5

Estou desenvolvendo um sistema no qual preciso implementar a utilização do certificado digital A3 para que os documentos anexados no sistema tenham valor legal. Como é feito isso? É possível fazer em PHP? Ou é melhor fazer em JAVA? Quais as ferramentas que são utlizadas para este processo? Me ajudem, pois não faço idéia de como fazer!

5
  • O certificado A3 é totalmente contrário aos princípios da WEB. Primeiramente que exige linguagens de "baixo nível" para acessar o hardware correspondente, também são de difícil interação e instalação com os ambientes de trabalho. <p>Imaginem só se os bancos, que têm tecnologia de ponta para acesso aos seus sistemas pelos usuários, fossem disponibilizar certificados A3 para os mesmos acessarem? NUNCA seria possível! Ou seria inviável tentar! As entidades certificadoras no Brasil deveriam repensar a respeito disto! <p>Enquanto estamos acessando nossas contas; pagando, vendo saldo, transferindo, Commented 15/11/2016 às 15:15
  • 4
    Dá para usar A3 com "Web". O problema não é o certificado, o problema é as pessoas se meterem a usar "princípios WEB" para tarefas de aplicativos reais. Faz 10 anos no mínimo que eu escuto que a web é o futuro das aplicações, e todas que estão no mercado são provas claras de que não deu certo. As poucas que funcionam RAZOAVELMENTE bem, como a versão online do Office, demandaram muito mais homens-hora do que uma aplicação convencional, e sem a mesma solidez. Quem sabe passados mais 10 anos a molecada comece a acordar fazer aplicativos de verdade.
    – Largato
    Commented 15/11/2016 às 21:10
  • 4
    Fora isto, daria pra usar bancos com A3 sem problemas. Você está confundindo limitação para uma tarefa específica com o uso dos A3 para o que foram feitos. Estou usando o termo A3 para certificados em cartão físico, na verdade esse problema de nomenclatura é parte das burocracias mal implementadas no nosso TI público. E nesta parte concordo, nosso TI público anda na contramão não só da tecnologia, mas do bom-senso, e fico pensando se é só o fato de termos as pessoas erradas tomando decisões importantes, ou se tem razões que vão além do interesse público, como lobby de empresas influenciando.
    – Largato
    Commented 15/11/2016 às 21:17
  • 4
    Se é sistema, provavelmente PHP é uma péssima escolha, mas não por causa do certificado. O simples fato de usar uma linguagem feita para "scripts web" no lugar de uma linguagem para programação de fato já é um indicador de problemas. Os "sistemas Web" que estão no mercado são a maior prova disso. Da mesma forma, não recomendaria Java, pois entendo que obrigar alguém a instalar um JRE por causa de um sistema que poderia ser feito sem dependências é uma sacanagem muito grande. Mas aí o respeito com cliente ja é postura pessoal, e não decisão técnica.
    – Largato
    Commented 15/11/2016 às 21:20
  • 2
    Acho que estão subestimando o PHP. PHP4 lá nos primórdios era uma linguagem script, hoje ela é uma poderosa linguagem WEB. A negociação de certificado acontecem na camada de rede e não de aplicação, o handshake é feito pelo servidor web e não pelo php. Você precisa ativar a função "verify client certificate" para obter acesso aos certificados, desta forma o navegador irá solicitar a permissão do usuário para autorização e leitura do certificado. Duvida? Veja minha resposta aqui: goo.gl/wxqBjw Commented 4/04/2017 às 18:08

2 Respostas 2

11

Para que o certificado CA seja exibido no prompt primeiro a leitora de cartão deve estar configurada adequadamente e exportando o certificado do token para o diretório de certificados do cliente.

Para saber se o certificado está sendo listado você pode fazer o teste do serasa: https://serasa.certificadodigital.com.br/wp-content/themes/serasaLoja/testeRequest1/testeRequest.php

Caso a leitora não esteja exportando sugiro a instalação do programa "Administração de Token" da Certisign ou similar de acordo com o modelo de leitora de cartão.

inserir a descrição da imagem aqui

Observação: Apenas se você tiver algum certificado válido na máquina será possível visualizar esta resposta.

Obtendo os dados do CA pelo PHP.

Para obter o certificado de um cliente, é necessário que o servidor web esteja configurado para realizar o SSL HAND SHAKE e exportar os dados do certificado obtido para variáveis de ambiente. Essa negociação irá acontecer antes do PHP ser compilado/executada.

