O SECRETÁRIO EXECUTIVO DO COMITÊ GESTOR DA INFRA-ESTRUTURA DE CHAVES PÚBLICAS BRASILEIRA - ICP-BRASIL, no exercício do cargo de Coordenador do referido Comitê, no uso das atribuições legais previstas nos incisos I, V e VI do art. 4º da Medida Provisória nº 2.200-2, de 24 de agosto de 2001,

Considerando a necessidade de atualização dos Padrões e Algoritmos Criptográficos da ICP-Brasil (DOC-ICP-01.01), e

Considerando a necessidade de definição de prazos limítrofes para as atualizações previstas na versão 2.0 dos Padrões e Algoritmos Criptográficos da ICP-Brasil,

Resolve:

Art. 1º Aprovar a versão 2.0 dos PADRÕES E ALGORITMOS CRIPTOGRÁFICOS DA ICP-BRASIL (DOC-ICP-01-01, Anexo I).

Art. 2º Aprovar o Plano de Migração para Atualização dos Algoritmos Criptográficos da ICP-Brasil (Anexo II).

Art. 3º Esta Resolução entra em vigor na data de sua publicação.

RENATO DA SILVEIRA MARTINI

Versão 2.0

9 de junho de 2009

1. INTRODUÇÃO

Este documento regulamenta os padrões de hardware, os algoritmos e parâmetros criptográficos a serem empregados em todos os processos realizados no âmbito da Infra-estrutura de Chaves Públicas Brasileira (ICP-Brasil), que incluem, entre outros:

a) geração de chaves criptográficas;

b) solicitação, emissão e revogação de certificados digitais;

c) geração e verificação de assinaturas digitais;

d) cifração de mensagens;

e) autenticação com certificados digitais.

As diretrizes aqui constantes devem ser obrigatoriamente observadas pelas Autoridades Certificadoras, Autoridades de Registro, Prestadores de Serviço de Suporte, Empresas de Auditoria Independente, Laboratórios de Ensaios e Auditoria, e outras entidades credenciadas ou cadastradas na ICP-Brasil, bem como pelos titulares finais e desenvolvedores de aplicativos que utilizam certificados digitais da ICP-Brasil.

2. APLICABILIDADE DOS ALGORITMOS E PARÂMETROS CRIPTOGRÁFICOS

Esta Seção relaciona os principais procedimentos que envolvem criptografia, no âmbito da ICP-Brasil, com os algoritmos e parâmetros que devem ser utilizados, obrigatoriamente, para sua execução, e também com os documentos normativos que tratam desses procedimentos.

3. PADRÕES DE HARDWARE

A tabela a seguir relaciona os padrões a serem empregados nos hardware criptográficos com sua utilização na ICP-Brasil e com os documentos normativos que tratam dessa utilização.

Nota (1): A partir da data de publicação desta Resolução passa a ser requisito obrigatório a homologação dos dispositivos de hardware acima discriminados junto à ICP-Brasil, observados, ainda, os Níveis de Segurança de Homologação (NSH) mínimos estabelecidos;

Nota (2): Tendo em vista a necessidade de se conceder prazo para que o mercado se adeque às exigências ora estabelecidas, admitir-se-á, transitoriamente, até 31.12.2010, para efeitos de auditorias e fiscalizações da ICP-Brasil, a apresentação de Protocolo de Habilitação Jurídica e Relatório de Análise Qualitativa emitido pelo LEA, referentes a Processo de Homologação da ICP-Brasil condizente com o NSH exigido ou ainda comprovante de Certificação FIPS 140-2 ou FIPS 140-1 no nível exigido.

4. DOCUMENTOS REFERENCIADOS

Os documentos abaixo são aprovados por Resolução do Comitê-Gestor da ICP-Brasil e podem ser alterados, quando necessário, pelo mesmo dispositivo legal. O sítio http://www.iti.gov.br disponibiliza as versões atualizadas de todos os documentos e as Resoluções que os aprovaram.

1. Primeira etapa - data limite: 09.12.2009

1.1. Alterar os normativos da ICP-Brasil para permitir a emissão de certificados para AC e usuários finais contendo chaves ECC. Permitir que esses certificados usem também função hash SHA 256 ou SHA 512 para realização de assinaturas. O objetivo dessa ação é permitir que o mercado comece a se adaptar aos novos padrões.

