Por: Jorge Aguirre Firma digital

¿Qué es una firma digital? Una firma digital es un esquema matemático que sirve para demostrar la autenticidad de un mensaje digital, que puede ser por ejemplo un documento electrónico. Una firma digital da al destinatario seguridad de que el mensaje fue creado por el remitente (autenticidad de origen), y que no fue alterado durante la transmisión (integridad). Las firmas digitales se utilizan comúnmente para la distribución de software, transacciones financieras y en otras áreas donde es importante detectar la falsificación y la manipulación. La firma digital consiste en un método criptográfico que asocia la identidad de una persona o de un equipo informático, al mensaje o documento. En función del tipo de firma, puede además asegurar la integridad del documento o mensaje. La firma electrónica, como la firma hológrafa (autógrafa, manuscrita), puede vincularse a un documento para identificar al autor, para señalar conformidad (o disconformidad) con el contenido, para indicar que se ha leído y, en su defecto mostrar el tipo de firma y garantizar que no se pueda modificar su contenido.

Propiedades necesarias Se han establecido una serie de propiedades necesarias que tiene que cumplir un esquema de firma para que pueda ser utilizado: La validez de una firma se ampara en la imposibilidad de falsificar cualquier tipo de firma radica en el secreto del firmante. En el caso de las firmas escritas el secreto está constituido características de tipo grafológico inherentes al signatario y por ello difíciles de falsificar.

Propiedades necesarias Por su parte, en el caso de las firmas digitales, el secreto del firmante es el conocimiento exclusivo de una clave (secreta) utilizada para generar la firma. Para garantizar la seguridad de las firmas digitales es necesario a su vez que estas sean: Únicas: Las firmas deben poder ser generadas solamente por el firmante y por lo tanto infalsificable. Por tanto la firma debe depender del firmante Infalsificables: Para falsificar una firma digital el atacante tiene que resolver problemas matemáticos de una complejidad muy elevada, es decir, las firmas han de ser computacionalmente seguras. Por tanto la firma debe depender del mensaje en sí. Verificables: Las firmas deben ser fácilmente verificables por los receptores de las mismas y, si ello es necesario, también por los jueces o autoridades competentes. Innegables: El firmante no debe ser capaz de negar su propia firma. Viables: Las firmas han de ser fáciles de generar por parte del firmante.

Clasificación En función del modo en el que se construye la firma Podemos construir esquemas de firma digital basándonos en distintos tipos de técnicas: Basándonos en la supuesta seguridad de dispositivos físicos Basándonos en criptografía de clave simétrica. Basándonos en criptografía de clave asimétrica. Un dispositivo, como una smart card, se dice que es resistente a modificaciones (en inglés tamper resistant) si se cree que es difícil acceder a la clave secreta almacenada en él.

Clasificación Basándonos en criptografía de clave simétrica Se han propuesto distintos protocolos de firma basados en la criptografía de clave secreta. Sin embargo, a partir de la aparición de la criptografía asimétrica están en recesión debido a su superioridad tanto conceptual como operacional en la mayoría de los contextos de uso. Los esquemas de firma digital de clave simétrica son los siguientes: Firma de Desmedt Firma de Lamport-Diffie Firma de clave simétrica de Rabin Firma de Matyas-Meyer

Clasificación Basándonos en criptografía de clave asimétrica Se han propuesto distintos protocolos de firma basados en la criptografía de clave asimétrica. Los más importantes son los siguientes: Firma RSA Firma DSS Firma ESING Firma de clave asimétrica de Rabin Firma ElGamal Firma con curvas elípticas Firma de Guillou-Quisquater Firma de Ohta-Okamoto Firma de Schnorr Firma de Okamoto Firma de Feige-Fiat-Shamir

Clasificación En función de si usa información aleatoria Algunos esquemas de firma son deterministas y otros usan bits aleatorios. Las firmas que usan bits aleatorios probablemente revelan menos información sobre la clave secreta, sin embargo, por otra parte, el obligan al signatario a tener una fuente segura de bits aleatorios. Observar que si la fuente de bits aleatorios es revelada, no sólo la firma sino también la clave secreta puede que sea comprometida. En función de si necesita el mensaje original para la verificación de la firma Podemos clasificar los esquemas de firma digital en función de si es necesario tener el mensaje original para verificar la firma, dando lugar a los siguientes tipos: Esquemas de firma digital con recuperación de mensaje Esquemas de firma digital con apéndice

Clasificación Esquemas de firma digital con recuperación de mensaje Para verificar la firma este tipo de esquemas no requieren el mensaje original ya que el mensaje original se puede recuperar a partir de la propia firma digital. Esquemas de firma digital con apéndice Este tipo de esquemas requieren el mensaje original para poder verificar la firma. Esto es debido a que a lo que se aplica el algoritmo de firma no es realmente el mensaje original sino el resultado de aplicar una función hash con ciertas propiedades que las hacen resistentes frente a ataques para hallar su inversa, es decir, no es posible, a partir del valor resumen, calcular los datos originales. Son los llamadas códigos de detección de modificaciones.

En función de la intervención o no de una entidad árbitro Existen dos métodos para establecer protocolos de firma digital:8 firma digital con árbitro y firma digital sin árbitro. Firma digital con árbitro En este tipo de firma se aprovecha el hecho de que dos usuarios (X e Y) con desconfianza mútua admiten tener confianza en un tercero llamado árbitro (A). El árbitro posee una clave secreta con cada uno de los usuarios. Estas claves determinan las funciones de cifrado y descifrado que se establecen entre el árbitro y cada uno de los usuarios: . Toda la transmisión de la información entre los usuarios debe pasar forzosamente por el árbitro. Firma digital sin árbitro En este esquema el usuario firmante envía directamente la firma al destinatario, éste debe poder comprobar la firma sin necesitar una tercera entidad como el árbitro.

Ente regulador en el Ecuador En el Ecuador la firma electrónica o digital es regulado por el Sistema de Pagos del Banco Central del Ecuador (BCE), lo cual permite transferir dinero entre instituciones financieras, entidades públicas y personas naturales sin la necesidad de una rúbrica física en el documento que autoriza la operación contable. La firma digital es equivalente a una manuscrita y tiene la misma validez legal. En el Ecuador está vigente, desde el 2002, la Ley de Comercio Electrónico, Firmas Electrónicas y Mensaje de Datos, lo que le da el soporte legal a este mecanismo. La utilización de la firma electrónica es posible gracias a un software que permite que en un documento electrónico se introduzca una huella personal que lo acredita como si hubiese sido firmado por la persona, sin que pueda ser adulterada. Para utilizar este sistema es necesario adquirir un software y un certificado (que funciona como una llave). En el Ecuador el organismo autorizado para entregar el dispositivo portable seguro "token" es el Banco Central del Ecuador (BCE).