Firma Digital y Electrónica

La firma digital es una modalidad de firma electrónica, resultado de una operación matemática que utiliza criptografía y permite medir, con seguridad, el origen y la integridad del documento. La firma digital queda de tal modo vinculada al documento electrónico que, en el caso que sea hecha cualquier modificación en el documento, la firma se torna inválida. La técnica permite no solo verificar la autoría del documento, sino que establece también una “inmutabilidad lógica” de su contenido, pues cualquier modificación del documento, como por ejemplo la inserción de más un espacio entre dos palabras, invalida la firma.

Técnicamente, una firma digital es un conjunto de datos que acompaña o está lógicamente asociado a un mensaje digital codificado, que puede ser utilizado para certificación del autor del documento, así como para garantizar que el mensaje no fue modificado desde que este salió del autor.

La firma digital es creada en el momento de la firma del Resumen Criptográfico (QUÉ) de un archivo con la clave privada del usuario (QUIÉN). Una vez que la clave pública es distribuida como la parte de la firma digital, cualquiera que ve la firma puede verificar que esta fue firmada por la clave privada correspondiente. De esta manera, tanto el remitente, como los receptores pueden asociar la identidad del remitente a un archivo específico (QUIÉN hizo qué). Las Firmas Digitales, para la mayoría de los documentos, poseen la misma fuerza legal que las firmas en papel.

En el contexto del Portal QualiSign, una Firma Digital sirve para dos finalidades:

- Asociar la identidad de una persona al documento digital original;

- Asegurar la integridad del documento digital (contenido electrónico).

La palabra criptografía tiene origen griego y significa el arte de escribir en códigos, para esconder la información en forma de un texto incomprensible. El cifrado o proceso de codificación, es ejecutado por un programa de computadora que realiza un conjunto de operaciones matemáticas y transforman un texto claro en un texto cifrado, además de insertar una clave secreta en el mensaje. El emisor del documento envía el texto cifrado, que será reprocesado por el receptor, transformándolo, nuevamente, en texto legible, igual al emitido, siempre que tenga la clave correcta.

Existen dos tipos de criptografía: simétrica y asimétrica.

La criptografía simétrica está basada en algoritmos que dependen de una misma clave, denominada clave secreta, que es usada tanto en el proceso de cifrar como en el de descifrar el texto. Para la garantía de la integridad de la información transmitida es imprescindible que solamente el emisor y el receptor conozcan la clave. El problema de la criptografía simétrica es la necesidad de compartir la clave secreta con todos los que necesitan leer el mensaje, posibilitando la modificación del documento por cualquiera de las partes.

La criptografía asimétrica utiliza un par de claves diferentes entre si, que se relacionan matemáticamente por medio de un algoritmo, de forma que el texto cifrado por una clave, solamente sea descifrado por la otra del mismo par. Las dos claves involucradas en la criptografía asimétrica son denominadas clave pública y clave privada. La clave pública puede ser conocida por el público en general, mientras que la clave privada solamente debe ser de conocimiento de su titular.

Para probar que el contenido de un archivo no fue modificado, el Portal QualiSign almacena el código resultante de una operación de hash sobre el archivo, eliminando la necesidad de visualizar o almacenar sus datos (opcional).

El código resultante de esta operación (hash code) – también conocido como "Firma del Archivo", "Sumario del Mensaje" o “Resumen Criptográfico” – es un número que representa de forma única (y suficiente para identificar) un archivo en particular (prueba qué). Los Resúmenes Criptográficos son únicos en el sentido de que dos archivos diferentes nunca tendrán el mismo Resumen Criptográfico, excepto en el evento improbable de una colisión de hash, complicación cuya probabilidad disminuye exponencialmente en la medida en que se aumenta el tamaño del código de hash.

Con el algoritmo de hash SHA-1 de 160 bits (estándar de la industria) utilizado por Portal QualiSign, las probabilidades de una colisión de hash son extremamente remotas (1 en 280). A pesar de ser extremamente remotas, el Portal QualiSign prevé el tratamiento adecuado para estas situaciones.

