"
Sexta-feira, 19 de março de 2010 às 09h30
Fraudes em Notas Fiscais Eletrônicas: problemas de conceito, e não de tecnologia
Com a adoção da Nota Fiscal Eletrônica (NF-e) por grande parte das empresas no Brasil nos últimos anos, deparamos com um um triste cenário de desconhecimento do risco de fraudes que esta tecnologia permite, caso a empresa desconsidere questões básicas de implementação deste sistema.
Como todos sabemos, para que as empresas possam emitir a NF-e elas terão que solicitar um Certificado Digital e-CNPJ em uma autoridade certificadora da ICP-Brasil. Isso parece relativamente simples, não é? Pois a segurança que temos em relação aos certificados digitais, com o poder das chaves criptográficas que estão por trás deles, garante uma grande segurança na questão técnica deste processo, que muitas vezes deixa obscuro algo tão simples, mas que pode gerar um problema sério para as empresas em um curto espaço de tempo.
Com a necessidade da implementação, muitas empresas aparecem com o seguinte discurso: 'meu contador me disse que tenho que ter um certificado digital urgente para poder emitir NF-e até o final do mês!'. E, por puro desconhecimento - e muitas vezes por comodismo de empresas provedoras de soluções neste segmento -, o cliente acaba optando pela emissão do certificado digital no padrão A1. Para quem não entende dos padrões de certificado, é simplesmente um arquivo de computador, que muitas vezes nem protegido por senha é, gerado e portado em um pendrive ou disquete que depois será guardado dentro de um servidor na empresa, pois ele tem o intuito de assinar as NF-e.
Mas há um problema sério de segurança neste tipo de adoção. Como o modelo certificado A1 é um arquivo, ele poderá ser copiado e utilizado para gerar NF-e válidas em nome de sua empresa, bastando somente uma pessoa mal intencionada ter acesso a uma cópia. E a empresa só descobrirá isso quando for pagar os impostos. E, o pior, como no momento da geração do certificado a empresa assina a responsabilidade pela tutela dele, ela será responsabilizada e não terá como repudiar as transações, ainda que feitas indevidamente.
E por que ainda as empresas adotam o uso do certificado A1? É bem simples: ele é mais vantajoso financeiramente para as empresas que geram o certificado, pois o custo de um certificado A1 é, geralmente, a metade do valor de um certificado padrão A3, que é gerado em token ou smartcard. Só que o A3 tem validade de três anos, contra somente um ano do certificado A1. Ou seja, o cliente que adota o certificado A3 tem um custo único de compra do token ou smartcard, porém ele terá, a cada 3 anos, uma economia de 33% no custo do certificado, sendo esta economia já paga completamente o hardware adquirido e que não precisa ser trocado mais, pois a empresa poderá aproveitar o mesmo hardware para emissões futuras. Outro ponto importante é que muitas empresas de ERP que tiveram que adotar um novo módulo de NF-e em seu sistema não oferecem suporte ao uso de certificados A3, forçando a adoção do A1, cooperando com a criação de um grande risco de segurança seus clientes..
E por que usar o certificado A3 em tokens e smartcards? Simplesmente para evitar a fraude de emissão de NF-e por pessoas mal intencionadas, pois quando geramos um certificado A3 as chaves são geradas pelo próprio dispositivo e são protegidas contra cópias, garantido a unicidade do certificado e, consequentemente, um controle maior de sua posse, pois é algo físico que podemos visualizar, diferente de um arquivo que pode ser copiado em pendrives e enviado anexado em e-mails.
Portanto, se você quer economia, segurança e controle do uso do certificado digital de sua empresa e emissão de suas NF-e, adote certificados A3 em hardware, pois irá prevenir uma grande dor de cabeça para sua empresa em um futuro próximo.
"
Sobre o Autor
Fabio Leto Biolo é Especialista em Segurança da Informação, atuou em inúmeros projetos de autenticação e segurança digital em todo o mundo e foi criador e presidente da Abrasinfo - Associação Brasileira de Segurança da Informação. Tem como principal objetivo de vida trazer novos conceitos de segurança da informação para a sociedade.
Outros problemas de segurança no que tange as assinaturas digitais
por: Raphael Simões Andrade
Outro grave problema com assinatura digital é desconsiderado pelas autoridades, e este se consubstancia na falta do chamando carimbo de tempo, que se propõe em colocar data e hora, de um relógio atômico oficial, que no Brasil é o do Observatório Nacional, em todas as assinaturas digitais, por via dos servidores de uma entidade protocolizadora, garantindo seu seqüenciamento de forma ubíqua. Em ultima análise, o carimbo de tempo serve para garanti segurança jurídica e o devido processo legal, aos administrados que tenham processos administrativos (como o envio de nota fiscal eletrônica ao Fisco) controlados pelos sistemas informatizados no âmbito da administração publica.
