wiki:mail/certificadosdigitais

Version 1 (modified by lavoisier.vieira, 13 years ago) (diff)

--

Utilização de Certificados Digitais no Expresso

Atualizado em 07/01/2011 baseado na revisão 3667(branch 2.2)

  1. Introdução

1.1. Conceitos
1.2. Obtendo um Certificado Digital

  1. Configurações na Estação de trabalho do Usuário

2.1. Configurando a máquina virtual Java
2.2. Certificados Tipo A1
2.2.1. Linux(Ubuntu)
2.2.2. Windows(Xp)
2.3. Certificados Tipo A3

  1. Configurações no Servidor de Aplicação

3.1. Habilitando SSL no Servidor web
3.2. Verificando Permissões
3.3. Habilitando HTTPS no site do Expresso
3.4. Verificando os atributos ldap
3.4.1. Acertando Schemas do diretório
3.4.2. Configurando os atributos a serem utilizados
3.4.3. Mudando o atributo de login do Certificado
3.5. Repositório de Certificados
3.6. Atualizando a lista de certificados revogados(LCRs)
3.6.1. Configurando o Script de parâmetros de atualização
3.6.2. Configurando o arquivo de caminhos das LCRs das ACs
3.6.3. Obtendo a atualização das LCRs(Agendando periodicidade do script)
3.7. Certificados das Autoridades Certificadoras(ACs)
3.8. Configurando o(s) drivers dos dispositivos criptográficos
3.8.1. Informação de alguns dispositivos compatíveis(testados)
3.8.2. Configurando

  1. Usando o Login

4.1. Seleção de Certificado do dispositivo(novo)

  1. Usando a Criptografia

5.1. Compondo e Cifrando uma mensagem de e-mail
5.2. Lendo uma mensagem de e-mail Cifrada

  1. Usando a Assinatura

6.1. Enviando e-mail assinado
6.2. Lendo e-mail assinado

  1. Administração(novo)

7.1. ACs - Manutenção de certificados
7.2. LCRs – Lista de Certificados Revogados e Log de atualização
7.3. Visualizar configuração de uso

1. Introdução

Este documento tem por finalidade apresentar a utilização de certificados digitais no Expresso. O objetivo principal da utilização de certificados no Expresso esta relacionado a segurança da informação, considerando as quatro premissas:

1.1. Conceitos

  • Certificação Digital [ICP-Brasil]: É a atividade de reconhecimento em meio eletrônico que se caracteriza pelo estabelecimento de uma relação única, exclusiva e intransferível entre uma chave de criptografia e uma pessoa física, jurídica, máquina ou aplicação. Esse reconhecimento é inserido em um Certificado Digital, por uma Autoridade Certificadora.
  • Certificado do tipo A1 [ICP-Brasil]: É o certificado em que a geração das chaves criptográficas é feita por software e seu armazenamento pode ser feito em hardware ou repositório protegido por senha, cifrado por software. Sua validade máxima é de um ano, sendo a freqüência de publicação da LCR no máximo de 48 horas e o prazo máximo admitido para conclusão do processo de revogação de 72 horas.
  • Certificado do tipo A3 [ICP-Brasil]: É o certificado em que a geração e o armazenamento das chaves criptográficas são feitos em cartão Inteligente ou Token, ambos com capacidade de geração de chaves e protegidos por senha, ou hardware criptográfico aprovado pela ICP­Brasil. As chaves criptográficas têm no mínimo 1024 bits. A validade máxima do certificado é de três anos, sendo a freqüência de publicação da LCR no máximo de 24 horas, e o prazo máximo admitido para conclusão do processo de revogação de 36 horas.
  • Assinatura Digital [CECD]: A assinatura digital é uma modalidade de assinatura eletrônica resultado de uma operação matemática que utiliza criptografia e permite aferir, com segurança, a origem e a integridade do documento.
  • Criptografia/Cifragem?[ICP-Brasil]: A criptografia se constitui em um conjunto de métodos e técnicas destinadas a proteger o conteúdo de uma informação, tanto em relação a modificações não autorizadas quanto a alteração de sua origem, sendo uma das técnicas que possibilitam o atendimento dos requisitos básicos de segurança da informação. A confidencialidade de um documento - texto claro - será garantida quando ele for processado por um conjunto de operações, sendo transformado em um texto cifrado. O emissor do documento envia, então, o texto cifrado, que será reprocessado pelo receptor,transformando-o, novamente, em texto claro, igual ao emitido. O conjunto de regras que determina as transformações do texto claro é chamado de algoritmo (uma seqüência de operações) e o parâmetro que determina as condições da transformação é chamado de chave. O processo inverso da Criptografia é chamado de Descriptografia ou Decifragem.

