Segurança de Assinatura Eletrônica: Quão Seguras São as E-Assinaturas?

Arquitetura de Segurança de Assinaturas Eletrônicas

Assinaturas eletrônicas (e-assinaturas) variam de clickwrap simples a assinaturas digitais avançadas. A segurança depende do nível de implementação.

Três Níveis (eIDAS / ESIGN / UETA)

Nível	Exemplo	Nível de Segurança	Peso Legal
Simples (SES)	Clique "Concordo", nome digitado, assinatura escaneada	Baixo — sem verificação de identidade	Admissível, mas refutável
Avançada (AdES)	DocuSign, Adobe Sign com autenticação por e-mail	Médio — única ao signatário, adulteração detectável	Presunção mais forte
Qualificada (QES)	PKI certificado + dispositivo qualificado (eIDAS)	Alto — equivalente a tinta molhada (UE)	Mais alto; não-repúdio

Mecanismos de Segurança Centrais

1. Criptografia (AES-256, TLS 1.2+): Protege documento em trânsito/armazenamento.
2. Hash (SHA-256): Cria impressão digital única do documento; qualquer alteração muda o hash.
3. Criptografia Assimétrica (RSA/ECDSA): Chave privada do signatário criptografa hash → assinatura. Chave pública verifica.
4. Certificados Digitais (X.509): Vinculam chave pública a identidade verificada (CA emissora).
5. Trilha de Auditoria: Log com timestamp de visualizações, assinaturas, IPs, geolocalização — à prova de adulteração.
6. Não-Repúdio: Signatário não pode negar assinatura — chave privada só ele possui.

Vulnerabilidades e Mitigações

Risco	Mitigação
Sequestro de conta (credenciais phishing)	2FA/MFA na plataforma de e-assinatura; SSO/SAML
Adulteração de documento pré-assinatura	Verificação de hash; "o que você vê é o que assina" (WYSIWYS)
Prova de identidade fraca	QES / autenticação baseada em conhecimento (KBA) / biométrica
Malware no dispositivo do signatário	Proteção de endpoint; ambientes isolados de assinatura
Validação de longo prazo (LTV)	Timestamping (RFC 3161); arquivamento com OCSP/CRL

Melhores Práticas

• Use provedores AdES/QES (DocuSign, Adobe Sign, OneSpan, GlobalSign, serviços de confiança qualificados locais).
• Exija MFA para todos os signatários.
• Ative timestamping LTV para arquivamento.
• Verifique cadeia de certificados antes de confiar.
• Retenha trilha de auditoria conforme política de retenção de registros.

• Funções de Gatehouse: Segurança, História e Papéis Modernos
• Por Que a GE Security Se Destaca: Alcance Global, Inovação e Confiança