Como fazer uma assinatura digital (e como «digital» difere de «eletrónica»)

Para fazer uma assinatura digital, calcula-se o resumo do documento e assina-se com uma chave privada cuja chave pública emparelhada está certificada — uma atenção eletrónica que liga a chave a uma pessoa identificada. Na prática, ninguém faz isto à mão: um serviço de assinatura corre a criptografia; a sua parte é carregar o documento e identificar os signatários.

No eIDAS, a assinatura eletrónica é «dados sob forma eletrónica, incorporados ou logicamente associados a outros dados sob forma eletrónica e que são utilizados pelo signatário para assinar» (artigo 3.º, n.º 10) — o desenho que vê na cerimónia é apenas a face legível desses dados.

Três componentes, exatamente: um resumo do conteúdo assinado (o resumo faz a declaração conter-se a si própria — a verificação refaz-nos), a operação da chave privada que assina esse resumo (a chave é o único elemento que não se partilha), e um certificado que liga a chave a uma identidade, emitido por uma cadeia que se pode validar. Três factos; é isso que toda a assinatura digital é, qualquer que seja a plataforma.

A marca visual (um nome desenhado ou escrito na tela de assinatura) é apresentação, não a assinatura em si. O artigo 3.º, n.º 13, chama ao elemento operativo «dados de criação de assinatura eletrónica» — dados únicos que o signatário utiliza para criar a assinatura, guardados sob o seu controlo exclusivo — que é a exigência do artigo 26.º, alínea c), na sua forma normalizada.

À mão: gera-se um par de chaves localmente (OpenSSL, GPG), assina-se o ficheiro, distribui-se a chave. Funciona e é gratuito; o receptor tem depois de montar a cadeia, a hora e as verificações de revogação por si — é por isso que assinaturas feitas à mão são raras em contratos.

Por plataforma: o serviço corre dados de criação sob o controlo exclusivo do signatário, normalmente cingidos por verificações de posse (um código de utilização única) e vincula o resultado ao documento com um selo temporal. O que se troca é o cuidado com a infraestrutura; o que se ganha é a evidência a chegar completa.

Por dispositivo qualificado: a criação da chave e a assinatura acontecem num dispositivo certificado (um smart card ou um ambiente telemóvel certificado), sobre um certificado qualificado emitido por um prestador qualificado de serviços de confiança — é a assinatura eletrónica qualificada do artigo 3.º, n.º 12, a que o artigo 25.º, n.º 2, dá o efeito legal de assinatura manuscrita. Onde a lei ou a contraparte a exigem, só esta terceira via qualifica.

Qualquer das três é uma assinatura eletrónica. A camada avançada é um conjunto de requisitos de facto (artigo 26.º: associação única, identificação, controlo exclusivo, deteção de violações) — a saída normal de uma plataforma conforme qualifica, mas é uma questão sobre o fluxo, não um rótulo.

A camada qualificada trata de quem certificou a chave. Um certificado qualificado de assinatura eletrónica «é emitido por um prestador qualificado de serviços de confiança e cumpre os requisitos constantes do anexo I» (artigo 3.º, n.º 15) — logo a pergunta «preciso de assinatura qualificada?» responde-se com as palavras «quem emite o certificado», e nada mais.

Num fluxo remoto conforme: o signatário recebe um token de utilização única, prova a posse (um código) e assina — dados de criação usados sob o seu controlo exclusivo durante a cerimónia, exatamente o que o artigo 26.º, alínea c), pede. A plataforma sela então o resultado: conteúdo vinculado pelo resumo, hora ancorada por autoridade RFC 3161 quando configurada, material de validação apenas quando o serviço de assinatura o incorpora efetivamente, e uma via de verificação que qualquer pessoa pode correr.

Os requisitos que tornam a prova digna de reexame depois não são «fazer uma assinatura», mas empacotá-la: o selo temporal, o nível e o registo de auditoria à volta da cerimónia. Por isso o passo seguinte à assinatura não é ler o ficheiro, mas ler o pacote de evidência.