Una vez explicados los “ingredientes criptográficos” a partir de los cuales vamos a “cocinar” una firma digital, es preciso explicar correctamente y de la forma más sencilla posible, cómo se cocina una “firma digital”.
Para firmar digitalmente, como primer paso, deberemos tener un documento, en cualquier tipo de formato (Txt, RTF, Word, Excel, un correo electrónico...).
A dicho documento le aplicamos una función Hash. Obtenemos así su huella digital (finger print) o resumen (digest).
El resumen de menor extensión (hash) se cifra con la clave privada del emisor y se adjunta al documento.
Una vez realizados estos pasos procedemos a cifrar simétricamente tanto el Hash (ya cifrado con la privada del emisor), como el documento en claro por medio de criptografía simétrica (ya que es un proceso mucho más rápido) usualmente un Algoritmo DES .
Obtenemos así:
- Clave secreta del algoritmo DES.
- Mensaje cifrado.
De este modo el mensaje cifrado puede salir sin ningún inconveniente a través de Internet.
Para mandar la clave secreta que descifraría el mensaje anterior no tendríamos más que cifrarla con la clave pública del receptor y enviársela.
Este proceso que a primera vista puede parecer tremendamente complejo para nuestra vista, se resuelve prácticamente en 2 “clicks” de ratón.
Además, mediante este proceso obtenemos lo que el Reglamento Europeo denomina firma electrónica avanzada, es decir:
Firma electrónica que cumple con los siguientes requisitos:
- Se encuentra vinculada al firmante de manera única.
- Permite la identificación del firmante.
- Ha sido creada utilizando datos de creación de la firma electrónica que el firmante puede utilizar, con un alto nivel de confianza, bajo su exclusivo control.
- Se encuentra vinculada con los datos firmados por la misma de modo tal que cualquier modificación posterior de los mismos se puede detectar.
Por tanto podemos considerar que
- Identificamos al emisor por medio de la clave pública, que nos garantiza que el emisor se encuentra en posesión de la clave privada.
- El documento no ha sido modificado (integridad) ya que la función Hash pertenece al documento en claro y no a otro documento.
- Los medios de exclusivo control son la clave privada del emisor.
Una vez que el emisor ha firmado y enviado su mensaje al receptor, le corresponde a este verificar la firma, deshaciendo el camino andado por el emisor.
Para ello el receptor con su clave privada obtendrá la clave simétrica con la que descifrará el mensaje, con el que obtendremos un Hash y un documento en claro. Sobre el documento en claro, el receptor aplicará una función Hash, y con la clave pública del emisor, descifrará el Hash.
La comprobación se produce al contrastar el Hash calculado por el emisor y el Hash calculado por el receptor.
Si ambos coinciden podremos tener la certeza de que:
- El documento no ha sufrido alteración -integridad-.
- Que el documento fue enviado por la persona a la que pertenece -autenticidad- la clave privada asociada a la pública usada en la verificación
Si los Hash no coincidiesen, debemos entender que la autenticidad, la integridad o ambas, han sido comprometidas.
A pesar de lo dicho anteriormente, la única firma digital reconocida como equivalente funcional de la firma manuscrita, es la firma electrónica cualificada, definida por el Reglamento Europeo como:
«Aquella firma electrónica avanzada que se crea mediante un dispositivo cualificado de creación de firmas electrónicas y que se basa en un certificado cualificado de firma electrónica».
¿Qué es un dispositivo cualificado de creación de firma?
Un dispositivo cualificado de creación de firma es aquel que cumple con los requisitos establecidos por el Anexo II del Reglamento Europeo relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior.
Garantías técnicas y procedimentales
Los dispositivos cualificados de creación de firma electrónica garantizarán como mínimo, por medios técnicos y de procedimiento adecuados que:
- Se encuentra garantizada, de forma razonable, la confidencialidad de los datos de creación de firme electrónica utilizados para la creación de firmas electrónicas.
- Los datos de creación de firma electrónica utilizados para la creación de firma electrónica sólo puedan aparecer una vez en la práctica.
- Exista una seguridad razonable de que los datos de creación de firma electrónica utilizados para la creación de firma electrónica no pueden ser hallados por deducción y de que la firma esté protegida con seguridad contra la falsificación mediante la tecnología disponible en el momento.