1.2. Obtendo um Certificado Digital

  • O usuário deverá possuir um Certificado Digital, este permitirá a leitura das mensagens cifradas destinadas ao mesmo. Caso não possua um Certificado Digital de Usuário, o requerente deverá entrar em contato com uma AR(Autoridade de Registro). Esta fornecerá as informações necessárias para adquirir um Certificado Digital. Para maiores detalhes visite o site do SERPRO( http://www.serpro.gov.br/), você encontrará em “Serviços” a opção “Certificação Digital”.

2. Configurações na Estação de trabalho do Usuário

Esquema de execução na estação de trabalho do usuário:


2.1. Configurando a máquina virtual Java

O JRE(Java Runtime Eviroment) deve estar instalado e configurado na estação local. É recomendado o uso da JRE a partir da versão 1.6.0_10. Caso não tenha instalado, você pode baixar gratuitamente através do link  http://java.sun.com/javase/downloads/index.jsp
Existem casos em que a JRE necessita de expansão de sua memória para suportar assinatura de menagens com anexos de tamanho elevado. Para isso devemos entrar com um parâmetro de configuração de memória como segue abaixo:

  • 1.Vá no painel de controle(*) do java(JRE)
  • 2.Abrir a ferramenta Control Panel(*) da JRE através da interface gráfica como segue nas figuras adiante;
  • 3.Vá na guia JAVA, Java Applet Runtime Settings e aperte no botão View.
  • 4.Depois adicione no quarto parâmetro (Java Runtime Par...) o valor exatamente como segue e após isso confirme ok: -Xmx256m


  • (*) No Linux, você poderá abrir o Control Panel através do console digitando: ControlPanel?? <enter> ou no Ubuntu no menu: Sistema, Preferências, Sun Java6 Plugin Control Panel.
  • (*) No Windows, voce poderá abrir o Control Panel no menu: Iniciar, Painel de Controle(modo clássico) , Java.

2.2. Certificados Tipo A1

Para certificados do tipo A1(em forma de arquivo), deve-se ter o cuidado de tê-lo instalado na estação. A instalação deve ser executada a partir do gerenciador de certificados do SO como segue no exemplo abaixo:

  • 1.Abrir a ferramenta Control Panel da JRE instalada no sistema;
  • 2.Ir para a aba Security e clicar no botão “Certificates...”;
  • 3.Na caixa de seleção “Certificate Type:”, selecionar o item Client Authentication;
  • 4.Clicar no botão “Import”, selecionar o arquivo tipo “p12” e seguir as demais instruções;

2.2.1. Linux(Ubuntu)

  • Sistema → Preferências → Sun Java6 Plugin Control Panel


2.2.2. Windows(Xp)

  • Iniciar → Painel de Controle(modo classico) → Java


2.3. Certificados Tipo A3


Para usar certificados do tipo A3(tokens e smartcards), o expresso implementa a leitura deste sem a necessidade de configurações adicionais. Deve-se apenas atentar para a compatibilidade do dispositivo e a configuração de caminho das LIBs na estação local – ver item 3.7 deste guia.

