Prestadores de serviços de confiança qualificados: como a Lista de Confiança da UE decide o que vale

Prestador de serviços de confiança soa como marketing. Não é. Sob o Regulamento (UE) 910/2014, mais conhecido como eIDAS, trata-se de uma categoria jurídica definida, e o Artigo 3(19) a delimita com precisão: uma pessoa física ou jurídica que presta um ou mais serviços de confiança, seja como prestador qualificado, seja como não qualificado.

O peso, portanto, recai sobre serviço de confiança, que o Artigo 3(16) detalha. Um serviço eletrônico, normalmente prestado mediante remuneração, que cria, verifica ou valida assinaturas eletrônicas, selos eletrônicos ou carimbos de tempo eletrônicos, ou os certificados por trás deles. A entrega registrada eletrônica também está ali, junto com certificados de autenticação de sites e a preservação de longo prazo de assinaturas e selos.

Repare no que ficou de fora. Armazenar documentos não é um serviço de confiança. Encaminhá-los para aprovação também não. Uma empresa pode estar no centro do modo como seus contratos são assinados e ainda assim não ser um prestador de serviços de confiança no sentido do eIDAS, porque o regulamento nomeia um conjunto específico de serviços criptográficos, e não um setor.

Duas consequências saem dessa definição, e ambas pegam gente desprevenida.

Primeira, o termo cobre todo mundo da categoria, qualificado ou não. Um prestador não qualificado não é algo inferior ou suspeito. É o padrão, e muitos deles fazem um trabalho cuidadoso.

Segunda, a categoria se prende a serviços, não a empresas. Um mesmo prestador pode operar quatro serviços de confiança e ter status qualificado em apenas dois. Voltaremos a isso, porque é o erro mais comum em uma verificação de fornecedor.

Aqui está a parte que surpreende: não é o prestador que decide se é qualificado, nem o auditor dele.

O Artigo 3(20) é direto quanto ao mecanismo. Um prestador de serviços de confiança qualificado é aquele que presta serviços de confiança qualificados e recebe o status qualificado do organismo de supervisão. Recebe. O status é conferido por um regulador nacional, não conquistado num teste nem comprado.

O caminho segue uma ordem fixa:

1. 1
   O prestador é auditado por um organismo de avaliação da conformidade, ele próprio acreditado para a tarefa.
2. 2
   Esse relatório de avaliação vai ao organismo de supervisão nacional, junto com a notificação de que o prestador pretende começar a operar.
3. 3
   O organismo de supervisão verifica o prestador e seus serviços à luz do regulamento. O eIDAS lhe dá três meses e exige justificativa se precisar de mais tempo.
4. 4
   Se a verificação passa, o organismo concede o status qualificado e manda atualizar a lista de confiança nacional.

O passo 4 não é burocracia. O Artigo 21(3) diz que um prestador qualificado pode começar a prestar o serviço qualificado depois que o status qualificado tiver sido indicado na lista de confiança. Enquanto essa entrada não existir, o serviço não é qualificado, independentemente do que a auditoria concluiu. A lista não descreve o status qualificado. Ela o confere.

A supervisão também não termina na entrada. O Artigo 20(1) recoloca os prestadores qualificados diante de um organismo de avaliação da conformidade, às próprias custas, pelo menos a cada 24 meses. O Artigo 23 então permite exibir a marca de confiança da UE, que é um rótulo do status, não a origem dele.

Agora a correção que muda o jeito de procurá-la: não existe um arquivo único da Lista de Confiança da UE guardado num servidor da Comissão.

O Artigo 22(1) coloca a obrigação nos Estados-membros. Cada um estabelece, mantém e publica a sua própria lista de confiança, cobrindo os prestadores qualificados que supervisiona. O quadro real é, portanto, de cerca de trinta listas nacionais, cada uma mantida por um operador de esquema diferente, em um país diferente, incluindo vários Estados do EEE.

