Firmas digitales y su uso y aplicación para la seguridad tecnológica

¿Qué es la firma digital?

La firma digital es el procedimiento por el cual se puede autenticar al emisor de un mensaje  y  confirmar que el mensaje no ha sido alterado desde que fue firmado por el emisor durante la transmisión y gestión  de mensajes electrónicos.

Actualmente, la firma digital es la forma más segura de identificar un mensaje y la persona que envía el mensaje. Identifica el remitente de un mensaje de carácter electrónico y la fiabilidad del mismo mensaje. Consiste en un conjunto de datos asociados a una persona o también a un equipo informático.

Se puede decir que es la versión actual o el avance de la firma física de un documento escrito.

Las firmas digitales se utilizan comúnmente para la distribución de software, transacciones financieras y comerciales, así como en otras áreas donde es importante detectar la falsificación y la manipulación, propias del hecho de tener que interactuar  habitualmente por redes de ordenadores.

La firma digital permite que tanto el receptor como el emisor de un contenido puedan identificarse mutuamente con la certeza de que son ellos los que están interactuando, evita que terceras personas intercepten esos contenidos y que los mismos puedan ser alterados.

 

Esta firma viene a sustituir a la  manuscrita en el mundo de la informática. Es decir, si firmamos de forma digital un documento, le estaremos dando veracidad y como sucede con la firma manuscrita, no podremos decir que no lo hemos firmado nosotros. Sin embargo, una firma manuscrita es sencilla de falsificar mientras que la digital es imposible mientras no se descubra la clave privada del firmante.

Funcionamiento

El funcionamiento y creación de la firma digital son muy complejos, por lo que se contrata a otra empresa especializada. La firma digital es el resultado de aplicar un algoritmo matemático y un algoritmo de firma.

Al suscribir una firma electrónica hay que generar dos tipos de claves, una pública y otra privada. La clave privada queda en manos del usuario y es utilizada para “firmar”; por el contrario, la clave pública es generada por la entidad a la que se le pide la firma electrónica y esta clave se publicita y sirve para verificar la firma.

La generación de ambas claves la realiza un software. Las claves no son otra cosa que una combinación de letras y números.

Características

Las firmas digitales deben de reunir una serie de propiedades para que puedan ser utilizadas y aceptadas .Entre estas características  se encuentran:

a) Únicas: Las firmas deben poder ser generadas solamente por el firmante y por lo tanto infalsificable. Por tanto la firma debe depender del firmante

b) Infalsificables: Para falsificar una firma digital el atacante tiene que resolver problemas matemáticos de una complejidad muy elevada, es decir, las firmas han de ser computacionalmente seguras. Por tanto la firma debe depender del mensaje en sí.

c) Verificables: Las firmas deben ser fácilmente verificables por los receptores de las mismas y, de ser necesario, también por autoridades competentes.

d) Innegables: El firmante no debe ser capaz de negar su propia firma.

e) Viables: Las firmas han de ser fáciles de generar por parte del firmante.

La firma digital se basa en la propiedad sobre que un mensaje cifrado utilizando la clave privada de un usuario sólo puede ser descifrado utilizando la clave pública asociada. De tal manera, se tiene la seguridad de que el mensaje que ha podido descifrarse utilizando la clave pública sólo pudo cifrarse utilizando la privada.

La firma digital, por tanto, es un cifrado del mensaje que se está firmando pero utilizando la clave privada en lugar de la pública. Sin embargo, el principal inconveniente de los algoritmos de clave pública es su lentitud que, además, crece con el tamaño del mensaje a cifrar. Para evitar éste problema, la firma digital hace uso de funciones hash.

Una función hash es una operación que se realiza sobre un conjunto de datos de cualquier tamaño de tal forma que se obtiene como resultado otro conjunto de datos, en ocasiones denominado resumen de los datos originales, de tamaño fijo e independiente al tamaño original que, además, tiene la propiedad de estar asociado unívocamente a los datos iniciales, es decir, es prácticamente imposible encontrar dos mensajes distintos que tengan un resumen hash idéntico.

Para comprobar una firma  digital, se hace lo siguiente:

• La firma se descifra utilizando la clave pública del firmante, y con ello,  se obtiene el valor resumen del documento.

• Se obtiene el valor resumen del documento utilizando el mismo algoritmo que en el proceso de cifrado y se comparan los dos valores resúmenes obtenidos anteriormente,  y si estos coinciden entonces la firma es válida; si estos son distintos la firma será nula. Esto hace que cualquier persona que quisiera comprobar tu firma de un documento necesitará tener nuestra clave pública.

Ley de la firma electrónica en España

En España, la ley de firma digital aprobada en Diciembre de 2003 (Ley de Firma Electrónica 59/2003) ofrece cobertura legal a las firmas electrónicas . Mediante la firma digital conseguimos integridad (el documento no se puede alterar) y autenticidad (proporciona plena certeza de quien es el autor del mensaje).

La ley 59/2003 de Firma electrónica, define tres tipos de firma:

• Simple
• Avanzada
• Reconocida

La firma digital es el tipo de firma electrónica más avanzado y seguro, que te permite cumplir con los requisitos legales y normativos más exigentes al ofrecerte los más altos niveles de seguridad sobre la identidad de cada firmante y la autenticidad de los documentos que firman.

Las firmas digitales utilizan un ID digital basado en certificado que emite una autoridad de certificación (CA) acreditada o un proveedor de servicios de confianza (TSP). De este modo, cuando firmas un documento de forma digital, tu identidad acaba vinculada a ti de forma exclusiva, la firma se asocia al documento mediante cifrado y todo puede verificarse con la tecnología subyacente que conocemos como “infraestructura de clave pública” (PKI).