3. Configurações no Servidor de Aplicação

3.1. Habilitando SSL no Servidor web

O apache deve estar configurado para utilizar https. Para isso certifique-se que o parâmetro “SSLVerifyClient” está como “none” em /etc/apache2/sites-available/default_ssl

3.2. Verificando Permissões

Certifique-se que o usuário apache(www-data) é dono e tem permissões de leitura e escrita sobre as pastas temp e crls localizadas em /var/www/expresso/security

3.3. Habilitando HTTPS no site do Expresso

  • 1.Entre no SETUP do Expresso(ex:  http://expresso.gov.br/setup);
  • 2.Logue na sessão “Header Admin Login”;
  • 3.Habilite a opção “Usar HTTPS no Site inteiro”;
  • 4.Habilite a opção “Usar Certificado Digital (para identificar o usuario no processo de login)?”;
  • 5.Habilite a opção “Habilitar Assinar/Criptografar? digitalmente?”;
  • 6.Defina como preferir o parâmetro de “Número máximo de destinatários para uma mensagem cifrada”.


3.4. Verificando os atributos ldap

3.4.1. Acertando Schemas do diretório

Verificar o schema phpgwaccount.schema, que deverá conter o novo atributo cryptpassword:

attributetype ( 1.3.6.1.4.1.9554.70 NAME 'cryptpassword' DESC 'cryp password' SYNTAX 1.3.6.1.4.1.1466.115.121.1.15)

O atributo userCertificate também é utilizado, mas já se encontra disponível por padrão no core.schema.
Estes esquemas estão disponíveis em : doc-expressolivre/debian/arqs-conf/etc/ldap/schema e devem ser carregados no ldap a ser utilizado pelo expresso.

3.4.2. Configurando os atributos a serem utilizados

Em casos em que já exista um ldap previamente utilizado pela empresa, pode ocorrer que os atributos do ldap que controlam usuários não sejam os mesmos utilizados pelo Expresso. Para tanto fora disponibilizada a possibilidade de customização destes atributos.
No SETUP, modo administrador(conforme a figura do item anterior), você deve informar qual o atributo controla a expiração de senhas:

  • 1.Na opção "Nome do atributo no ldap para controle de expiração da senhas" informe: phpgwlastpasswdchange
  • 2.Na opção "Classe ldap utilizada para identificar os usuários" informe: person.

Esta customização deu-se necessária em função por exemplo da utilização do Fedora DS como base ldap, onde existe a possibilidade do próprio diretório controlar expiração e política de senhas de usuários.

3.4.3. Mudando o atributo de login do Certificado

O Expresso deverá usar como ID de usuário algum atributo pertencente ao Certificado. Para isso é possível alterar o atributo do certificado digital que será usado para efetuar o logon no Expresso. Isso é limitado a lista de atributos presentes no Certificado Digital como e-mail, RG, CPF, Titulo e outros. Para efetuar a troca proceda da seguinte forma:

  • 1.Edite o arquivo /security/vercert.php
  • 2.Vá até alinha de retorno da função(atualmente na rev.3667 é a linha 90, retornando CPF):
    Retorna o CPF para usar como uid.
    return $dados_do_certificado2.16.76.1.3.1?CPF?;
  • 3.Modifique o retorno para um dos parâmetros exemplo apresentados em seguida:
  • 4.Salve o arquivo e teste o logon;

Alguns valores possíveis:

  • return $dados_do_certificado2.16.76.1.3.1?CPF?; CPF
  • return $dados_do_certificado2.16.76.1.3.1?[NIS]; NIS
  • return $dados_do_certificado2.16.76.1.3.1?[RG]; RG
  • return $dados_do_certificado[EMAIL]; Email completo USUARIO@DOMINIO. Ex: raimundo.fulando@…
  • return substr($dados_do_certificado[EMAIL],0,strpos($dados_do_certificado[EMAIL],'@')); Apenas o USUARIO do email. Ex: raymundo.fulano

3.5. Repositório de Certificados

Para poder receber mensagens cifradas é necessário que o destinatário tenha um certificado digital cadastrado no Banco de Dados do Expresso. Apenas dessa forma os demais usuários poderão enviar mensagens cifradas para este. Um método de incluir seu certificado no banco de dados do Expresso é enviando uma mensagem assinada digitalmente(pode ser de você para você mesmo) . No momento em que esta mensagem for lida pelo destinatário, o expresso grava o certificado do emitente em seu BD. Outro modo de disponibilizar o seu certificado(chave pública) no BD é efetuar o login com certificado, pois neste momento, estando validado o certificado ocorre automaticamente o cadastramento do certificado no repositório. A tabela phpgw_certificados é responsável por armazenar os certificados públicos e deverá estar criada no banco de dados. Certifique-se de sua existência.

