Um certificado de formação tem uma única função: dizer a um desconhecido que uma pessoa específica concluiu um curso específico. O problema começa quando essa pessoa não consegue verificar a afirmação sem pegar no telefone e ligar para o seu escritório.
Todo o prestador de formação que emite certificados em volume já conhece essa chamada. Um departamento de recursos humanos quer confirmar que um candidato concluiu o curso de segurança indicado no currículo. Um cliente quer a prova de que o consultor contratado possui de facto a certificação referida na fatura. Um regulador quer saber se o registo é genuíno antes de renovar uma licença. Cada uma dessas verificações acaba hoje na sua caixa administrativa, porque um PDF com um logótipo e uma imagem de assinatura não consegue responder sozinho a essa pergunta.
Por que um certificado em PDF não é prova
Um certificado em PDF parece terminado no momento em que é gerado. Tem o nome do curso, uma data, uma assinatura, por vezes um selo gráfico. Nada disso resiste a uma edição deliberada. Qualquer editor de PDF consegue alterar um nome, uma nota ou uma data em menos de um minuto, e o resultado parece tão convincente como o original, porque nada num PDF comum liga o seu conteúdo a um valor fixo e verificável.
Não é um risco teórico. A fraude em certificados surge onde quer que os certificados importem para efeitos de emprego ou de conformidade, desde formação de segurança até acreditações profissionais. A solução não é um modelo mais elaborado. Um selo gráfico mais trabalhado continua a ser uma imagem, e uma imagem copia-se para um documento falso com a mesma facilidade com que se copia para um documento real.
O que um certificado "verificável" realmente exige
Um certificado que um destinatário consiga verificar sozinho, sem enviar uma mensagem ao seu escritório, precisa de quatro elementos a funcionar em conjunto.
Um hash calculado a partir do ficheiro exato, de forma que a alteração de um único carácter mude o valor e quebre a correspondência. Um carimbo de tempo emitido por uma parte diferente do prestador de formação, de forma que a data não seja algo que o próprio prestador pudesse ter definido depois. Uma assinatura ou selo ligados a uma identidade verificada no momento da emissão, e não escritos num modelo. E uma página de verificação pública que confirma os três elementos e comunica o resultado a quem abrir a ligação, sem necessidade de início de sessão nem de conta do lado de quem verifica.
Faltando qualquer um destes elementos, o certificado continua a parecer completo, mas deixa de funcionar como prova no momento em que alguém o testa de facto. Um hash sem um carimbo de tempo independente só prova que um ficheiro existe, não quando. Uma assinatura sem hash prova que uma identidade assinou algo, não qual documento exato. Os três só funcionam em conjunto.
O fundamento legal por trás disto
Nada disto é uma convenção privada inventada pela sua organização. Ao abrigo do eIDAS, um carimbo de tempo qualificado emitido por um prestador de serviços de confiança qualificado goza de uma presunção legal quanto à data e hora que indica e à integridade dos dados a que está associado. Essa presunção é o que permite a uma página de verificação afirmar uma data com segurança, em vez de repetir uma data escrita num formulário.
Do lado da assinatura, o direito suíço atribui a uma assinatura eletrónica qualificada o mesmo efeito jurídico de uma assinatura manuscrita, nos termos do artigo 14, parágrafo 2bis, do Código das Obrigações, desde que a assinatura seja qualificada nos termos da Lei Federal sobre a Assinatura Eletrónica (ZertES). Esse efeito depende de a identidade por trás da assinatura já ter sido verificada por um prestador acreditado, no momento em que o certificado foi emitido, e não através de um nome simplesmente escrito num campo de formulário.
Por que isto tem de se manter válido onde quer que o certificado viaje
Um prestador de formação raramente sabe de antemão onde um certificado vai acabar. Um formando conclui um curso em Zurique e candidata-se a um emprego em Singapura. A certificação de segurança de um prestador de serviços é verificada por um cliente num país completamente diferente. Se a verificação depender de uma chamada telefónica para um escritório num determinado fuso horário, num determinado idioma, durante um determinado horário de expediente, o certificado só é útil dentro desses limites.
