Brasil abandona padrão de criptografia maculado pela NSA

Há aproximadamente três meses, o governo brasileiro descartou um dos padrões criptográficos dos certificados digitais do sistema de chaves públicas ICP Brasil. É a versão 3, ou simplesmente V3, da cadeia de certificação, o que seria o namoro do sistema nacional de certificação digital com a criptografia por curvas elípticas.

Formalmente, foi alegado que não houve adesão das autoridades certificadoras. E, efetivamente, não há certificados emitidos com a V3. Entretanto, a decisão de revogar essa linha de certificados é a primeira resposta concreta às denúncias da espionagem indiscriminada dos Estados Unidos, especialmente do envolvimento da NSA na padronização de sistemas criptográficos.

Entre as denúncias de Edward Snowden, uma importante abordou a participação da agência de espionagem nos processos de padronização do Instituto Nacional de Padrões e Tecnologia (NIST, na sigla em inglês). Não pelas proposições em si, já que a NSA deve, por lei, ser ouvida nesse processo, mas porque teria deliberadamente patrocinado falhas nos padrões criptográficos.

A V3 do sistema de certificação do ICP Brasil era baseada no sistema de criptografia identificado no ramo como “suíte B da NSA”, e foi essa suspeita de enfraquecimento que levou o Instituto Nacional de Tecnologia da Informação (ITI), órgão vinculado à Presidência da República que regula certificação digital no país, a revogar essa cadeia de certificação em fins de fevereiro.

O ITI não pretende abandonar o uso das curvas elípticas na criptografia dos certificados digitais brasileiros.

Logo, na prática, o Brasil vai trocar o padrão “americano” de criptografia por curvas elípticas pelo “europeu”, hoje patrocinado pelo análogo alemão do NIST, o BSI.

A expectativa é de que a primeira aplicação prática do sistema de curvas elípticas venha nos certificados digitais a serem embutidos nos novos passaportes brasileiros, esperados para outubro deste ano.

Com informações de Convergência Digital