A proposal for regulation of digital certification in Brazil

Tese (doutorado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2009.Neste trabalho são analisados os regulamentos da ICP-Brasil, com o objetivo de verificar se os documentos assinados digitalmente, no âmbito dessa infraestrutura, possuem as características técnicas necessárias e suficientes para serem úteis, efetivamente, como evidência legal, mesmo por longo prazo. São analisados os padrões internacionais que tratam de certificação e assinatura digital e a legislação de outros países e regiões, em especial da Comunidade Européia. São apontadas lacunas importantes na legislação brasileira, sendo a principal delas a ausência de regulamentação sobre armazenamento de documentos assinados digitalmente, processo que exige a adoção de uma série de atividades periódicas, como a revalidação das assinaturas, para preservar a eficácia dos documentos. Também foram detectadas lacunas na regulamentação que trata de revogação de certificados, de sistemas para geração e verificação das assinaturas digitais e de tipos e aplicabilidade dos certificados digitais. Para cada lacuna são recomendadas medidas que podem contribuir para saná-las, entre as quais estão a criação de novas entidades e de novos serviços na ICP-Brasil, a modificação de serviços já existentes, a alteração dos tipos de certificados utilizados na ICP-Brasil, a criação de manuais para orientar os usuários e a definição de novo processo para a homologação de sistemas usados na geração e verificação de assinaturas digitais. _______________________________________________________________________________ ABSTRACTThis work examined the regulation of ICP-Brazil, aiming to verify whether the digitally signed documents within this infrastructure, have the technical characteristics necessary and sufficient to be useful, indeed, as legal evidence, even for long term. We analyzed international standards for digital certification and digital signature and the legislation of other countries and regions, in particular the European Community. We pointed out important gaps in the Brazilian legislation, the main one being the lack of regulations on storing documents digitally signed, a process that requires the adoption of a series of regular activities such as revalidation of signatures to preserve the effectiveness of documents. We also found gaps in the regulations dealing with certificate revocation, systems for generation and verification of digital signatures and types and application of digital certificates. For each gap we recommended steps that can help to solve them. Among these recommendations, there is the creation of new entities and new services in the ICP-Brasil, the modification of existing services, the change of types of certificates used in ICP-Brasil, the creation of manuals to guide the users and the definition of a new process for the approval of systems used in generation and verification of digital signatures