2

Trabalho com o desenvolvimento de uma aplicação Web em Java para gerenciamento de prontuários eletrônicos, no qual é necessário assinar documentos XML digitalmente.

Esta aplicação é utilizada por mais de 200 usuários dentro do ambiente do hospital e estes usuários utilizam vários computadores diferentes para acessá-la.

Quando iniciamos o desenvolvimento, optamos por utilizar os certificados A3 justamente pelo fato do usuário utilizar máquinas diferentes para acessar o sistema. Na ocasião a melhor maneira que encontramos para fazer isso foi por meio do Java Web Start.

Porém, recentemente fui informado que talvez seja possível colocar certificados digitais A1 diretamente no servidor Web, o que facilitaria muito as atividades do hospital, principalmente em relação à custos.

Algumas perguntas similares já foram respondidas como esta aqui, porém não compreendi bem se este é o caso no qual estou lidando.

Sendo assim:

  1. É possível importar os certificados A1 de todos os usuários e armazená-los diretamente no servidor? (sei que não é possível converter os A3 já existentes para A1)
  2. Neste caso, os usuários somente precisarão digitar seu PIN para assinar os documentos?
  3. Além disso, no momento da assinatura o sistema exibirá todos os +200 certificados armazenados para que o usuário escolha o seu e coloque o PIN?
0

2 Respostas 2

2

Antes, um pequeno resumo de como funcionam os certificados e a assinatura digital. No final da resposta deixei referências, afinal é um assunto complexo e os detalhes não caberiam aqui.

De maneira geral, estamos falando de criptografia de chave pública, na qual existe um par de chaves: uma pública e outra privada (veja os links no final para mais detalhes).

O certificado só contém a chave pública. A chave privada (que é usada para assinar digitalmente) fica separada do certificado, são duas "coisas" diferentes (embora relacionadas, já que a chave pública do certificado é usada para verificar a assinatura feita com a sua respectiva chave privada).

No caso do A3, tanto o certificado quanto sua chave privada ficam armazenados em alguma mídia física (um cartão, token, o que for), e o acesso à chave privada é protegido por senha (o PIN que você digita quando vai usá-la).

No caso do A1, a única diferença é que ele não fica armazenado em uma mídia, e sim em um arquivo. Os formatos mais comuns são o keystore (JKS) e o PKCS12 (arquivos pfx, mais comuns no Windows).

Ambos funcionam de modo similar: possuem várias entradas diferentes, identificadas por algum nome (chamado de "alias"). E em cada alias, você pode ter um certificado, ou o certificado + chave privada. Esse arquivo geralmente é protegido por senha (pode ser configurável, dependendo da forma que você cria estes arquivos) - a classe java.security.KeyStore, por exemplo, permite criar e manipular ambos os tipos (JKS e pfx).

Agora vamos às perguntas:

É possível importar os certificados A1 de todos os usuários e armazená-los diretamente no servidor?

Sim, desde que você também armazene as chaves privadas (pois elas é que são usadas para assinar digitalmente). Você pode guardar tudo em um único keystore, e usar alias diferentes para cada cliente, ou então usar um keystore separado para cada um. Onde ficam os arquivos vai depender da sua solução (podem ser blobs no banco, arquivos em alguma pasta do servidor, etc).

Como o recomendado é que o kesytore tenha uma senha, o usuário terá que digitá-la para acessar sua respectiva chave privada, quando for assinar o documento.

Os usuários somente precisarão digitar seu PIN para assinar os documentos?

Se o único uso que eles fazem da chave privada é no momento de assinar, então sim, somente neste momento será necessário digitar o PIN.

Se a chave privada não é usada para mais nada (por exemplo, para se autenticar no site usando o certificado), então a assinatura seria o único momento em que a senha é exigida.

Só que tem um detalhe: como o certificado+chave privada estão no servidor, o seu sistema terá que fazer com que o usuário digite a senha (através de alguma interface, via formulário, etc), pois todo o acesso ao kesytore e assinatura serão feitos no servidor, já que é lá que estão as chaves privadas.

É uma situação diferente de quando o certificado está instalado na máquina do cliente, pois neste caso, o broswer/SO faz o "meio de campo" e pede a senha automaticamente.

Além disso, no momento da assinatura o sistema exibirá todos os +200 certificados armazenados para que o usuário escolha o seu e coloque o PIN?

Se o certificado está no servidor, então você pode controlar o que o usuário pode ver. Sua aplicação poderia carregar somente os certificados daquele usuário, já que provavelmente ele nem deveria ver os outros (é como eu imagino que seja o seu sistema).


Referências:

1
  • 1
    Obrigado. Sua resposta foi muito útil. Commented 30/05/2018 às 17:30
-2

sim, é possível armazenar os certificados permitidos na sua lista de permissões (keystore) que será lido pelo seu apache. Voce o configura no mesmo xml que configura o acesso SSL ou HTTPS do apache e fornece o certificado do servidor, abaixo documentação:

https://www.ibm.com/support/knowledgecenter/pt-br/SS4GSP_6.2.7/com.ibm.udeploy.install.doc/topics/ssl_config_server_bds.htm

l E até onde conheço sim, o usuário terá uma lista de certificados instalados no navegador pra selecionar a dele e inserir a senha.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .