Por que confiar em um certificado digital?

Entre os campos obrigatórios do certificado digital encontram-se a identificação e a assinatura da entidade que o emitiu, permitindo dessa maneira verificar a autenticidade e a integridade do certificado. A entidade emissora é chamada de Autoridade Certificadora, ou simplesmente AC. A Autoridade Certificadora é o principal componente de uma Infraestrutura de Chaves Publicas e é responsável pela emissão dos certificados digitais. O usuário de um certificado digital precisa confiar na AC.

A escolha de confiar em uma Autoridade Certificadora é similar ao que ocorre em transações convencionais, ou seja, aquelas que não são realizadas por meio eletrônico. Por exemplo, em uma empresa que vende parcelado e aceita determinados documentos para identificar o comprador antes de efetuar a transação, esses documentos, normalmente, são emitidos pela Secretaria de Segurança Publica e pela Secretaria da Receita Federal, como o RG e o CPF, existindo aí uma relação de confiança já estabelecida com esses órgãos. Da mesma forma, os usuários podem escolher uma AC a qual desejam confiar a emissão de seus certificados digitais. Para a emissão dos certificados, as Autoridades Certificadoras possuem deveres e obrigações que são descritos em um documento chamado de Declaração de Praticas de Certificação (DPC), à qual deve ser pública, para permitir que as pessoas saibam como foi emitido o certificado digital. Entre as atividades de uma AC, a mais importante é verificar a identidade da pessoa ou da entidade antes da emissão do certificado digital. Esta medida é adotada para que o certificado digital emitido contenha informações confiáveis que permitam a verificação da identidade do titular. Por este motivo, quanto mais bem definidos e mais abrangentes forem os procedimentos adotados por uma AC, maior a sua confiabilidade. No Brasil, o Comitê Gestor da ICP-Brasil (Infraestrutura de Chaves Publicas Brasileira) é o órgão governamental que especifica os procedimentos que devem ser adotados pelas ACs, sendo que a AC que se submete às resoluções do Comitê Gestor pode ser credenciada e com isso fazer parte da ICP-Brasil. O cumprimento dos procedimentos é auditado e fiscalizado, envolvendo, por exemplo, exame de documentos, das instalações técnicas e dos sistemas envolvidos no serviço de certificação, bem como do seu próprio pessoal, e a não concordância com as regras acarreta aplicações de penalidades, que podem chegar inclusive ao descredenciamento. As ACs credenciadas são incorporadas à estrutura hierárquica da ICP-Brasil e representam a garantia de atendimento dos critérios estabelecidos em prol da segurança de suas chaves privadas.