Entre ellos encontramos firma digital, firma electrónica y certificado digital. Pero ¿exactamente a qué se refieren? ¿Qué diferencias existen entre cada uno?

En este artículo los definiremos.

¿Qué ventajas confiere la ley a la firma electrónica avanzada? Te platicamos en el webinar Entendiendo la Firma Electrónica Avanzada.

1. Firma digital o firma electrónica

En México, firma digital y firma electrónica son términos sinónimos, por ello los usamos de manera indistinta en nuestro contexto.

El principal término legalmente reconocido es firma electrónica, y el Código de Comercio menciona a la firma digital como una especie de firma electrónica. Nuestra legislación distingue entre dos tipos de firma electrónica: la simple, con presunción de atribución, y la avanzada, que tiene además garantía de no repudio.

Mifiel ofrece ambos tipos de firmas según la necesidad de cada cliente: la firma electrónica avanzada mediante la e.firma del SAT, y la firma electrónica simple mediante la verificación de biometría del firmante y la generación e intercambio de claves privadas de un solo uso.

Una firma electrónica avanzada se refiere al producto de haber generado una firma (expresado voluntad) utilizando la llave privada correspondiente a un certificado digital emitido por un prestador de servicios de certificación (PSC).

Generarla requiere un proceso, el cual implica cifrar el hash de un mensaje de datos (documento electrónico) con nuestra llave privada (*.key) y su comprobación descifrándolo con nuestra llave pública incluida en el certificado digital (*.cer).

La firma electrónica simple conlleva un proceso criptográfico similar, pero no implica la participación de una autoridad certificadora o PSC como el SAT para generar los certificados.

¿La FIEL es una firma electrónica?

No. Aunque coloquialmente se le llama firma electrónica avanzada a los archivos que componen la FIEL o e.firma, en realidad el término se refiere a la cadena de caracteres que se produce al usar la llave privada para firmar un documento electrónico, como puede visualizarse en una hoja de firmas de Mifiel.

En el siguiente video explicamos esto a detalle.

¿Y que es un certificado digital?

2. Certificado digital

Es un archivo electrónico emitido por una autoridad certificadora, que funciona como una identificación personal para el mundo digital. En el caso de México, el SAT, acreditado por el Banco de México, y los PSCs privados, acreditados por la Secretaría de Economía, son las autoridades para ello.

A este certificado (*.cer) le corresponde una llave privada (*.key) la cual se usa para generar firmas digitales. Es esta relación entre certificado y llave privada la que permite ligar una firma a una persona específica y su identidad.

Con ello, una firma electrónica obtiene el carácter de avanzada o fiable, lo que además le confiere presunción legal de atribución con garantía de no repudio.

The post Firma digital o electrónica vs. certificado digital appeared first on Mifiel Blog.

Esta permite ligar las llaves públicas a certificados de identidad y hacer disponible un servicio público para validar el estatus de los certificados, ya que una funcionalidad importante es que los tenedores de firmas electrónicas avanzadas puedan revocar el certificado en caso de extraviar su llave privada o sospechar que se las hayan robado.

¿Cómo funciona esa infraestructura y quiénes la conforman en México?

Quiénes participan en las PKI de México

Las PKI puede dividirse en tres capas: agencias registradoras, agencias certificadoras y tenedores de certificados (usuarios finales).

Para firmado electrónico en México, los más relevantes son:

Agencias registradoras

• Banco de México.
• Secretaría de Economía (SE).

Certificadoras

• SAT.
• PSCs privados.

Usuarios

• Personas físicas.
• Personas morales.

Funcionamiento de la PKI

Cuando un usuario —persona física o moral— requiere obtener un certificado digital de firma electrónica avanzada, debe acercarse con una agencia certificadora, la cual a su vez trabaja con una entidad registradora.

La certificadora más conocida es el Servicio de Administración Tributaria, cuya firma electrónica avanzada es actualmente llamada e.firma pero también se conoce como FIEL. Ellos trabajan con la infraestructura extendida de seguridad (IES) de Banxico quien funge como registradora, y están acreditados ante dicha institución.

Pero también existen certificadoras privadas, conocidas como Prestadoras de Servicios de Certificación (PSC). Estas se acreditan ante la Secretaría de Economía para emitir certificados, y la propia Secretaría cuenta con su infraestructura PKI al ser registradora.

