O Google LLC anunciou ontem – 4 de agosto de 2020 – a disponibilidade de um novo Serviço de Autoridade de Certificação baseado na nuvem em testes beta que facilita às empresas a configuração dos certificados digitais necessários para sua infraestrutura de chave pública.
A PKI – Public Key Infrastructure, em português ICP – Infraestrutura de Chaves Públicas é usada pelas empresas para autenticar seus usuários e dispositivos no mundo digital. Refere-se a um conjunto de funções, políticas, hardware, software e procedimentos necessários para criar, gerenciar, distribuir, usar, armazenar e revogar certificados digitais e gerenciar a criptografia de chave pública.
A ideia básica é ter uma ou mais partes confiáveis assinando digitalmente documentos ou certificados que certifiquem que uma chave criptográfica específica pertence a um usuário – pessoa ou empresa – ou um dispositivo específico.
“Recentemente, vimos um interesse crescente em usar a PKI no DevOps e no gerenciamento de dispositivos, principalmente para dispositivos IoT“, escreveu o Google em um post de blog ontem. “Mas um dos problemas mais fundamentais da PKI permanece: é difícil estabelecer autoridades de certificação e ainda mais difícil fazê-lo de forma confiável em escala. Esses problemas estão na frente e no centro desses casos de uso crescentes. ”
Um dos principais problemas é que os certificados digitais tradicionais são emitidos por uma Autoridade de Certificação privada, geralmente hospedada no local, e têm um período de validade grande.
Embora seja ideal para algo como um dispositivo de “Internet das Coisas” que possa ser mantido em serviço por vários anos, o Google disse que não é adequado para cargas de trabalho emergentes, como o uso de certificados privados no DevOps para proteger contêineres de software, microsserviços, máquinas virtuais e contas de serviço.
O problema é que esses tipos de cargas de trabalho têm requisitos drasticamente diferentes dos casos de uso tradicionais. Na maioria dos casos, eles exigem certificados de curta duração que são renovados com frequência, o que exige alta disponibilidade e escalabilidade da CA. Mas as CAs existentes ficam aquém desse aspecto, afirmou o Google.
“Por exemplo, uma empresa pode ter que emitir 10 milhões de certificados em um ano, contra 10.000 certificados em um ano ao lidar com dispositivos IoT”, disse o Google.
- IoT começa a demandar certificação digital
- Inmetro credencia-se para ser autoridade certificadora
- Certificado Digital ICP-Brasil para IoT. Você precisa acompanhar esse assunto!
Além disso, muitos processos de registro de certificados de CAs existentes não oferecem suporte a interface de programação de aplicativos moderna e cadeias de ferramentas de integração / desenvolvimento contínuo, o que significa mais tempo de lançamento no mercado e atrasos na adoção.
Outro problema é que as organizações modernas que são nativas da nuvem desde o primeiro dia e nunca precisaram configurar uma CA privada, começaram a perceber a necessidade de certificados privados.
“As ACs privadas existentes no local não são compatíveis com plataformas na nuvem e não podem suportar a escala associada a empresas e hiperscalers nativas na nuvem“, afirmou o Google.
Como resultado, a única opção para empresas nativas da nuvem é criar sua própria CA privada, mas isso pode ser muito caro para configurar e manter, e requer um conjunto de habilidades muito específico que muitas empresas não possuem.
O Google disse que seu novo Serviço de Autoridade de Certificação resolve esses problemas, pois é capaz de simplificar e automatizar o gerenciamento e a implantação de CAs privadas, atendendo às necessidades dos desenvolvedores e aplicativos de software modernos. Isso possibilita às organizações configurar uma CA privada em apenas alguns minutos, em oposição aos meses necessários para implantar uma CA privada tradicional.
Além disso, o Google CAS permite que as organizações automatizem completamente a aquisição e o gerenciamento de certificados digitais usando interfaces simples de programação de aplicativos REST que se integram às ferramentas existentes e integração contínua / implantação contínua ou canais de CI / CD.
Holger Mueller, analista da Constellation Research Inc., disse ao SiliconANGLE que a maioria das cargas de trabalho modernas atualmente é protegida por certificados de segurança digital. Mas ele disse que eles não são tão escaláveis com essas cargas de trabalho modernas e que os contêineres de software precisam especialmente de controles de segurança mais detalhados que as autoridades de certificação tradicionais não conseguiram escalar. “O novo serviço oferece uma maneira mais escalável e fácil de usar o processo de certificado de segurança”, disse ele.
