Estudos Preliminares
Tribunal Regional Eleitoral de São Paulo
Estudos Preliminares - v. 2.2

1 – Identificação do Estudo Preliminar 

Aquisição de certificado SSL Site Seguro Wildcard para certificação dos serviços publicados na internet e intranet pelo TRE-SP.

2 – Análise de Viabilidade da Contratação

2.1 – Definição e a especificação dos requisitos

Certificado SSL é um certificado digital que autentica a identidade de um site e possibilita o estabelecimento de canais seguros entre um serviço Web e os usuários do mesmo. O termo "SSL" significa "Secure Sockets Layer" (camada de soquete seguro), um protocolo de segurança que cria um link criptografado entre um servidor Web (que provê o serviço) e um navegador Web (cliente).

O Tribunal Regional Eleitoral do Estado de São Paulo disponibiliza diversos sistemas na web tais como Votaonline, Acompvot, Repositório de vídeos e Moodle, e tem previsão para a disponibilização de vários outros. A garantia da autenticidade e proteção das informações desses sistemas se dá com a instalação de certificados digitais em cada servidor.

Os certificados SSL são emitidos pelas Autoridades Certificadoras (AC). Autoridade Certificadora (AC) é uma entidade pública ou privada que tem a função de emitir, renovar e revogar Certificados Digitais dos solicitantes ou de outras ACs que estejam abaixo dela.

Hoje o Tribunal já utiliza o certificado SSL OV Wildcard para segurar seu domínio principal, *.tre-sp.jus.br. Este certificado foi adquirido em 2022, processo SEI  0003615-56.2022, com vencimento em 04/12/2023. Este pleito visa a nova contratação deste certificado além da expansão da utilização de certificados do mesmo tipo para outros domínios utilizados pelo TRE-SP.

Os novos certificados visam cobrir os subdomínios/domínios utilizados pela equipe de desenvolvimento de sistemas nos ambientes de desenvolvimento, homologação e produção. As plataformas utilizadas nestes ambientes, Openshift e Gitlab, agrupa e organiza as páginas em domínios específicos. Atualmente estes domínios continuam utilizando a certificação do LetsEncrypt, uma AC gratuita, automatizada e aberta. É um serviço provido pela Internet Security Research Group (ISRG) e utilizado amplamente na web. Entretanto, esses certificados gratuitos são limitados e, dentre outras características, requerem renovação do certificado a cada 3 meses, para cada serviço exposto na web, o que fragiliza e onera a gestão do serviço.

Os novos domínios a serem cobertos pelo pleito são: 
●	Openshift, ambiente de desenvolvimento: *.ci.tre-sp.jus.br
●	Openshift ambientes de homologação e produção: *.app.tre-sp.jus.br
●	Gitlab pages: *.gl.tre-sp.jus.br

Mais informações sobre a estrutura de certificados destas plataformas podem ser encontradas em:
Openshift: https://docs.openshift.com/dedicated/applications/deployments/osd-config-custom-domains-applications.html
 
Gitlab: https://about.gitlab.com/blog/2016/04/07/gitlab-pages-setup/#custom-domains

A aquisição de um certificado SSL do tipo Wildcard vem de encontro a demanda pela exposição de mais serviços na web e pelo aperfeiçoamento do processo de gestão dos certificados deste tribunal. 

Abaixo, segue a lista de algumas ACs que emitem Certificados SSL: 

CertiSign: https://loja.certisign.com.br/ssl.html
Locaweb: https://www.locaweb.com.br/ssl-locaweb/
RapidSSL: https://www.rapidssl.com.br/
Sectigo RSA: https://www.sectigo.com.br/
Serasa Experian: https://serasa.certificadodigital.com.br/certificado-ssl/
Soluti: https://www.soluti.com.br/certificados-ssl/c 
LetsEncrypt: https://letsencrypt.org/pt-br/ 

2.2 – Identificação das diferentes Soluções de Tecnologia da Informação e Comunicação 

