Definição
Cadeia de certificação é a sequência de certificados que liga o certificado do titular à AC Raiz da ICP-Brasil: titular → AC emissora → AC de primeiro nível → AC Raiz (ITI). Um sistema só confia no seu certificado se conseguir percorrer essa cadeia até uma raiz que ele reconhece.
Cada certificado é assinado pelo certificado acima dele. O seu e-CPF é assinado pela AC emissora (por exemplo, uma AC de segundo nível da Soluti); esta é assinada pela AC de primeiro nível; esta, pela AC Raiz operada pelo ITI. A AC Raiz é autoassinada e é o ponto de confiança que precisa estar instalado no computador ou no sistema. A cadeia vigente da ICP-Brasil é a da AC Raiz V5.
Quando um navegador ou sistema mostra "certificado não confiável" para um certificado válido, quase sempre falta um elo da cadeia no repositório da máquina. O arquivo PFX costuma trazer a cadeia embutida; se não trouxer, os certificados da cadeia são publicados pelo ITI e pela AC emissora, e são instalados na aba "Autoridades" do gerenciador de certificados. Esse ajuste é frequente em Mac e Linux; veja funciona no Mac? e no Linux?.
A cadeia também é o que permite a verificação independente de uma assinatura: o Verificador de Conformidade do ITI percorre a cadeia e consulta a revogação de cada elo. Se qualquer certificado da cadeia estiver revogado ou vencido na data da assinatura, a assinatura é inválida.
No Windows, a aba "Caminho de Certificação" do certificado mostra a cadeia e o status "Este certificado está OK" quando tudo está instalado; veja como saber se está instalado. A mudança de cadeia prevista pela Resolução 211 (fim do A1 na cadeia atual até 2029) é tratada em o A1 vai acabar?.
Veja também
- ICP-Brasil A ICP-Brasil é a Infraestrutura de Chaves Públicas Brasileira, criada pela Medida Provisória 2.200-2/2001: o conjunto de normas, entidades e tecnologia que dá validade jurídica aos certificados digitais e às assinaturas feitas com eles no Brasil.
- ITI (Instituto Nacional de Tecnologia da Informação) O ITI é a autarquia federal que opera a Autoridade Certificadora Raiz da ICP-Brasil, credencia e audita as Autoridades Certificadoras e de Registro e edita as normas técnicas da certificação digital no Brasil.
- Autoridade Certificadora (AC) Autoridade Certificadora é a entidade credenciada pelo ITI que emite, renova e revoga certificados digitais na ICP-Brasil. É o nome que aparece no campo "Emitido por" do certificado.
- PFX / PKCS#12 PKCS#12 é o formato de arquivo que empacota um certificado digital, sua chave privada e a cadeia da AC, protegidos por senha. As extensões .pfx e .p12 designam o mesmo formato; é como o certificado A1 é entregue e transportado.
- Revogação Revogação é o cancelamento definitivo de um certificado digital antes do vencimento, feito pela AC emissora a pedido do titular ou por determinação normativa. Depois de revogado, o certificado deixa de valer em todas as cópias e os sistemas passam a recusá-lo.