¿Qué es una firma digital en PDFs?
Una firma digital en PDFs sirve para verificar la autenticidad e integridad de un documento.
Es un mecanismo criptográfico que garantiza que un archivo PDF no haya sido manipulado desde su creación y que provenga del remitente esperado. Las firmas digitales usan criptografía de clave pública, donde el firmante genera un certificado digital único que contiene su clave pública. Este certificado se utiliza para cifrar un valor hash del documento, que luego se incrusta en el PDF.
Los destinatarios pueden verificar la firma descifrando el valor hash incrustado con la clave pública del firmante, asegurando que el documento no se haya modificado y provenga de la fuente esperada.
Firmas digitales aportan garantías de autenticidad, integridad y no repudio de los documentos PDF, lo que las hace fundamentales para archivos sensibles o legalmente vinculantes.
Hay muchas aplicaciones de software y servicios en línea disponibles que admiten la funcionalidad de firma digital para documentos PDF.
Qué cubre realmente una firma
Una firma digital crea un hash sobre un rango de bytes del archivo y lo cifra con la clave privada del firmante. El resultado se guarda junto con el certificado de firma. La verificación repite el hash y lo comprueba frente al certificado. El rango de bytes es lo que hace que esto funcione en un formato que se puede editar. Porque una actualización incremental añade datos en lugar de reescribirlos, los bytes cubiertos por una firma anterior permanecen intactos, y varias personas pueden firmar un documento una tras otra, manteniéndose verificable cada firma.
La validez son dos cuestiones distintas
Un visor responde a dos preguntas, y es fácil confundirlas. Primero, ¿ha cambiado el documento desde que se firmó? Segundo, ¿es de confianza el certificado de firma y era válido en el momento de firmar?
Un documento puede estar completamente sin modificar y aun así mostrar una advertencia, simplemente porque el certificado está autofirmado o emitido por una autoridad en la que el lector no confía. Las marcas de tiempo de una autoridad de confianza y los datos de revocación incrustados permiten que una firma siga siendo verificable años después, incluso cuando el certificado en sí ha caducado.
Una firma no es lo mismo que una firma dibujada o pegada en una página. Una imagen de una escritura a mano es contenido de la página y no conlleva ninguna garantía criptográfica.