Token, Cartão ou Arquivo?

“Na ICP-Brasil estão previstos oito tipos de certificado. São duas séries de certificados, com quatro tipos cada. A série A (A1, A2, A3 e 4) reúne os certificados de assinatura digital, utilizados na confirmação de identidade na Web, em e-mail, em redes privadas virtuais (VPN) e em documentos eletrônicos com verificação da integridade de suas informações. A série S (S1, S2, S3 e S4) reúne os certificados de sigilo, que são utilizados na codificação de documentos, de bases de dados, de mensagens e de outras informações eletrônicas sigilosas. Os oito tipos são diferenciados pelo uso, pelo nível de segurança e pela validade.

Nos certificados do tipo A1 e S1, as chaves privadas ficam armazenadas no próprio computador do usuário. Nos tipos A2, A3, A4, S2, S3 e S4, as chaves privadas e as informações referentes ao seu certificado ficam armazenadas em um hardware criptográfico - cartão inteligente (smart card) ou cartão de memória (token USB ou pen drive). Para acessar essas informações você usará uma senha pessoal determinada no momento da compra.

Os certificados mais comuns são:
A1 - de menor nível de segurança, é gerado e armazenado no computador do usuário. Os dados são protegidos por uma senha de acesso. Somente com essa senha é possível acessar, mover e copiar a chave privada a ele associada, e
A3 - de nível de segurança médio a alto, é gerado e armazenado em um hardware criptográfico, que pode ser um cartão inteligente ou um token. Apenas o detentor da senha de acesso pode utilizar a chave privada, e as informações não podem ser copiadas ou reproduzidas.”

Fonte: http://informatica.hsw.uol.com.br/certificado-digital3.htm

Em resumo, para adquirir o seu certificado ICP-Brasil, as opções mais comuns são: A1 e A3. A primeira é mais barata. A segunda é mais segura e prática.
Para uma pessoa não autorizada utilizar seu certificado A3, ela precisa do token ou do cartão e da senha. Só que, após três tentativas consecutivas com senha incorreta, o certificado é inutilizado. Ou seja, há proteção física, desde que você guarde bem seu token/cartão, e também lógica, é claro, se sua senha não for 123456 ou a data de seu aniversário.

O tipo A1 ainda tem como desvantagem a possibilidade de perda do certificado por uso inadequado (formatação, remoção de arquivos e pastas, ataque de vírus) ou falha do computador (defeito no disco).

O A3 é armazenado fora do computador, em token ou cartão. O token parece uma pen drive, mas não é. Tal qual a pen drive, ele é conectado ao computador por uma porta USB. O cartão parece um cartão magnético, mas não é. Para conectá-lo ao computador é necessário o uso de uma leitora própria. Ambos são dispositivos com uma pequena memória para armazenar o certificado, e com um processador. Esse conjunto memória/processador agrega segurança ao processo.

Entre o token e o smart card, eu fico com o token. Como na maior parte do tempo estou fora do escritório, prefiro não carregar uma leitora. O token é um pouco mais caro, mas também mais confortável. Contudo, para quem precisa de vários certificados e pouco necessita ausentar-se do escritório, a solução cartão/leitora é mais adequada, e econômica.