Para permitir que SSL Hand Shake aconteça é necessário habilitar a opção de "verity client" no seu servidor web, porém ele só pode ser habilitado para o domínio inteiro (vide. https://serverfault.com/questions/843259/is-possible-to-use-lighttpd-httpurl-conditional-to-enable-ssl-verifyclient). Para fazer isso é necessário as seguintes configurações:

Sobre obter o CPF/CNPJ do certificado, ele está concatenado ao CN após o nome o carácter : separa a sequencia numérica do CPF ou CNPJ podendo ser extraído desta forma.

inserir a descrição da imagem aqui

Esse método lhe dá acesso ao certificado, como mostra a imagem aonde tá "----- BEGIN CERTIFICATE ----- ", é a string do certificado ela fica acessível em $_SERVER['SSL_CLIENT_CERT'] que por sua vez lhe garante acesso à chave pública através da função openssl_pkey_get_public então você pode usar a opção de assinar o PDF com bibliotecas como TCPDF.

Segue o exemplo do código que gerou a imagem acima:

<?php
if ($_SERVER['HTTPS'] == 'on') { //Alterar a validação de https de acordo com seu servidor web
    echo "<table>";
    echo "<tr><th>Chave</th><th>valor</th></tr>";
    foreach ($_SERVER as $key => $value) {
        switch (true) {
            //case strpos($key,"HTTP") == 0:
            case preg_match("/^SSL_CLIENT(.*)$/", $key):
                echo "<tr><td>", $key, "</td><td><pre>", $value, "</pre></td></tr>", PHP_EOL;
                break;
            default:
                break;
        }
    }

    if ($_SERVER['SSL_CLIENT_CERT']) {
        $pub_key = openssl_pkey_get_public($_SERVER['SSL_CLIENT_CERT']);
        $keyData = openssl_pkey_get_details($pub_key);
        echo "<tr><td>Public Key Resource</td><td><pre>", $pub_key, "</pre></td></tr>", PHP_EOL;
        echo "<tr><td>Bits</td><td><pre>", $keyData["bits"], "</pre></td></tr>", PHP_EOL;
        echo "<tr><td>PUBLIC KEY</td><td><pre>", $keyData["key"], "</pre></td></tr>", PHP_EOL;
        echo "<tr><td>RSA N</td><td><pre>", $keyData["rsa"]['n'], "</pre></td></tr>", PHP_EOL;
        echo "<tr><td>RSA E</td><td><pre>", $keyData["rsa"]['e'], "</pre></td></tr>", PHP_EOL;
        echo "<tr><td>Type</td><td><pre>", $keyData['type'], "</pre></td></tr>", PHP_EOL;
        echo "<tr><td>Raw Key Data Key</td><td><pre>";
        var_dump($keyData);
        echo "</pre></td></tr>", PHP_EOL;

        openssl_pkey_free($pub_key);

        $cert = openssl_x509_read($_SERVER['SSL_CLIENT_CERT']);
        $certData = openssl_x509_parse($cert);
        foreach ($certData as $k => $d) {
            echo "<tr><td>", strtoupper($k), "</td><td><pre>";
            switch (gettype($d)) {
                case "string":
                    echo $d;
                    break;
                default:
                    var_dump($d);
                    break;
            }

            echo "</pre></td></tr>", PHP_EOL;
        }
        echo "<tr><td>Certificate Raw</td><td><pre>";
        var_dump($certData);
        echo "</pre></td></tr>", PHP_EOL;
        openssl_x509_free($cert);
    }


    echo "</table>";
}

Consideração sobre os navegadores:

Gerais:

  • Ao negar um certificado será necessário fechar e abrir o navegador, não há como re-solicitar o certificado.
  • A regra anterior vale para utilização de múltiplos certificados, só é possível 1 certificado por sessão.
  • Após o certificado selecionado, ele vale para aquela sessão, ou seja, até que o navegador seja fechado. Apenas fechar a aba não renovará a sessão do certificado digital. O comportamento é o mesmo em todos os navegadores.

Firefox:

Chrome:

  • Não é necessário nenhuma configuração adicional, utiliza o próprio diretório de certificados do diretório.
  • A usabilidade da interface é melhor, porém o botão de cancelar impedirá que seja re-solicitado o certificado na mesma sessão.