Um registo construído sobre um hash, um carimbo de tempo independente e uma assinatura verificada é um dado verificável, e um dado verificável funciona da mesma forma onde quer que alguém abra a ligação. Essa é uma propriedade diferente de uma prova emitida localmente, que só tem significado dentro do sistema que a produziu. O certificado deve ser válido globalmente por si só, e não algo que só se sustenta enquanto quem o verifica está dentro dos seus próprios sistemas ou do seu próprio país. Dito de forma restrita, porque aqui o rigor é exato: uma página de verificação confirma que o ficheiro, a data e a identidade signatária correspondem. Não decide como um determinado tribunal ou regulador vai pesar essa prova numa determinada disputa, mas o registo subjacente mantém-se o mesmo, verificável da mesma forma, independentemente da fronteira que a verificação atravesse.
Como isto funciona na prática
Um destinatário abre uma ligação no certificado, a partir do telemóvel ou de um browser, sem necessidade de conta. A página mostra o curso, a data, o nome do destinatário e um estado que confirma que o ficheiro corresponde exatamente ao registo selado. Se um único carácter do certificado tiver sido alterado, a correspondência falha e a página indica isso.
Pode ver o mesmo mecanismo em funcionamento em qualquer certificado selado através da plataforma em a página de verificação pública: introduza uma referência de certificado ou abra a ligação impressa no documento, e a página confirma o ficheiro, a data e a identidade sem qualquer mensagem à entidade emissora.
Para um prestador de formação, a mudança operacional é simples. Os certificados são gerados como habitualmente e depois selados: sujeitos a hash, datados por um prestador de serviços de confiança qualificado e assinados sob identidade verificada, antes de serem enviados. Cada certificado tem uma ligação de verificação curta ou um código QR. Ninguém na sua equipa tem de voltar a responder a um pedido de verificação, porque a resposta já existe numa página que qualquer pessoa pode abrir.
Meias-soluções que não resolvem isto
Algumas soluções parecem resolver o problema e não resolvem. Um código QR que abre a sua página inicial confirma que a sua organização existe, não que aquele certificado específico é autêntico. Um selo de "verificado" impresso no próprio certificado é apenas mais uma imagem, não diferente do selo ao lado, uma vez que um selo copiado é idêntico a um verdadeiro. Um portal de verificação que exige a criação de uma conta antes de mostrar um resultado acrescenta fricção exatamente no ponto em que quem verifica quer uma resposta rápida e sem esforço, e muitos vão simplesmente desistir e ligar para o seu escritório de qualquer forma, o que o coloca de novo no ponto de partida.
Uma página de verificação também tem de falhar claramente quando deve. Se um certificado foi alterado, a página tem de o dizer com clareza, sem ficar em silêncio nem mostrar um genérico "não encontrado". Um sistema que só devolve resultados positivos nunca foi testado contra o caso que realmente importa.
O que isto muda na carga administrativa
O volume de pedidos do tipo "por favor confirme que este certificado é genuíno" cresce com o número de certificados emitidos e com o tempo decorrido desde a sua emissão. Um certificado de há cinco anos, de alguém de quem mal se lembra, gera a mesma chamada que um certificado emitido na semana passada, porque o ónus da verificação sempre recaiu sobre o seu escritório, não sobre o documento.
Transferir esse ónus para uma página de verificação pública não o isenta da responsabilidade de emitir certificados exatos. Elimina o passo manual e repetido de confirmar algo que devia ter sido verificável desde o início. Um regulador, um empregador ou um cliente abre a ligação uma vez e obtém uma resposta imediata, a qualquer hora, a partir de qualquer lugar, sem esperar por uma resposta.
Uma breve lista de verificação antes de chamar verificável a um certificado
Quatro perguntas determinam se um certificado que emite pode realmente ser verificado sem o contactar: tem um hash ligado ao ficheiro exato, e não a uma descrição dele; a data foi definida por uma parte diferente da sua própria organização; a assinatura ou o selo estão ligados a uma identidade verificada antes da emissão, e não escritos num modelo; e uma pessoa estranha consegue abrir uma ligação e obter uma resposta confirmada sem conta e sem mensagem ao seu escritório. Um certificado que responde sim às quatro perguntas é verificável. Um certificado que responde sim a uma ou duas é um documento bem concebido que ainda depende da sua linha telefónica.
Se a sua organização emite certificados de formação e quer ver como é um certificado totalmente verificável do início ao fim, abra a página de verificação e verifique um certificado selado exatamente como o empregador de um destinatário faria.