La certificadora valida la identidad de los usuarios mediante sus documentos oficiales y la toma de biométricos. En el caso del iris, sirve para asegurar unicidad: hay un solo certificado por persona. De esta manera si alguien intenta tramitar otro certificado con documentación falsa, al momento de escanear su iris se detectará que ya había sido identificado previamente y no podrá continuar el trámite—además de constituir un delito.

Así, dicha autoridad emite un certificado que contiene una llave pública, mismo que a su vez fue firmado con el certificado raíz de la institución. A la par, el usuario genera su llave privada correspondiente.

Ahora bien, firmar electrónicamente por sí solo no requiere una PKI. ¿Por qué se utiliza?

Mediante la PKI, se aseguran tres cosas:

1. La identidad de los tenedores de los certificados

La certificadora validó la identidad mediante los documentos y biométricos que proporcionó el usuario.

2. La unicidad del certificado

No hay dos o más llaves públicas por persona (del mismo emisor). Si una persona comienza el trámite de su certificado pero ya contaba con uno vigente, mediante el registro biométrico de su iris notarán que ya existe uno. Asimismo, no hay una llave pública para dos o más certificados.

3. Validez del certificado

Mediante un protocolo llamado OCSP, plataformas como Mifiel pueden verificar ante el SAT que el certificado no haya sido revocado.

En conclusión

La infraestructura de llave pública (PKI) es indispensable para el correcto funcionamiento de un sistema de firmado electrónico avanzado. En México, los participantes más importantes en las PKI son el Banco de México, el Servicio de Administración Tributaria, la Secretaría de Economía y los Prestadores de Servicios de Certificación privados, así como los tenedores finales de los certificados.

Gracias al trabajo de las PKI, puede asegurarse la unicidad y validez de los certificados, y la identidad de los usuarios.

Mifiel aprovecha esta infraestructura para ofrecer un servicio de firma electrónica avanzada confiable y jurídicamente sólido.

¿Quieres comenzar a firmar tus contratos electrónicamente?

The post Firma Electrónica Avanzada – Qué es la infraestructura de llave pública (PKI) appeared first on Mifiel Blog.

Esta es una idea muy alejada de la realidad y proviene del desconocimiento sobre qué es una firma electrónica, cómo funciona y el rol del emisor, en este caso el SAT.

Por ello, a continuación explicaremos brevemente dos importantes aspectos de la FIEL: su funcionamiento como identificación personal y su funcionamiento técnico.

La e.firma como identificación personal

En esencia la FIEL nació como una identificación oficial para el mundo digital, sin embargo fue el SAT la dependencia que tomó el proyecto, pero esa es otra historia.

Hagamos la analogía con otras identificaciones personales que emiten organismos gubernamentales y que nos resultan más familiares: la credencial para votar (INE), el pasaporte ordinario (SRE), la cartilla de servicio militar (SEDENA) y la licencia de manejo (SEMOVI o su equivalente local), por mencionar algunas.

Si tomas cualquiera de estos documentos de identificación y los presentas en un bar para acreditar que eres mayor de edad y que te permitan la entrada, o en una sucursal bancaria para acreditar tu identidad al abrir una cuenta de cheques, ellos no dan aviso a la dependencia emisora sobre en qué la usaste.

En el caso de los bancos, lo único que llegan a hacer es validar tus datos biométricos con el emisor de la identificación, pero nunca indican qué trámite realizaste ni les comparten los documentos relacionados a este trámite.

Lo mismo sucede cuando usas tu e.firma en plataformas como Mifiel, el SAT no sabe qué firmaste ni puede ver el contenido del documento.

El funcionamiento de la FIEL: criptografía y conexión al SAT

Cuando un tercero como Mifiel requiere validar un certificado de e.firma, se conecta a algo llamado el OCSP del SAT, que es una registradora electrónica de dicha dependencia.

Al hacerlo, lo único que recibe el SAT es una solicitud de validación del certificado presentado, jamás el contenido del documento. Esto es similar a validar una credencial de elector en el sitio web del INE.

Por su parte, del lado del usuario o firmante, se lleva a cabo un proceso de criptografía asimétrica en su computadora o smartphone: con la llave privada y su contraseña se cifra el documento pero nunca se comparte al SAT, ni siquiera hay posibilidad técnica de que suceda.

