Glossário

AC - Sigla para "Autoridade Certificadora". As ACs são empresas ou organizações que oferecem pares de chaves assimétricas. A chave emitida pela AC é assinada com a chave dela mesma, desse modo quando alguém recebe a chave pública de alguém, pode verificar se a AC atesta que essa chave é válida. Para fazer essa verificação o computador precisa ter a chave pública da AC pré-instalada; a maioria dos fabricantes de browsers e programas de e-mail cobram das ACs para incluir suas chaves nos programas. No Brasil o Governo Federal criou uma AC governamental que emite chaves mediante concessão para empresas que vendem certificados digitais. É uma reprodução do sistema dos cartórios.

Assinar - Pode-se assinar um trecho de texto, arquivo ou e-mail com uma chave privada. Quem recebe algo assinado pode, usando a chave pública de quem assinou, verificar se a assinatura é verdadeira e se o conteúdo assinado não foi adulterado enquanto estava em trânsito.

Assinar uma chave - Usando a sua chave privada, você pode assinar a chave pública de alguém de modo a atestar para alguém que já tenha e use a sua chave pública, que a chave pública da pessoa que você assinou é verdadeira. Antes de assinar uma chave você deve conferir a impressão digital dela com o dono por um meio diferente da Internet, já que não tem sentido usar o meio onde se quer usar um código para combinar esse código.

Autoridade Certificadora - Em uma ICP (Infraestrutura de Chaves Públicas), ela é o agente responsável por assinar e atestar a validade das chaves públicas vendidas por ela. Para isso essas empresas fazem acordos com os principais softwares de navegação (Internet Explorer) e e-mail (Outlook) para que estes venham com a chave pública da autoridade certificadora pré-instalada. Ao receber algo assinado com uma chave pública que diz ter sido emitida por determinada autoridade certificadora, o programa verifica com a autoridade certificadora se a chave foi realmente emitida por ela e não foi revogada. No padrão OpenPGP não existem autoridades certificadoras porque o sistema é descentralizado e não depende de empresas para funcionar; ainda assim qualquer empresa pode agir como autoridade certificadora de chaves públicas OpenPGP desde que reconhecida como tal por outros usuários. Uma empresa pode, por exemplo, atestar a validade das chaves de todos os seus funcionários.

Chave pública - Chave criptográfica que fica em poder do público. Ela é capaz de criptografar algo para que só possa ser descriptografado com a chave privada correspondente e é capaz de conferir a assinatura de algo assinado com a chave privada correspondente.

Chave privada - Chave criptográfica que fica somente no poder de quem a gerou, isto é, de seu dono. Ela é capaz de decriptografar algo criptografado com a chave pública correspondente e é capaz de assinar algo para que possa ter a assinatura confirmada com a chave pública correspondente.

Criptografar - Pode-se criptografar um trecho de texto, arquivo ou e-mail com uma chave pública. Só o dono da chave privada correspondente pode descriptografar o conteúdo.

Criptografia assimétrica - Tecnologia que torna qualquer dado (texto, arquivo, e-mail) ilegível mediante embaralhamento e substituição dos dados num padrão que só uma chave pública consegue fazer e só a chave privada correspondente consegue desfazer.

Criptografia simétrica - Tecnologia que torna qualquer dado (texto, arquivo, e-mail) ilegível mediante embaralhamento e substituição dos dados num padrão que só o emissor e o receptor conhecem, de modo a permitir o armazenamento e trânsito seguro desses dados.

Hash - é um código curto calculado (por um algoritmo matemático) a partir do conteúdo de algo, de modo que uma mínima alteração no conteúdo muda completamente o hash. Desse modo pode-se, por exemplo, enviar um arquivo e o receptor deste confirmar o hash (código curto) com quem enviou para ter certeza de que o arquivo chegou em ordem. O hash não faz parte do conteúdo, ele é calculado a partir dele. Os algoritmos de hash mais comuns atualmente são o MD5 e o SHA1. Vários sites que disponibilizam arquivos para download também disponibilizam os hashes dos arquivos.

Impressão digital - Hash de uma chave pública. Funciona como um hash. Permite a qualquer pessoa que recebe uma chave pública confirmar com seu dono se a chave que recebeu é verdadeira, tendo certeza de que não foi trocada por um hacker ou vírus no caminho.

Linux - Assim como o Windows, é um sistema operacional. A grande diferença é que ele é open-source e qualquer um pode obtê-lo gratuitamente, editá-lo, copiá-lo, republicá-lo e até mesmo vender versões modificadas do mesmo. Muitos especialistas em segurança garantem que servidores Linux bem configurados são muito mais seguros e estáveis que servidores Windows.

OpenPGP - Padrão aberto de criptografia criado por Phil Zimmermann em 1991. O documento que oficializa o padrão é a RFC2440. Existem diversos softwares compatíveis com esse padrão, dentre eles o PGP que é comercializado pela PGP Corporation e o GnuPG, gratuito e excelente.

Open source - Do inglês, código aberto, é o programa de computador cujo código ("receita do bolo") é público. Quando o código de um programa é público qualquer um pode auditá-lo e ter certeza de que é seguro. Dependendo da licença do programa, ele pode ou não ser copiado, editado e republicado livremente. A licença GNU GPL (Licença Pública Geral GNU), a aplicada ao Linux, permite que um programa seja livremente copiado (distribuído), modificado e republicado, contanto que seja mantida a mesma licença e que você deixe claro que o programa foi apenas modificado por você.

Revogar uma chave - Cancelar a chave. Para revogar a chave é necessário ter a chave privada e sua senha ou a chave pública e um certificado de revogação, existe também a possibilidade de pré-programar uma outra chave privada de outro usuário para que tenha poder de revoga-la. A chave fica cancelada só no chaveiro onde foi revogada, portanto é importante enviar a chave pública revogada a todos aqueles que a possuem, o método mais simples é enviar a um servidor de chaves. Ao verificar uma assinatura feita com uma chave revogada, o usuário será informado que a chave foi revogada e portanto não é mais confiável.

Servidor de chaves - Guarda as chaves públicas enviadas a ele e permite que qualquer usuário as busque nele pelo nome do usuário, e-mail ou código da chave.