PKI on Defesa em profundidade

Pinning de certificados TLS: utilização em aplicações modernas

Sat, 08 Nov 2025 00:00:00 +0000

#!/intro

As comunicações de aplicações modernas recorrem quase sempre a TLS para proteger dados em trânsito. O sistema operativo ou a biblioteca TLS tratam da negociação de parâmetros criptográficos, do handshake autenticado e da validação da cadeia de certificados até uma autoridade de certificação presente no repositório de confiança do sistema. Em teoria, isto basta para garantir confidencialidade, integridade e autenticação do servidor. Na prática, este modelo de confiança alargada expõe uma superfície de ataque difícil de aceitar em serviços com requisitos elevados de segurança.

Infraestrutura de chave pública: verificação da validade

Sun, 11 Jun 2023 00:00:00 +0000

#!/intro

Certificados digitais desempenham um papel fundamental na criação de relações de confiança no meio digital. Ao associarem de forma segura uma chave pública a uma identidade, permitem assegurar que as comunicações e transações eletrónicas ocorrem entre partes legítimas.

No entanto, essa confiança depende da garantia de que o certificado apresentado continua válido no momento em que é utilizado. Um certificado pode deixar de ser válido por motivos diversos, como o termo do seu período de validade ou alterações no contexto da sua emissão. Por isso, é essencial dispor de mecanismos que permitam verificar, de forma eficiente e precisa, se um certificado permanece válido. Esta verificação é um passo crítico na prevenção de falhas de confiança e na proteção da integridade das comunicações e transações digitais.

O incidente Let’s Encrypt: uma cadeia, diferentes confianças

Sun, 21 Nov 2021 00:00:00 +0000

#!/intro

A 30 de setembro de 2021, o certificado de raiz DST Root CA X3, da IdenTrust, utilizado pela Let’s Encrypt para manter compatibilidade com sistemas que ainda não reconheciam a raiz ISRG Root X1, expirou.

A data de expiração era conhecida e a Let’s Encrypt tinha preparado antecipadamente a transição para a ISRG Root X1. Apesar de os certificados dos servidores continuarem válidos, algumas ligações TLS começaram a falhar com erros de certificado expirado.