Orientação relativa a certificados Serasa

Orientação relativa a certificados Serasa

A Estrutura Central do Open Banking gostaria de informar que recentemente uma IF participante do OPB Brasil tentou descarregar um certificado adquirido com a Autoridade Certificadora (AC) Serasa com um ISSUER que possuía o seguinte CN: AC SERASA SSL EV V2. Entretanto, hoje o Diretório não reconhece esse CN como válido, sendo o CN esperado para o Serasa o AC SERASA SSL EV, bloqueando a adição do certificado no ambiente. Até que os participantes do ecossistema Open Banking ampliem suas trust stores para aceitar essa nova autoridade de certificados, as instituições financeiras que adquirirem novos certificados Serasa, descobrirão que seus novos certificados não serão aceitos por outras instituições financeiras.

O Open Banking Brasil notifica todos os participantes que a nova root authority "CN: AC SERASA SSL EV V2” foi emitida pela cadeia ICP Brasil V10 e teve seu uso autorizado pelo GT Segurança do OPB. Portanto, para que não haja problemas de interoperabilidade no ecossistema, solicitamos que todos os participantes aceitem estes certificados para os métodos de autenticação mutual TLS e OAuth Client Authentication (se usar tls_client_auth) até 22/04/2022.

Os participantes do OPB podem necessitar realizar alterações em seus Gateways de Terminação mutual TLS (Mutual TLS Termination Gateways) e/ou em seus provedores Financial Grade API OpenID / Auth 2 AuthoriZation Servers, a fim de aceitar esta nova cadeia de certificados. Essa implementação pode levar algum tempo para algumas instituições, se uma instituição não conseguir cumprir a data solicitada, pode criar tickets no Service Desk informando a data alvo de implementação para que o impacto no ecossistema possa ser gerenciado.

Os assinantes PKI (participantes que compraram certificados para uso no Open Banking) descobrirão que o suporte ecossistêmico para este novo PKI pode levar várias semanas para ser incorporado pelas Instituições Financeiras e esse lançamento acontecerá de forma escalonada.

Os assinantes que estão tentando migrar certificados antigos ou expirados para certificados emitidos com esta alteração devem se lembrar de migrar seus registros de Auth Client antes que seus certificados anteriores expirem.

Se houver mudança no formato do DN, a IF precisa atualizar o seu registro antes de realizar a troca do seu certificado.

Antes de comprar seus certificados, assinantes PKI devem sempre verificar com sua Autoridade Certificadora, para garantir que a cadeia do certificado adquirido seja totalmente confiável pelo ecossistema Open Banking.

As Autoridades Certificadoras ICP são solicitadas a notificar à Estrutura Inicial com bastante antecedência à emissão de certificados se estiverem introduzindo uma nova cadeia de certificados, para garantir que os participantes possam utilizar os certificados adquiridos assim que forem emitidos.

O Diretório de Open Banking foi atualizado para apoiar a nova cadeia de certificados deforma que os participantes possam testar seus novos certificados chamando as APIs do diretório.

A Estrutura Inicial do Open Banking sediará na documentação de padrão de certificados OPB Brasil versão e fingerprint de cada um dos certificados OPB aprovados.

A Estrutura Central manterá o ecossistema informado do andamento das tratativas.