En conclusión

Tu e.firma/FIEL es una identificación oficial digital. Al igual que las identificaciones físicas oficiales, la dependencia emisora desconoce para qué la utilizas—a menos que la presentes para un trámite directamente con ellos.

Para el SAT, conocer el contenido de los documentos que suscribes con terceros usando tu certificado de e.firma es técnicamente imposible, esto no puede cambiar.

Ahora que conoces esto, ¿quieres comenzar a firmar los documentos de tu organización con la FIEL? No esperes más, comunícate a nuestro chat haciendo clic en el siguiente botón.

Chatea con Mifiel

The post El SAT no puede ver lo que firmas con tu FIEL appeared first on Mifiel Blog.

Para entender este artículo es recomendable leer primero nuestro artículo sobre criptografía asimétrica o tener nociones básicas de cómo funciona la criptografía de llave pública y privada.

¿Qué ventajas confiere la ley a la firma electrónica avanzada? Te platicamos en el webinar Entendiendo la Firma Electrónica Avanzada.

En un esquema de firma o identidad digital basado en criptografía de llave pública y privada —también conocida como criptografía asimétrica— generas un par de llaves, una pública y una privada, y entregas una copia de la llave pública a todas las personas con las que deseas tener interacciones digitales. Al tener una copia de tu llave pública estas personas pueden hacer dos cosas:

1. Recibir mensajes tuyos que “cerraste” con tu llave privada y abrirlos con la llave pública que les diste. De esta manera las personas que tengan una copia de tu llave pública pueden estar seguras de que tú eres el autor del mensaje.
2. Terceros pueden enviarte mensajes “cerrándolos” con tu llave pública para asegurarse que únicamente tú, con tu llave privada, podrás abrirlos.

Para que cualquiera de estos dos escenarios funcionen es necesario que compartas una copia de tu llave pública a las personas con las que vas a tratar. Suena fácil pero es un problema complejo. Si se trata de personas cercanas a ti como tus compañeros de trabajo, familiares o amigos, la manera más segura de hacer esta distribución es en persona, entregándoles una USB que contenga tu archivo de llave pública.

Pero, ¿por qué en persona?, ¿por qué no se las mandas por correo o por el sistema de mensajería de Facebook?

Podrías hacerlo pero, ¿cómo estarían seguros tus familiares o amigos de que fuiste tú quien les envió la llave pública y no un impostor que obtuvo acceso a tu cuenta de correo o de Facebook?

Evidentemente hacer estas entregas en persona funciona con unas cuantas personas pero no a escala. ¿Qué pasa si quiero que cualquiera —tenga una relación conmigo o no— pueda obtener una copia de mi llave pública para que podamos intercambiar información de manera segura?

Es aquí donde entran los certificados.

Un certificado es un archivo digital —generalmente de tipo .cer— que contiene mis datos identificatorios (nombre, CURP, RFC, etc.) junto con mi llave pública. Quien tenga acceso a este certificado puede asumir que contiene mi llave pública y, por lo tanto, puede intercambiar mensajes conmigo de manera confiable y segura.

Cualquiera con los conocimientos técnicos necesarios puede generar un certificado, sin embargo lo más común es que la gente sólo acepte certificados emitidos por entes autorizados que generalmente son organismos gubernamentales o privados autorizados por el gobierno.

¿Cómo se relaciona el certificado digital a la firma electrónica?

La firma electrónica cae bajo el escenario 1) descrito al inicio de este artículo. Es el escenario donde envías un mensaje que cerraste con tu llave privada y los demás pueden abrirlo con tu llave pública asegurándose así que el mensaje es de tu autoría.

En una firma electrónica generas un mensaje de aceptación de un documento o contrato el cual cierras con tu llave privada y por lo tanto cualquiera con tu llave pública puede corroborar que ese mensaje o firma fue generada por ti.

¿Cómo se genera un certificado?

Usemos como ejemplo el caso del SAT y la FIEL/e.firma. El SAT está autorizado por el Banco de México para emitir certificados. Aunque también existen entes privados autorizados por la Secretaría de Economía para emitir certificados, el SAT es por mucho el principal emisor de estos.

Para este ejemplo inventaremos una persona ficticia. El solicitante será Roberto Gómez Andrade.

