DOU 04/11/2024 - Diário Oficial da União - Brasil

                            Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152024110400007
7
Nº 213, segunda-feira, 4 de novembro de 2024
ISSN 1677-7042
Seção 1
9 Detalhamento dos campos e extensões das Listas de Certificados Revogados ( LC R )
.
.Campo
.Valor
.Presença .Criticalidade .Comentário/Referência
. .1. Versão
.2 (0x1)
.O
.-
.
. .2. Algoritmo
de Assinatura
.Conforme regulamento
editado por instrução
normativa da AC Raiz que
defina os padrões e
algoritmos criptográficos da
ICP-Brasil.
.O
.-
.DOC-ICP-01.01
. .3. Emissor
.C = BR O = ICP-Brasil OU =
<CN da cadeia vinculada à
emissora> CN = <Nome da AC
Emissora>
.O
.-
.
. .4. Período de
Validade
.
.
.
.
. .esta emissão
.AAAAMMDDHHMMSSZ
O
-
Formato do tipo Time,
conforme RFC5280
. .próxima
emissão
.AAAAMMDDHHMMSSZ
.
.
.
. .5. Extensões
X.509v3
.
.-
.-
.
. .5.1. Authority
Ke y Identifier
.Hash 160 bits SHA-1 da chave
pública da AC que assina a
LC R
.O
.não-crítica
.
. .5.2. CRL
Number
.Número sequencial para cada
LCR emitida pela AC
.O
.não-crítica
.
. 6. Certificados
Revogados
.Número de série do
certificado
O
-
. .
.AAAAMMDDHHMMSSZ
(data da revogação)
.
.
.
. .9. Algoritmo
de Assinatura
.Conforme regulamento
editado por instrução
normativa da AC Raiz que
defina os padrões e
algoritmos criptográficos da
ICP-Brasil- DOC- ICP-01.01
.O
.-
.DOC-ICP-01.01
. .10. Valor da
Assinatura
.Cálculo da assinatura digital
dos campos básicos do
certificado (bit string).
.O
.-
.
Legenda: O = Obrigatório, P = Permitido e N = Não permitido" (NR)
Art. 11. O anexo da Resolução CG ICP-Brasil nº 177, de 20 de outubro de 2020,
DOC-ICP-05, passa a vigorar com as seguintes alterações:
"1.1.2 ....................................................................................................................
1.1.3 A estrutura desta DPC está baseada na RFC 3647.
1.1.4 A AC responsável deverá manter todas as informações da sua DPC sempre
atualizadas.
1.1.5 Este documento compõe o conjunto normativo da ICP-Brasil e nele são
referenciados outros regulamentos dispostos nas demais normas da ICP-Brasil,
conforme especificado no item 10.
1.2 .......................................................................................................................
.......................................................................................................................................
1.2.2 As ACs emissoras de certificados para usuários finais devem ser
exclusivas e separadas de acordo com os seguintes propósitos de uso de chaves:
a) autenticação de aplicações específicas;
b) assinatura de documento e proteção de e-mail (S/MIME) e garantia de origem
e integridade; e
c) assinatura de carimbo do tempo (TimeStamping).
1.3 .......................................................................................................................
.......................................................................................................................................
3.1.1.1 Neste item devem ser definidos os tipos de nomes admitidos para os
titulares de certificados emitidos pela AC responsável pela DPC. Entre os tipos de
nomes considerados, poderão estar o "Distinguished Name" do padrão ITU X.500.
.....................................................................................................................................
3.2.2.2 Documentos para efeitos de identificação de uma organização
a) .........................................................................................................................
b) ........................................................................................................................
i) ..........................................................................................................................
ii) prova de inscrição no Cadastro Nacional de Obras - CNO.
Nota 1: As confirmações de que trata o item 3.2.2.2 poderão ser feitas de forma eletrônica,
desde que em barramentos ou aplicações oficiais de órgão competente. É obrigatório que
essas validações constem no dossiê eletrônico do titular do certificado.
3.2.2.3 Responsabilidade decorrente do uso do certificado de uma organização
Os atos praticados com o certificado digital de titularidade de uma organização
estão sujeitos ao regime de responsabilidade definido em lei.
3.2.3 ....................................................................................................................
.......................................................................................................................................
3.2.3.1.8.1 No caso de AR ELETRÔNICA, a base oficial nacional, a ser definida
por Instrução Normativa da AC Raiz, deverá ter como requisito técnico a garantia de
individualização unívoca dos cidadãos, biométrica e biográfica, a nível nacional.
3.2.4 Informações não verificadas do titular do certificado
........................................................................................................................................
