FIRMAS DIGITALES.

Firma Electrónica: Dato en formato electrónico asignado a un documento

electrónico o mensaje de datos por el autor del mismo, su representante o
mecanismo autorizado por él y que permitirá certificar su autenticidad e
integridad a través de procedimientos técnicos de comprobación.

Las firmas tradicionales (escritas) no indican el acuerdo que tiene una persona con los
términos de un contrato, o documento en general, esa firma es única y autentica. Las
firmas digitales realizan la misma función pero en documentos electrónicos, utilizando
diversas tecnologías que permitan al receptor del documento tener la certeza de la
identidad de la persona que envía el documento.

Las firmas digitales se basan en matemáticas aplicadas y utilizan algoritmos de

critpografia. Para crear una firma digital, los usuarios que firma utilizan dos llaves.
Estas llaves son en realidad una serie bastante grande de números que han sido
asignados al propietario. Estas llaves se conocen como llaves publicas y privadas. El
firmante utiliza la llave privada para firmar un documento electrónico, y el receptor
utiliza la llave publica, que previamente mando el firmante, para verificar que la firma
es autentica. Este proceso de verificación también establece que el documento no ha
sido modificado mientras se transmitida por Internet. Para poner un ejemplo gráfico,
podemos comparar estas dos llaves con dos piezas de rompecabezas, cuya unión hace
posible identificar que un documento viene de una persona o no. La creación de las
llaves se realiza a través de diferentes softwares, y el creador de la firma obtiene dos
llaves la privada, es para su utilización personal y nadie debe de tener copia de este
archivo, Por otra parte la llave publica, será enviada a los destinatarios que la persona
considere deben de ser capaces de autentificar su personalidad.

¿Cómo se verifican estas llaves?

Un elemento importante en este proceso es un intermediario llamado "Autoridad

certificadora", cuya labor es establecer la liga entre el firmante y las llaves utilizadas
para crear la firma digital. En esencia, la autoridad certificadora revisa los documentos
de identificador del firmante, como licencia, pasaporte, o cualquier documento que
ratifique su persona y posteriormente certifica que la persona que esta utilizando la llave
sea realmente la persona que dice ser. Cualquiera que desee verificar una firma digital
debe de confiar en la autoridad de certificación en lugar de personalmente revisar los
documentos de identificación del firmante.

La firma digital es generalmente invisible y va anexada a los documentos en forma de

"certificado" encriptado. De imprimirse este certificado se vería como una serie revuelta
de letras y números. En realidad el intercambio de llaves se realiza rápidamente, y tanto
el remitente como el destinatario deberán contar con un software capaz de desencriptar
los certificados y autentificar la identidad del firmante.

La importancia de estas llaves o firmas digitales es la rápida autentificación que puede

llevarse a cabo al recibir un correo o documento a través de Internet.

 
Una definición mas exacta sería Transformación de un mensaje utilizando un sistema de
cifrado asimétrico de manera que la persona que posea el mensaje inicial y la clave pública del
firmante, pueda determinar de forma fiable si dicha transformación se hizo utilizando la clave
privada correspondiente a la clave pública del firmante, y si el mensaje ha sido alterado desde
el momento en que se hizo la transformación.(Utah) Es un sello integrado en datos digitales,
creado con una clave privada, que permite identificar al propietario de la firma y comprobar que
los datos no han sido falsificados

Las firmas digitales se usan para permitir a los usuarios de dispositivos electrónicos
validar la identidad y autenticar documentos mediante una amplia gama de tecnologías,
muchas de ellas creadas por empresas pioneras como VeriSign, Entrust, y Adobe
Systems.