Los pasos para que Roberto tramite un certificado de FIEL o e.firma emitido por el SAT son los siguientes:

1. Roberto genera un par de llaves, una pública y una privada, en su computadora usando un programa que descarga de la página del SAT. 
2. Roberto guarda la llave pública en un medio electrónico como una memoria USB.
3. Roberto se presenta en un módulo del SAT en donde un funcionario de dicha institución verifica sus datos. Es decir, corrobora que efectivamente se trate de Roberto Gómez Andrade y no de un impostor. Se usan datos biométricos para validar su identidad.
4. Una vez validada su identidad, el funcionario genera un certificado — que es un archivo digital— con sus datos identificatorios (nombre, CURP, RFC, etc.), le pide su llave pública y la inserta en este certificado que acaba de crear.
5. Finalmente, este certificado recién creado con los datos identificatorios de Roberto que incluye su llave pública se firma o “cierra” con la llave privada del propio SAT.

Este último paso es sumamente importante. ¿Por qué?

Imaginemos que los certificados no se firmaran por la institución que los emite. ¿Qué me impediría a mi generar un certificado a nombre de Roberto Gómez Andrade y hacerme pasar por él usando este certificado? Nada, lo podría hacer y si fuera así de fácil no habría manera de confiar en la información identificatoria contenida en los certificados.

¿Qué sucede cuando el SAT firma o “cierra” el certificado con la llave pública de Roberto y sus datos identificatorios?

Dado a que el certificado se “cerró” o firmó con la llave privada del SAT, este únicamente puede “abrirse” usando la llave pública del SAT. En otras palabras, cualquiera con acceso a la llave pública de esta institución puede verificar que el mensaje en efecto proviene de ella y, por lo tanto, se puede confiar en que la llave pública contenida en el certificado efectivamente corresponde a Roberto.

Las llaves públicas del SAT, contenidas también en certificados, las puedes bajar de la página del Banco de México. Y si tienes los conocimientos técnicos suficientes las puedes usar para validar si un certificado que te presenten fue efectivamente emitido por el SAT.

El hecho de que el SAT firme cada certificado vuelve imposible que un tercero genere un certificado con su llave pública pero con los datos de otra persona, por ejemplo de Roberto. El tercero podría firmar el certificado con una llave privada de su propiedad pero sería fácil darse cuenta que el certificado no fue emitido por el SAT.

Una vez que cuentes con este certificado digital emitido por el SAT, ahora sí puedes compartir tu llave pública —contenida en el certificado— de manera segura con quien desees por el medio que gustes.

Inclusive, el SAT hace públicos todos los certificados de todas las personas que han tramitado su FIEL o e.firma para que cualquiera pueda descargarlos y entablar una comunicación segura con el dueño del certificado descargado.

Concluyendo

Para evitar entregar una llave pública a cada persona con la que quieres entablar comunicación segura —por ejemplo enviar una firma electrónica tuya que exprese consentimiento de un contrato en formato electrónico—, puedes tramitar un certificado en el SAT el cual goza de ventajas legales al ser usado para firmar electrónicamente. Este certificado contiene tu llave pública y tus datos identificatorios. Además, se firma con la llave privada del SAT permitiendo que cualquiera corrobore que se trata de un certificado legítimo emitido por dicha institución.

En Mifiel validamos que los certificados que se utilizan al momento de firmar correspondan a certificados que fueron emitidos por el SAT de tal manera que tú no tengas que preocuparte de hacer esta validación y garantizando el no repudio de las firmas.

The post ¿Qué es un certificado digital de firma electrónica? appeared first on Mifiel Blog.

La criptografía es una rama de las ciencias de la computación enfocada en desarrollar e implementar esquemas seguros para enviar y recibir mensajes en entornos adversariales. Entornos adversariales es una manera elegante de decir “entornos donde hay participantes que te quieren fregar”. El internet es un ejemplo de entorno adversarial, ya que tienes hackers, estafadores, usurpadores de identidad y demás delincuentes tratando de sustraer o modificar información.

A grandes rasgos, los sistemas criptográficos se dividen en dos ramas principales: los basados en criptografía simétrica y los basados en criptografía asimétrica. Los basados en criptografía simétrica son fáciles de conceptualizar. Los documentos o mensajes se “cierran” con una llave y sólo quienes tengan copia de esa llave pueden abrirlos y leerlos. Para una analogía podemos imaginarnos una caja con candado en donde guardamos documentos, cartas, etc. Esta caja solo puede ser abierta y su contenido leído por las personas que cuenten con una copia de la llave.