Debido al hecho de que la función del hashing es unidireccional, ninguna parte de los datos originales puede ser reconstruida a partir de la firma del archivo (de la misma manera que un individuo no puede ser "reconstruido" a partir de su firma o impresión digital). Así, si un usuario puede presentar al Portal QualiSign un código de hash, se puede suponer que la persona que calculó ese código de hash tuvo en su posesión un determinado archivo.

No. La firma digitalizada es la reproducción de la firma del propio puño como imagen por un equipo tipo scanner. Ella no garantiza la autoría ni la integridad del documento electrónico, por cuanto no existe una asociación inequívoca entre el firmante y el texto digitalizado, una vez que ella puede ser fácilmente copiada e insertada en otro documento.

No. El documento digitalizado a partir de un documento original no es legalmente presumido auténtico, pues el documento original puede haber sufrido modificaciones anteriores al proceso de digitalización.

Esclareciendo mejor, una vez digitalizado el documento y certificado en el ámbito de la cadena de ICP-Brasil, El art. 223, encabezamiento, del Cód. Civil es muy esclarecedor al respecto, veamos lo que él determina: “Art.223- La copia fotográfica de documento, conferido por notario, valdrá como prueba de declaración de voluntad, pero, impugnada su autenticidad, deberá ser exhibido el original.”

Analizando el artículo en cuestión, llegaremos a la conclusión, si un documento fotografiado y conferido por notario puede sufrir impugnaciones acerca de su autenticidad, analógicamente, documentos que sufrieron digitalización también puede ser objeto de impugnaciones, pues solamente el original hace prueba concreta de su autenticidad.

Por tanto, es importante señalar que la presunción de integridad y autenticidad, extraída del art.10 de la Medida Provisoria nº2.200-2, del 24/08/2001, se refiere a documentos producidos electrónicamente y firmados digitalmente con certificados emitidos en el ámbito de ICP-Brasil

Vale decir, la firma electrónica vinculada a un certificado emitido en el ámbito de ICP-Brasil conduce a la presunción de autenticidad del documento subscrito, cierto que es, como afirma Humberto Theodoro Júnior, en Comentarios al Nuevo Código Civil. Volumen III. Tomo II. Río de Janeiro: Forense, 2003, p. 48, que el “Código no subordina la validez del instrumento particular a que la firma del signatario sea reconocida por notario o cualquier oficial público. Lo que le da autenticidad es la propia firma, o sea, la escritura del nombre del declarante, hecha personalmente (de forma autógrafa)”.

Son muchas las posibilidades de aplicaciones de la firma digital. En el ámbito gubernamental, podemos citar: - procesos judiciales y administrativos en medio electrónico; - facilitar la iniciativa popular en la presentación de proyectos de ley, una vez que los ciudadanos podrán firmar digitalmente su adhesión a las propuestas; - firma de la declaración de renta y otros servicios prestados por la Secretaría de la Recaudación Federal; - obtención y envío de documentos notariales; - SPB; - Gaceta Oficial Electrónica; - identificación de sitios en Internet, para que se tenga seguridad de que se está entrando a la dirección realmente deseada; etc.

Ya en la esfera privada la firma digital puede ser aplicada a los más diversos tipos de documentos electrónicos, tales como e-mails, formularios web, contratos, escrituras de poder, informes, imágenes, mandatos, notificaciones, balances, declaraciones, peticiones, resultados de exámenes, dictámenes, certificados, prontuarios médicos, propuestas y pólizas de seguros y archivos electrónicos transferidos entre empresas (EDI), viabilizando la eliminación del uso del papel y la disminución de los costos de emisión, almacenamiento y descarte de estos documentos.

La firma digital no torna al documento electrónico secreto, pues él en si no es cifrado. El secreto del documento electrónico podrá ser resguardado mediante el cifrado del mensaje con la clave pública del destinatario, pues solamente con el empleo de su clave privada el documento podrá ser descifrado. Ya la integridad y la comprobación de la autoría son características primeras del uso de la certificación digital para firmar.

El estándar CMS, descrita en la RFC 3852, una evolución del estándar Public-Key Cryptography Standards #7 (PKCS#7) definido por la RSA, es utilizado en ICP-Brasil como estándar para el almacenamiento de contenido (datos) firmados digitalmente, contenidos cifrados, contenidos autenticados y contenidos con resúmenes criptográficos.

