exe).

Ao executar o Console de Gerenciamento do Windows (mmc.exe), acesse o menu Arquivo > Adicionar/remover snap-in (CTRL + M). Na tela que é exibida, selecione o Snap-in Certificados e adicione-o aos snaps-in selecionados. Em seguida, é solicitado a seleção de qual local o certificado digital foi instalado. Selecione o local que foi definido durante a instalação do certificado executada no passo 2. Após confirmar a adição do snap-in selecionado, é exibida a tela para selecionar o local onde o certificado digital está instalado.

Abaixo segue uma imagem que exemplifica a opção que deverá ser acessada. Neste exemplo o certificado foi instalado no repositório do Usuário atual.

Após acessar o menu Raiz do Console > Certificados > Pessoal > Certificados, selecione o certificado digital instalado no passo 2, clicando com o botão direito do mouse. No menu que será exibido selecione a opção Todas as tarefas > Exportar.... Será aberto o Assistentes para Exportação de Certificados.

Durante a exportação do certificado através do assistente, é obrigatória a seleção da opção Exportar chave privada, conforme exemplificado na imagem abaixo:

Na sequência do processo, selecione a opção para exportação do certificado em formato .PFX, selecionando também as opções para inclusão de todos os certificados no caminho de certificação e exportação das propriedades estendidas, conforme exemplificado na imagem abaixo:

Na sequência do processo, defina uma senha para a chave privada que será exportada junto ao certificado e um local onde o arquivo .PFX será gerado.

4. Utilização do novo arquivo do certificado digital que foi gerado.

Ao término do processo de exportação do certificado digital (passo 3), é possível utilizar o novo arquivo .PFX gerado para efetuar a configuração do certificado no Monitor. Se o processo de importação/exportação tiver sido executado em um ambiente que não possua restrições de acesso à Internet, o novo arquivo deverá possuir agora a chave privada e as cadeias de certificação, com isso, caso algum problema estiver ocorrendo devido à falta das cadeias de certificação, o mesmo deverá ser sanado.