Las criptomonedas, la blockchain y el servicio de Mifiel están basados en criptografía asimétrica. A diferencia de la criptografía simétrica, la asimétrica es más compleja de visualizar por lo que es útil plantear una analogía.

Imaginemos una caja con dos cerrojos (uno del lado izquierdo y otro del lado derecho) y dos llaves que corresponden a cada uno de ellos. Una de las llaves la bautizamos llave pública y la otra, llave privada. La llave privada corresponde al cerrojo de la izquierda y la llave pública al de la derecha.

Esta caja tiene un funcionamiento especial. Si cierro la caja con el cerrojo de la izquierda (la llave privada) la única manera de abrirla es usando el cerrojo de la derecha (el que corresponde a la llave pública). No es posible abrirla volviendo a utilizar la llave privada en el cerrojo de la izquierda, forzosamente debo usar la llave pública en el cerrojo de la derecha. En cambio, si cierro la caja con el cerrojo del lado derecho, la única manera de abrirla es con la llave privada en el cerrojo izquierdo.

Además, es imposible fabricar un cerrojo a partir de alguna de las llaves.

Con mi caja lista y funcionando, procedo a hacer muchas copias de la llave pública y las reparto entre mis amigos, familiares, compañeros de trabajo, socios, mi contador, mi abogado y a toda persona que considere necesario.

De la llave privada no hago ninguna copia. Al contrario, la guardo muy bien en un lugar seguro donde sólo yo —y nadie más— tenga acceso a ella.

¿Qué podríamos hacer con esta peculiar caja, las llaves públicas que repartí y la llave privada?

Principalmente dos cosas:

1) Supongamos que mi contador no puede entregarme un mensaje personalmente pero por su naturaleza quiere asegurarse que sólo yo pueda leerlo. Podría ponerlo en un sobre cerrado y mandármelo por paquetería, pero aunque el sobre esté cerrado, un atacante con determinación podría abrirlo con mucho cuidado, leer el mensaje y volverlo a cerrar. Yo nunca me enteraría que alguien lo leyó.

Usando la caja especial que acabamos de describir, mi contador introduce el mensaje en ella. La cierra usando la copia de la llave pública (cerrojo derecho) que le entregué y envía la caja por paquetería. Al haberse cerrado la caja usando una de las copias de la llave pública en el cerrojo derecho, el único que puede abrir la caja es el poseedor de la llave privada (cerrojo izquierdo). La llave privada únicamente puede ser accesada por mi, por lo que mi contador sabe que sólo yo podré abrir la caja y leer el mensaje.

¿Cuáles son algunos ataques que se podrían intentar para burlar este esquema?

El atacante podría obtener una de las copias de la llave pública y hacerse pasar por mensajero para que mi contador le entregue la caja cerrada. Sin embargo, al haber sido esta cerrada con una llave pública (cerrojo derecho), el atacante podría introducir la llave en dicho cerrojo pero no podría abrir la caja ya que si se cerró usando una llave pública, únicamente puede ser abierta usando la llave privada en el cerrojo izquierdo.

2) Imaginemos que quiero enviar un mensaje a mi abogado de tal manera que él pueda estar seguro —sin duda alguna— de que el mensaje viene de mi parte aunque yo no le entregue la caja personalmente y esta le sea entregada por un desconocido (posiblemente con malas intenciones).

¿Qué tendría que hacer yo?

Escribo el mensaje para mi abogado en un papel y lo meto en la caja. La cierro usando el cerrojo de la izquierda (el que solo acepta la llave privada) y la envío por paquetería a mi abogado.

Cuando mi abogado la reciba, buscará la llave pública que anteriormente le compartí y procederá a insertarla en el cerrojo de la derecha. Si la caja abre, mi abogado puede estar totalmente seguro de que el mensaje fue puesto dentro por mi. Que él haya podido abrir la caja con el cerrojo del lado derecho implica que necesariamente la caja fue cerrada usando el cerrojo del lado izquierdo. Este cerrojo corresponde a la llave privada de la cual sólo hay una copia y la tengo yo.

Al igual que para el ejemplo anterior, exploremos un par de escenarios de ataque y como la caja y las llaves los prevendrían.