3.6. Atualizando a lista de certificados revogados(LCRs)

Para toda requisição de logon, assinatura ou cifragem, a estação(usuário) requere ao servidor a validação dos certificados envolvidos na operação. No lado servidor, existe toda uma estrutura capaz de validar os certificados dos usuários para completar as operações. Alguns itens dessa estrutura necessitam estar atualizados mais constante. Podemos citar

  • Lista de certificados revogados de cada AC(Atualizado a cada hora);
  • Certificados de ACs(Autoridades Certificadoras) (Atualizado raramente);
  • Certificados públicos de usuários armazenados em no Diretório e BD(Atualizado conforme demanda(logon ou assinatura);

DICA: Podemos visualizar com detalhes as atualizações das LCRs através da ferramenta de Administração de Certificados - para detalhes veja o item 7.2 deste guia.

3.6.1. Configurando o Script de parâmetros de atualização

É no arquivo crl_admin_confg.py (script pyton) localizado na pasta /security/crl_admin/ que poderemos configurar os parametros abaixo:

  • Path do arquivo crl_admin.conf: Este arquivo contém as URLs de download das LCRs. arquivo='/var/www/expresso/security/crl_admin/crl_admin.conf'
  • Path do arquivo crls.log: Esse arquivo contém os logs do processo de atualização das LCRs através da cron. log='/var/www/expresso/logs/arquivo_crls.log'
  • Path do arquivo todos.cer: Esse arquivo contém a cadeia dos certificados das Acs. CAfile='/var/www/expresso/security/cas/todos.cer'

DICA: Podemos visualizar essas configurações através da ferramenta de Administração de Certificados - para detalhes veja o item 7.3 deste guia.

3.6.2. Configurando o arquivo de caminhos das LCRs das ACs

Periodicamente as ACs disponibilizam(via suas URLs) a lista de certificados revogados(LCR) atualizada para download. Essa lista traz todos os certificados emitidos por aquela AC que por ventura foram revogados(invalidados). Para todas as ACs incluídas no arquivo de certificados deve-se ter o cuidado de incluir o link de download de sua LCR correspondente no arquivo: /seguranca/crl_admin/crl_admin.conf

Nesse arquivo devemos especificar dois parâmetros: A URL para download da LCR da AC e o caminho onde o arquivo da LCR deverá ser gravado separados por ponto e virgula. O exemplo abaixo traz três LCRs.

 http://ccd.serpro.gov.br/lcr/serproacfv1.crl;/var/www/expresso/security/crls/
 http://acraiz.icpbrasil.gov.br/LCRacraiz.crl;/var/www/expresso/security/crls/
 http://www.receita.fazenda.gov.br/acsrf/acsrfv1.crl;/var/www/expresso/security/crls/

DICA: Podemos também visualizar o conteúdo desse arquivo através da ferramenta de Administração de Certificados - para detalhes veja o item 7.2 deste guia.

3.6.3. Obtendo a atualização das LCRs(Agendando periodicidade do script)

A atualização das LCRs é automática e feita através da cron que baixa a(s) LCR(s) conforme tempo configurado.

  • Atualização periódica dessa lista: edite a crontab do usuario www-data(usuário do apache), adicionando a linha abaixo( uma única linha):

*/20 * * * * /var/www/expresso/security/crl_admin/crl_admin.py

  • Obter uma primeira versão da lista de certificados revogados, executando os comandos abaixo(verificar se o diretório home é o mesmo(/var/www/expresso)):

su - www-data cronwget  http://ccd.serpro.gov.br/lcr/serproacfv1.crl -O /var/www/expresso/security/crls/serproacfv1.crl

DICA: Após feitas todas configurações de atualização de LCRs, é possível forçar uma atualização através da ferramenta de Administração de Certificados - para detalhes veja o item 7.2 deste guia, em “executar atualização de LCRs”.