Com a criptografia, você consegue ocultar as comunicações de um hacker, mas não consegue impedi-los de interceptar comunicações e se apresentar como seu site para roubar informações de seus clientes. Surge então a necessidade de comprovar sua identidade solicitando que um terceiro externo (Autoridade Certificadora - AC) verifique suas informações pessoais e da empresa. Com base neste procedimento de habilitação ou verificação, os Certificados SSL podem ser divididos em três categorias:

Certificados de Validação de Domínio (SSL DV)
Os certificados DV fornecem os mesmos níveis de criptografia de dados que os certificados EV e OV, mas não fornecem garantia sobre a identidade da empresa por trás do site. Enquanto os certificados EV e OV só são emitidos após a organização requerente ser validada, nos certificados DV é validada apenas o direito de uso do domínio. Certificados DV são uma escolha popular entre os sites de pequeno e médio porte devido a seu tempo de emissão mais rápido e preço mais baixo.

Certificados de Validação de Organização (SSL OV)
Para a emissão do certificado OV é feita a validação da organização assim como a verificação de direito de uso do domínio. Ambos os dados aparecem no certificado para que os visitantes possam verificar a identidade da empresa por trás de um site. Por causa disso, esses certificados fornecem níveis mais altos de confiança que os certificados DV. Eles apresentam um tempo de emissão mais rápido do que os certificados EV. 

Certificado SSL de Validação Estendida (SSL EV)
Os certificados EV são emitidos somente após rigorosos procedimentos de validação da empresa. O principal diferencial da certificação EV é passar por uma auditoria anual da KPMG, empresa internacional responsável por inspecionar serviços e empresas. Além das informações que as outras certificações oferecem, a SSL EV também avalia a instituição física responsável pelo site através da visita técnica de uma equipe que analisa todo o funcionamento da empresa, garantindo assim a veracidade das informações e a sua idoneidade. Esses certificados são utilizados pelas principais lojas de e-commerce e bancos on-line e são altamente recomendados para empresas que desejam aumentar a confiança do cliente em seu site.

Em resumo:
●	DV = somente o controle de nome de domínio é verificado.
●	OV = informações da entidade proprietária (organização) também são verificadas.
●	EV = verificação mais completa que a OV, normalmente utilizada por grandes empresas de e-commerce e bancos on-line. 

E como foi dito anteriormente, o Certificado SSL Wildcard possibilita adicionar a segurança SSL em ilimitados sites e servidores, desde que façam parte de subdomínios do mesmo domínio. Utilizando apenas um Certificado Digital SSL WildCard você protege o seu site principal (Ex. www.tre-sp.jus.br) e todos os seus subdomínios (Ex. sei.tre-sp.jus.br, sogo.tre-sp.jus.br, etc.). O certificado SSL WildCard é emitido para *.seudominio.com.br, ou seja, basta trocar o * por qualquer nome e utilizar a segurança SSL em todos os subdomínios.

a)	Disponibilidade de Solução de Tecnologia da Informação e Comunicação similar em outro órgão ou entidade da Administração Pública

Não se vislumbram outras soluções disponíveis que não impliquem na contratação do serviço de emissão de certificados.

b)	Soluções existentes no Portal de Software Público Brasileiro (http://www.softwarepublico.gov.br)

Não se aplica.

c)	Capacidade e as alternativas do mercado de TIC, inclusive a existência de software livre ou software público

Existem várias Autoridades Certificadoras no mercado que geram esse tipo de certificado e a LetsEncrypt é uma AC que gera certificado de forma gratuita, conforme mencionado anteriormente.

d)	Observância às políticas, premissas e especificações técnicas definidas no Modelo Nacional de Interoperabilidade (MNI) do Poder Judiciário

Não se aplica.

e)	Aderência às regulamentações da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), quando houver necessidade de utilização de certificação digital, observada a legislação sobre o assunto

Os certificados SSL para sites não precisam fazer parte da ICP-Brasil. Basta que sejam emitidos por AC publicamente confiável e reconhecida por navegadores em dispositivos fixos e móveis. 

