¿Qué es una firma digital?

¿Qué es una firma digital? ¿Sabrías reconocer sus principales diferencias con respecto a una firma online? Estos dos términos se refieren a dos tipos distintos de firmas y, sin embargo, muchos interesados en nuestros servicios no tienen del todo claro cuáles son sus principales características.

Vamos a aclarar qué es una firma digital para entender las implicaciones que tiene su utilización y las características asociadas.

Firma digital vs Firma electrónica

La firma digital y electrónica a menudo se utilizan como sinónimos, pero no todos los tipos de firmas electrónicas tienen las características de seguridad de las firmas digitales.

En muchos artículos estos dos conceptos se utilizan de forma indistinta. Además, desde un punto de vista lingüistico son casi lo mismo. Y esto crea confusión a la hora de entender qué caracteriza a cada una. Así como también por qué cada una de ellas es distinta a las demás.

Sin embargo, cuando hablamos de firma electrónica hablamos de una cosa. Y cuando hablamos de firma digital hablamos de otra cosa distinta. Tanto para empresas como para individuos, es importante entender las características e implicaciones que tiene utilizar cada tipo de firma. Es así porque cada una tiene unos riesgos asociados en cuanto a seguridad, privacidad de la información y cumplimiento de la ley.

Vamos a definir primero qué es la firma digital para explicar qué beneficios vienen asociados a ella.

¿Qué es la firma digital?

Una firma digital, que tampoco debe confundirse con un certificado digital, es una técnica matemática utilizada para validar la autenticidad e integridad de un mensaje, software o documento digital.

La firma digital, a diferencia de una firma tradicional, no es un gráfico que trazamos con la mano. Son archivos digitales. Este archivo consta de dos «claves» o secuencias de caracteres separadas. Se utiliza tecnología criptográfica asociada al contenido de un mensaje o documento con el objetivo de demostrar al receptor del mensaje que:

• El emisor del mensaje es real (autenticación).
• Este no puede negar que envió el mensaje (no repudio).
• El mensaje no ha sido alterado desde su emisión (integridad).

En esencia, ofrece algo parecido a lo que ofrece una firma manuscrita, pero cambiando la forma y el medio.

En el vídeo de abajo explicamos resumidamente qué es una firma digital:

¿Todas las firmas electrónicas son firmas digitales?

La firma digital es por tanto una parte fundamental de la firma electrónica avanzada y de la firma electrónica cualificada, pero no de la firma electrónica simple.

Lógicamente, muchas veces estamos hablando de cosas comunes y que comparten características. Desde un punto de vista práctico, hablar de firma digital implica hablar también de firma electrónica y viceversa.

Pero en términos jurídicos existe una clasificación de tipos de firma electrónica: simple, avanzada y cualificada.

La definición de firma electrónica avanzada y la de firma electrónica cualificada sí encaja con la de firma digital. Pero la firma electrónica simple no, dado que no permite realizar una identificación inequívoca del firmante. Así, es un tipo de firma, y se realiza en el medio digital, pero no reúne todos los requisitos de lo que se llama por convención «firma digital».

Ejemplos para entender las diferencias

Recurramos a los ejemplos de firma electrónica para entenderlo mejor. Una firma electrónica simple sería un número de identificación personal (PIN) tecleado en un cajero automático del banco. También lo sería hacer clic en «aceptar» o «en desacuerdo» en un contrato electrónico de «términos y acuerdos».

Este tipo de firma electrónica no permite atribuir la firma electrónica de un firmante a ese firmante en concreto. Puede demostrar que la persona que lo realizó estaba o no de acuerdo con el proceso. Sin embargo, no existe una forma de asegurar quién fue el que tecleó ese PIN o quien marcó la casilla. Debido a ello, no reúne una de las características clave de la firma digital.

Por tanto, siempre que hablamos de firmas digitales hablamos de algo equivalente a las firmas electrónicas desde un punto de vista jurídico.

Pero no siempre que hablamos de firmas electrónicas desde un punto de vista jurídico podemos decir que estas son una firma digital propiamente dicha.

La validez legal de la firma digital

La firma digital es tan legal como la firma electrónica. Aunque existen ciertas diferencias desde un punto de vista muy purista, la firma electrónica y la firma digital son equivalentes. Esto es, un medio que ofrece una forma de dar conformidad con requisitos que tengan un valor legal.

Dentro de eso, hay diferentes niveles de complejidad técnica que dan más o menos garantías jurídicas, y que deben evaluarse a la hora de elegir la mejor solución. Nunca será lo mismo dar el consentimiento para crear una cuenta de correo electrónico, que para firmar la hipoteca de una vivienda.

La firma digital aporta tanto valor como la firma manuscrita, añadiendo algunas capacidades que son imposibles al firmar a mano. Por ejemplo, con la firma digital es posible asegurar la integridad de los documentos. Así, se certifica que no han sido modificados posteriormente.

Añadir además que la firma digital se puede aplicar a una gama más amplia de tipos de archivos. Es posible utilizarla para la firma de vídeos, sonidos, música, carpetas, etc. Esto la hace más versátil que la tradicional firma de papel.