O Google afirmou que trabalhou com duas empresas líderes no espaço de gerenciamento do ciclo de vida dos certificados para integrar o CAS aos seus produtos, incluindo o fornecedor de identidade da máquina Venafi Inc. e a empresa de gerenciamento de certificados digitais AppViewX Inc.
O Google disse que o preço do CAS será pago assim que atingir a disponibilidade geral, mas por enquanto o serviço é gratuito.
Fonte: siliconangle.com
- ICP-Brasil interrompe emissão de certificados digitais SSL/TLS para websites
- Check Point Software aprimora a detecção de phishing e malware
- GMO GlobalSign inclui suporte ACME para emissão de certificados de domínio interno
- Google Desconfia de Certificados Digitais TLS da Entrust
- GMO GlobalSign lança o Gerenciador de Automação de Certificados
Infraestrutura de Chaves Públicas Brasileira – ICP-Brasil
O modelo adotado pelo Brasil foi o de certificação com raiz única, sendo que o ITI, além de desempenhar o papel de Autoridade Certificadora Raiz – AC-Raiz, também tem o papel de credenciar e descredenciar os demais participantes da cadeia, supervisionar e fazer auditoria dos processos.
Uma Infraestrutura de Chaves Públicas estabelece padrões técnicos e regulatórios que permitem a interoperabilidade dos certificados digitais para autenticação, assinatura e criptografia. Seguem padrões regulatórios e técnicos universais que compõem essa cadeia de confiança que pela solidez e rigoroso controle gera na utilização dos Certificados Digitais evidências matemáticas que garantem autoria, integridade, autenticidade, qualificação, confidencialidade e temporalidade para o não repúdio dos atos praticados no meio eletrônico e os ativos eletrônicos a eles relacionados.
O certificado digital é conjunto de dados, gerados por uma Autoridade Certificadora – AC após a validação das credenciais do titular que é realizada por uma Autoridade de Registro – AR o que garante ao certificado o caráter personalíssimo. O titular do certificado digital pode ser pessoa física, pessoa jurídica e também pode ser emitido para equipamentos e para aplicações.
Na ICP-Brasil estão definidos oito tipos de certificados para titulares, classificados da seguinte forma: A1, A2, A3, A4, S1, S2, S3 e S4 e um tipo de certificado para Autoridades Certificadoras. Na prática, funciona como uma identidade virtual e permite a identificação segura e indiscutível do autor em transações em meios eletrônicos.
O Instituto Nacional de Tecnologia da Informação – ITI é uma autarquia federal, vinculada a Casa Civil da Presidência da República, que tem por missão manter e executar as políticas da Infraestrutura de Chaves Públicas Brasileira – ICP-Brasil. Ao ITI compete ainda ser a primeira autoridade da cadeia de certificação digital – AC Raiz. A Medida Provisória 2.200-2 de 24 de agosto de 2001 deu início à implantação do sistema nacional de certificação digital da ICP-Brasil. Isso significa que o Brasil possui uma infraestrutura pública, mantida e auditada por um órgão público, no caso, o ITI, que segue regras de funcionamento estabelecidas pelo Comitê Gestor da ICP-Brasil, cujos membros, representantes dos poderes públicos, sociedade civil organizada e pesquisa acadêmica, são nomeados pelo Presidente da República.
A Infraestrutura de Chaves Públicas – ICP, é o conjunto de normas e requesitos técnicos. Os requisitos englobam a homologação de hardwares e softwares e envolvem, da mesma forma, o complexo conjunto de procedimentos relacionados ao ciclo de vida dos certificados digitais. No Brasil é denominada Infraestrutura de Chaves Públicas Brasileira – ICP-Brasil.
Qual é a estrutura da ICP-Brasil?
A ICP-Brasil é composta por uma cadeia de autoridades certificadoras, formada por uma Autoridade Certificadora Raiz (AC-Raiz), Autoridades Certificadoras (AC) e Autoridades de Registro (AR) e, ainda, por uma autoridade gestora de políticas, ou seja, o Comitê Gestor da ICP-Brasil. Existem ainda outros tipos de entidades como a Autoridade de Carimbo do Tempo, Entidade Emissora de Atributo, Prestador de Serviço de Suporte e Prestador de Serviços de Confiança.
- NetApp colabora com a Red Hat para oferecer maior flexibilidade aos ambientes virtualizados
- Sofya firma parceria com a Oracle para potencializar healthcare no Brasil
- Chega às livrarias o bem-humorado e revelador No Code – As histórias não contadas da tecnologia bancária no Brasil
- Grupo Stefanini anuncia Farlei Kothe como CEO das regiões da América do Norte, APAC e EMEA
- Setor aéreo brasileiro se reúne para reforçar a estratégia de segurança contra ciberataques