f)	Observância às orientações, premissas e especificações técnicas e funcionais definidas no Modelo de Requisitos para Sistemas Informatizados de Gestão de Processos e Documentos do Poder Judiciário (Moreq-Jus)

Não se aplica. Não há como promover qualquer adaptação nos certificados de forma a adequá-los aos requisitos do Moreq-jus.

g)	Orçamento estimado que expresse a composição de todos os custos unitários resultantes dos itens a serem contratados, elaborado com base em pesquisa fundamentada de preços, como os praticados no mercado de Tecnologia da Informação e Comunicação em contratações similares realizadas por órgãos ou entidades da Administração Pública, entre outros pertinentes (indicação da fonte de pesquisa, nome da empresa, valor, marca/modelo)

Contratações similares:

UF	Nome UASG	Modalidade	Licitação	Ano	Item	Descrição	Data Homologação Compra	Unidade Fornecimento	Valor Unitário Homologado	
Federal	MINISTÉRIO PÚBLICO DO TRABALHO	PREGÃO 	0007	2020	00002	Certificado A1 Wildcard 	02/12/2020	24 meses	R$1.299,00	
DF	TRIBUNAL REGIONAL ELEITORAL	DISPENSA	--	2021	--	 Certificado Digital do tipo Coringa (wildcard SSL)	11/2021	12 meses	R$649,90	

Os pleitos acima tratam-se de contratação de certificado SSL do tipo DV Wildcard.

Não foram encontros processos licitatórios recentes para aquisição de certificado SSL do tipo OV Wildcard.

O certificado SSL do site do TSE é do tipo OV Wildcard e foi emitido pela AC GlobalSign RSA. 

O certificado SSL do site do CNJ é do tipo DV e foi emitido pela LetsEncrypt, 

2.3 – Análise e a comparação entre os custos totais das Soluções de Tecnologia da Informação e Comunicação identificadas 

Visando a comparação de custos foram feitas cotações de certificados do tipo DV e OV para um único domínio e multidomínio (Wildcard). Não foram realizadas cotações para certificados do tipo EV, pois estes são bem mais onerosos e voltados para grandes sites de e-commerce com transações financeiras. 

Para os certificados de único domínio foram considerados 6 (seis) unidades, uma vez que existe a previsão de publicação de pelo menos 6 (seis) aplicações na internet: 

1.	Votaonline
2.	Acompvot
3.	Repositório de vídeos
4.	Moodle
5.	Aplicação 1
6.	Aplicação 2

Tabela 1: Cotações Certificado tipo DV
Autoridade Certificadora	Certificação	1 ano	
DV – Domínio único	
CertiSign	SSL Site Seguro DV	R$399,00	
RapidSSL	SiteGuard DV SSL Multidominio	R$299,00	
RapidSSL	RapidSSL PRO	R$119,00	
Sectigo	Positive SSL DV	R$115,00	
Serasa Experian	Protectweb DV	R$499,00	
Soluti	SSL Alpha Globalsign	R$596,22	
DV Wildcard	
RapidSSL	RapidSSL Pro Wildcard	R$690,00	
RapidSSL	SiteGuard DV SSL Multidominio Wildcard	R$1.590,00	
Sectigo	Positive SSL Wildcard	R$899,00	
Sectigo	Premium SSL Wildcard	R$1.890,00	
Serasa Experian	Protectweb Wildcard DV	R$1.890,00	
Soluti	SSL DV Globalsign	R$2.301,20	

Tabela 2: Cotações Certificado tipo OV
Autoridade Certificadora	Certificação	1 ano	
OV Domínio único	
CertiSign	SSL Site Seguro OV	R$599,00	
RapidSSL	SiteGuard OV SSL	R$590,00	
Sectigo	Single Domain OV	R$325,00	
Serasa Experian	Protectweb Pro OV	R$649,00	
OV Wildcard	
CertiSign	SSL Site Seguro OV Wildcard	R$2.199,00	
RapidSSL	SiteGuard OV WildGuard	R$1.790,00	
Sectigo	Wildcard OV	R$1.890,00	
Serasa Experian	Protectweb Pro Wildcard OV	R$2.099,00	
Soluti	SSL OV Globalsign	R$2.688,22	

