Correcao cadeia certificado ITI

Atualização crítica da cadeia de certificados do ITI

Prezados,

no início do ano o ITI adicionou três novas autoridades certificadoras à sua lista de confiança, com isso o CNJ disponibilizou um novo documento com a lista completa dessas autoridades certificadoras no arquivo intermediarias.zip, que pode ser obtido no endereço: http://ftp.cnj.jus.br/pje/intermediarias.zip.

No entanto, nessa última atualização o ITI adicionou duas novas autoridades certificadoras:

- Autoridade_Certificadora_Raiz_Brasileira_v6;

- Autoridade_Certificadora_Raiz_Brasileira_v7.

Estas autoridades certificadoras necessitam de um novo algoritmo de validação e a bilioteca utilizada pelo PJe para fazer a validação dos certificados não possui uma versão oficial para tratar esse novo algoritmo. Com isso quando a lista do arquivo intermediarias.zip era atualizada o PJe do tribunal parava de validar qualquer certificado.

Trabalhamos no CNJ para resolver esse problema e chegamos ao seguinte roteiro que foi aplicado na versão nacional:

- Houve mudança na biblioteca icpbr-util e de duas das suas dependências do bouncycastle: bcprov e bcpkix. Essas alterações não possuem um pacote oficial do bouncycastle (e não estão disponíveis nos repositórios maven globais), por isso, disponibilizamos no repositório maven do CNJ (http://www.cnj.jus.br/artifactory), já padrão do sistema;

- Atualizamos também o icpbr-util para fazer um melhor tratamento da validação dos certificados e impedir que uma nova cadeia disponibilizada no ITI que esteja com um formato desconhecido bloqueie a validação de certificados com as cadeias já existentes;

- Atualizamos o pom.xml do PJe para utilizar a nova versão do icpbr-util (versão 1.0.15b);

Essas alterações serão disponibilizadas na próxima versão oficial do PJe Nacional (2.0.2.0). Enquanto isso, recomendamos fortemente que os tribunais apliquem as mesmas alterações às suas versões locais, segue o passo-a-passo:

1. Antes de qualquer coisa, atualizar o arquivo intermediarias.zip, de acordo com o arquivo disponibilizado em (http://ftp.cnj.jus.br/pje/intermediarias.zip):

- /pje-web/src/main/resources/META-INF/intermediarias.zip.

2. se a versão for anterior à 2.0.1.0, é necessário aplicar os seguintes commits que estão no branch master do PJe - estas alterações são necessárias pois houve alterações críticas nas bibliotecas do bouncycastle -, identificadores dos commits: c445cc7c e bd0c6ea4:

- https://git.cnj.jus.br/pje/pje/commit/c445cc7c; e

- https://git.cnj.jus.br/pje/pje/commit/bd0c6ea4

3. atualizar o pom.xml do PJe, onde estiver:

<dependency>

<groupId>br.jus.cnj</groupId>

<artifactId>icpbr-util</artifactId>

<version>1.0.14</version>

</dependency>

Para:

<dependency>

<groupId>br.jus.cnj</groupId>

<artifactId>icpbr-util</artifactId>

<version>1.0.15b</version>

</dependency>

4. Fazer o build do PJe e subir a aplicaçção.

Como verificar se as alterações funcionaram?

- Para identificar se as alterações funcionando, tente fazer o login com um certificado digital.