Cómo funciona la firma digital de Signaturit: criptografía

Las firmas digitales se basan en la criptografía de clave pública, también conocida como criptografía asimétrica. Es la tecnología establecida por el Reglamento eIDAS de la Unión Europea para fomentar el negocio dentro del territorio europeo creando un marco de transacciones digitales común. Y, por supuesto, Signaturit utiliza esta tecnología al ser un proveedor de servicios de confianza aprobado por la Comisión Europea.

Normalmente hay tres algoritmos involucrados con el proceso de firma digital:

• Generación de dos claves que están matemáticamente vinculadas: un algoritmo proporciona una clave privada junto con su clave pública correspondiente.
• Firma: este algoritmo produce una firma al recibir una clave privada y el mensaje que se está firmando.
• Verificación: este algoritmo comprueba la autenticidad del mensaje al verificarlo junto con la firma y la clave pública.

Lo primero que debemos conocer si queremos entender qué es una forma digital es el término hash. Los funciones de resumen o hash son algoritmos que consiguen crear a partir de una entrada (ya sea un texto, una contraseña o un archivo, por ejemplo) una salida alfanumérica de longitud normalmente fija, que representa un resumen de toda la información que se le ha dado. Es decir, a partir de los datos de la entrada crea una cadena que solo puede volverse a crear con esos mismos datos.

Para crear una firma digital, el software de firma crea un hash unidireccional de los datos electrónicos que se deben firmar. La clave privada se usa para encriptar el hash. El hash cifrado junto con otra información es la firma digital.

En España, la clave privada la procuran las Autoridades de Certificación, como la Fábrica Nacional de Moneda y Timbre.

El significado de «No repudio», o cómo se identifica una firma falsa

Cualquier cambio en los datos del hash asociado al documento o archivo, aunque sea un solo carácter, es detectable. Este atributo permite a otros validar la integridad de los datos mediante el uso de la clave pública del firmante para descifrar el hash.

Si el hash descifrado coincide con un segundo hash calculado de los mismos datos, prueba que los datos no han cambiado. Si los dos hash no coinciden, hay dos posibilidades. Una de ellas es que los datos se han alterado de algún modo (integridad). La otra es que la firma se ha creado con una clave privada que no corresponde a la clave pública presentada por el firmante (autenticación).

Así, el concepto de firma falsa no existe cuando se habla de firma digital. Porque un solo cambio en esa cadena de caracteres que es el hash, permitiría identificar un problema o defecto.

Las firmas digitales dificultan que el firmante niegue haber firmado algo (que es el significado preciso de la expresión «no repudio»), suponiendo que su clave privada no se haya visto comprometida, ya que la firma digital es única tanto para el documento como para el firmante, y los une.

Un certificado digital, un documento electrónico que contiene la firma digital de la autoridad emisora del certificado, vincula una clave pública con una identidad y se puede usar para verificar que una clave pública pertenece a una persona o entidad en particular.

La firma digital se usa ampliamente para proporcionar pruebas de autenticidad, integridad de los datos y no repudio de las transacciones realizadas a través de Internet.

Razones para considerar la implementación del proceso de firma digital

Las preocupaciones más comunes que enfrentan las personas y las organizaciones cuando se trata de documentos en papel son: ¿es la persona que firmó el documento quien dicen ser? ¿Cómo puedo verificar si la firma es válida y no ha sido falsificada? ¿Cómo compruebo si el documento ha sido alterado?

Además de facilitar los procesos comerciales y prevenir la falsificación de mensajes y documentos críticos, el uso de la firma digital proporciona beneficios adicionales de validación.

En el caso donde se necesita una garantía de que un mensaje o documento acompañado no ha sido alterado durante la transmisión, una firma digital evitará que las alteraciones desconocidas pasen desapercibidas.

Si el contenido firmado digitalmente se altera, la firma se invalidará, lo que alertará al remitente y al receptor de una infracción. Esto se debe a que las funciones criptográficas aplicadas evitarán que se produzca una firma nueva y válida para ese mensaje.

Cuando el no repudio está habilitado, el remitente del mensaje no puede denegar la firma digital del mensaje en una fecha posterior. El receptor u otro que obtiene acceso no autorizado al mensaje tampoco puede crear una firma falsa.

La mayoría de los métodos de no repudio proporcionan un sello de tiempo que no se puede alterar y proporcionan evidencia de la firma digital en caso de que la clave privada se haya visto comprometida o revocada.

En resumen, la firma digital verifica y asegura lo siguiente:

• El documento es auténtico y proviene de una fuente verificada.
• El documento no se ha manipulado desde que se firmó digitalmente.
• Su identidad ha sido verificada por una organización confiable (la CA)

Cómo probar la firma digital gratis

Si quieres probar nuestra solución de firma electrónica avanzada basada en tecnología de firma digital, puedes hacerlo hoy mismo. Tan sólo tienes que registrarte aquí y tendrás acceso a todas las funcionalidades que ofrecemos de forma gratuita durante 7 días.

Si quieres más información ponte en contacto con nosotros a través del siguiente formulario.

Este blog forma parte de nuestra guía de firma electrónica.

¡Entra y descubre todo nuestro material!

* Post original publicado 19/06/18