Los vendedores al por menor ya están sustituyendo las copias de

las tarjetas de crédito por soportes electrónicos que pueden
firmarse con un lápiz óptico. Al utilizar cajeros automáticos de gran
seguridad y realizar transacciones de comercio electrónico en la
Web, personas de todo el mundo están convirtiendo las firmas
digitales en una de las tecnologías más importantes de la era de
Internet. La mayoría de los estados de EE.UU. han autorizado el
uso de firmas digitales para algunas transacciones y en noviembre
de 1999, la Unión Europea votó a favor de la aceptación de las
firmas digitales como método de promocionar el comercio
electrónico por toda Europa.

Una función `hash' es una función múltiple que asigna su entrada a un valor dentro de
un grupo finito. Por regla general este grupo es un rango de números naturales. Un
modelo simple de función `hash' es f(x) = 0 para todo entero x. Una función hash más
interesante es f(x) = x mod 37, que asigna x al resto de la división x entre 37.

Una firma digital en un documento es el resultado de aplicar una función `hash' al

documento. Para que sea de utilidad, la función `hash' necesita satisfacer dos
propiedades importantes. Primero, debería ser difícil encontrar dos documentos cuyo
valor para una función `hash' sea el mismo. Segundo, dado un valor `hash' debería ser
difícil de recuperar el documento que produjo es valor.

Algunos sistemas de cifrado de clave pública[1] se pueden usar para firmar documentos.
El firmante cifra el documento con su clave privada. Cualquiera que quiera comprobar
la firma y ver el documento, no tiene más que usar la clave pública del firmante para
descifrarla. Este algoritmo satisface las dos propiedades necesarias para una buena
función de `hash', pero en la práctica este algoritmo es demasiado lento para que sea de
utilidad.

Como alternativa está el uso de funciones `hash' designadas para satisfacer estas dos
importantes propiedades. SHA y MD5 son dos ejemplos de este tipo de algoritmos. Al
usar uno de estos algoritmos, un documento se firma con una función `hash', y el valor
del `hash' es la firma. Otra persona puede comprobar la firma aplicando también una
función `hash' a su copia del documento y comparando el valor `hash' resultante con el
del documento original. Si concuerdan, es casi seguro que los documentos son
idénticos.

Claro que el problema está en usar una función `hash' para firmas digitales que no
permita que un atacante interfiera en la comprobación de la firma. Si el documento y la
firma se enviaran descifrados, un atacante podría modificar el documento y generar una
firma correspondiente sin que lo supiera el destinatario. Si sólo se cifrara el documento,
un atacante podría manipular la firma y hacer que la comprobación de ésta fallara. Una
tercera opción es usar un sistema de clave pública híbrido para cifrar tanto la firma
como el documento. El firmante usa su clave pública, y cualquiera puede usar su clave
pública para comprobar la firma y el documento. Esto suena bien, pero en realidad no
tiene sentido. Si este algoritmo hiciera el documento seguro también lo aseguraría de
manipulaciones, y no habría necesidad de firmarlo. El problema más serio es que esto
no protege de manipulaciones ni a la firma, ni al documento. Con este algoritmo, sólo la
clave de sesión del sistema de cifrado simétrico, es cifrada usando la clave privada del
firmante. Cualquiera puede usar la clave pública y recuperar la clave de sesión. Por lo
tanto, es sencillo para un atacante recuperar la clave de sesión y usarla para cifrar
documentos substitutos y firmas para enviarlas a terceros en nombre del remitente.

Un algoritmo que funciona es aquél que hace uso de un algoritmo de clave pública para
cifrar sólo la firma. En particular, el valor `hash' se cifra mediante el uso de la clave
privada del firmante, de modo que cualquiera pueda comprobar la firma usando la clave
pública correspondiente. El documento firmado se puede enviar usando cualquier otro
algoritmo de cifrado, o incluso ninguno si es un documento público. Si el documento se
modifica, la comprobación de la firma fallará, pero esto es precisamente lo que la
verificación se supone que debe descubrir. El "Digital Signature Standard" (DSA) es un
algoritmo de firmado de clave pública que funciona como hemos descrito. DSA es el
algoritmo principal de firmado que se usa en GnuPG.