Novo padrão de certificados OFB – Ações necessárias até 01/09/2022Validação realizada pelo diretório no momento da adição dos certificados na Plataforma

Novo padrão de certificados OFB – Ações necessárias até 01/09/2022

Comunicamos aos participantes do ecossistema OFB que devido à alteração realizada pelo Cab Forum, os novos certificados SSL ICP Brasil emitidos a partir de 01/09/22 não aceitarão o campo organizationUnitName (OU).

Isso impactará o processo de emissão e validação de certificados Cliente e de Assinatura, sendo necessária a substituição do campo OU (2.5.4.11) pelo campo organizationIdentifier (2.5.4.97).

O GT de Segurança está trabalhando para estruturar um período de convivência e atualizar as documentações, que estarão disponíveis até o dia 19/08/22.

Validação realizada pelo diretório no momento da adição dos certificados na Plataforma

Após a emissão de um certificado de transporte ou assinatura junto à alguma AC (Autoridade Certificadora) credenciada pelo ICP Brasil será necessário inseri-lo no Diretório de participantes ao nível da organização, para BRSEALs, ou ao nível do Software Statements, para BRCACs.

A adição de certificados no diretório deve ser feita sempre com a opção EXTERNAL BRCAC ou EXTERNAL BRSEAL, já que os certificados são gerados pela cadeia do ICP Brasil, externa ao PKI diretório.

Ao adicionar o certificado no diretório duas validações serão feitas.

O diretório irá validar que o certificado foi assinado por uma das ACs credenciadas ao Open Finance Brasil, cuja lista completa pode ser encontrada na documentação de segurança. – É possível executar essa consulta avaliando se o emissor do certificado está na lista citada, que pode ser obtido utilizando a ferramenta openssl com o seguinte comando: openssl - openssl x509 -in brcac.pem -noout –issuer

O diretório irá validar que o certificado possui UID em seu subject igual ao UID do Software Statement no caso do BRCAC, ou igual ao Organisation ID no caso do BRSEAL – É possível executar essa consulta avaliando se o UID do subject é igual ao UID apresentado no diretório, que pode ser obtido utilizando a ferramenta openssl com o seguinte comando: openssl x509 -in brcac.pem -noout -subject