O que a Comissão publica é a camada de cima. Pelos Artigos 22(3) e 22(4), os Estados-membros notificam onde fica a sua lista e quais certificados a selam, e a Comissão republica isso por um canal seguro, selado e processável por máquina. A ETSI chama o resultado de Lista de Listas de Confiança, ou LOTL: um conjunto compilado de ponteiros para cada lista nacional, cuja localização é notificada no Jornal Oficial da União Europeia.

Esse formato em duas camadas é o modelo de confiança inteiro, e compensa entendê-lo com calma. A LOTL não contém prestador nenhum. Contém os endereços das listas nacionais mais os certificados que as autenticam, o que significa que um validador que confia em um arquivo consegue autenticar as trinta listas que guardam os dados de verdade. Tudo o que vem depois herda dessa âncora única.

O formato não fica a gosto de cada um. A Decisão de Execução (UE) 2015/1505 fixa a especificação técnica na ETSI TS 119 612, de modo que uma lista espanhola e uma finlandesa têm a mesma forma XML e uma única implementação lê as duas. Lista de Confiança da UE, ou EUTL, é a forma abreviada desse arranjo todo, não de um nome de arquivo.

Abra uma lista nacional e você encontra prestadores, e sob cada prestador um conjunto de serviços. O serviço é a unidade que importa. A TS 119 612 dá a cada um deles o mesmo punhado de campos.

O identificador de tipo de serviço é uma URI dizendo o que aquele serviço faz. CA/QC marca uma autoridade certificadora que emite certificados qualificados. TSA/QTST marca uma autoridade de carimbo de tempo qualificada. Existem tipos separados para respondedores OCSP e emissores de CRL, e para várias outras coisas. Um serviço listado sob um tipo não está, por isso, listado sob outro.

A identidade digital do serviço guarda o certificado ou a chave pública do serviço. Essa é a âncora de confiança, o ponto até onde um validador encadeia. Todo o resto da entrada é metadado sobre quando e como a âncora vale.

O status atual do serviço é outra URI e, sob o eIDAS, costuma ser granted ou withdrawn. Valores mais antigos, da era da Diretiva anterior ao eIDAS, como undersupervision e accredited, ainda aparecem no registro.

E então o campo que a maioria das ferramentas pula em silêncio. Ao lado do status atual está a data e hora em que ele começou, e ao lado disso está o histórico do serviço: status anteriores, cada um com seu próprio início. As listas de confiança carregam todo o histórico de status de um serviço, não apenas o atual, e isso existe por um motivo que veremos adiante.

A extensão Qualifications faz o trabalho chato

Uma mesma CA pode emitir certificados qualificados e não qualificados. Quando o conteúdo do próprio certificado não deixa essa diferença legível por máquina, a cláusula 5.5.9.2 da TS 119 612 exige que a entrada da lista carregue uma extensão Qualifications: critérios, casados com elementos como OIDs de política e uso da chave, dizendo quais certificados daquele serviço são qualificados e se a chave privada fica em um QSCD.

É trabalhoso. E é também por isso que encontrar uma CA na lista não diz, por si só, que um dado certificado dela é qualificado.

Junte as peças e o veredito qualificado vira uma consulta com ordem estrita de operações. Um validador que faz isso direito executa algo assim:

1. 1
   Busca a LOTL e confere o selo dela contra os certificados publicados no Jornal Oficial. Se falhar, pare, porque tudo abaixo herda dessa verificação.
2. 2
   Segue os ponteiros até cada lista nacional e confere o selo de cada lista contra o certificado que a LOTL declara para ela. Só agora os dados são confiáveis.
3. 3
   Coleta as identidades digitais dos serviços relevantes, filtradas pelo status que valia no ponto correto no tempo.
4. 4
   Encadeia o certificado do signatário até uma dessas âncoras.
5. 5
   Aplica os critérios Qualifications, junto com as declarações de certificado qualificado dentro do próprio certificado, para decidir se aquilo é um certificado qualificado para assinaturas, para selos ou para nenhum dos dois.

