Um certificado digital armazenado em um token USB fornece a forma mais poderosa de assinatura de PDF disponível para indivíduos e organizações. Ao contrário de uma imagem de assinatura desenhada com um dedo ou colada de um arquivo digitalizado, uma assinatura baseada em certificado de um token USB vincula criptograficamente sua identidade verificada ao documento e torna qualquer adulteração pós-assinatura imediatamente detectável. O token USB, também chamado de módulo de segurança de hardware ou cartão inteligente em formato USB, mantém a chave privada em hardware resistente a violações que nunca expõe a chave ao sistema operacional do computador. Configurar e usar um token USB para assinar documentos PDF requer configuração inicial, mas uma vez configurado, o processo de assinatura se torna tão rotineiro quanto inserir o token e inserir um PIN.
O que uma assinatura de certificado de token USB realmente oferece
Uma assinatura de um token USB combina três propriedades de segurança distintas em uma única operação. Primeiro, fornece verificação de identidade porque o certificado no token foi emitido por uma autoridade de certificação que confirmou sua identidade antes de emitir o certificado. Em segundo lugar, fornece integridade ao documento porque a assinatura inclui um hash criptográfico do conteúdo do documento no momento da assinatura, e qualquer alteração no documento após a assinatura invalida a assinatura. Terceiro, fornece não repúdio porque a chave privada que criou a assinatura nunca saiu do token USB físico que você controla.
Essas três propriedades juntas tornam as assinaturas de token USB o padrão para documentos eletrônicos juridicamente vinculativos em jurisdições que reconhecem assinaturas eletrônicas avançadas. Muitos sistemas de compras governamentais, plataformas de arquivamento eletrônico judicial e portais regulamentados da indústria exigem especificamente assinaturas baseadas em certificados de tokens de hardware porque o armazenamento de chaves baseado em hardware atende aos requisitos de segurança que os certificados baseados em software armazenados em um disco rígido de computador não podem satisfazer. Uma assinatura digital de um token USB tem peso probatório em processos judiciais, especificamente porque o token de hardware fornece fortes evidências de que somente a pessoa em posse do token poderia ter aplicado a assinatura.
Experimente reparar PDF
Nenhuma instalação necessária. Funciona diretamente no seu navegador.
Obtendo um certificado e configurando o token USB
A primeira etapa é obter um certificado digital de uma autoridade de certificação confiável e carregá-lo em um token USB. Autoridades certificadoras como GlobalSign, DigiCert, Sectigo e provedores nacionais de eID emitem certificados especificamente para assinatura de documentos. O processo de inscrição envolve verificação de identidade, que pode variar desde o envio on-line de documentos de identificação emitidos pelo governo até o comparecimento pessoal a uma autoridade de registro, dependendo da classe do certificado e da jurisdição. Após a verificação de identidade, a autoridade de certificação fornece o arquivo de certificado e instruções para carregá-lo em seu token USB.
Durante o próprio token USB deve haver um dispositivo projetado para armazenamento de chave criptográfica. Os tokens YubiKey, SafeNet eToken e Gemalto são modelos amplamente utilizados que suportam certificados de assinatura de PDF. Instale o software de driver de token fornecido pelo fabricante em seu computador. Quando você insere o token, o driver disponibiliza o certificado para o armazenamento de certificados do sistema operacional, que é onde os aplicativos de assinatura de PDF procuram os certificados de assinatura disponíveis. Proteja o token com um PIN forte que você possa lembrar, mas que outras pessoas não consigam adivinhar. Após um número configurável de tentativas incorretas de PIN, geralmente de cinco a dez, o token se bloqueia para evitar ataques de força bruta.
Assinando um PDF usando o token USB
Insira o token USB em uma porta USB do seu computador. Abra o PDF que você precisa para assinar em um aplicativo PDF que suporte assinaturas digitais baseadas em certificados, como o Adobe Acrobat Pro, uma plataforma PDF baseada em navegador ou uma ferramenta de assinatura fornecida pelo governo. Navegue até a ferramenta Assinar PDF e escolha a opção de assinar digitalmente, não de adicionar uma imagem de assinatura eletrônica. O aplicativo pesquisa o armazenamento de certificados do sistema e exibe os certificados de assinatura disponíveis. Selecione o certificado do seu token USB.
O aplicativo solicita que você desenhe ou posicione um retângulo de assinatura na página onde o bloco de assinatura visível deve aparecer. Após o posicionamento, uma caixa de diálogo solicita o PIN do token para autorizar a operação de assinatura. Insira o PIN e o token realiza a assinatura criptográfica internamente, combinando o certificado com um hash do conteúdo do documento. O PDF assinado agora contém um bloco de assinatura incorporado com seu nome, a data e hora da assinatura, o nome do emissor do certificado e uma assinatura criptográfica que qualquer leitor de PDF pode validar. A chave privada nunca saiu do token USB durante todo esse processo.
