Consejo para Firma Digital

[[Lepe]]

Hombre, a mí no me interesa crear una firma avanzada, yo quiero la reconocida (me interesa que sea equiparable a la firma manuscrita).

Por supuesto que la firma avanzada es legal, pero también lo es la simple . Depende de tus necesidades y lo que quieras sea demostrable en un juicio.

En principio debes hacer una firma avanzada, para "convertirla en reconocida" se debe cumplir:
- Que hayas usado un certificado reconocido (FNMT, Direccion General de la Policia [CA para el dnie] etc)
- Que haya sido creado con un SSCD (dnie, tarjeta/token criptográfico)

He marcado en negrita algunas cosas para que vea que un software sí puede generar una firma reconocida.

23399 LEY 59/2003, de 19 de diciembre, de firma electrónica.
45338 Sábado 20 diciembre 2003 BOE núm. 304
TÍTULO IV, CAPITULO 1, Artículo 24

Empezado por BOE

2. Un dispositivo de creación de firma es un pro-
grama o sistema informático que sirve para aplicar los
datos de creación de firma.
3. Un dispositivo seguro de creación de firma es
un dispositivo de creación de firma que ofrece, al menos,
las siguientes garantías:
a) Que los datos utilizados para la generación de
firma pueden producirse sólo una vez y asegura razo-
nablemente su secreto.
b) Que existe una seguridad razonable de que los
datos utilizados para la generación de firma no pueden
ser derivados de los de verificación de firma o de la
propia firma y de que la firma está protegida contra
la falsificación con la tecnología existente en cada
momento.
c) Que los datos de creación de firma pueden ser
protegidos de forma fiable por el firmante contra su uti-
lización por terceros.
d) Que el dispositivo utilizado no altera los datos
o el documento que deba firmarse ni impide que éste
se muestre al firmante antes del proceso de firma.

Empezado por URBANO

Una duda más que se me ha planteado. Observo en documentos firmados digitalmente, que al final del documento ponen que para verificar la validez del mismo entren una página web ’www…..’ e introduzcan el código seguro '00cdx…..’. Este número como se genera? Lo genera la firma?

Creo ahí tienes la diferencia entre avanzada/reconocida.
En avanzada sí puedes modificar el documento antes** de la firma para incrustar texto o imágenes.

En reconocida no podrías.

El tema de los certificados por software de la FNMT es delicado, ya en kriptópolis le dedicaron un post bastante largo y didáctico. Supuestamente la aeat está obligandote a usar un contenedor por software que tiene implicaciones que no te advierten.

También hay otro detalle del que no hemos hablado y es que la firma electrónica no garantiza que ese documento fue firmado en la fecha que indica el texto o documento. La FNMT tiene servicio de pago de sellado de tiempo (TIMESTAMPING)... después de tirar la piedra escondo la mano...

** Aclaración: ClickSign por ejemplo modifica el documento a firmar incluyendo su logo en versión gratuita o bien los datos de los firmantes en la versión pro. Por supuesto no voy a poner en duda a una de las máximas autoridades en la materia, pero al menos en mi caso no es viable, ya que previamente he hecho un HASH al documento a firmar y lo utilizo como clave de encriptación de otro proceso encadenado. La simple modificación del PDF invalidaría el proceso encadenado. Supongo la versión de pago podrá eliminar la modificación del PDF; entraré en materia una vez tenga mi dnie (la semana que viene).