A ETSI escreveu o procedimento para que cada ferramenta não invente o seu. A TS 119 615 trata exatamente disso: como usar e interpretar as listas de confiança nacionais ao decidir o status qualificado na UE. Ela é incomumente direta sobre o que está em jogo, descrevendo as listas como tendo "valor jurídico constitutivo" e chamando-as de fonte formal única para confirmar que um serviço realmente recebeu o status qualificado. A EN 319 102-1 cuida da validação em torno, ou seja, integridade, cadeia, revogação e carimbos de tempo.

O passo 3 é onde as ferramentas cuidadosas se separam das descuidadas. A pergunta não é se o prestador é qualificado hoje. É se o serviço estava com status granted no momento da assinatura. Um prestador cujo status foi retirado no ano passado continuava qualificado para tudo que foi assinado antes disso, e um documento assinado na semana anterior à concessão do status nunca esteve. É também por isso que uma assinatura sem carimbo de tempo confiável complica aqui: se você não consegue provar quando foi assinada, não consegue escolher a linha certa do histórico.

Uma assinatura pode ser criptograficamente perfeita e não ser qualificada. Isso não é um defeito do verificador.

Válida significa que a matemática fecha: o hash bate com os bytes, a cadeia chega a uma raiz que a ferramenta reconhece, o certificado não estava revogado nem expirado quando foi usado. Qualificada significa algo mais estreito e inteiramente jurídico. O serviço emissor aparece em uma lista de confiança nacional com status qualificado, e aquele certificado específico atende aos critérios daquela entrada.

CAs comerciais que não constam de lista nacional nenhuma emitem certificados perfeitamente sólidos todos os dias. Assinaturas feitas com eles validam sem problema. Não são qualificadas, e nenhuma dose de força criptográfica muda isso, porque qualificação não é uma propriedade da criptografia.

É também por isso que duas ferramentas discordam sobre o mesmo arquivo. O Adobe Acrobat verifica contra o próprio repositório de confiança, uma lista diferente, mantida por outra organização por outras razões. Uma assinatura pode ser confiável no Acrobat e não qualificada sob o eIDAS ao mesmo tempo, e as duas ferramentas estão dizendo a verdade sobre a pergunta que fizeram.

O que o status qualificado compra juridicamente é um tema separado, com resposta própria, e esta página não vai repeti-la. O Artigo 25(2) dá à assinatura eletrônica qualificada, ou QES, o mesmo efeito jurídico de uma assinatura manuscrita, e o Artigo 25(3) leva esse reconhecimento para além da fronteira, a todos os demais Estados-membros. Onde isso deixa você em matéria de ônus da prova, quando um documento é de fato contestado, é a parte que vale ler com atenção, e nosso guia de assinaturas eletrônicas qualificadas percorre esse caminho, além de mostrar quando uma assinatura avançada já basta. Se o que você tem em mãos foi emitido por uma organização e não por uma pessoa, selos eletrônicos sob o eIDAS cobre o caso paralelo, e as âncoras de confiança são idênticas.

Você não precisa ler XML para responder a uma pergunta sobre fornecedor. A Comissão mantém o EU TL Browser, uma interface web sobre as mesmas listas nacionais que um validador lê. Mesmos dados, em formato humano.

Escolha um país e você recebe a lista de confiança dele. Escolha um prestador e você recebe os serviços dele, cada um com tipo, status atual e o certificado por trás. Isso normalmente basta para resolver uma dúvida de compras em poucos minutos.

Alguns hábitos tornam as respostas confiáveis.

Olhe o serviço, não o nome da empresa. Esse é o erro que mais pega gente. Um prestador pode estar listado para carimbo de tempo qualificado e não para certificados qualificados, então um cabeçalho confirmando que a empresa está lá não diz nada sobre quais serviços dela estão.

Case o tipo de serviço com o que você está comprando. Se precisa de certificados qualificados para assinaturas, CA/QC é o tipo que você quer, e os critérios Qualifications daquela entrada decidem quais certificados dela qualificam.

Confira o país que você espera. Prestadores aparecem na lista do Estado-membro que os supervisiona, que nem sempre é o país da bandeira estampada no site.

