Confiabilidade no trânsito de mensagens do SPB

Data: 2006/07/04
Fonte: TI Master pág. on line

(Noemia Alcarde*)

As mensagens que trafegam no âmbito do SPB, Sistema de Pagamentos Brasileiro, devem utilizar-se de mecanismos de criptografia e certificado digital, a fim de proteger a confidencialidade, a integridade e a autenticidade das mensagens, garantindo, assim, a confiabilidade do sistema.

Os certificados digitais são emitidos por uma entidade certificadora que esteja credenciada na Infra-estrutura de Chaves Públicas Brasileira (ICP-Brasil). “O ICP-Brasil é um conjunto de técnicas, práticas e procedimentos a serem implementados pelas organizações governamentais e privadas brasileiras com o objetivo de estabelecer os fundamentos técnicos e metodológicos de um sistema de certificação digital baseado em chave pública”. Como exemplos de entidades certificadoras, devidamente registradas no ICP-Brasil e que podem gerar certificados para o âmbito SPB, temos Serasa, Serpro e Certisign.

O papel de uma entidade certificadora é criar um par de chaves criptográficas (a chave pública, de conhecimento geral e uma chave privada, de conhecimento apenas de seu portador) para o usuário, garantindo a identidade do mesmo. Um certificado, então, é gerado contendo a chave pública do usuário para ser utilizado nas transações.

Quanto ao trânsito das mensagens, para exemplificar como o processo ocorre, imaginemos que temos uma Instituição Financeira (IF) que vai enviar uma mensagem ao Banco Central (BC). A IF assina a mensagem com a sua chave privada e faz a cifragem com a chave pública do BC. Quando a mensagem chega ao seu destino, ou seja, no BC, ela é decifrada com a chave privada do BC e autenticada com a chave pública da IF.

O processo da assinatura digital garante que a mensagem veio do remetente-IF, uma vez que precisa da chave pública do remetente-IF para autenticá-la. O processo da criptografia garante que somente o destinatário-BC conseguirá ler a mensagem, uma vez que necessita da chave privada do destinátario-BC para abri-la.

Um momento de maior risco no processo é aquele em que a chave privada é empregada na assinatura digital das mensagens, pois se fraudada vai comprometer a integridade do sistema. E, pensando nisso, é que temos uma preocupação em relação à guarda da chave privada da instituição.

Por isso, o Manual de Segurança do SPB exige que a IF seja responsável pela segurança física e lógica do acesso de suas chaves, recomendando que a chave privada seja armazenada num dispositivo especializado para o gerenciamento de chaves criptográficas e que ela não seja utilizada para mensagens ou aplicações em outros ambientes.

Concluindo, percebe-se que toda a questão da segurança no trânsito das mensagens é tratada de forma substancial, pois as informações não podem ser vazadas. O sistema tem a preocupação em garantir que a mensagem chegue intacta do outro lado. Pois, é certo que o vazamento de informações frustaria toda a confiabilidade das Instituições Financeiras perante seus clientes.

* Noemia Alcarde é formada em Ciências da Computação pela Unesp e pós-graduanda no curso MBIS na PUC-SP. Analista de Sistemas, participante no programa que envia e recebe mensagens ao SPB.

Clique aqui para saber como identificar um site seguro.