Pretendamos que alguien le quisiera enviar un mensaje a mi abogado intentando suplantar mi identidad. Tendría dos opciones:

1. Utilizar una caja con sus llaves, meter un mensaje y enviarla a mi abogado. Al recibir esta caja mi abogado trataría de usar la copia de mi llave pública, no entraría en ninguno de los cerrojos por lo que no podría abrir la caja.
2. El atacante es alguien cercano a mi o a alguien de los conocidos a quienes entregué copias de la llave pública, por lo que tiene acceso a una de estas llaves y por lo tanto puede cerrar la caja usando el cerrojo de la derecha. Mi abogado recibe la caja, inserta su llave en el cerrojo del lado derecho y aunque la llave sí entra en el cerrojo, no es posible abrirla ya que al haber sido cerrada con una llave pública (cerrojo derecho), únicamente puede ser abierta con la llave privada (cerrojo izquierdo). Mi abogado sabe inmediatamente que yo no fui quien cerró esa caja.

Buen intento, señor impostor, pero mi esquema de llaves frustró su intención de hacerse pasar por mi.

¿Cómo se relaciona la criptografía asimétrica al servicio de Mifiel?

La firma electrónica avanzada está basada en el segundo escenario, en el que yo quiero mandarle un mensaje a alguien de tal manera que el receptor pueda estar inequívocamente seguro de que el mensaje fue enviado por mi. A diferencia de las llaves físicas que usamos como ejemplo, en el mundo digital la llave privada y la llave pública son archivos digitales. En el caso de la FIEL o e.firma del SAT, la llave privada es el archivo tipo .key y la llave pública está contenida en el archivo tipo .cer. También, a diferencia de la llaves físicas, la llave pública contenida en el archivo .cer puede ser descargada por quien sea de tal manera que yo no tenga que entregar personalmente una llave pública a cada persona con la que quiero interactuar.

Cuando firmas con tu e.firma en Mifiel, usas tu llave privada/archivo.key (cerrojo izquierdo en la analogía) para cerrar la caja de tal manera que si los demás podemos abrirla usando una copia de tu llave pública en el cerrojo derecho, podemos saber que fuiste tú —y nadie más— quien metió el mensaje en la caja y la cerró. En el mundo digital esto se llama firmar.

Es por esto que cuando tramitas tu FIEL, firmas una carta responsiva donde te responsabilizas a informarle al SAT en cuanto sospeches que tu llave privada ha caído en las manos de un tercero. Cualquier uso que se le dé a esta llave es imputable a ti (por ley), por lo que es tu responsabilidad no compartirla con nadie y en caso de extravío, robo o entrega voluntaria debes reportarla inmediatamente al SAT. Este reporte se hace por internet.

Otro ejemplo práctico de este esquema es el de la facturación electrónica. El proveedor genera un documento (la factura), lo mete en la caja y la cierra con su llave privada (cerrojo izquierdo). Todos los que tengan una copia de la llave pública del proveedor pueden abrir la caja usando el cerrojo derecho y estar seguros de que la factura la emitió el proveedor. Por ello no es posible que un fulano se ponga a emitir facturas en nombre de Bimbo. No tiene la llave privada requerida para hacerlo.

En conclusión, la criptografía asimétrica o de llave pública permite construir sistemas de intercambio de información altamente seguros para recibir o enviar mensajes de la siguiente forma:

1) Usando mi llave pública cualquiera puede enviarme mensajes con la seguridad de que nadie más que yo podrá leerlos. Aún si el mensajero o el medio por el que se manda el mensaje no es confiable.

2) Usando mi llave privada puedo enviar mensajes a cualquier persona y los receptores pueden verificar —usando una copia de mi llave pública— que el mensaje fue enviado por mi y únicamente por mi. Esto sin importar que el mensaje haya sido enviado usando un método no confiable. La criptografía asimétrica es el esquema utilizado en la firma electrónica avanzada y la facturación electrónica.

The post Criptografía asimétrica o de llave pública: su relación con la FIEL / e.firma appeared first on Mifiel Blog.

Por su parte, la firma electrónica simple puede ser generada de diferentes formas. Lo importante es que también conlleva la generación e intercambio de claves privadas, un proceso criptográfico similar al de la firma electrónica avanzada.

¿Técnicamente cómo funciona una firma electrónica? Supongamos que Carolina necesita que Roberto le firme un documento.

En vez de reunirse o mandar el documento firmado por paquetería, Roberto puede usar un sistema que le permita firmar electrónicamente, ya sea con los archivos de una firma electrónica avanzada como la e.firma del SAT, o mediante una firma electrónica simple con intercambio de claves privadas y recabación de evidencia de la firma.

