Questão 314599

• Banca: FCC
• Órgão: TRT - 1ª REGIÃO (RJ)
• Ano: 2011
• Provas: FCC - 2011 - TRT - 1ª REGIÃO (RJ) - Analista Judiciário - Tecnologia da Informação
• Disciplina: Segurança da Informação
• Assuntos: ICP-Brasil; Infra estrutura de Chaves Publicas (PKI)

Considere:

I. A Infraestrutura de Chaves Públicas (ICP) pode ser formada por órgão, ou iniciativa pública ou privada, com competência para definir os padrões técnicos e práticos para suportar um sistema criptográfico com base em certificados digitais.

II. A AC Raiz da ICP-Brasil, representada pelo ITI, é a responsável por fazer o credenciamento e auditoria de toda a cadeia hierárquica de confiança e delega às ACs a responsabilidade pela fiscalização e supervisão das ARs.

III. Nos níveis de hierarquia que formam a cadeia de confiança de uma ICP, apenas o segundo nível, sempre representado por uma AC, está habilitado para gerar um certificado digital.

IV. A obtenção de um certificado digital pode ser feita por qualquer pessoa jurídica ou física, bastando apresentar fisicamente a documentação necessária a uma AR, que passará esses dados para a AC à qual é subordinada.

É correto o que consta APENAS em

• A. I e II.
• B. I e IV.
• C. II e III.
• D. II, III e IV.
• E. III e IV.

Gabarito: B

Comentários

• No item II ta invertido AC e AR?
  
  deveria ser?
  A AC Raiz da ICP-Brasil, representada pelo ITI, é a responsável por fazer o credenciamento e auditoria de toda a cadeia hierárquica de confiança e delega às ARs a responsabilidade pela fiscalização e supervisão das ACs.
  
  
• I. A Infraestrutura de Chaves Públicas (ICP) pode ser formada por órgão, ou iniciativa pública ou privada, com competência para definir os padrões técnicos e práticos para suportar um sistema criptográfico com base em certificados digitais.
  
  CERTO.
  
  II. A AC Raiz da ICP-Brasil, representada pelo ITI, é a responsável por fazer o credenciamento e auditoria de toda a cadeia hierárquica de confiança e delega às ACs a responsabilidade pela fiscalização e supervisão das ARs.
  
  ERRADO.
  
  O correto é [1]: "O Instituto Nacional de Tecnologia da Informação (ITI) é a AC Raiz da ICP-Brasil, responsável por fazer o credenciamento, a fiscalização, a supervisão e a auditoria de toda a cadeia, para certificar-se que as AC e AR estão seguindo os processos e as políticas de
  certificação vigentes."
  
  Além de faltar os termos grifados por mim, pelo o que entendi, não há a "... delega às ACs a responsabilidade pela fiscalização e supervisão das ARs".
  
  III. Nos níveis de hierarquia que formam a cadeia de confiança de uma ICP, apenas o segundo nível, sempre representado por uma AC, está habilitado para gerar um certificado digital.
  
  ERRADO.
  
  Nos níveis de hierarquia que formam a cadeia de confiança de uma ICP, apenas o segundo nível, sempre representado por uma AC, está habilitado para gerar um certificado digital.
  
  Segundo a referência [1]: "Mas, para autenticar, homologar, auditar e fiscalizar o certificado digital, é necessário uma estrutura que seja uma espécie de “cartório virtual”, começando pela Autoridade Certificadora Raiz (AC Raiz), que é o principal nó de confiança para todos os outros abaixo dele - podem ser outras AC subordinadas, que devem possuir uma cópia da chave pública da AC Raiz, e/ou Autoridades de Registro (AR) para ajudá-las, já que é necessário ir fisicamente a uma AR e provar, com documentação, que você é realmente quem diz ser ou que é o dono de uma empresa, criando assim uma ICP."
  
  IV. A obtenção de um certificado digital pode ser feita por qualquer pessoa jurídica ou física, bastando apresentar fisicamente a documentação necessária a uma AR, que passará esses dados para a AC à qual é subordinada.
  
  CERTO.
  
  Referência:
  [1] Infra-estrutura de Chave Pública (ICP): http://www.infosegura.eti.br/artigos/icp.pdf
• para exemplificar, através do link: http://www.iti.gov.br/twiki/pub/Certificacao/EstruturaIcp/Estrutura_completa.pdf,
  percebemos que as AC de 1º nível AC-PR e AC-CMB são as responsáveis pela geração dos certificados(vistos que não possuem AC de 2º nível), o que torna a afirmação III errada!!!
  
  Conforme estruturada da ICP-Brasil temos:
  AC-Raiz (represesntado pelo ITI) --> o site não designa nível para a AC-Raiz
  Abaixo da AC-Raiz, encontram-se as AC de 1º nível(10 ao total), podento ter AC de 2º nível(mais de 30) abaixo delas ou AR.
  Abaixo das AC de 2º nível temos AR.
• http://www.iti.gov.br/twiki/pub/Certificacao/WebHome/Estrutura_da_ICP-Brasil.jpg
  
  A AC-Raiz, mantida pelo ITI, assina digitalmente os certificados das Autoridades Certificadoras de primeiro nível, por sua vez essas(1º nível) assinam os de segundo nível.
  
  logo a alternativa abaixo está falsa!
  
  II. A AC Raiz da ICP-Brasil, representada pelo ITI, é a responsável por fazer o credenciamento e auditoria de toda a cadeia hierárquica de confiança e delega às ACs a responsabilidade pela fiscalização e supervisão das ARs. 

• Segue o que atesta os erros do item II: 

  "Constituem obrigações da AC Raiz da ICP-Brasil:

  - A geração e o gerenciamento do par de chaves criptográficas da AC Raiz;

  - A emissão e distribuição do certificado da AC Raiz;

  - A emissão, a expedição e a distribuição de certificados de AC de nível imediatamente subseqüente ao seu;

  - A publicação de certificados por ela emitidos;

  - A revogação de certificados por ela emitidos;

  - A emissão, o gerenciamento e a publicação de sua Lista de Certificados Revogados (LCR);

  - A fiscalização e a auditoria das AC, das AR e dos prestadores de serviço habilitados em conformidade com os critérios estabelecidos pelo CG da ICPBrasil;

  - A implementação de acordos de certificação cruzada, quando determinados pelo CG da ICP-Brasil" 

  Fonte: Declaração de Práticas de Certificação da AC-Raiz da ICP-Brasil.

  Assim, o erro do item II está em "A AC Raiz da ICP-Brasil, representada pelo ITI, é a responsável por fazer o credenciamento e auditoria de toda a cadeia hierárquica de confiança e delega às ACs a responsabilidade pela fiscalização e supervisão das ARs". A AC-Raiz deve fiscalizar e supervisionar todas as ACs e ARs, além dos prestadores de serviço habilitados. 

  Espero ter ajudado!