Firma digital y certificado digital: una guía sencilla

Antes de que el mundo comenzara a digitalizarse, dependía en gran medida de documentos firmados para aprobar, autenticar y responsabilizar a las diferentes partes en transacciones y diferentes tipos de acuerdos. La firma digital y el certificado digital son un sustituto moderno de las firmas estándar.

Significativamente más rápido que enviar documentos por correo postal y enviar documentos por fax, la firma digital ha ayudado a muchas empresas.

¿Que es una asignatura digital?

Una firma digital es una verificación electrónica del remitente de un documento, que permite al destinatario determinar si el contenido original ha sido alterado por un intermediario.

La clave privada y la clave pública son los dos elementos esenciales de una firma digital, creadas simultáneamente por un algoritmo dedicado. Aunque están creados para estar matemáticamente relacionados, tendrán una apariencia diferente.

Una firma digital tiene tres propósitos:

1. Autenticación – el destinatario puede establecer la autoría de un mensaje y determinar si el remitente es quien dice ser.
2. no repudio – el remitente no puede negar haber enviado el mensaje en un momento posterior y puede ser considerado responsable del mensaje inalterado.
3. Integridad – el mensaje no ha sido modificado.

De hecho, la firma digital tiene valor legal en Estados Unidos, la Unión Europea, Suiza, Sudáfrica, Argelia, Turquía, India, Brasil, Indonesia, México, Arabia Saudita, Uruguay y Chile.

¿Cómo crear una firma digital?

Para crear una firma digital, debe firmar el mensaje con su clave privada.

La clave privada es el elemento de esta ecuación que solo usted posee y, al proporcionarla, demuestra que es usted quien firmó un documento.

Primero, hash texto sin formato para rastrear la versión inalterada del mensaje que está a punto de enviar.

NOTA AL MARGEN. Hashing es la transformación de contenido específico de cualquier longitud en un valor de longitud fija más corto.

El algoritmo hash preferido en estos días es SHA256 (algoritmo hash seguro). Tenga en cuenta que el hashing es un proceso unidireccional y un pequeño cambio en la entrada cambia toda la salida.

A continuación, cifraremos el hash de texto sin formato con su clave privada, lo que dará como resultado la firma digital.

Adjunta la firma digital al documento de texto sin formato y lo envía.

A través del cifrado asimétrico, el destinatario podrá descifrar su firma digital y comparar el hash de texto sin formato con el hash que proporcione.

Entonces, es posible que se pregunte cómo se codifica un documento. Afortunadamente, un programa en su computadora lo hará automáticamente por usted.

Así es como puede codificar un documento en Windows 7/8/10:

1. Acceda al «Símbolo del sistema»;
2. Escriba «certutil – archivo hash»
3. Coloque el documento en el «Símbolo del sistema».
4. Agregue «SHA256» al final de la línea.

Su línea final debería verse así:

certutil -hashfile «C:\Usuario\Equipo\Escritorio\Archivo.docx» SHA256

Esto hará que la consola muestre un código hexadecimal de 256 bits/64 caracteres que representa el contenido del archivo.

Pero, ¿dónde se obtiene una clave privada y una clave pública?

Esto también es bastante simple.

Puede generarlos mediante software, una plataforma en línea o mediante una infraestructura de clave pública (PKI) registrada con una autoridad de certificación.

NOTA AL MARGEN. PKI es un formato aceptado para manejar criptografía de clave pública que brinda los más altos niveles de seguridad y aceptación universal.

Entonces, ¿cómo se agrega una firma digital de clave privada a un documento?

Para ello, debe volver a utilizar un software dedicado como Sign Server, Safe pdf o DocuSign.

¿Cómo ayuda?

Tomemos un escenario ficticio de cómo una firma digital puede protegerlo.

Firme digitalmente un contrato con un proveedor extranjero para servicios de externalización.

Después de acordar los términos y condiciones y una tarifa de $ 20 / hora, hizo hash del documento y lo firmó, luego lo envió de vuelta al proveedor.

Y aquí viene el problema.

El contrato firmado debe ir al gerente de la empresa de subcontratación, pero un ávido vendedor cambia la tarifa a $ 30 / hora para que puedan ganar una comisión más alta. Cuando llega el momento de pagar, de repente descubre que la tasa es más alta de lo que acordó.

¿Cómo se prueba que el documento ha sido manipulado?

El gerente no estaba al tanto pero quería aclarar la situación. Luego, le pides que use la clave pública para descifrar tu firma y verificar el hash. De esta manera, podrá detectar la diferencia en la salida de hash y determinar que el contrato ha cambiado.

E incluso si el gerente no está dispuesto a cooperar, puede llevarlo a juicio, probar que tiene razón y hacerlo responsable.

Firma digital en Blockchain

La cadena de bloques de Bitcoin utiliza el algoritmo SHA256 y la firma digital para garantizar la inmutabilidad de la información almacenada en la cadena de bloques. La firma digital ayuda a realizar un seguimiento de las transacciones y evitar cargos dobles.