Para los softwares de firma digital, como el Portal QualiSign, la Instrucción Normativa 09/2006, del ITI, del 18.05.2006, y sus documentos conocidos con DOC-ICP-15, regulan los requisitos para softwares de firma digital, secreto y autenticación, en el ámbito de ICP-Brasil.

De acuerdo con el art. 10, de la MP n° ICP-Brasil tienen la misma validez jurídica que los documentos en papel con firmas manuscritas. Es importante destacar que los documentos electrónicos firmados digitalmente por medio de certificados emitidos fuera del ámbito de ICP-Brasil también tienen validez jurídica, pero esta dependerá de la aceptación de ambas partes, emisor y destinatario, conforme determina la redacción del § 2º del art. 10 de la MP n° 2.200-2.

Firma Electrónica es el género para designar todas las especies de identificación de autoría de documentos u otros instrumentos elaborados por medios electrónicos, mientras la firma digital es una de las especies del género firma electrónica (1).

Como analogía, podemos considerar que la firma electrónica se refiere al bosque con sus varios tipos de árboles, mientras la firma digital se refiere a una de las especies de árbol de este bosque.

(1) “La nomenclatura “firma electrónica” fue escogida por el hecho de que la misma caracteriza una expresión lato sensu, o sea, más amplia en comparación a la firma digital. La expresión “firma electrónica” sería tecnológicamente neutra por dejar en abierto las técnicas a ser adoptadas, mientras que la expresión “firma digital”, especie del género firma electrónica, estaría de antemano eligiendo la criptografía asimétrica”.

Firma digital es una de las especies de firma electrónica. Firma Electrónica es el género para designar todas las especies de identificación de autoría de documentos u otros instrumentos elaborados por medios electrónicos

En el contexto de la formalización digital la característica más importante que se debe identificar entre las especies de firma es la fuerza o eficacia probatoria que es la capacidad que se tiene de probar que una determinada firma fue hecha por la persona que se dice ser.

La firma digital (estándar x509 v3) utiliza el concepto de criptografía asimétrica que está compuesto por un par de claves criptográficas (pública y privada) que se complementan entre si. La clave privada, que es de posesión y responsabilidad exclusiva de su propietario, es utilizada para firmar digitalmente un documento electrónico y la clave pública es utilizada por cualquier persona para comprobar la autoría de la firma.

Podemos afirmar que entre todas las especies de firma electrónica, las legislaciones por el mundo escogieron solamente la firma digital (Infraestructura de Claves Públicas, (1) como sustituto legal de la firma del propio puño. Brasil posee una legislación específica desde el 2001 que instituyó la Infraestructura de Claves Públicas Brasileña (ICP-Brasil) y equiparó la firma digital a la firma del propio puño (el art.10, § 1º, de la Medida Provisoria 2.200-2 del 24 de agosto de 2001, (2).

(1) Infraestructura de Claves Públicas. Estructura de entidades que controlan la emisión de certificados digitales y le dan confiabilidad y legitimidad al proceso.

(2) “Las declaraciones que constan en los documentos en forma electrónica producidos con la utilización de proceso de certificación ofrecido por ICP-Brasil se presumen verdaderos con relación a los signatarios, de acuerdo con el art. 131 de la ley nº 3071, de 1/1/1916 - Código Civil.”

En el contexto de la formalización digital la característica más importante que se debe identificar entre las especies de firma es la fuerza o eficacia probatoria que es la capacidad que se tiene de probar que una determinada firma fue hecha por la persona que se dice ser.

Esta característica es la base para entender mejor las diferencias de cada tipo de firma electrónica, vea algunos ejemplos:

Contraseñas: Código secreto previamente acordado entre las partes como forma de reconocimiento

Firma digitalizada: Es la reproducción de la firma del propio puño como imagen (grafía) obtenida por un equipo tipo escáner.

Aceptación Digital: Es un acuerdo en forma digital. Puede ser un “clic en el botón, De Acuerdo, Confirmar, etc.”, lo que significa una concordancia con los términos de un documento.

Firma Digital: Resultado de una operación matemática que utiliza algoritmos de criptografía asimétrica (estándar x509 v3) que permite medir con seguridad la autoría y no repudio de la firma y la integridad del documento..