- Los datos de creación de la firma electrónica utilizados para la creación de firma electrónica puedan ser protegidos por el firmante legítimo de forma fiable frente a su utilización por parte de otras personas.
Alteración de los datos que deben firmarse
Los dispositivos cualificados de creación de firmas electrónicas no alterarán los datos que deben firmarse ni impedirán que dichos datos se muestren al firmante antes de firmar.
Generación o gestión de datos de creación de firma
La generación o la gestión de los datos de creación de la firma electrónica en nombre del firmante sólo podrán correr a cargo de un prestador cualificado de servicios de confianza.
Sin perjuicio de que los datos de creación de la firma utilizados para la creación de firma electrónica puedan ser protegidos por el firmante legítimo de forma fiable frente a su utilización por parte de otras personas, es necesario matizar que los prestadores cualificados de servicios de confianza que gestionen los datos de creación de firma electrónica en nombre del firmante podrán duplicar los datos de creación de firma únicamente con objeto de efectuar una copia de seguridad de los citados datos siempre que se cumplan los siguientes requisitos:
- La seguridad de los conjuntos de datos duplicados es del mismo nivel que para los conjuntos de datos originales.
- El número de conjuntos de datos duplicados no supera el mínimo necesario para garantizar la continuidad del servicio.
Validación de las firmas electrónicas cualificadas
Requisitos
El proceso de validación de una firma electrónica cualificada confirmará la validez de una firma electrónica cualificada siempre que:
- El certificado que respalda la firma fuera (en el momento de la firma) un certificado cualificado de firma electrónica que cumpla con los requisitos establecidos por la normativa de identificación electrónica y servicios de confianza para transacciones electrónicas en el mercado interior.
- El certificado cualificado fuera emitido por un prestador de servicios de confianza y fuera válido en el momento de la firma.
- Los datos de validación de la firma corresponden a los datos proporcionados a la parte usuaria.
- El conjunto único de datos que representa al firmante en el certificado se facilite correctamente a la parte usuaria.
- En caso de que se utilice un seudónimo, la utilización del mismo debe indicarse claramente a la parte usuaria en el momento de la firma.
- La firma electrónica debe haberse creado mediante un dispositivo cualificado de creación de firmas electrónicas.
- La integridad de los datos firmados no ha de haberse visto comprometida.
- En el momento de la firma se encuentren cumplidos los requisitos necesarios que establece la normativa para considerar que la firma es una firma electrónica avanzada.
El sistema utilizado para validar la firma electrónica cualificada ofrecerá a la parte usuaria el resultado correcto del proceso de validación y le permitirá detectar cualquier problema que afecte a la seguridad.
- La Comisión Europea puede, a través de actos de ejecución, establecer números de referencia de normas relativas a la validación de las firmas electrónicas cualificadas.
- Los actos de ejecución citados anteriormente deben adoptarse con arreglo al procedimiento de examen establecido por la normativa de identificación electrónica y servicios de confianza para transacciones electrónicas en el mercado interior.
- Se presumirá el cumplimiento de los requisitos establecidos para la confirmación de la validez, cuando la validación de una firma electrónica cualificada se ajuste a las citadas normas.
Servicio de validación
Únicamente se podrá prestar un servicio de validación cualificado de firmas electrónicas cualificadas el prestador cualificado de servicios de confianza que:
- Realice la validación siguiendo los requisitos establecidos en el anterior apartado.
- Permita que las partes usuarios reciban el resultado del proceso de validación de una manera automatizada que sea fiable, eficiente e incluya la firma electrónica avanzada o el sello electrónico avanzado del prestador cualificado de servicio de validación.
- La Comisión Europea puede, a través de actos de ejecución, establecer números de referencia de normas relativas al servicio de validación cualificado.
- Los actos de ejecución citados anteriormente deben adoptarse con arreglo al procedimiento de examen establecido por la normativa de identificación electrónica y servicios de confianza para transacciones electrónicas en el mercado interior.
- Se presumirá el cumplimiento de los requisitos establecidos anteriormente para el servicio de validación, cuando la validación de una firma electrónica cualificada se ajuste a dichas normas.
