Como criar uma assinatura digital e verificá-la através de um servidor

Question

Estou tentando descobrir uma maneira de criar uma assinatura digital para os funcionários da minha empresa e colocá-la em um servidor de onde eles possam recuperá-los e anexá-los a qualquer documento digital (documento Office ou Adobe) e ao destinatário pode verificá-lo novamente através do próprio servidor.

Eu criei um arquivo .cer, mas ele não solicita senhas ao anexar como no Adobe. Existe alguma maneira de um arquivo semelhante ou o próprio arquivo .cer ser adicionado com algum mecanismo de senha a ser recuperado / usado? Além disso, como o recuperador pode validá-lo a partir do servidor?

Eu sou muito novo nessa parafernália de assinatura digital, então gostaria de solicitar, se não em detalhes, pelo menos uma direção para onde olhar.

    

Answer 1

[Divulgação: Eu trabalho para o CoSign. Fazemos produtos de assinatura digital.]

Em resposta à pergunta original e aos comentários do sk1 para outra resposta:

Assinaturas digitais padrão ou "assinatura digital"?

Acho que a pergunta é sobre assinaturas digitais padrão, por exemplo, para PDFs, o documento harmonizado mais real é o PAdES. Consulte a guia Padrões da página ETSI . Este padrão é harmonizado com a seção Assinaturas Digitais da especificação PDF, o padrão de assinaturas digitais NIST, etc.

Verificação

Supondo o que foi dito acima, a resposta sobre a verificação dos documentos assinados é que existem muitos aplicativos de software que podem verificar as assinaturas digitais padrão. Isso pode ser feito nas estações de trabalho das pessoas, em um servidor, por meio de um navegador, aplicativo móvel etc. Por exemplo:

• Em um PC, o Adobe Reader (ou Acrobat) pode verificar as assinaturas digitais em um arquivo PDF. Assim, o Nitro Pro , Bluebeam Revu , Foxit Phantom e outros softwares PDF.
• Em um PC, o Microsoft Word e o Excel possuem recursos nativos para assinar digitalmente documentos do Word / Excel e para verificar assinaturas em documentos assinados. Observe que a assinatura requer uma infraestrutura de assinatura que suporte as APIs locais que os aplicativos usam: CAPI / CAPI NG
• Em um servidor, você pode assinar e verificar documentos em PDF, Word e Excel usando software / hardware de diferentes fornecedores. O software é frequentemente integrado em um sistema ECM, como o SharePoint. Minha empresa, a CoSign, tem produtos de assinatura digital maduros do SharePoint Server e do SharePoint Online.
• Para acesso do navegador, você precisa de um aplicativo da web que suporte assinatura e verificação. Por exemplo, CoSign Web App . A propósito, alguns aplicativos da web, incluindo o CoSign, podem assinar e verificar documentos do Word e do Excel, além dos arquivos PDF comuns.
• Aplicativos de assinatura digital também estão disponíveis para iOS e Android. Devido aos problemas de segurança da chave privada, esses aplicativos são clientes para o serviço de assinatura real em que a chave privada é armazenada.

Armazenamento de chaves privadas

A questão também tocou na questão de armazenar o certificado digital / chaves privadas dos signatários. As normas e práticas padrão do setor exigem que as chaves particulares dos signatários sejam armazenadas em um Dispositivo de Criação de Assinatura Protegida (Secure Signature Creation Device - SSCD). Originalmente, a ideia era que os dispositivos de borda (Smart Cards) fossem usados como SSCDs.

Mas, como todos sabemos, os dispositivos de borda têm muitos problemas práticos de implantação, manutenção, acesso etc. Então, agora, os dispositivos de servidor SSCD centralizados estão disponíveis e são reconhecidos pelos órgãos de normas. Uma entrevista sobre essas questões.

O dispositivo SSCD centralizado fica dentro da sua rede e contém as chaves privadas, certs e outros dados dos signatários. É uma caixa endurecida com tecnologias anti-adulteração que tornam as chaves privadas inúteis se a caixa for aberta. Deve ser certificado por um laboratório de testes independente reconhecido. CoSign e outros fornecedores fazem esses aparelhos.

O retorno do investimento (ROI) costuma ser de um ano ou menos.

    

Answer 2

Parabéns por tentar tornar as coisas mais seguras, mas sua falta de experiência pode sair pela culatra (o que quer dizer que você não pediu 3.000 sacas de lixo por $ 10 cada, a ordem tem sua assinatura em isso?).

Embora seja possível remover a senha da chave, eu não recomendaria fazer isso em um certificado armazenado em uma máquina do usuário final. No entanto, incorporar uma assinatura em um formato proprietário como msword realmente requer uma instância de msword. Isso pode ser implementado em um servidor com controles de acesso apropriados.

Existem padrões abertos para encapsular um arquivo com uma assinatura digital, mas você preciso investigar se as pessoas que precisam verificar a assinatura têm acesso a essas ferramentas (por outro lado, não tenho acesso ao msword).

    

Answer 3

Antes de podermos ajudar você precisa se perguntar o que deseja proteger e nos dizer, a maioria dos casos tem muitas opções para proteger o código. você deve escolher o mais fácil porque os sistemas de segurança complicados são muito mais lentos e podem ter um ponto fraco devido ao tamanho do código.

O caminho da assinatura digital não é sugerido. mas, você pode criar uma senha que será transferida para uma assinatura digital (com sessões, cookies, sistemas de reconhecimento etc.) que representará a pessoa que enviou o documento.

Faça como o Facebook, para fazer o login você está usando e-mail e passe. Quando você estiver logado, você reconhece como sua imagem de perfil não o e-mail ou qualquer material que faça parte de sua ação de registro.