3.7. Certificados das Autoridades Certificadoras(ACs)

Para que o Certificado do usuário seja aceito pelo servidor, é necessário que toda cadeia de Certificados de sua AC esteja pré-instalada no servidor, dessa forma será possível a verificação de seu certificado bem como de toda esta cadeia. O Arquivo que contém essa cadeia de certificados é semelhante ao do apache. Com isso, pode-se compartilhar o mesmo arquivo, associa-lo através de links ou usar de modo separado como preferir. O Exemplo a seguir refere-se a inclusão da cadeia de certificados da AC SERPRO, permitindo assim que todo certificado de usuário pertencente a essa AC possa ser verificado. O administrador do Expresso poderá incluir nesse mesmo arquivo – conforme política da empresa - as cadeias de certificados das ACs que forem necessárias. A seguir exemplifica a geração desse arquivo:

DICA: Vale lembrar que essa operação pode ser realizada através da ferramenta de Administração de Certificados - para detalhes veja o item 7.1 deste guia.

  • Baixando a cadeia: Baixe os certificados através do link abaixo. Clique o botão direito do mouse e vá em salvar como:

 https://ccd.serpro.gov.br/serproacf/

  • Convertendo Certificados do formato DER para PEN: Você observará que dentre os arquivos baixados, o arquivo de Certificado da ICP-Brasil(CertificadoACRaiz.crt) está no formato DER. Esse arquivo deverá ser convertido para formato PEM como segue abaixo:

cd/security/cas
openssl x509 -in CertificadoACRaiz.crt -inform DER -out CertificadoACRaiz.pem -outform PEM

  • Gerando e/ou atualizando o arquivo de certificados das ACs: Agora podemos criar e/ou adicionar os três arquivos da cadeia em um só(todos.cer) que será usado pelo Expresso:

cat CertificadoACRaiz.pem serprov1.crt serproacfv1.crt >> todos.cer

  • Editar o arquivo “/var/www/expresso/security/classes/Verifica_Certificado_conf.php” e alterar o parâmetro GLOBALSCAs? colocando o caminho do arquivo que contém a cadeia dos certificados das autoridades certificadoras(pode ser mesmo arquivo utilizado pelo apache).

3.8. Configurando o(s) drivers dos dispositivos criptográficos

3.8.1. Informação de alguns dispositivos compatíveis(testados)

ePass2000 Token – VERDE e PRETO
Ambiente: LINUX / WINDOWS
Fabricante/Driver?:  http://www.pronova.com.br
Localização da API(linux/Windows):
/usr/lib/libeps_p11.so
%SystemRoot?%/system32/ngp11v211.dll

Safenet ikey 2032
Ambiente: WINDOWS
FabricanteDriver?:
 http://loja.certificadodigital.com.br/Serasa/Token%20(somente%20A3)/D162
 http://www.safenet-inc.com/support-downloads/ikey-drivers/
Localização da API(linux/Windows):
/%SystemRoot?%/system32/dkck201.dll

SmartCard? GemPC TWIN Reder
Ambiente: WIN XP
Fabricante/Driver?:
Leitora:  http://support.gemalto.com/fileadmin/user_upload/drivers/GemPCUSB-SL/GemCCIDen-us_32.msi
Localização da API:
%Program Files%/Gemplus/GemSafe? Libraries/BIN/gclib.dll

3.8.2. Configurando

O Expresso disponibiliza na sua administração uma opção para configuração de caminhos para os aquivos que contém a API dos tokens. Para windows seria o caso dos arquvios DLLs e já no LINUX os arquivos SO. O fato do ambiente do cliente ser heterogêneo – tipos de SO, caminhos diferentes nas instalações dos programas, linguagens do SO, letras de unidades, etc – levou a parametrização para o caminho da API em nivel de administração. Observe abaixo os procedimentos para essa configuração.

  • Entre no expresso como administrador;
  • Vá até a Administração do Expresso, Configuração do Servidor, Segurança;
  • Entrar com o caminho da API(DLL) no formato NOMEDODISPOSITIVO;CAMINHO. Observe os exemplos de casos logo após a figura abaixo.


