¿Cómo funciona la firma digital reconocida?

La firma digital es el equivalente infalsificable de la firma manuscrita. Siempre que las firmas generadas digitalmente cumplan también las normas prescritas en el Reglamento eIDAS. Entonces la firma digital no sólo es infalsificable, sino también 100% válida desde el punto de vista legal.

Para muchas personas, sin embargo, el tema sigue suscitando preguntas e incertidumbre. ¿Es segura mi firma? ¿Puede falsificarse mi firma? ¿Cómo puedo asegurarme de que ha firmado la persona correcta?

Para poder responder a estas y otras preguntas, trataremos en este artículo cómo se puede firmar digitalmente de forma válida un documento y qué es necesario para ello.

Cómo firmar digitalmente un documento electrónico de forma segura

Aclaración de términos:

• Lasfirmas digitales se utilizan para aprobar y validar documentos en formato electrónico. Utilizan complejos mecanismos criptográficos para autenticar documentos y mensajes digitales, confirmar la identidad de los firmantes y proteger los datos de la manipulación y la corrupción durante la transmisión.

Las firmas digitales están equipadas con herramientas back-end para garantizar que sólo una persona autorizada pueda firmar un documento y para evitar cambios después de la firma.

Una firma digital se crea con un identificador digital único llamado "certificado digital" o "certificado de clave pública". Los certificados digitales son emitidos por autoridades de certificación acreditadas (CA) tras verificar la identidad del solicitante.

• Una autoridad de certificación (AC) es una institución autorizada para emitir certificados digitales. Actúa como tercera parte de confianza (TTP) que verifica la identidad del titular de un certificado. Una autoridad de certificación también certifica la posesión de una clave pública.

• Un certificado digital es un pasaporte electrónico que identifica al participante en una conversación protegida por la PKI y permite a las personas e instituciones intercambiar datos en línea de forma segura. Los datos se cifran y descifran utilizando un par de claves pública y privada.

• Una clave pública es un identificador numérico único utilizado para cifrar datos o verificar firmas digitales. La emite una autoridad de certificación a una persona u organización y está a disposición pública de cualquiera que la necesite.

• Una clave privada sólo la conoce su propietario. Se utiliza para descifrar datos creados con la clave pública correspondiente o para generar firmas digitales.

Las firmas digitales y los certificados digitales están estrechamente relacionados. Sus aplicaciones y usos dependen de cómo se implementen estos sistemas y de cómo funcione la respectiva infraestructura PKI. Un certificado digital se denomina a veces certificado de firma digital porque confirma la clave pública (autenticidad) de la entidad firmante.

¿Por qué necesito una firma digital y un certificado?

Empecemos con un ejemplo sencillo. Alice y Bob quieren comunicarse o firmar un documento.

Escenario 1: Ejemplo inicial

Alice dispone de dos claves criptográficas digitales: una clave pública (PA) y una clave privada/secreta (SA). La clave pública puede transmitirse. La clave privada, sin embargo, debe ser mantenida en secreto y segura por Alice.

Alice crea un certificado digital que contiene su clave pública y su dirección de correo electrónico. Ella envía este certificado a Bob para compartir su clave pública con Bob.

Alice puede ahora firmar un documento con su clave privada y enviárselo a Bob. Bob puede entonces verificar que la Clave Pública de Alice coincide con la firma realizada con la Clave Privada de Alice.

Clave Privada y Clave Pública son, por tanto, dos caras de la misma moneda. Cualquier cosa firmada con una clave privada puede ser verificada con la clave pública correspondiente.

Esto garantiza ahora que sólo Alice puede realizar una firma con su Clave Privada.

Sin embargo, hay que introducir otra medida de seguridad para garantizar que el vínculo entre la clave pública de Alice y su identificación de usuario (por ejemplo, la dirección de correo electrónico) se comprueba realmente.

Escenario 2: ¿Qué puede ocurrir si no se comprueba el certificado?

Esta vez Mallory quiere hacerse pasar por Alice y comunicarse con Bob. Mallory no tiene ni la clave privada de Alice ni la de Bob. Sin embargo, tiene su propio par de claves privada-pública.

Mallory quiere convencer a Bob de que su clave privada pertenece a Alice. Para ello, construye él mismo un certificado a partir de su clave pública y el correo electrónico de Alice y se lo envía a Bob. Bob cree que ha recibido la clave pública de Alice.

Ahora Mallory puede firmar documentos con su clave privada y enviárselos a Bob. Bob puede volver a comprobar la firma con la clave pública y cuáles coinciden de nuevo. Bob está ahora convencido de que Alice firmó el mensaje. Pero en realidad fue Mallory.

El problema aquí es que Mallory tiene la posibilidad de crear un vínculo entre su clave pública y el identificador de usuario de Alice.

Sin embargo, queremos impedirlo y para ello necesitamos una tercera parte.

Escenario 3: ¿Cómo hacerlo bien?

Trent es un tercero de confianza que garantiza la verificación del vínculo entre la clave pública de Alice y su identificador de usuario. Trent verifica la identidad de Alice, por ejemplo, utilizando la verificación de ID con Video Ident, y autentica el certificado digital.

Ahora Alice puede firmar mensajes y Bob puede estar seguro de que el mensaje procede realmente de Alice. De este modo, ¡conseguimos producir firmas digitales a prueba de falsificaciones!

Aquí hay dos cosas importantes:

1. En primer lugar, hay que establecer la identidad de Alice y asociar su UserID a una clave pública. Alice siempre mantiene la clave privada a buen recaudo. Ya sea ella misma o a través de un proveedor externo seguro como sproof.
2. En segundo lugar, cuando se realiza una firma, debe verificarse la identidad del firmante, por ejemplo mediante un mensaje push en su teléfono móvil.

De este modo, conseguimos producir firmas digitales cualificadas que son al menos tan seguras como las firmas analógicas.

Técnicamente, cada firma digital creada para un documento específico es única y, por tanto, extremadamente difícil de falsificar. La capacidad de las firmas digitales para garantizar la integridad y autenticidad de los documentos electrónicos, indicando al mismo tiempo la aprobación del firmante, permite a empresas, contratistas y clientes interactuar en línea y compartir información de forma segura.