Edge:

  • Não é necessário nenhuma configuração adicional, utiliza o próprio diretório de certificados do diretório.
  • Ele não lista todos os certificados é necessário usar a opção "Mais opções" para listar os demais certificados.

IE:

  • Como não é mais um navegador oficialmente suportado não tenho dados de teste para ele.
14
  • 1
    Esse método lhe dá acesso ao certificado (como mostra a imagem aonde tá BEGIN CERTIFICATE, é a string do certificado ela fica acessível em $_SERVER['SSL_CLIENT_CERT']) que por sua vez lhe garante acesso à chave pública através da função openssl_pkey_get_public então você pode usar a opção de assinar o pdf com bibliotecas como TCPDF. Para verificar a se a assinatura é valida é necessário a chave privada. É +- assim, criptografou com a publica, so abre com a privada. Criptografou com a privada, pode abrir com a publica. Commented 10/04/2017 às 14:45
  • 1
    @JordanBragon Funciona sim. O segundo item da imagem que está escrito "Selecione um certificado" é um certificado do tipo A1 Commented 9/05/2017 às 18:34
  • 1
    Amigo você com certeza conhece muito sobre esse assunto e mesmo apos ler esse excelente topico que vc publicou aqui (super completo e bem detalhado) eu ainda não consegui resolver meu problema descrito em pt.stackoverflow.com/questions/273193/… Poderias por gentileza dar uma olhadinha?
    – Samul
    Commented 31/01/2018 às 15:13
  • 2
    Opa! Você manja mesmo do assunto. Essa sua resposta + aquele guia para configurar o certificado no Apache me ajudaram a fazer a minha aplicação a ler o CA e era coisa que eu nem tinha ideia da possibilidade. Mas aí eu passei a receber o erro ERR_BAD_SSL_CLIENT_AUTH_CERT ao selecionar o certificado. Você saberia me dizer oq pode causar um erro desse tipo? Commented 12/09/2019 às 12:41
  • 2
    @ViniAntichrist esse erro ocorre quando o servidor rejeita o certificado que foi enviado. Quando você ativa a leitura do certificado, todo o tráfego dentro daquele domínio precisa acontecer com o certificado do usuário presente, por isso se faz necessário o uso de um subdomínio. Se sua dúvida for muito mais complexa sugiro formular uma pergunta para tratar disso. Commented 12/09/2019 às 20:08
0

A algum tempo eu pesquisei sobre isto também e após muita leitura descobri que:

Ou você tem um certificado instalado no servidor que fará a assinatura (tipo A1 que não vem em token/smartcard, mas sim em arquivo) ou você utiliza Java (no caso de usar certificado armazenado em token/smartcard).

Você até consegue pegar os dados do certificado plugado na máquina cliente com PHP e configurações no Apache, porém não consegue fazer a assinatura dos arquivos com ele sem utilizar Java.

9
  • Entendi... Você sabe me dizer quais são os procedimentos feitos e os metodos/funções utilizadas para fazer toda a interface e a assinatura com o certificado A1 em PHP? Commented 26/08/2015 às 11:18
  • Não, não sei cara, porque eu só pesquisei com A3 em token/smartcard, mas parei quando me deparei com a necessidade de usar java. Queria fazer somente com PHP ou javascript, mas isso, é impossível hoje :( Commented 27/08/2015 às 11:50
  • 1
    Vasculhando meus bookmarks encontrei estes dois links. Talvez te ajude: httpd.apache.org/docs/2.2/ssl/ssl_howto.html e www.nakov.com/research/documents-signing/ Commented 29/08/2015 às 1:10
  • 2
    Obrigado pela ajuda, vou dar uma olhada nesses links. Assim que eu conseguir vou criar um tutorial de como fazer a integração do certificado digital e assinar um arquivo também... Não quero que ninguém passe pela dor de cabeça que estou passando kkkkk... Muito grato pela sua ajuda Commented 31/08/2015 às 12:05
  • eaí @JordanBragon conseguiu evoluir algo ? cara eu consigo ler os dados de um certificado digital instalado na minha maquina, mas a minha dúvida é se forço um registro com esses dados ou eu tenho que assinar alguma AC (autorizada de certificado) pra fazer login? Commented 12/12/2016 às 18:32

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .