Estou desenvolvendo um sistema no qual preciso implementar a utilização do certificado digital A3 para que os documentos anexados no sistema tenham valor legal. Como é feito isso? É possível fazer em PHP? Ou é melhor fazer em JAVA? Quais as ferramentas que são utlizadas para este processo? Me ajudem, pois não faço idéia de como fazer!
-
O certificado A3 é totalmente contrário aos princípios da WEB. Primeiramente que exige linguagens de "baixo nível" para acessar o hardware correspondente, também são de difícil interação e instalação com os ambientes de trabalho. <p>Imaginem só se os bancos, que têm tecnologia de ponta para acesso aos seus sistemas pelos usuários, fossem disponibilizar certificados A3 para os mesmos acessarem? NUNCA seria possível! Ou seria inviável tentar! As entidades certificadoras no Brasil deveriam repensar a respeito disto! <p>Enquanto estamos acessando nossas contas; pagando, vendo saldo, transferindo,– Henrique ArigoniCommented 15/11/2016 às 15:15
-
4Dá para usar A3 com "Web". O problema não é o certificado, o problema é as pessoas se meterem a usar "princípios WEB" para tarefas de aplicativos reais. Faz 10 anos no mínimo que eu escuto que a web é o futuro das aplicações, e todas que estão no mercado são provas claras de que não deu certo. As poucas que funcionam RAZOAVELMENTE bem, como a versão online do Office, demandaram muito mais homens-hora do que uma aplicação convencional, e sem a mesma solidez. Quem sabe passados mais 10 anos a molecada comece a acordar fazer aplicativos de verdade.– Largato ♦Commented 15/11/2016 às 21:10
-
4Fora isto, daria pra usar bancos com A3 sem problemas. Você está confundindo limitação para uma tarefa específica com o uso dos A3 para o que foram feitos. Estou usando o termo A3 para certificados em cartão físico, na verdade esse problema de nomenclatura é parte das burocracias mal implementadas no nosso TI público. E nesta parte concordo, nosso TI público anda na contramão não só da tecnologia, mas do bom-senso, e fico pensando se é só o fato de termos as pessoas erradas tomando decisões importantes, ou se tem razões que vão além do interesse público, como lobby de empresas influenciando.– Largato ♦Commented 15/11/2016 às 21:17
-
4Se é sistema, provavelmente PHP é uma péssima escolha, mas não por causa do certificado. O simples fato de usar uma linguagem feita para "scripts web" no lugar de uma linguagem para programação de fato já é um indicador de problemas. Os "sistemas Web" que estão no mercado são a maior prova disso. Da mesma forma, não recomendaria Java, pois entendo que obrigar alguém a instalar um JRE por causa de um sistema que poderia ser feito sem dependências é uma sacanagem muito grande. Mas aí o respeito com cliente ja é postura pessoal, e não decisão técnica.– Largato ♦Commented 15/11/2016 às 21:20
-
2Acho que estão subestimando o PHP. PHP4 lá nos primórdios era uma linguagem script, hoje ela é uma poderosa linguagem WEB. A negociação de certificado acontecem na camada de rede e não de aplicação, o handshake é feito pelo servidor web e não pelo php. Você precisa ativar a função "verify client certificate" para obter acesso aos certificados, desta forma o navegador irá solicitar a permissão do usuário para autorização e leitura do certificado. Duvida? Veja minha resposta aqui: goo.gl/wxqBjw– LeonanCarvalhoCommented 4/04/2017 às 18:08
2 Respostas
Para que o certificado CA seja exibido no prompt primeiro a leitora de cartão deve estar configurada adequadamente e exportando o certificado do token para o diretório de certificados do cliente.
Para saber se o certificado está sendo listado você pode fazer o teste do serasa: https://serasa.certificadodigital.com.br/wp-content/themes/serasaLoja/testeRequest1/testeRequest.php
Caso a leitora não esteja exportando sugiro a instalação do programa "Administração de Token" da Certisign ou similar de acordo com o modelo de leitora de cartão.
Observação: Apenas se você tiver algum certificado válido na máquina será possível visualizar esta resposta.
Obtendo os dados do CA pelo PHP.
Para obter o certificado de um cliente, é necessário que o servidor web esteja configurado para realizar o SSL HAND SHAKE e exportar os dados do certificado obtido para variáveis de ambiente. Essa negociação irá acontecer antes do PHP ser compilado/executada.
Para permitir que SSL Hand Shake aconteça é necessário habilitar a opção de "verity client" no seu servidor web, porém ele só pode ser habilitado para o domínio inteiro (vide. https://serverfault.com/questions/843259/is-possible-to-use-lighttpd-httpurl-conditional-to-enable-ssl-verifyclient). Para fazer isso é necessário as seguintes configurações:
- Seu servidor deve estar devidamente instalado para receber requisições ssl(HTTPS).
