O texto apresentado é obtido de forma automática, não levando em conta elementos gráficos e podendo conter erros. Se encontrar algum erro, por favor informe os serviços através da página de contactos.
Não foi possivel carregar a página pretendida. Reportar Erro

0704 | II Série A - Número 021 | 13 de Julho de 2002

 

para as aplicações cliente; é essencial usar se ferramentas standard de interacção: browsers, correio electrónico, etc.
(iii) As aplicações de servidor têm de ser "intocáveis"; os mecanismos de reconhecimento da identificação e de reconhecimento da autenticação têm de ser externos à aplicação servidor; as aplicações que garantem a segurança desses actos têm de ser standard e já desenvolvidas.

A integração do cartão do cidadão num serviço deve, tanto quanto seja possível, resumir se a um esforço de configuração de ferramentas existentes, reduzindo o esforço de codificação ao mínimo.
2 - Integração nas aplicações cliente:
Dado que o cartão do cidadão assenta em soluções PKI padrão, as aplicações cliente podem resumir se a browsers (ou, eventualmente, clientes de correio electrónico) configurados para o protocolo de transporte https e suportando as funcionalidades do protocolo SSL.
Os cartões devem usar o perfil electronic identification profile do PICCS#15. Este perfil é suportado pelas aplicações cliente atrás referidas desde que seja instalado o driver apropriado para o leitor de cartões usados. Estes drivers devem estar publicamente acessíveis.
3 - Registo de certificados:
O acto essencial para que um cidadão, titular de um cartão com certificados, seja reconhecido por um sistema de informação é o seu registo junto a esses sistemas.
O objectivo do registo é a definição de uma correspondência entre a informação pública que o identifica (os seus certificados de chave pública) e a identificação como utilizador do sistema.
Cada sistema de informação pode usar formas diversas de identificar um seu utilizador; pode usar identificadores (número do contribuinte, número de bilhete de identidade, número de sócio de um clube desportivo, etc) ou usar um conjunto de atributos que sejam relevantes ao sistema. O sistema de informação pode também definir autorizações distintas (associações entre recursos e acções possíveis sobre esses recursos) consoante o utilizador e o certificado que o identifica.
O resultado do registo é a construção de uma "tabela" que associa certificados a identificadores (ou algo equivalente) e a autorizações. Esta tabela é genericamente designada por depósito de chaves (públicas) ou key store.
Dado que o processo de registo é um processo de reconhecimento de identidade próprio de cada sistema de informação, a forma como é efectuado vai depender do serviço e do grau de autoridade que reconhece ao cartão do cidadão. Algumas possibilidades:

(i) Para os serviços nucleares (justiça, saúde, finanças e segurança social) o registo pode ser feito automaticamente logo na emissão do cartão do cidadão. Para aqueles serviços que contribuíram com um identificador id para o passo 2, a autoridade de identidade pode usar esse identificador para proceder, em nome do cidadão, ao seu registo no serviço.
(ii) Para serviços que já tenham um processo de identificação de rede (usando outros certificados ou sistemas login-password) onde o utilizador esteja reconhecido, pode se fazer o registo on-line através de uma identificação com o sistema instalado e solicitando ao utilizador que forneça os seus novos certificados.
(iii) Para sistemas que ponham grande ênfase na identificação dos seus utilizadores, o registo pode ter de ser feito presencialmente. Isto significa que o cidadão tem de se apresentar com o cartão nesse serviço e fornecer lhe evidência de que é realmente o titular do cartão.
iv) Para sistemas onde a autenticidade de identidade não seja uma questão crítica, o registo pode ser feito on-line fornecendo se os certificados e, eventualmente, dados "identificadores" complementares.

É importante assegurar que a identificação e o registo apenas forneçam certificados (que são informação pública) ao sistema de informação; toda a informação associada a um utilizador deve ser interna ao sistema que define os atributos necessários e a forma como recolhe essa informação. Deste modo, a privacidade do utilizador (e a protecção dos seus dados pessoais) é uma questão interna a cada sistema e o acto de registo não introduz qualquer capacidade de violação desse direito.
4 - Integração nos serviços:
Um sistema de informação típico é constituído por várias aplicações que interagem com uma base de dados comum. Tem utilizadores individualizados através de um ou mais identificadores e tem um mecanismo de autorizações através do qual pode controlar que utilizadores acedem a que recursos e em que condições.

(A figura segue apenas em suporte de papel)

Figura 4.1 - Integração de segurança e o CCC em aplicações de rede.

Num tal sistema a integração do cartão do cidadão, e genericamente dos mecanismos de segurança PKI, está representado na figura supra. Essencialmente, é necessário:
- Instalar um servidor de rede com capacidade de responder a pedidos https e configurá lo para poder

Páginas Relacionadas
Página 0712:
0712 | II Série A - Número 021 | 13 de Julho de 2002   Com o mesmo objectivo
Pág.Página 712
Página 0713:
0713 | II Série A - Número 021 | 13 de Julho de 2002   à lei das finanças loc
Pág.Página 713
Página 0714:
0714 | II Série A - Número 021 | 13 de Julho de 2002   e os procedimentos a q
Pág.Página 714