Uma limitação honesta, e ela importa: o navegador mostra o status de agora. Para um documento assinado anos atrás você precisa do histórico, e essa é tarefa de um validador, não de uma consulta rápida.

Diligência sobre fornecedor é uma pergunta. O arquivo à sua frente agora é outra, e ela pede o documento, não o navegador.

O formato decide qual verificação você roda, e quatro cobrem quase tudo que você encontra na UE:

• Um PDF assinado carrega uma assinatura PAdES dentro dele. Isso é verificação de assinatura em PDF.
• Arquivos XML, incluindo a maior parte da fatura eletrônica e das entregas ao setor público, carregam XAdES. As extensões são .xml e .xsig. Veja verificação XAdES.
• Arquivos italianos .p7m, e arquivos .p7s destacados, são CAdES em formato binário CMS. Veja verificação CAdES.
• Contêineres .asice e .asics juntam documentos e assinaturas, incluindo o .bdoc da Estônia, embora um .bdoc precise ser renomeado para .asice ou .zip se o envio recusar a extensão. Veja verificação ASiC.

Não sabe qual deles está em mãos? Não chute. A verificação de assinaturas da Chaindoc aceita os quatro em um único formulário, identifica o formato, confere o certificado do signatário contra a Lista de Confiança da UE e reporta integridade, cadeia de certificados, estado de revogação e carimbos de tempo ao lado do veredito qualificado. A validação roda sobre a biblioteca EU DSS, o código de assinatura open source da própria Comissão Europeia, sobre o qual boa parte do ecossistema é construída.

Duas notas práticas antes de enviar. Assinaturas destacadas não contêm os dados que assinaram, então um .p7s ou um .xml destacado precisa do documento original junto, e tem de ser o arquivo exato, não uma cópia salva de novo. E as ferramentas são gratuitas: um código de uso único enviado ao seu e-mail confirma sua identidade antes da primeira verificação, o relatório abre na Chaindoc e o arquivo em si não é armazenado.

Verificar em volume, em vez de um documento por vez, é trabalho de integração, não de navegador. É para isso que existe a API.

Os padrões de falha se repetem, e são sobre precisão, não sobre tecnologia.

Ler prestador de serviços de confiança como afirmação de qualificação

Não é uma. O Artigo 3(19) cobre prestadores qualificados e não qualificados igualmente, então um fornecedor que se descreve como prestador de serviços de confiança apenas informou sob qual regulamento ele vive, e absolutamente nada sobre seu status. A palavra que você procura é qualificado, e você a confere na lista, não no folheto.

Verificar a empresa em vez do serviço

O status qualificado se prende a serviços individuais. Encontrar o nome de um prestador em uma lista de confiança é o começo da verificação, não o fim. Abra o serviço específico, depois leia o tipo e o status dele.

Perguntar sobre hoje quando o documento é de 2021

Status muda. Um serviço retirado agora era qualificado para tudo que foi assinado enquanto estava concedido, e o histórico do serviço é o que resolve isso. Qualquer ferramenta que leia apenas o status atual vai errar documentos antigos nos dois sentidos.

Tratar o visto verde de um leitor de PDF como veredito eIDAS

Um leitor verifica contra o próprio repositório de confiança. É uma verificação real, e responde a uma pergunta diferente da que o seu arquivo de conformidade precisa ver respondida.

Se você levar uma coisa desta página, que seja a ordem das operações. O status qualificado é concedido por um organismo de supervisão nacional, publicado na lista de confiança daquele país, e só então verdadeiro. Tudo o que um validador faz depois é uma consulta contra esse registro. Então, quando um relatório volta como válido mas não qualificado, o passo útil não é discutir com a criptografia. Abra a entrada do serviço emissor, confira o tipo e o status dele na data da assinatura, e você costuma ter a resposta em um minuto. Tem um arquivo em mãos agora? Passe-o pelo verificador e leia o relatório detalhado em vez do veredito de manchete.