1.2. Definir e adotar ações para viabilizar a realização da próxima etapa no prazo previsto.

2. Segunda etapa - data limite: 30.06.2010

2.1. Criar, na AC Raiz, nova cadeia (V2), que implemente padrão RSA 4096 bits e função hash SHA 512.

2.2. Criar na AC Raiz, nova cadeia (V3) que implemente padrão ECDSA 512 bits e função hash SHA 512.

2.3. Definir e adotar ações para viabilizar a realização da próxima etapa no prazo previsto.

3. Terceira etapa - data limite: 31.12.2010

3.1. Avaliar a adesão dos sistemas de mercado e de AC, à adoção de esquemas criptográficos mais seguros e se necessário, adotar ações para ampliação do uso.

3.2. A partir de 01.07.2010, as AC devem adotar as ações necessárias ao inicio do processo de emissão de certificados vinculados à AC Raiz sob a nova hierarquia (V2 ou V3), e adaptar seus sistemas para uso dos novos padrões.

3.3. Definir e adotar ações para viabilizar a realização da próxima etapa no prazo previsto.

4. Quarta etapa - data limite: 01.01.2011

4.1. A partir desta data é recomendado criar certificados que usem pelo menos padrão RSA 2048 bits e função hash SHA 256.

5. Quinta etapa - data limite: 31.12.2011

5.1. A partir desta data, todas as AC já devem estar emitindo certificados vinculados à AC Raiz sob a nova hierarquia (V2 e V3), adaptando seus sistemas para o uso dos novos padrões.

5.2. Definir e adotar ações para viabilizar a realização da próxima etapa no prazo previsto.

6. Sexta etapa - data limite: 01.01.2012

6.1. A partir desta data, nenhum novo certificado de AC ou de usuários finais poderá ser gerado sob as hierarquias anteriores (V0 e V1).

6.2. Definir e adotar ações para viabilizar a realização da próxima etapa no prazo previsto.

7. Sétima etapa - data limite: 31.12.2014

7.1 A partir desta data, nenhum certificado ICP-Brasil emitido sob as cadeias anteriores (V0 e V1) deverá estar válido, exceto certificados de AC, cuja revogação deve ser avaliada. (Redação dada ao anexo pela Resolução CG/ICP nº 68, de 13.10.2009, DOU 21.10.2009)

Nota:Redação Anterior:
"ANEXO II
PLANO DE MIGRAÇÃO
1. Primeira etapa - data limite: 09.06.2009
1.1. Alterar os normativos da ICP-Brasil para permitir a emissão de certificados para AC e usuários finais contendo chaves ECC. Permitir que esses certificados usem também função hash SHA 256 ou SHA 512 para realização de assinaturas. O objetivo dessa ação é permitir que o mercado comece a se adaptar aos novos padrões.
1.2. Definir e adotar ações para viabilizar a realização da próxima etapa no prazo previsto.
2. Segunda etapa - data limite: 31.01.2010
2.1. Criar, na AC Raiz, nova cadeia (V2), que implemente os padrão RSA 4096 bits e função hash SHA 512.
2.2. Criar na AC Raiz, nova cadeia (V3) que implemente os padrão ECDSA 512 bits e função hash SHA 512.
2.3. Definir e adotar ações para viabilizar a realização da próxima etapa no prazo previsto.
3. Terceira etapa - data limite: 30.06.2010
3.1. Avaliar a adesão dos sistemas de mercado e de AC, à adoção de esquemas criptográficos mais seguros e se necessário, adotar ações para ampliação do uso.
3.2. A partir de 01.02.2010, as AC devem adotar as ações necessárias ao inicio do processo de emissão de certificados vinculados à AC Raiz sob a nova hierarquia (V2 ou V3), e adaptar seus sistemas para uso dos novos padrões.
3.3. Definir e adotar ações para viabilizar a realização da próxima etapa no prazo previsto.
4. Quarta etapa - data limite: 01.01.2011
4.1. A partir dessa data é recomendado criar certificados que usem pelo menos padrão RSA 2048 bits e função hash SHA 256.
5. Quinta etapa - data limite: 31.12.2011
5.1. A partir desta data, todas as AC já devem estar emitindo certificados vinculados à AC Raiz sob a nova hierarquia (V2 e V3), adaptando seus sistemas para o uso dos novos padrões.
5.2. Definir e adotar ações para viabilizar a realização da próxima etapa no prazo previsto.
6. Sexta etapa - data limite: 01.01.2012
6.1. A partir dessa data, nenhum novo certificado de AC ou de usuários finais poderá ser gerado sob as hierarquias anteriores (V0 e V1).
6.2. Definir e adotar ações para viabilizar a realização da próxima etapa no prazo previsto.
7. Sétima etapa - data limite: 31.12.2014
7.1. A partir dessa data, nenhum certificado ICP-Brasil emitido sob as cadeias anteriores (V0 e V1) deverá estar válido, exceto certificados de AC, cuja revogação deve ser avaliada."