OBS: Lembre de colocar as barras(/) conforme os exemplos, mesmo para ambientes Windows.

  • Caso 1: Exemplo da configuração para uma estação de usuários que usa WinXP em Inglês e smartcard GemPcTwin?. O Nome(GemPcTwinXPEng) para a configuração é livre, neste caso foi adotada essa nomeclatura para indentificar dispositivo, SO, linguagem.

Parametro:
GemPcTwinXPEng;c:/Program Files/Gemplus/GemSafe? Libraries/BIN/gclib.dll

  • Caso 2: Parecido com o caso 1, porem a linguagem do SO é português.

Parametro:
GemPcTwinXPPor;c:/Arquivos de Programas/Gemplus/GemSafe? Libraries/BIN/gclib.dll

  • Caso 3: Neste caso estamos usando o Token ePass2000-Verde no SO linux. Veja como parametrizamos.

Parametro:
ePass2000Ubuntu;/usr/lib/libepsng_p11.so

Ao Logar com o Smartcard ou Token, o expresso varrerá na estação local todos os caminhos cadastrados na administração(item anterior) até achar um dispositivo válido.

4. Usando o Login

O processo de login, se caracteriza por armazenamento da password do usuário criptografada pela própria chave do usuário no sistema de diretórios, processo este denominado "acolhimento do certificado".


Ao clicar no link "Usar o meu certificado Digital para Logar" da pagina inicial do Expresso será solicitado ao usuário a sanha de seu dispositivo criptográfico(PIN), sera exibida a lista de certificados do dispositivo para seleção como mostrado a seguir:

4.1. Seleção de Certificado do dispositivo(novo)

Após digitado o PIN – como os demais softwares que fazem uso de certificação digital – o expresso apresentará a lista de certificados presentes no dispositivo, basta selecionar o certificado desejado e clicar em selecionar. Vale lembrar que esse procedimento vale para qualquer operação(logon, leitura de mensagem cifrada ou assinatura) que necessite de acesso ao certificado do dispositivo criptográfico.


5. Usando a Criptografia

Atendidos os requisitos de estação e servidor, os clientes já poderão utilizar a funcionalidade. Para isso basta habilitar nas preferências do usuário.

O usuário deverá habilitar a assinatura digital através de suas preferências pessoais. Observe abaixo:


  • Possibilitar assinar e criptografar digitalmente a mensagem: Essa opção habilita a opção de assinatura e criptografia das mensagens.
  • Sempre criptografar a mensagem: Essa opção pode ser habilitada para trazer a caixa(checkbox) de seleção para cifragem de mensagens já marcada na tela de composição dos e-mails. Isso sugere que todas as mensagens criadas serão cifradas porém(naturalmente) com a possibilidade de desmarca-la.

5.1. Compondo e Cifrando uma mensagem de e-mail

Uma vez habilitada a opção de cifragem nas preferências de e-mail do usuário, a caixa de seleção para assinatura de mensagens ficará disponível para a criação de novas mensagens no ExpressoMail?.


5.2. Lendo uma mensagem de e-mail Cifrada

Como você pode observar na figura a seguir, as mensagens cifradas são acompanhadas de um ícone(cadeado) indicador. Certifique-se de estar com o token inserido(necessário acesso a chave privada), ao clicar na mensagem cifrada, seu PIN será requisitado para em seguida sua mensagem ser exibida.


6. Usando a Assinatura

6.1. Enviando e-mail assinado

Certifique-se que o token inserido e após compôr a mensagem marque a opção "Assinar Digitalmente a Mensagem", clique em enviar e confirme o PIN do token. Serão executados os procedimentos de validação do certificado no lado servidor e caso nenhum erro seja encontrado a mensagem será enviada.


6.2. Lendo e-mail assinado

O e-mail assinado fica listado com um ícone(envelope ou caneta), conforme figura abaixo. Ao abrir este e-mail é feita toda validação deste certificado, isto é, igualdade nome do e-mail e certificado, cadeia de certificados, revogação e período de validade.