3.2.7.1.5 Fica dispensada a observância do item 3.2.2.1.3, alíneas "b" e "c", para
certificados cujo titular seja pessoa jurídica quando a solicitação for assinada com o
certificado digital ICP-Brasil válido, do tipo A3 ou superior, cuja titularidade é da
mesma pessoa física responsável legal da organização e a verificação dos documentos
elencados no item 3.2.2.2 possa ser realizada eletronicamente por meio de
barramento ou aplicação oficial.
3.2.7.2 Procedimentos para efeitos de identificação de um equipamento ou aplicação
3.2.7.2.1 Para certificados de aplicações específicas que utilizem URL na
identificação do titular, deve ser verificado se o solicitante do certificado detém o
registro do nome de domínio junto ao órgão competente, ou se possui autorização
do titular do domínio para usar aquele endereço. Nesse caso, deve ser apresentada
documentação comprobatória (termo de autorização de uso de domínio ou similar)
devidamente assinado pelo titular do domínio.
3.2.7.2.2 Para emissão de certificados do tipo T3 ou T4, para equipamentos de
ACT credenciadas na ICP-Brasil, a solicitação deve conter o nome de servidor  e o
número de série do equipamento. Esses dados devem ser validados comparando-os
com aqueles publicados pelo ITI no Diário Oficial da União, quando do deferimento
do credenciamento da ACT.
3.2.7.3 Autenticação de identificação de equipamento para certificado CF- e - S AT
3.2.7.3.1 Disposições gerais
3.2.7.3.1.1 Em se tratando de certificado emitido para equipamento SAT, o
titular será representado pelo contribuinte identificado no certificado digital ICP-
Brasil de pessoa jurídica que assina a solicitação, associada ao número de série do
equipamento detentor da chave privada.
3.2.7.3.1.2 Para certificados do tipo A CF-e-SAT, a confirmação da identidade da
organização e das pessoas físicas se dará conforme disposto no item 3.2.2 e com a
assinatura do TERMO DE TITULARIDADE [4] específico de que trata o item 4.1.
3.2.7.3.1.3 Para certificados do tipo A CF-e-SAT, por se tratar de certificado para
equipamento fiscal específico para contribuinte já identificado quando da emissão do
certificado digital ICP-Brasil de pessoa jurídica válido que assina a requisição do
certificado A CF-e-SAT, a confirmação da identidade se dará exclusivamente na forma do
disposto no item 3.2.3 e com a assinatura do TERMO DE TITULARIDADE [4] específico de
que trata o item 4.1.
3.2.7.4 Procedimentos para efeitos de identificação de um equipamento SAT
3.2.7.4.1 Para certificados de equipamento SAT, deve ser verificado se o CNPJ
do contribuinte que assina digitalmente a solicitação desse certificado está vinculado
ao número de série do referido equipamento, o qual deve estar registrado e
autorizado pela unidade fiscal federada. Essas informações devem ser obtidas e
confirmadas pela AC emissora do certificado.
3.2.7.5 Autenticação de identificação de equipamentos para certificado OM-BR
3.2.7.5.1 Disposições gerais
3.2.7.5.1.1 Em se tratando de certificado emitido para equipamento OM-BR, o
titular será representado pelo fabricante identificado no certificado digital ICP-Brasil
de pessoa jurídica que assina a solicitação, associada ao número de identificação do
equipamento detentor da chave privada.
3.2.7.5.1.2 Para certificados do tipo OM-BR, a confirmação da identidade do
fabricante se dará conforme disposto no item 3.2.7.1 e com a assinatura do TERMO
DE TITULARIDADE
[4] específico de que trata o item 4.1.
3.2.7.5.1.3 Para certificados do tipo OM-BR, por se tratar de certificado para
equipamento metrológico específico de fabricante autorizado já identificado quando da
emissão do certificado digital ICP-Brasil de pessoa jurídica válido que assina a requisição
do certificado OM-BR, a confirmação da identidade se dará exclusivamente na forma do
disposto no item 3.2.7.1 e com a assinatura do TERMO DE TITULARIDADE [4] específico
de que trata o item 4.1
3.2.7.6 Procedimentos para efeitos de identificação de um equipamento metrológico
3.2.7.6.1 Para certificados de equipamento metrológico, deve ser verificado se o
CNPJ do fabricante que assina digitalmente a solicitação desse certificado está vinculado
aos controles regulatórios do referido equipamento, o qual deve estar registrado e
autorizado pelo Inmetro. Essas informações devem ser obtidas e confirmadas pela AC
emissora do certificado.
3.2.8 Procedimentos complementares
3.2.8.1 A AC mantém políticas e procedimentos internos que são revisados
regularmente a fim de cumprir os requisitos dos vários programas de raiz dos quais
a AC é membro, bem como os Princípios e Critérios WebTrust.
.......................................................................................................................................