2.4 – Escolha da Solução de Tecnologia da Informação e Comunicação e justificativa

Analisando as cotações da Seção 2.3, comparando as cotações de domínio único e Wildcard, concluímos que a certificação Wildcard é mais vantajosa, uma vez que permite a certificação de um número ilimitado de subdomínios, enquanto a cotação de domínio único, para todas as empresas, já é mais onerosa a partir de 6 subdomínios. Além disso, o certificado do tipo Wildcard nos dá a flexibilidade de atender rapidamente a demanda de exposição de um novo serviço na internet.

O outro ponto a se considerar é o tipo do certificado. Certificados do tipo EV foram desconsiderados pois possuem um processo rígido de certificação e auditoria, oneroso e adequado a lojas de e-commerce e sites com transações financeiras, que não é o caso do TRE-SP.  Certificados do tipo DV ou OV possuem os mesmos níveis de criptografia, o que os difere é o processo de habilitação e verificação necessários para obter o certificado. O certificado do tipo DV verifica apenas o direito de uso do domínio enquanto o certificado do tipo EV garante a identidade da empresa por trás do site. Por esse motivo os certificados DV são normalmente mais baratos.

Para o usuário final a diferença entre um certificado DV e EV está na quantidade de informação da empresa disponibilizada no certificado. Normalmente um certificado DV só apresenta o nome da organização enquanto o certificado EV fornece endereço, telefone, dentre outras informações, conforme exemplos abaixo.

Certificado tipo EV

Certificado tipo DV

Diante do exposto e considerando as cotações da Seção 2.3 como referência, este estudo conclui pela contratação de certificado do tipo OV Wildcard. A vantagem do certificado Wildcard é notória tanto em relação a custo quanto em relação a gestão dos certificados. A opção pelo certificado do tipo OV deve-se à maior credibilidade que esse certificado dará aos serviços expostos pelo TRE-SP. Além disso, o TRE-SP já utiliza certificados SSL-OV Wildcard de forma satisfatória para o domínio *.tre-sp.jus.br.

Todas as empresas consultadas emitem certificados com validade máxima de 1 ano desde 2020, após decisão conjunta das Autoridades Certificadoras ( https://www.globalsign.com/pt-br/blog/maximum-ssltls-certificate-validity-now-one-year). Após esse período é necessário solicitar a reemissão do certificado. 

Essa aquisição visa substituir diversos certificados digitais de autoridades certificadoras internas e externas por um único certificado digital, para cada domínio  utilizado, que possa ser instalado em todos os equipamentos e sistemas, de forma a facilitar o gerenciamento, suporte e aumentar a segurança de acesso a serviços prestados pela STI.

Pelos valores envolvidos, a contratação por Dispensa de Licitação foi considerada, com base no inciso II do artigo 24 da Lei n° 8.666/1993

Art. 24.  É dispensável a licitação: 
II - para outros serviços e compras de valor até 10% (dez por cento) do limite previsto na alínea "a", do inciso II do artigo anterior e para alienações, nos casos previstos nesta Lei, desde que não se refiram a parcelas de um mesmo serviço, compra ou alienação de maior vulto que possa ser realizada de uma só vez;    

Entretanto, atualmente há Ata de Registro de Preços TRE-SP n° 76/2022, SEI 0038551-44.2021.6.26.8000 com prazo de vigência até 19/10/2023, firmada com a empresa SOLUTI - SOLUCOES EM NEGOCIOS INTELIGENTES S/A., para aquisição de certificados do tipo e-CPF que, apesar de distintos do Certificado SSL objeto deste pleito, possuem natureza semelhante, o que pode caracterizar fracionamento de despesa.