Caso alguma verificação da assinatura resulte em desconfiança, o expresso irá notificar o usuário da existência desta ocorrência, emitindo uma mensagem na cor vermelha. Ainda é possível ver os dados resumidos do certificado (público) do usuário clicando-se no ícone da carta e em detalhes clicando no link "Mais", conforme mostrado na figura abaixo.


7. Administração

  • Através das ferramentas de administração da certificação digital do Expresso podemos executar algumas tarefas que antes só eram possíveis via intervenção pelo através do shell no servidor:
  • Manutenção de certificados das Acs(Autoridades Certificadoras);
  • Consulta do histórico de atualizações das LCRs(Lista de certificados revogados);
  • Execução imediata de atualização das LCRs;
  • Visualização das configurações atuais;

Para acessar essa administração, logue como administrador e vá no menu de “Administração”, em seguida escolha a opção “Informações de ACs e LCRs”.


7.1. ACs - Manutenção de certificados

A falta da cadeia de certificados de uma ACs – ou pelo menos um componente desta - ocasionará a impossibilidade de verificação do certificado do usuário pertencente aquela cadeia, impedindo uma operação de assinatura, cifragem ou logon.
Vimos no item 3.7 deste guia - Certificados das Autoridades Certificadoras(ACs) – como adicionar certificados de ACs para uso no expresso manualmente via linha de comando. Essa ferramenta substitui esse tipo de intervenção, permitindo através de uma só interface a consulta, inclusão e exclusão de certificados de ACs.

  • Para acessar a lista de ACS configuradas clique em Acs (Autoridades Certificadoras). Nesta tela são exibidos os certificados contidos no arquivo /security/cas/todos.cer( arquivo com certificados da ACs), e as cadeias de verificação das ACs contidas no mesmo(caixa superior e caixa inferior, respectivamente).
  • Clique em um dos botões “Voltar” para retorna a tela de opções.
  • Certificados de uma AC pode ser removido do arquivo clicando no link “x”,em vermelho.
  • Certificados de novas ACs podem ser adicionados ao arquivo. Selecione um arquivo contendo os certificados( pem, der, cer, pfx ou p7b), e clique no botão adicionar. O arquivo será processado, e listados os certificados - adicionados ao arquivo todos.cer. Os novos certificados serão exibidos na caixa superior e mostrados na caixa inferior também conforme exemplo abaixo:


Para obter informações adicionais sobre o certificado de determinada AC, clique no nome da mesma, na caixa inferior. Será exibida a tela:


7.2. LCRs – Lista de Certificados Revogados e Log de atualização

Fortuitamente alguns certificados necessitam ser revogados - seja por extravio do dispositivo, expiração do certificado, etc – e esse processo é feito junto a AC que disponibiliza atualizações constantes de suas listas de certificados revogados para download. O Expresso, conforme visto no item 3.6 deste guia, atualiza periodicamente sua lista local de certificados revogados.

  • Para verificar o status das LCRs configuradas vá em LCRs( Lista de certificado revogados)
  • Para comandar uma atualização “imediata” das LCRs clique no botão “Executar atualização das LCRs”, localizado no rodapé da caixa superior.


Neste ultimo quadro podemos visualizar o LOG do download e verificação de integridade e assinatura do arquivo de LCR de cada AC. Esse arquivo de LOG está disponível em /var/www/expresso/logs/arquivo_crls.log
O download de cada LCR é realizado baseando-se no arquivo de configuração de LCRs encontrado na pasta: /security/crl_admin/crl_admin.conf - conforme configurado no item 3.6.2 deste guia. ATENÇÃO: Problemas de download ou verificação das LCRs poderão ser detectado visualizando este LOG.

7.3. Visualizar configuração de uso

As configurações para verificação de certificados - apresentados no item 3.7 deste guia - podem ser visualizados nesse menu, basta clicar em Visualizar Configuração em Uso. Será exibida a tela:


Esta tela mostra as configurações em uso pelo Expresso para efetuar todas as operações que envolvem Certificados Digitais. Estas informações são de conteúdo do arquivo /security/classes/Verfica_Certificado_conf.php.

Attachments