Key Usage no certificado digital

O que é Key Usage em um certificado digital?

Todo certificado digital moderno segue o padrão X.509, que permite incluir campos extras chamados extensões. Key Usage, ou uso da chave, é uma dessas extensões. Ela funciona como uma lista de permissões que diz o que o dono do certificado pode fazer com sua chave.

Pense em um crachá de empresa que libera a entrada no prédio, mas não no almoxarifado. O certificado pode ser legítimo e estar dentro da validade, mas, se o Key Usage não permitir determinada operação, o sistema que faz a verificação pode rejeitá-lo para aquela finalidade.

Quais são os valores possíveis do Key Usage?

O padrão define um conjunto fixo de usos. Os mais comuns são: digitalSignature (assinatura digital de dados), nonRepudiation, também chamado contentCommitment (garante que o signatário não possa negar a autoria), keyEncipherment (cifrar chaves, usado em conexões seguras), dataEncipherment (cifrar dados diretamente) e keyAgreement (combinar chaves entre duas partes).

Há também usos reservados para autoridades certificadoras, como keyCertSign (assinar outros certificados) e cRLSign (assinar listas de certificados revogados). Um certificado de empresa comum não deve ter esses dois usos, pois eles são próprios de quem emite certificados.

Por que o Key Usage importa na emissão de notas fiscais?

Na emissão de NF-e, NFC-e, CT-e e MDF-e, o certificado é usado para duas tarefas principais: assinar o XML do documento e estabelecer uma conexão segura com os servidores da SEFAZ. A assinatura do XML depende da permissão de assinatura digital, e a conexão segura costuma depender também dos usos ligados a autenticação e troca de chaves.

Certificados e-CNPJ e e-CPF emitidos dentro da ICP-Brasil para pessoas e empresas já vêm, em geral, com os usos necessários para essas tarefas. Problemas aparecem quando se tenta usar um certificado de outro tipo, como um certificado de servidor web ou um certificado gerado fora da cadeia oficial, que pode não ter as permissões adequadas.

Qual a diferença entre Key Usage e Extended Key Usage?

Key Usage descreve operações criptográficas básicas, como assinar ou cifrar. Extended Key Usage, ou EKU, é outra extensão que descreve finalidades de aplicação, como autenticação de cliente, autenticação de servidor ou proteção de e-mail.

As duas se complementam. Um certificado pode permitir assinatura digital no Key Usage e, no EKU, indicar que serve para autenticar um cliente em conexões seguras. Sistemas fiscais podem verificar ambas as extensões, então um erro de certificado nem sempre está no Key Usage, mas pode estar no EKU.

Como verificar o Key Usage de um certificado?

No Windows, basta abrir o certificado, ir à aba de detalhes e procurar o campo Uso da chave. Em sistemas com OpenSSL, é possível extrair o certificado do arquivo PFX e exibir suas extensões em texto, onde aparece a seção X509v3 Key Usage.

Em integrações por API, o próprio serviço de emissão costuma validar o certificado no momento do envio e informar se ele não é compatível. Isso evita descobrir o problema apenas quando a SEFAZ ou a prefeitura rejeita o documento.

Exemplos de Key Usage no certificado digital

• Uma empresa envia seu certificado A1 a uma API fiscal e a verificação mostra os usos Assinatura Digital, Não Repúdio e Cifragem de Chave, compatíveis com a assinatura do XML da NF-e.
• Um desenvolvedor tenta usar um certificado SSL de servidor web para assinar NFC-e e recebe erro, porque esse certificado não pertence à cadeia da ICP-Brasil e tem usos voltados à autenticação de sites.
• Um analista de suporte abre o arquivo PFX de um cliente, confere o campo Uso da chave e confirma que o certificado é de pessoa jurídica e serve para emissão fiscal antes de cadastrá-lo no console.
• Em uma auditoria de segurança, a equipe verifica que nenhum certificado de empresa possui o uso keyCertSign, que deveria existir apenas em certificados de autoridades certificadoras.