Pular para o conteúdo
AssinaJá

Documento final seguro

O ficheiro que sai no fim não é o PDF que entrou com imagens coladas por cima. É um documento criptograficamente selado, com o histórico de cada revisão verificável, e com o material necessário para o validar mesmo daqui a anos — sem a plataforma, sem ligação à internet, e sem a nossa colaboração.

Esta página descreve, camada a camada, o que lá está.

As camadas, de uma vez

Seção intitulada “As camadas, de uma vez”
Camada Quando é aplicada O que garante
Selo certificador da plataforma (AATL, DocMDP=3) Ao enviar, antes de alguém assinar Integridade: o conteúdo das páginas fica bloqueado
Assinaturas visuais (anotações) À medida que cada signatário assina Aparência e autoria visível, sem partir o selo
Assinatura qualificada CMD Se o signatário assinar com Chave Móvel Digital QES — equivalência à assinatura manuscrita
Selos SCAP Quando os atributos profissionais estão integrados A qualidade profissional, atestada pela entidade certificadora
Material LTV + carimbo de arquivo Ao selar e ao concluir Verificabilidade a longo prazo, offline

O selo certificador, aplicado antes de qualquer assinatura

Seção intitulada “O selo certificador, aplicado antes de qualquer assinatura”

Todos os documentos publicados pelo assistente são selados no momento do envio, antes de o primeiro signatário lhes tocar. O selo é uma assinatura de certificação invisível, aplicada no servidor.
Certificado Sectigo AATL Document Signing (rmb-aatl-signing)
Emitido a RMB - SISTEMAS DE INFORMACAO LDA — a entidade que opera o AssinaJá
Chave privada Azure Key Vault Premium HSM, chave não-exportável — nunca sai do módulo
Nível eIDAS AES (Art. 26)
Perfil PAdES B-LT, elevado a B-LTA com o carimbo de arquivo

AATL é a Adobe Approved Trust List. O Adobe Reader confia nela por omissão, e é por isso que o documento abre com o visto verde sem que o leitor tenha de instalar ou configurar seja o que for.

O que o DocMDP=3 permite e proíbe

Seção intitulada “O que o DocMDP=3 permite e proíbe”

O selo escreve /Perms/DocMDP com /P 3. A partir daí o PDF aceita apenas três coisas: preenchimento de campos de formulário, assinaturas adicionais e anotações. Qualquer alteração ao conteúdo das páginas invalida o selo, e o leitor de PDF passa a mostrar o documento como alterado.

O Adobe Reader anuncia isso assim:

O autor especificou que preenchimento de formulário, assinaturas e comentários são permitidos neste documento. Nenhuma outra alteração é permitida.

As assinaturas visuais entram como anotações

Seção intitulada “As assinaturas visuais entram como anotações”

Cada assinatura visual — imagem da assinatura ou da rubrica, nome, data — é escrita como uma anotação com o seu próprio fluxo de aparência, e não desenhada sobre a página.

A razão é a regra acima: sob DocMDP=3 as anotações são uma alteração permitida, o conteúdo das páginas não é. Escrever a assinatura na página invalidaria o selo da plataforma; escrevê-la como anotação deixa-o intacto.

Cada assinatura é acrescentada numa revisão incremental: nada do que já estava escrito é reescrito. É por isso que vários signatários qualificados seguidos funcionam — a assinatura de quem assina em terceiro lugar não toca no intervalo de bytes coberto pela do primeiro.

A assinatura qualificada com Chave Móvel Digital

Seção intitulada “A assinatura qualificada com Chave Móvel Digital”

Quando um signatário assina com Chave Móvel Digital, o que fica no PDF é uma assinatura QES produzida com um certificado qualificado emitido pela AMA, prestador qualificado de serviços de confiança listado na EU Trust List portuguesa. A chave privada vive num HSM da AMA — nunca no telemóvel do signatário nem no AssinaJá.

Tecnicamente é um contentor CAdES-BES (ETSI.CAdES.detached, com os atributos assinados content-type, message-digest e signing-certificate-v2, em SHA-256) selado com um carimbo temporal qualificado. O validador DSS da Comissão Europeia classifica o resultado como QESig / TOTAL_PASSED, no perfil PAdES-BASELINE-T.

Ver Assinatura qualificada com CMD.

Os selos SCAP, quando os atributos estão integrados

Seção intitulada “Os selos SCAP, quando os atributos estão integrados”

Com atributos profissionais (SCAP), o documento leva assinaturas adicionais — uma por cada entidade certificadora — a atestar a qualidade em que o signatário assinou.

A diferença é de natureza, não de grau: a CMD prova quem assinou; o SCAP prova em que qualidade, e quem o afirma é a própria Ordem ou entidade, não o signatário nem o AssinaJá.

Validação a longo prazo (LTV)

Seção intitulada “Validação a longo prazo (LTV)”

Uma assinatura só se consegue validar se, no momento da verificação, ainda for possível saber que o certificado era válido quando foi usado. Passados alguns anos, os serviços que respondem a essa pergunta podem já não existir. É esse o problema que o LTV resolve: guardar as respostas dentro do ficheiro.

Ao selar, o AssinaJá recolhe as respostas OCSP/CRL e os certificados da cadeia e escreve-os no PDF, num Document Security Store (/DSS) com uma entrada por assinatura (/VRI). É o que leva o selo da plataforma ao perfil PAdES B-LT e o que faz o Adobe mostrar a assinatura como habilitada para LTV.

Ao concluir, é acrescentado um carimbo temporal de arquivo que cobre todo o ficheiro, incluindo esse material de validação. Passa a PAdES B-LTA, e é também o que faz desaparecer o aviso de “alterações após a última assinatura”.

Os carimbos vêm de uma lista rotativa de autoridades de carimbo temporal qualificadas europeias, tentadas por ordem e com recurso à seguinte se uma falhar — a TSA do Cartão de Cidadão (IRN/AMA), a IZENPE, a BOSA belga, a Sectigo Europe, a BalTstamp e a ACCV. Nenhum documento fica sem carimbo por indisponibilidade de um serviço.

O efeito prático de tudo isto é um só: quem receber o PDF valida-o com o que está lá dentro. Não precisa de acesso à internet, nem ao AssinaJá.

Os limites, ditos com clareza

Seção intitulada “Os limites, ditos com clareza”

Esta página descreve proteções reais; seria menos útil se não dissesse onde acabam.

O selo da plataforma é AES, não QES. O certificado Sectigo AATL garante integridade e identifica o prestador do serviço, mas a Sectigo não consta da EU Trust List como prestador qualificado. O selo não transforma uma assinatura simples em qualificada.

Só a Chave Móvel Digital produz uma assinatura qualificada. É a AMA que lhe dá esse carácter, não o AssinaJá — que prepara o documento, entrega o resumo criptográfico e monta o resultado.

A assinatura CMD fica em B-T, não em B-LT. O enriquecimento LTV é executado também para a CMD, mas o certificado do Cartão de Cidadão não publica um ponto de acesso à revogação que permita embebê-la de forma fiável. A assinatura é plenamente válida; o que fica mais difícil é verificá-la muitos anos depois de o certificado ter expirado.

Guarde o par. Por causa do ponto anterior, arquive o PDF assinado e o Relatório de Conclusão, juntos — ver Validar um documento assinado.

Ver também

Seção intitulada “Ver também”