O que torna uma assinatura eletrônica confiável?

Uma assinatura à mão conquista confiança de um jeito discreto: o papel está na sua frente, a tinta está nele, e um tribunal sabe examinar os dois. Uma assinatura eletrônica não tem nenhuma dessas provas físicas. Ela precisa conquistar confiança respondendo com clareza a três perguntas, sempre que alguém perguntar, por todo o tempo em que o documento importar.

Quem assinou? O que exatamente foi assinado? E quando?

Quem assinou: identidade

As assinaturas eletrônicas mais fracas param em um endereço de e-mail ou em um nome digitado. Isso são alegações, e qualquer pessoa que consiga abrir uma caixa de entrada pode fazê-las.

O PQC Imza vincula cada assinatura a uma pessoa verificada. O app PQC Wallet lê por NFC o chip de um cartão de identidade ou passaporte, o mesmo chip que o controle de fronteira lê. Os dados do chip são assinados pelo país emissor, e o app confere essa assinatura com os certificados do próprio país. Uma fotocópia, uma captura de tela ou uma digitalização editada não passam nessa verificação, porque não há chip para assiná-las.

O PQC Imza aceita cartões de identidade com chip e passaportes de mais de cem países. Cada assinatura também registra com que rigor o signatário foi identificado: uma assinatura feita após a leitura de um chip verificado aparece de forma diferente de uma em que a identidade do signatário foi apenas declarada, e essa diferença é mostrada onde quer que a assinatura apareça.

O que foi assinado: integridade

Uma assinatura precisa estar vinculada a um documento exato, e não ao "contrato" de modo geral. Caso contrário, uma assinatura dada a uma versão poderia ser levada para outra.

Todo documento no PQC Imza tem uma impressão digital SHA-256, um valor curto calculado a partir do seu conteúdo. Mude uma vírgula e a impressão digital muda por completo. O que cada signatário assina inclui essa impressão digital, e o servidor recusa uma assinatura que não a inclua. Depois, qualquer pessoa pode enviar o PDF para a página de verificação: o site recalcula a impressão digital e diz com clareza se o arquivo é o mesmo que foi assinado.

Quando: tempo

Datas importam: uma assinatura pode ser válida só porque foi feita antes de um prazo, ou antes de uma chave ser substituída.

O PQC Imza registra quando cada assinatura foi feita e, quando chega a última, grava a impressão digital do documento e as impressões digitais das suas assinaturas na blockchain SciChain. Esse registro obtém a data e a hora do livro-razão, que vários validadores mantêm sincronizado, e não dos nossos servidores. Ele mostra que essas assinaturas já existiam naquele momento, aconteça o que acontecer depois com qualquer servidor.

E por todo o tempo que importar

Essas três respostas só valem enquanto a própria assinatura não puder ser falsificada. A maioria das assinaturas hoje usa RSA ou criptografia de curvas elípticas, que um computador quântico grande quebraria. O PQC Imza assina com ML-DSA, o padrão pós-quântico que o NIST publicou em 2024, para que as respostas continuem verdadeiras por toda a vida útil do documento. Explicamos aqui por que isso importa.

Uma lista de verificação rápida

Seja qual for o serviço que você usa, faça a ele estas perguntas:

• Identidade: o signatário é verificado por um documento oficial ou apenas por um endereço de e-mail?
• Integridade: a assinatura está vinculada ao arquivo exato, e qualquer pessoa pode conferir isso depois?
• Tempo: existe um registro independente de quando ela foi assinada?
• Longevidade: a assinatura vai continuar impossível de falsificar daqui a dez anos?

Se uma determinada assinatura atende a um determinado requisito legal depende de onde e de como ela é usada. Para documentos que exigem por lei um tipo específico de assinatura, consulte seu assessor jurídico.