3.2.9.7 .................................................................................................................
a) o responsável pelo uso do certificado de selo eletrônico deverá ser autenticado
através de batimento biométrico (1:1) em PSBio credenciado na ICP-Brasil, na base
biométrica oficial do TSE ou em outra base biométrica oficial da União, dos Estados ou
do Distrito Federal, com comprovação auditável desse processo de autenticação
biométrica por parte da AC. Essa comprovação poderá ser pelo CPF ou outro indexador
viável entre os sistemas;
........................................................................................................................................
3.2.9.8 .................................................................................................................
a) a pessoa física titular do certificado deverá ter sido biometricamente
identificada e individualizada na base biométrica do órgão responsável pela emissão
da Carteira de Identidade (RG) ou da Carteira Nacional de Habilitação (CNH),
conforme o caso, bem como ter dado consentimento expresso e específico para o
compartilhamento com as entidades da ICP-Brasil dos dados biométricos e biográficos
necessários para a identificação, cadastro e emissão do certificado digital. Essa
individualização poderá ser pelo CPF ou outro indexador viável entre os sistemas;
......................................................................................................................................
3.3.2 ....................................................................................................................
a) ..........................................................................................................................
b) solicitação, por meio eletrônico, assinada digitalmente com o uso de
certificado ICP- Brasil válido, do tipo A3 ou superior, cujo certificado requisitado
seja do mesmo nível de segurança ou inferior; ou
c) por meio de videoconferência, conforme procedimentos e requisitos técnicos
definidos em Instrução Normativa da AC Raiz, os quais deverão assegurar nível de
segurança equivalente à forma presencial, garantindo a validação das mesmas informações
de identificação e biométricas, mediante o emprego de tecnologias eletrônicas seguras de
comunicação, interação, documentação e tratamento biométrico.
3.3.2.1 Para certificados de aplicações específicas que utilizem URL, a AC poderá
implementar mecanismos automatizado de gerenciamento de certificado (ACME) de
forma a preservar a posse ou propriedade da URL (domínio) e a identificação do
solicitante, seja pessoa física ou jurídica. O processo automatizado implica as seguintes
etapas:
a) .........................................................................................................................
b) a requisição deverá ser acompanhada do certificado da URL solicitada, ainda
válido, e o conjunto (requisição + certificado da URL) deve ser assinado com
certificado ICP-Brasil, no mínimo do tipo A3, do responsável pelo domínio;
.......................................................................................................................................
4.1 .......................................................................................................................
........................................................................................................................................
c) um termo de titularidade assinado digitalmente pelo titular do certificado ou
pelo responsável pelo certificado, no caso de certificado de pessoa jurídica, conforme
o adendo referente ao TERMO DE TITULARIDADE [4] específico, e, ainda, quando
emissão para servidor público da ativa e militar da União, Estados e Distrito Federal
pela autoridade designada formalmente pelos órgãos competentes;
d) o disposto na alínea 'b' e a assinatura do termo de titularidade, no caso de
AR ELETRÔNICA, por se tratar de procedimento automatizado, sem intervenção de
agente de registro, serão regulamentados por Instrução Normativa da AC Raiz; e
e) que na impossibilidade técnica de assinatura digital do termo de titularidade
(como certificados de equipamento, aplicação, carimbo de tempo e outros que façam
uso de CSR) será aceita a assinatura manuscrita do termo ou assinatura digital do
termo com o certificado ICP-Brasil do titular do certificado ou responsável pelo
certificado, no caso de certificado de pessoa jurídica. No caso de assinatura
manuscrita do termo será necessária a verificação da assinatura contra o documento
de identificação.
4.1.1 .....................................................................................................................
........................................................................................................................................
4.9.1.4 . A DPC deve observar que todo certificado deverá ter a sua validade
verificada, na respectiva LCR ou OCSP, antes de ser utilizado.
4.9.1.5 ...................................................................................................................
........................................................................................................................................
4.9.7.4 Caso sejam utilizadas frequências de emissão de LCR específicas para as PCs
implementadas, as mesmas devem ser descritas nessas PCs, no item correspondente.
4.9.8 ...................................................................................................................
......................................................................................................................................
5.2.1.3 Todos os operadores do sistema de certificação da AC deverão receber
treinamento específico antes de obter qualquer tipo de acesso. O tipo e o nível de
acesso serão determinados, em documento formal, com base nas necessidades de
cada perfil.
5.2.1.4...................................................................................................................
.......................................................................................................................................
5.4.1.1 A AC responsável pela DPC deverá registrar em arquivos de auditoria
todos os eventos relacionados à segurança do seu sistema de certificação. Entre
outros, os seguintes eventos deverão obrigatoriamente estar incluídos em arquivos
de auditoria:
.......................................................................................................................................
l) Operações de escrita nesse repositório, quando aplicável.
5.4.1.2 .................................................................................................................
......................................................................................................................................

                            

Fechar