Las transacciones se toman como entrada y se ejecutan a través de un algoritmo hash, luego se devuelven como salida con una longitud fija. Luego, los datos se agregan dentro de un bloque. El bloque también contiene un puntero hash que apunta al bloque anterior.

El puntero hash contiene el hash de todos los datos dentro del bloque anterior. Cualquier ligera modificación de los datos contenidos en un bloque dará como resultado un cambio drástico del hash. El cambio no recae solo sobre el bloque actual sino también sobre todos los bloques anteriores, cancelándolos así.

¿Qué es un certificado digital?

Como ya habrás adivinado, no es tan complicado crear una firma digital y usarla. Ahí es precisamente donde radica su debilidad.

Un atacante podría intentar crear una firma digital y una clave pública para hacerse pasar por otra persona. Si una persona recibe un mensaje firmado digitalmente y concluye que el documento es legítimo, esa persona estará expuesta a un ataque de información por parte del atacante.

La firma digital por sí sola no verifica la verdadera identidad del remitente y su clave pública, por lo tanto, carece de autenticación.

Sin embargo, este problema se soluciona con un certificado digital. Un certificado digital es una credencial electrónica emitida por una autoridad de certificación.

La autoridad de certificación registra la identidad del propietario a través de una PKI y también verifica que el propietario realmente posee la clave pública.

El certificado digital generalmente contiene el nombre del propietario, la clave pública, la autoridad de certificación y la firma digital. Esto reduce significativamente el riesgo de recibir una firma digital de una parte malintencionada.

¿Cómo crear un certificado digital?

Básicamente, existen dos formas de crear un certificado digital:

1. Cree un certificado autofirmado.
2. Lo solicitas a una autoridad de certificación (CA).

1. Certificado autofirmado

Existen varios métodos para crear un certificado autofirmado, pero para entender el proceso nos referiremos al certificado X509 autofirmado. Puede crearlo usted mismo en OpenSSL.

Simplemente abra el símbolo del sistema y escriba «openssl».

Luego, escriba «OpenSSL req -x509 -days 365 -newkey rsa: 2048 -keyout my-key.pem -out my-cert.pem».

Y aunque para algunos de ustedes esto puede parecer incomprensible, veamos qué significa todo esto:

• ‘Req’ significa que es una solicitud de certificado;
• ‘x509’ indica el tipo de certificado;
• ‘365’ indica el número de días en los que será válido;
• ‘newkey’ significa que será un nuevo certificado;
• ‘Keyout’ será el archivo clave.

Después de eso, podrá crear la clave privada y agregar la información de identificación.

Puede encontrar una guía paso a paso aquí.

Sin embargo, un certificado digital autofirmado solo proporciona cifrado pero no confianza. Tal certificado es un blanco fácil para los piratas informáticos. Pueden replicarlo y pretender ser el «locutor» y comenzar a phishing para obtener información personal.

De hecho, los navegadores de Internet marcan los sitios web que utilizan certificados SSL autofirmados como «no confiables».

2. Certificado emitido por la CA

El certificado digital validado por una autoridad de certificación es el método más fiable y seguro. También es más fácil de obtener, pero puede incurrir en una tarifa.

La CA generalmente cobra una tarifa por emitir un certificado, y puede solicitar solo su certificado o solicitar que administren todas las PKI.

Si necesita un certificado simple, puede contactarlos por teléfono o correo electrónico. Verificarán su identidad y luego le entregarán un certificado que debe contener la clave pública, la identificación de la autoridad de certificación y la identificación del usuario.

Además de la certificación digital, puede solicitar a algunas empresas que administren todos los aspectos de la PKI, los tokens de acceso y la autenticación multifactor para usuarios, dispositivos y máquinas.

En el caso del sitio web, la solicitud de firma del certificado viene como un comando con el servidor web.

conclusión clave

• Una firma digital es una verificación electrónica del remitente. Se basa en el cifrado asimétrico y utiliza una clave privada para cifrar el mensaje y una clave pública para descifrarlo.
• El contenido del mensaje se codifica para mantener su integridad. Sin embargo, el hashing es un proceso unidireccional y se usa para validar que el contenido no ha sido manipulado.
• El mensaje recibido se descifra con la clave pública y el hash del contenido debe coincidir con el valor hash proporcionado por el remitente. De lo contrario, el destinatario tiene motivos para creer que el contenido ha sido alterado.
• Una única firma digital carece de autenticación. Por lo tanto, debe estar respaldado por un certificado digital emitido por una autoridad de certificación.

* La información contenida en este artículo y los enlaces proporcionados son solo para fines de información general y no deben constituir ningún consejo financiero o de inversión. Le recomendamos que investigue o consulte a un profesional antes de tomar decisiones financieras. Por favor, reconozca que no somos responsables de ninguna pérdida causada por cualquier información en este sitio web.