En esencia el proceso de firma electrónica es:

1. Calcular el hash (huella digital representada por una serie de caracteres única) del documento y cifrarlo con una llave privada.
2. Con una llave pública se descifra y el resultado se compara con el hash obtenido inicialmente.
3. Si coinciden exactamente, existe certeza de que el titular de la llave privada firmó el documento.

¿Cuál es el proceso de firma electrónica de un documento para personas como Roberto? Las plataformas de firma electrónica avanzada tienen procedimientos similares. A grandes rasgos, los pasos son los siguientes.

Cómo firmar un documento con la e.firma o FIEL

1. Tu contraparte envía el documento a una plataforma de firma digital que calcula su hash o huella digital.
2. Visualizas el documento en la plataforma.
3. Subes tu certificado público. Su validez y vigencia se verifican ante el SAT.
4. Seleccionas tu llave privada.
5. Ingresas la contraseña de tu llave privada.
6. El documento se firma digitalmente.

Cómo firmar un documento con firma electrónica simple

1. Tu contraparte envía el documento a una plataforma de firma digital que calcula su hash o huella digital.
2. Visualizas el documento en la plataforma.
3. Generas con apoyo y consentimiento de la plataforma tus llaves de firma (pública y privada).
4. La plataforma recaba datos para probar que eres tú quien firma el documento. Algunos de estos pueden ser dirección IP, foto de tu cara, foto de tu identificación, localización en el mapa, entre otros.
5. Aceptas firmar el documento.
6. El documento se firma digitalmente.

¿Qué tipos de firma existen? Descúbrelo con ayuda del experto en Firma Electrónica Avanzada en México, el Dr. Alfredo Reyes Krafft.

Cómo verificar una firma electrónica

Para verificar que una firma es válida al momento de realizarla, las plataformas de firma electrónica realizan el siguiente proceso:

1. Tu navegador cifra el hash del documento usando tu llave privada, es decir, firma digitalmente el documento.
2. En el servidor de la plataforma se descifra el resultado de firma usando tu llave pública.
3. Si el resultado coincide con el hash calculado inicialmente, la firma es válida y se estampa en el documento.

Pero ¿cómo puede verificar la firma una persona? Regresemos al ejemplo de Carolina y Roberto.

Lo primero que Carolina tiene que hacer es obtener la llave pública de Roberto. Como su nombre lo indica, son de carácter público. En el caso de la e.firma, el certificado que incluye la llave pública de cualquier persona puede ser obtenido de la página del SAT.

Usando la llave pública contenida dentro del certificado de Roberto, Carolina decodifica la firma que le envió Roberto. Este proceso le revela a Carolina el número de serie del documento contenido dentro de la firma electrónica de Roberto.

Ahora lo que le resta a Carolina es comparar el número de serie del documento que le envió a Roberto con el número de serie que obtuvo al decodificar la firma que le envió Roberto.

Si al hacer la comparación, los números de serie no coinciden quiere decir que se usó la FIEL de alguna otra persona para firmar o que el documento que se firmó fue otro.

Si coinciden, Carolina puede estar segura que la firma que tiene en su poder fue hecha por Roberto ya que para generarla se usó la llave privada de Roberto a la que sólo tiene acceso él y que además corresponde al documento correcto. Por sus características técnicas, la Ley confiere a la firma electrónica avanzada garantía de no repudio.

Algunas plataformas cuentan con herramientas auditables para facilitar la verificación de firmas electrónicas avanzadas.

¿Es posible falsificar una firma electrónica?

Falsificar una firma electrónica avanzada es matemáticamente imposible. La única manera que alguien puede firmar por nosotros de manera electrónica es si tiene acceso a nuestra llave privada. Por ello el SAT nos indica que no debemos, por ninguna circunstancia, compartir nuestra e.firma con nadie, ni siquiera nuestro contador. Es el equivalente a entregarle a alguien una hoja en blanco firmada por nosotros.

En el caso de la firma electrónica simple, esta es repudiable pero siempre se presume que el firmante es quien realmente la ejecutó (presunción de atribución). Por ello es recomendable sumar todas las pruebas necesarias para demostrar que esa persona en efecto firmó.

The post Fundamento técnico de la firma electrónica en México appeared first on Mifiel Blog.