Logo, a contratação por Dispensa foi afastada, propondo-se aquisição por Pregão Eletrônico.

Definição e Especificação dos Requisitos da contratação:

●	Quantidade: 4 certificados.
●	Certificado do tipo OV (Validação Organizacional): validação da organização e verificação de direito de uso do domínio
●	Certificado tipo Wildcard: apenas um certificado protege um número ilimitado de subdomínios de um domínio específico.
●	Ser reconhecido pelos principais navegadores web que suportem certificados SSL/TLS
●	Compatível com dispositivos móveis, celulares, smartphones e tablets
●	A Autoridade Certificadora deve possuir o selo WebTrust (https://www.cpacanada.ca/en/business-and-accounting-resources/audit-and-assurance/overview-of-webtrust-services) ou ser uma Autoridade Certificadora da ICP-Brasil (https://www.gov.br/iti/pt-br/assuntos/icp-brasil)
●	Licença para instalação em número ilimitado de servidores
●	Emissão do certificado em até 5 (cinco) dias úteis da confirmação do recebimento da nota de empenho pela Contratada
●	Reemissão gratuita e ilimitada durante o período de validade do certificado
●	Criptografia de 256 ou 512 bits
●	Tamanho de chave de 2048 ou 4096 bits
●	Validade de 1 (um) ano.
●	Suporte via atendimento online, telefone e e-mail para todas as questões durante todas as etapas do processo: solicitação, instalação e utilização do certificado.
●	A validação presencial, se necessária, para emissão do certificado deverá ser realizada nas dependências do TRE-SP em São Paulo.

2.5 – Avaliação das necessidades de adequação do ambiente do órgão para viabilizar a execução contratual

Não há.

3 – Análise de Riscos

Item	Risco	Probabilidade de ocorrência	Danos	Ações de mitigação	Responsáveis	Ações de contingência	Responsáveis	
1	Fracasso do certame	baixa	O atendimento a novas demandas do tribunal pode ficar comprometido.	Especificar certificados/serviços padrão de mercado	SEGEAP/
COINF/SAM/ SEMPRO	Identificar Atas de Registro de Preços para eventual adesão	SAM/STI	
2	Empresa contratada não liberar a entrega do certificado	baixa	O atendimento a novas demandas do tribunal pode ficar comprometido 	Realizar as diligência previstas para assegurar que a empresa tem os meios para a entrega do objeto contratado.	SEGEAP/
COINF/SAM/ SEMPRO	Adjudicar objeto à próxima empresa melhor  colocada no certame.	SAM	
3	A Autoridade Certificadora perder o direito de emitir Certificados pelo Órgão Reguladors	baixa	O atendimento a novas demandas do tribunal pode ficar comprometido.	Iniciar imediatamente novo processo de aquisição	SEGEAP/
COINF/SAM/ SEMPRO	Adjudicar objeto à próxima empresa melhor  colocada no certame.	SAM	
4	Expiração da Ata de Registro de Preço antes da aquisição da totalidade dos certificados	alta	Maior complexidade na gestão dos sistemas, pois precisaremos voltar a utilizar os certificados auto assinados	Trabalho conjunto da equipe de planejamento da contratação (técnica e administratica) a fim de agilizar o processo de contratação, aproveitando ao máximo os artefatos da última contratação. 	SEGEAP/
COINF/SAM/ SEMPRO	Identificar Atas de Registro de Preços do mesmo tipo para eventual adesão.	SAM/STI	

4 – Declaração de Viabilidade da Contratação

São Paulo, em xx/xx/xx.

Diante dos estudos realizados opinamos pela viabilidade da Contratação.

Nádia Leão Pereira Quadros	Luis Gustavo Kobayashi Shimabukuro	Massaichi Mauricio Isayama	
Vânia Cristina Guarnierie	Aline Cristina Gomes dos Santos Gadret		
Equipe de Planejamento da Contratação	

Aprovo a viabilidade da Contratação.

<nome>	
Paulo Evaristo de Oliveira