O que é PKI e Por Que Importa para Assinaturas Digitais?

A entidade confiável que emite certificados digitais. A CA verifica a identidade dos solicitantes de certificados, emite certificados, mantém um diretório de certificados válidos e revoga certificados quando eles são comprometidos ou expiram.

Um componente opcional que lida com a verificação de identidade em nome da CA. A RA coleta e verifica documentos de identidade mas não emite certificados diretamente. Em alguns sistemas, a CA realiza ambas as funções.

Quando um certificado é comprometido ou não mais válido, ele deve ser revogável. Listas de Revogação de Certificados (CRLs) são listas periódicas de certificados revogados. OCSP (Protocolo de Status de Certificado Online) fornece status de revogação em tempo real. Ambos são verificados durante a validação da assinatura.

Um certificado é confiável porque é emitido por uma CA, que é confiável porque é acreditada por uma CA raiz ou framework nacional de confiança. Essa cadeia de confiança — CA raiz → CA intermediária → certificado do usuário final — é o que torna as assinaturas baseadas em PKI verificáveis por qualquer pessoa.

HSM (Módulo de Segurança de Hardware) FIPS 140-2 Nível 3 ($8.000-25.000 por unidade, 2-4 para produção+DR), HSM em nuvem (AWS KMS, Azure Key Vault): $1-3 por chave/mês + $0,03 por 10K operações. eSign.AI gerencia a infraestrutura HSM internamente, eliminando esse custo para os clientes. Uma implementação típica de PKI para empresas requer 2-4 HSMs (produção + DR + staging).

Assinatura RSA 2048 no HSM: 50-200 ms por operação. Assinatura ECC P-256 no HSM: 5-30 ms. Verificação RSA 2048: 1-3 ms. Validação da cadeia de certificados (3 níveis): 10-50 ms incluindo verificação de CRL. A uma taxa de 100 assinaturas/segundo sustentada, RSA 2048 requer 3-5 instâncias de HSM; ECC P-256 requer 1.

O elo mais fraco em PKI é o gerenciamento de chaves, não a criptografia. Falhas comuns: chave privada armazenada em software (não HSM), contas de serviço compartilhadas com chaves de assinatura, insuficiente rotação de chaves e falta de controle duplo para operações de chaves. eSign.AI aplica armazenamento de chaves exclusivo em HSM e aprovação multipartidária para todas as operações de assinatura acima de $100K de valor.

Construir sua própria PKI requer: hardware HSM ($8K-25K por unidade, 2-4 para produção+DR), software CA (OpenSSL é gratuito, CA empresarial como Microsoft ADCS custa $3K-15K de licenciamento), especialização PKI (2-3 engenheiros de segurança FTE), auditoria e custos contínuos de conformidade. Apropriado para grandes empresas com >100K assinaturas/ano e requisitos rigorosos de soberania de dados. Não recomendado para PMEs — o custo total de propriedade excede o preço de serviços gerenciados abaixo de ~50K assinaturas/ano.

Serviços gerenciados como eSign.AI lidam com HSM, CA, emissão de certificados, revogação, carimbo de tempo e rastreamento de auditoria como uma oferta embalada. Vantagens: sem despesas de capital, não é necessária especialização PKI, implantação mais rápida, conformidade integrada com eIDAS/ETO/ETA. Desvantagens: menos controle sobre políticas de gerenciamento de chaves, potencial de vínculo de fornecedor, custos por transação em alto volume. A maioria das empresas da APAC escolhe serviços gerenciados porque parcerias CA locais (Singpass, iAM Smart, PSrE) são difíceis de replicar internamente.

Alguns empresas operam um modelo híbrido: usam um serviço gerenciado para a maioria das assinaturas, mas mantêm uma CA local para casos de uso específicos (documentos classificados internos, registros governamentais que exigem CA doméstica). eSign.AI suporta esse modelo através de sua API — organizações podem usar sua própria CA para certos tipos de documentos enquanto utilizam parcerias gerenciadas pelo eSign.AI para outros.