O que é um PKI ?

Chama-se PKI (Public Key Infrastucture, ou infra-estrutura com chave pública (ICP) , às vezes infra-estrutura de gestão de chaves (IGC)) ao conjunto das soluções técnicas baseadas na criptografia com chave pública.

Os criptosistemas com chaves públicas permitem livrar-se da necessidade recorrer sistematicamente a um canal protegido para trocar as chaves. Em contrapartida, a publicação da chave pública a grande escala deve fazer-se em total confiança para ter a certeza de que:

• A chave pública é efectivamente a do seu proprietário;
• O proprietário da chave é digno de confiança;
• A chave é sempre válida.

Assim, é necessário associar à bi-chave (conjunto chave pública/chave privada) um certificado emitido por um terceiro de confiança : a infra-estrutura de gestão de chaves.

Noção de terceiros de confiança

O terceiro de confiança é uma entidade chamada geralmente autoridade de certificação (ou em inglês Certification authority, abreviado CA) encarregada de assegurar a veracidade das informações contidas no certificado de chave pública e a sua validade.

Para o efeito, a autoridade assina o certificado de chave pública com a ajuda da sua própria chave, utilizando o princípio de assinatura numérica.

Papel da infra-estrutura de gestão de chaves

O papel da infra-estrutura de chaves públicas é múltiplo e cobre os campos seguintes :

• registar pedidos de chaves verificando a identidade dos requerentes;
• gerar os pares de chaves (chave privada/chave pública);
• garantir a confidencialidade das chaves privadas que correspondem às chaves públicas;
• certificar a associação entre cada utilizador e a sua chave pública;
• revogar chaves (no caso de perda pelo seu proprietário, expiração da sua data de validade ou de comprometimento).

Organização de um PKI

Uma infra-estrutura com chave pública é geralmente composta de duas entidades distintas :

• A autoridade de registo (notada AE ou RA para Recording authority), encarregada da formalidade administrativa como a verificação da identidade dos requerentes, o acompanhamento e a gestão dos pedidos, etc.);
• A autoridade de certificação (notado AC ou CA para Certificação Authority), encarregada das tarefas técnicas de criação de certificados. A autoridade de certificação é assim encarregue da assinatura dos pedidos de certificado (notados CSR para Certificate Signing Request, às vezes chamados PKCS#10, nome do formato correspondente). A autoridade de certificação tem igualmente por missão a assinatura das listas de revogações (CRL para Certificate Revocation List);
• Autoridade de Depósito (Repository) cuja missão é conservar em segurança os certificados.