- Ativa-se uma configuração no servidor WEB que Verifica o certificado do cliente, cada servidor web tem uma forma de realizar isso. Aqui está a forma como é configurado no Lighttpd: https://redmine.lighttpd.net/boards/2/topics/5157?r=7273#message-7273. E aqui (em inglês) um artigo que mostra como é feito em PHP usando Apache https://cweiske.de/tagebuch/ssl-client-certificates.htm
- Configurar corretamente a cadeia de certificados dentro de um arquivo composto destes certificados de autoridade ou CAs: Qual é a ordem correta da cadeia de certificados da ICP-Brasil para que o certificado de um e-CPF e e-CNPJ seja solicitado na autenticação via TLS?
- O Navegador entende isso e abre essa caixa de diálogo para o cliente permitir o acesso e selecionar o certificado, conforme a imagem:
- Após o cliente selecionar a conexão com o servidor segue normalmente, e as variáveis são exportadas como variáveis de ambiente que podem ser facilmente lidas em $SERVER, nas chaves que começam com "SSL"
Sobre obter o CPF/CNPJ do certificado, ele está concatenado ao CN após o nome o carácter : separa a sequencia numérica do CPF ou CNPJ podendo ser extraído desta forma.
Esse método lhe dá acesso ao certificado, como mostra a imagem aonde tá "----- BEGIN CERTIFICATE ----- ", é a string do certificado ela fica acessível em $_SERVER['SSL_CLIENT_CERT'] que por sua vez lhe garante acesso à chave pública através da função openssl_pkey_get_public então você pode usar a opção de assinar o PDF com bibliotecas como TCPDF.
Segue o exemplo do código que gerou a imagem acima:
<?php
if ($_SERVER['HTTPS'] == 'on') { //Alterar a validação de https de acordo com seu servidor web
echo "<table>";
echo "<tr><th>Chave</th><th>valor</th></tr>";
foreach ($_SERVER as $key => $value) {
switch (true) {
//case strpos($key,"HTTP") == 0:
case preg_match("/^SSL_CLIENT(.*)$/", $key):
echo "<tr><td>", $key, "</td><td><pre>", $value, "</pre></td></tr>", PHP_EOL;
break;
default:
break;
}
}
if ($_SERVER['SSL_CLIENT_CERT']) {
$pub_key = openssl_pkey_get_public($_SERVER['SSL_CLIENT_CERT']);
$keyData = openssl_pkey_get_details($pub_key);
echo "<tr><td>Public Key Resource</td><td><pre>", $pub_key, "</pre></td></tr>", PHP_EOL;
echo "<tr><td>Bits</td><td><pre>", $keyData["bits"], "</pre></td></tr>", PHP_EOL;
echo "<tr><td>PUBLIC KEY</td><td><pre>", $keyData["key"], "</pre></td></tr>", PHP_EOL;
echo "<tr><td>RSA N</td><td><pre>", $keyData["rsa"]['n'], "</pre></td></tr>", PHP_EOL;
echo "<tr><td>RSA E</td><td><pre>", $keyData["rsa"]['e'], "</pre></td></tr>", PHP_EOL;
echo "<tr><td>Type</td><td><pre>", $keyData['type'], "</pre></td></tr>", PHP_EOL;
echo "<tr><td>Raw Key Data Key</td><td><pre>";
var_dump($keyData);
echo "</pre></td></tr>", PHP_EOL;
openssl_pkey_free($pub_key);
$cert = openssl_x509_read($_SERVER['SSL_CLIENT_CERT']);
$certData = openssl_x509_parse($cert);
foreach ($certData as $k => $d) {
echo "<tr><td>", strtoupper($k), "</td><td><pre>";
switch (gettype($d)) {
case "string":
echo $d;
break;
default:
var_dump($d);
break;
}
echo "</pre></td></tr>", PHP_EOL;
}
echo "<tr><td>Certificate Raw</td><td><pre>";
var_dump($certData);
echo "</pre></td></tr>", PHP_EOL;
openssl_x509_free($cert);
}
echo "</table>";
}
Consideração sobre os navegadores:
Gerais:
- Ao negar um certificado será necessário fechar e abrir o navegador, não há como re-solicitar o certificado.
- A regra anterior vale para utilização de múltiplos certificados, só é possível 1 certificado por sessão.
- Após o certificado selecionado, ele vale para aquela sessão, ou seja, até que o navegador seja fechado. Apenas fechar a aba não renovará a sessão do certificado digital. O comportamento é o mesmo em todos os navegadores.
Firefox:
- Utiliza uma forma diferente para gerenciar os certificados, não utiliza o repositório de certificados do sistema operacional, ele tem um "container" próprio para armazenar os certificados válidos.Dessa forma, o certificado é instalado manualmente no firefox utilizando uma opção de importação do próprio navegador.