Para entender melhor o problema, segue pequena explicação da assinatura digital com datação.
Com o uso de carimbo de tempo na assinatura digital, decorrente de lhe ser atribuída data e hora única e independente de equipamento, seu seqüenciamento tem característica ubíqua, ou seja, que independente do lugar, do software, ou da localização. Destarte, poder-se-á atribuir uma seqüência dos documentos independentemente do sistema de informação, ou seja, por exemplo, se o sistema acusa que um documento precedeu outro, o usuário, pela assinatura temporal, independentemente do sistema, pode-se verificar a verdadeira seqüência. Deste modo, temos que os usuários dos sistemas passam a ter como garantir, de forma universal e independente do sistema, a validade, autoria e seqüenciamento dos documentos.
Além disso, não se atentam para o fato de que a validade das assinaturas digitais (ditas atemporais) está atrelada a prazo de validade do certificado digital que lhe deu origem. Por isso, quando o certificado digital, que tem prazo mínimo de um ano, chegam a expirar, todos os documentos assinados com uso dele são automaticamente inválidos.
Mas, por que isso acontece com as assinaturas digitais atemporais?
Vejamos, pois, que no ato de validação da assinatura digital atemporal, os softwares e até o sistema operacional realiza, na leitura do documento, verificação de sua integridade, esta por sua vez tem um passo onde se verifica se o certificado que lhe deu origem se expirou. Em casos mais sofisticados o software de validação pode até buscar na Entidade Certificadora, emissora do respectivo certificado digital do assinante, pela internet, por uma possível revogação do certificado digital, nestes casos o documento será invalidado. Ou seja, estando revogado ou expirado o Certificado Digital original todos os documentos assinados por este serão automaticamente invalidados.
Já para a assinatura digital temporal, a validação é feita com base no instante de tempo do recibo da protocolização, além das verificações anteriores pertinentes à assinatura atemporal, mesmo que se revogue certificado digital do assinante a assinatura digital temporal continua válida. Isso se deve ao fato do registro válido do tempo, que deve ser anterior a ato de revogação do certificado, se for o caso, ou da expiração, pelo qual se garante a validade indefinidamente do documento assinado.
Vale ressaltar que, por motivos técnicos de segurança, todos os certificados digitais têm prazo de expiração, o que na maioria dos casos são de no máximo de um ano. O fundamento disso está no fato de que esta tecnologia é baseada em regras matemáticas, ou cálculo matemático, usando dois números primos, um público e outro privado (que é protegido de todas as formas), mas que com uso de força computacional bruta alguém poderá, um dia, descobrir o valor da chave privada, e com isso assumir a identidade do seu portador. Por isso se dá um prazo de expiração, baseados em estatísticas e estudos, que levam em consideração o tamanho, em bytes, dos números primos e a capacidade computacional dos equipamentos em um determinado período. Curiosamente eu verifiquei, no decorrer da minha vida profissional, que com o passar dos anos as chaves passaram do tamanho de 128 bytes (em 2000) até os atuais 2048 bytes para chaves privada e pública, para que se mantivesse o tempo mínimo de um ano de validade para os certificados digitais emitidos.
Porém, há outra fonte de insegurança e falha no sistema regulado pela legislação pertinente ao ICP-Brasil, pois não há como garantir a “honestidade” do software que irá realizar a assinatura digital no documento. O ITI regula que deva ser usado um software homologado pela própria autarquia federal, mas nada garante que se possa usar outro software para fazer assinatura digital, e ai é que surge nova falha de segurança.
Como nas assinaturas digitais não há como identificar o software que lhe deu origem, poder-se-ia inadvertidamente usar um software não homologado que permitisse usurpar a identidade digital do cliente. Com este software um criminoso poderia passar a usar a identidade digital da vítima para os mais variados golpes, sem que se pudesse auferir, dos documentos assinados, quais derivam de software homologado e quais derivam do software do golpista, com fulcro em separar o que é válido do que foi fruto de uma simulação.
Desta forma, as assinaturas digitais dos documentos, além do carimbo de tempo, necessitam que lhes sejam, também, garantidas a autoria do software usado para procede-la. Portanto, sem a garantia da informação pertinente ao software utilizado para perpetrar a assinatura digital, não teremos meios de verifica se a assinatura digital deriva de um software confiável ou não, e, como foi relatado, caso descubra-se a incidência de fraude, simulação, estelionato ou qualquer outra ilegalidade, não teremos como invalidar juridicamente as assinaturas dele decorrentes.
Assim, proponho que o ITI regule a obrigatoriedade de que os softwares de assinatura digital, no âmbito do ICP-Brasil, além de inserir carimbo de tempo na assinatura do usuário, também sejam obrigados sobrescrevê-lo com outra assinatura, própria para esta finalidade, se existir tal finalidade na arquitetura PKI, para garantir a autoria do software que realizou a assinatura digital.