Configurando a aparência e as informações da assinatura
A aparência visível do bloco de assinatura na página PDF é personalizável. A maioria dos aplicativos de assinatura permite que você escolha quais informações aparecem no bloco de assinatura: apenas seu nome, seu nome e a data de assinatura ou seu nome e um gráfico personalizado, como o logotipo da empresa ou a imagem de sua assinatura manuscrita. Configure a aparência para incluir as informações que os destinatários precisam para verificar a assinatura. Um bloco de assinatura que mostra apenas um nome fornece menos contexto do que um que mostra o nome, o emissor do certificado e o carimbo de data/hora da assinatura.
Configure a assinatura para bloquear o documento após a assinatura. Esta opção, geralmente uma caixa de seleção na caixa de diálogo de assinatura, evita quaisquer edições adicionais no conteúdo do documento, campos de formulário ou anotações. Um documento bloqueado que chega a um destinatário com uma assinatura válida oferece uma forte garantia de que o conteúdo não foi alterado desde que você o assinou. Se o documento exigir assinaturas de várias partes, configure o campo de assinatura para permitir assinaturas adicionais em vez de bloquear o documento após a sua. WukongPDF oferece suporte a aplicativos de assinatura digital, incluindo assinatura baseada em certificado, com aparência de assinatura configurável e opções de bloqueio de documento.
Validando uma assinatura de token USB como destinatário
Ao receber um PDF assinado com um certificado de token USB, o visualizador de PDF valida automaticamente a assinatura ao abrir o documento. Uma assinatura válida exibe uma marca de seleção verde, o nome do signatário e uma mensagem indicando que o documento não foi modificado desde a assinatura. Clicar na assinatura abre um painel de validação detalhado mostrando a cadeia de certificados desde o certificado do assinante até a autoridade de certificação raiz, o horário de assinatura e o algoritmo de assinatura usado.
Se a assinatura for inválida ou não verificada, verifique o painel de validação para saber o motivo específico. Um certificado expirado produz um aviso mesmo que o conteúdo permaneça inalterado. Um certificado que foi revogado pela autoridade emissora antes da data de assinatura indica um problema sério que deve ser investigado. Uma assinatura exibida como desconhecida significa que o visualizador de PDF não confia na autoridade de certificação que emitiu o certificado de assinante, o que é comum com certificados de sistemas eID nacionais que não são pré-confiáveis na Adobe ou em armazenamentos de certificados de navegador.
Gerenciando vários tokens e certificados
Se você assinar documentos para diversas funções ou organizações, poderá ter vários tokens USB, cada um com um certificado diferente. Rotule fisicamente cada token com a organização ou função associada para inserir o token correto para cada sessão de assinatura. No aplicativo de assinatura de PDF, a caixa de diálogo de seleção de certificado mostra todos os certificados disponíveis. Verifique se você está selecionando o certificado correto verificando o nome do emissor e a finalidade do certificado antes de inserir o PIN.
Mantenha um registro da data de expiração de cada certificado de token. Os certificados para assinatura de documentos normalmente expiram após um a três anos da emissão. Uma assinatura aplicada com um certificado expirado ainda pode ser criptograficamente válida, mas os destinatários verão um aviso e alguns sistemas de validação de documentos rejeitam completamente assinaturas de certificados expirados. Renove o certificado através da autoridade de certificação emissora antes da data de expiração e carregue o certificado renovado no mesmo token USB para manter a continuidade da assinatura.
Solução de problemas de reconhecimento de token USB
O problema mais comum ao usar um token USB para assinatura de PDF é que o computador não reconhece o token quando ele é inserido. O driver do token pode não ter sido iniciado, a porta USB pode não ter fornecido energia suficiente ou o armazenamento de certificados do sistema operacional pode não ter sido atualizado para incluir o certificado do token. Remova o token, aguarde alguns segundos e insira-o novamente com firmeza. Abra o aplicativo de gerenciamento de token fornecido com o dispositivo e confirme se o status do token é exibido como conectado e se o certificado está listado.
No Windows, o Gerenciador de certificados pode ser aberto executando certmgr.msc na caixa de diálogo Executar. Em Pessoal, Certificados, o certificado do token deve aparecer quando o token for inserido e desaparecer quando for removido. Se o certificado não aparecer, talvez seja necessário reinstalar o driver do token ou o middleware. Baixe o driver mais recente no site do fabricante do token, pois drivers desatualizados são a causa mais comum de falhas de reconhecimento.
Mantenha um backup da chave pública do certificado, o que não compromete a segurança porque a chave privada permanece no token. O backup da chave pública permite verificar assinaturas do certificado mesmo se o token for perdido e fornece os detalhes do certificado necessários para a renovação. A autoridade de certificação que emitiu o certificado poderá fornecer o arquivo de chave pública se você não o salvou durante a configuração inicial.
Ao viajar com um token de assinatura USB, mantenha-o consigo, e não em uma bolsa de laptop que possa ser despachada ou deixada sem supervisão. O token físico é a raiz da confiança da sua assinatura digital. Se o token for perdido ou roubado, revogue imediatamente o certificado através da autoridade de certificação emissora. A maioria das autoridades de certificação fornece um portal de revogação on-line ou um número de telefone para revogação emergencial.
Experimente reparar PDF
Nenhuma instalação necessária. Funciona diretamente no seu navegador.