Certificados Digitais e Autoridades Certificadoras: A Confiança na Internet

Quando você acessa o site do seu banco, seu navegador verifica um pequeno arquivo chamado certificado digital. Esse arquivo prova que o site é realmente do seu banco e não uma falsificação. Mas como o navegador sabe que pode confiar nesse certificado? A resposta envolve um sistema global de confiança que a maioria das pessoas nunca pensa a respeito — mas que funciona nos bastidores toda vez que você navega pela web com segurança.

O que um certificado digital realmente é

Um certificado digital é um documento eletrônico que liga uma chave pública a uma identidade. Para entender isso, pense em um passaporte: um passaporte prova quem você é porque foi assinado por uma autoridade governamental confiável. Um certificado digital funciona de forma parecida. Ele contém uma chave pública (um número muito grande usado para criptografia) e informações sobre a entidade que o possui — por exemplo, "Este certificado pertence a banco.example.com". Uma autoridade confiável assina o certificado, dizendo "Eu verifico que isso é verdadeiro."

Mas aqui está o problema: qualquer um poderia criar um certificado e dizer que é do seu banco. O que impede um criminoso de criar um certificado falso para banco.example.com? A resposta é a assinatura digital. Quando uma autoridade confiável assina um certificado, ela usa sua própria chave privada (secreta) para criar uma assinatura matemática que é praticamente impossível de falsificar. Seu navegador pode verificar essa assinatura usando a chave pública da autoridade — e se a assinatura for válida, ele sabe que a autoridade realmente assinou o certificado.

Quem são as Autoridades Certificadoras

Uma Autoridade Certificadora (CA, em inglês) é uma organização que verifica identidades e assina certificados digitais. Existem CAs em todo o mundo: algumas são empresas privadas, outras são mantidas por governos ou organizações internacionais. Exemplos incluem empresas como DigiCert, GlobalSign, e Let's Encrypt.

Mas para que esse sistema funcione, alguém precisa confiar na Autoridade Certificadora em primeiro lugar. Como sabemos que a CA é confiável? Aqui entra a cadeia de confiança.

A cadeia de confiança: CAs raiz e intermediárias

Pense na cadeia de confiança como um sistema de referências. Você não conhece pessoalmente a Autoridade Certificadora que assinou o certificado do seu banco. Mas essa CA pode ter sido certificada por outra CA maior e mais estabelecida. E essa CA maior pode ter sido certificada por uma CA raiz.

Uma CA raiz está no topo da cadeia. É uma autoridade que é confiável por padrão — seu navegador a reconhece automaticamente e aceita qualquer certificado que ela assine ou que tenha sido assinado por alguém que ela certificou. Cada navegador (Chrome, Firefox, Safari, etc.) e sistema operacional vem com uma lista pré-instalada de CAs raiz de confiança. Essa lista é mantida e atualizada pelos criadores do navegador.

Uma CA intermediária é uma CA que foi certificada por uma CA raiz (ou por outra CA intermediária). Quando você visita um site, você pode ver uma cadeia: o certificado do site é assinado por uma CA intermediária, que é assinada por uma CA raiz. Seu navegador verifica cada assinatura nessa cadeia até chegar à CA raiz, que ele reconhece e já confia.

Por que usar CAs intermediárias? Porque uma CA raiz é um alvo de segurança extremamente valioso. Mantê-la completamente isolada (às vezes até em um local físico seguro, longe da internet) reduz o risco de ela ser hackeada. As CAs intermediárias podem fazer o trabalho do dia a dia de assinar certificados, assumindo mais risco — mas se uma intermediária for comprometida, o dano pode ser controlado sem derrubar todo o sistema.

Que acontece quando uma CA é comprometida

Em 2011, uma empresa holandesa chamada DigiNotar foi hackeada. Os atacantes conseguiram assinar certificados fraudulentos — incluindo um para google.com. Isso significava que um invasor poderia interceptar conexões para o Google e o navegador acreditaria que era real. Quando a DigiNotar foi descoberta fazendo isso, navegadores em todo o mundo removeram sua CA raiz da lista de confiança quase da noite para o dia. Ninguém mais poderia usar certificados assinados por aquela empresa.

Esse incidente mostrou que o sistema de certificados tem um ponto fraco: se você confiar na CA errada, ou se uma CA confiável for comprometida, certificados fraudulentos podem circular. Para mitigar isso, a indústria desenvolveu os logs de transparência de certificados (Certificate Transparency, ou CT logs).

Transparência de certificados: um registro público de confiança

Certificate Transparency é um sistema que cria um registro público de praticamente todos os certificados emitidos. Toda vez que uma CA assina um certificado, a CA deve enviá-lo a múltiplos CT logs — que são basicamente bancos de dados públicos e à prova de falsificação. Qualquer pessoa (ou, mais realisticamente, qualquer software) pode procurar nesses logs e verificar quais certificados foram emitidos para um determinado domínio.

Se alguém tentar emitir um certificado falso para seu domínio, você (ou um sistema de monitoramento de segurança) poderia detectar rapidamente observando os CT logs. Isso não impede que um certificado falso seja emitido, mas torna muito mais difícil usá-lo sem ser descoberto. Desde 2018, navegadores começaram a exigir que certificados tenham sido registrados em CT logs para serem considerados válidos.

Como navegadores decidem em quem confiar

Quando você abre um navegador, ele vem com uma lista pré-definida de CAs raiz nas quais confiar. Essa lista é mantida pelos criadores do navegador e incluir uma CA é um processo rigoroso — envolve auditorias de segurança, inspeções de conformidade, e processos formais de aprovação. Se uma CA violar as regras ou der qualquer sinal de que não é digna de confiança, pode ser removida. Governos não podem simplesmente adicionar uma CA em que desejam confiar à lista padrão do seu navegador.

Isso é muito diferente de como a internet funcionava décadas atrás, quando era mais fácil para autoridades centralizadas impor certificados. Hoje, esse sistema distribuído de confiança — onde múltiplos navegadores, múltiplos padrões, e múltiplos logs públicos trabalham juntos — torna muito mais difícil para qualquer ator único (governo ou empresa) falsificar certificados em escala.

Porque isso importa

Certificados digitais e a cadeia de confiança que os sustenta são a razão pela qual você pode confiar que está conectado ao site correto quando insere sua senha. É um sistema imperfeito — CAs podem ser hackeadas, humanos podem tomar decisões ruins — mas é significativamente mais forte do que nada. Entender como funciona ajuda você a compreender por que certos avisos de segurança aparecem e por que a confiança na internet é sempre uma questão de quem você escolhe acreditar. A próxima vez que você ver um cadeado verde na barra de endereços, você saberá que há toda uma cadeia de verificações, CAs, e logs públicos trabalhando para garantir que aquele site é realmente o que parece ser.