¿Son seguras las firmas digitales?
 |
| Instructor TIC: Ruggieri R. Villarroel R. |
¿Son seguras las firmas digitales?
Una firma digital busca certificar a través de un código la autenticidad de un mensaje al comprobar que fue enviado o respaldado por una persona en particular, sin haber sido alterado.
Las firmas digitales se codifican de distintas formas para impedir que puedan ser alteradas por terceros. Si la codificación es fuerte, la firma digital puede ser más segura incluso que la firma por escrito dado que es menos fácil romper el código que copiar el estilo de escritura.
Algunas veces se crean firmas electrónicas cuyo propósito es mostrar en el mundo digital la firma de una persona. En este caso depende del país lo que se define como firma electrónica, pero ésta puede ser plasmada en un fax o escrita en un dispositivo electrónico.
En este caso lo único que se busca es comprobar que la persona que firma acepta un contrato o acuerdo.
¿Que es una firma digital?
Se dice firma digital a un esquema matemático que sirve para demostrar la autenticidad de un mensaje digital o de un documento electrónico. Una firma digital da al destinatario seguridad en que el mensaje fue creado por el remitente, y que no fue alterado durante la transmisión. Las firmas digitales se utilizan comúnmente para la distribución de software, transacciones financieras y en otras áreas donde es importante detectar la falsificación y la manipulación.
Consiste en un método criptográfico que asocia la identidad de una persona o de un equipo informático al mensaje o documento. En función del tipo de firma, puede, además, asegurar la integridad del documento o mensaje.
La firma electrónica, como la firma hológrafa (autógrafa, manuscrita), puede vincularse a un documento para identificar al autor, para señalar conformidad (o disconformidad) con el contenido, para indicar que se ha leído y, en su defecto mostrar el tipo de firma y garantizar que no se pueda modificar su contenido.
Terminología
Los términos de firma digital y firma electrónica se utilizan con frecuencia como sinónimos, pero este uso en realidad es incorrecto.
Mientras que firma digital hace referencia a una serie de métodos criptográficos, firma electrónica es un término de naturaleza fundamentalmente legal y más amplia desde un punto de vista técnico, ya que puede contemplar métodos no criptográficos, ver Firma electrónica escrita.
Un ejemplo claro de la importancia de esta distinción es el uso por la Comisión europea. En el desarrollo de la Directiva europea 1999/93/CE que establece un marco europeo común para la firma electrónica empezó utilizando el término de firma digital en el primer borrador, pero finalmente acabó utilizando el término de firma electrónica para desacoplar la regulación legal de este tipo de firma de la tecnología utilizada en su implementación.
.
La firma digital de un documento es el resultado de aplicar cierto algoritmo matemático, denominado función hash, a su contenido y, seguidamente, aplicar el algoritmo de firma (en el que se emplea una clave privada) al resultado de la operación anterior, generando la firma electrónica o digital. El software de firma digital debe además efectuar varias validaciones, entre las cuales podemos mencionar:
- Vigencia del certificado digital del firmante,
- Revocación del certificado digital del firmante (puede ser por OCSP o CRL),
- Inclusión de sello de tiempo.
La función hash es un algoritmo matemático que permite calcular un valor resumen de los datos a ser firmados digitalmente. Funciona en una sola dirección, es decir, no es posible, a partir del valor resumen, calcular los datos originales. Cuando la entrada es un documento, el resultado de la función es un número que identifica inequívocamente al texto. Si se adjunta este número al texto, el destinatario puede aplicar de nuevo la función y comprobar su resultado con el que ha recibido. Ello no obstante, este tipo de operaciones no están pensadas para que las lleve a cabo el usuario, sino que se utiliza software que automatiza tanto la función de calcular el valor hash como su verificación posterior.
Las posibilidades de red
Para que sea de utilidad, una función hash debe satisfacer dos importantes requisitos:
- debe ser imposible encontrar dos documentos cuyo valor para la función hash sea idéntico.
- dado uno de estos valores, debe ser imposible producir un documento con sentido que dé lugar a ese hash.
Existen funciones hash específicamente designadas para satisfacer estas dos importantes propiedades. SHA y MD5 son dos ejemplos de este tipo de algoritmos.
Algunos sistemas de cifrado de clave pública se pueden usar para firmar documentos. El firmante cifra el hash calculado de un documento con su clave privada y cualquiera que quiera comprobar la firma y ver el documento, no tiene más que usar la clave pública del firmante para descifrar el hash, y comprobar que es el que corresponde al documento.