- Para certificados do tipo A3, é necessário configurar o dispositivo como um dispositivo válido manualmente : .http://loja.certificadodigital.com.br/Serasa/UPLOAD/Downloads/673.pdf(MAC) http://loja.certificadodigital.com.br/Serasa/UPLOAD/Downloads/490.pdf(Windows)
- O ITI Brasil abriu um ticket 9 anos atrás (e que é ativo até hj) para tratar dos assuntos relativos a inclusão da ICP-Raiz no firefox https://bugzilla.mozilla.org/show_bug.cgi?id=438825
- Irá sempre pedir a senha de todos os tokens de certificados A3 quando for feito a requisição.
Chrome:
- Não é necessário nenhuma configuração adicional, utiliza o próprio diretório de certificados do diretório.
- A usabilidade da interface é melhor, porém o botão de cancelar impedirá que seja re-solicitado o certificado na mesma sessão.
Edge:
- Não é necessário nenhuma configuração adicional, utiliza o próprio diretório de certificados do diretório.
- Ele não lista todos os certificados é necessário usar a opção "Mais opções" para listar os demais certificados.
IE:
- Como não é mais um navegador oficialmente suportado não tenho dados de teste para ele.
-
1Esse método lhe dá acesso ao certificado (como mostra a imagem aonde tá BEGIN CERTIFICATE, é a string do certificado ela fica acessível em $_SERVER['SSL_CLIENT_CERT']) que por sua vez lhe garante acesso à chave pública através da função openssl_pkey_get_public então você pode usar a opção de assinar o pdf com bibliotecas como TCPDF. Para verificar a se a assinatura é valida é necessário a chave privada. É +- assim, criptografou com a publica, so abre com a privada. Criptografou com a privada, pode abrir com a publica. Commented 10/04/2017 às 14:45
-
1@JordanBragon Funciona sim. O segundo item da imagem que está escrito "Selecione um certificado" é um certificado do tipo A1 Commented 9/05/2017 às 18:34
-
1Amigo você com certeza conhece muito sobre esse assunto e mesmo apos ler esse excelente topico que vc publicou aqui (super completo e bem detalhado) eu ainda não consegui resolver meu problema descrito em pt.stackoverflow.com/questions/273193/… Poderias por gentileza dar uma olhadinha?– SamulCommented 31/01/2018 às 15:13
-
2Opa! Você manja mesmo do assunto. Essa sua resposta + aquele guia para configurar o certificado no Apache me ajudaram a fazer a minha aplicação a ler o CA e era coisa que eu nem tinha ideia da possibilidade. Mas aí eu passei a receber o erro ERR_BAD_SSL_CLIENT_AUTH_CERT ao selecionar o certificado. Você saberia me dizer oq pode causar um erro desse tipo? Commented 12/09/2019 às 12:41
-
2@ViniAntichrist esse erro ocorre quando o servidor rejeita o certificado que foi enviado. Quando você ativa a leitura do certificado, todo o tráfego dentro daquele domínio precisa acontecer com o certificado do usuário presente, por isso se faz necessário o uso de um subdomínio. Se sua dúvida for muito mais complexa sugiro formular uma pergunta para tratar disso. Commented 12/09/2019 às 20:08
A algum tempo eu pesquisei sobre isto também e após muita leitura descobri que:
Ou você tem um certificado instalado no servidor que fará a assinatura (tipo A1 que não vem em token/smartcard, mas sim em arquivo) ou você utiliza Java (no caso de usar certificado armazenado em token/smartcard).
Você até consegue pegar os dados do certificado plugado na máquina cliente com PHP e configurações no Apache, porém não consegue fazer a assinatura dos arquivos com ele sem utilizar Java.
-
Entendi... Você sabe me dizer quais são os procedimentos feitos e os metodos/funções utilizadas para fazer toda a interface e a assinatura com o certificado A1 em PHP? Commented 26/08/2015 às 11:18
-
Não, não sei cara, porque eu só pesquisei com A3 em token/smartcard, mas parei quando me deparei com a necessidade de usar java. Queria fazer somente com PHP ou javascript, mas isso, é impossível hoje :( Commented 27/08/2015 às 11:50
-
1Vasculhando meus bookmarks encontrei estes dois links. Talvez te ajude: httpd.apache.org/docs/2.2/ssl/ssl_howto.html e www.nakov.com/research/documents-signing/ Commented 29/08/2015 às 1:10
-
2Obrigado pela ajuda, vou dar uma olhada nesses links. Assim que eu conseguir vou criar um tutorial de como fazer a integração do certificado digital e assinar um arquivo também... Não quero que ninguém passe pela dor de cabeça que estou passando kkkkk... Muito grato pela sua ajuda Commented 31/08/2015 às 12:05
-
eaí @JordanBragon conseguiu evoluir algo ? cara eu consigo ler os dados de um certificado digital instalado na minha maquina, mas a minha dúvida é se forço um registro com esses dados ou eu tenho que assinar alguma AC (autorizada de certificado) pra fazer login? Commented 12/12/2016 às 18:32