Quién dice que una firma es válida.
La validación como proceso: listas de confianza, revocación y política.
Un tilde verde en la pantalla parece una respuesta definitiva: la firma es válida. Pero detrás de ese tilde hay un proceso con varios pasos, cada uno con sus propias fuentes de confianza y sus propias reglas. Dos validadores distintos pueden llegar a conclusiones distintas sobre la misma firma, y los dos pueden tener razón según sus criterios. Entender cómo se valida es entender qué significa, de verdad, que una firma "vale".
Validar es responder varias preguntas en orden
- ¿El documento está íntegro? Se recalcula el resumen del contenido y se comprueba que coincide con el que se firmó.
- ¿La firma corresponde al certificado? Se verifica matemáticamente con la clave pública del certificado.
- ¿El certificado es de confianza? Se construye la cadena hasta una autoridad raíz y se comprueba que esa raíz figura entre las anclas de confianza del validador.
- ¿El certificado estaba vigente? Se comprueba que no había vencido ni estaba revocado en el momento de la firma, para lo cual hace falta saber ese momento con certeza.
- ¿Se cumplen las reglas exigidas? Algoritmos aceptables, tipo de certificado, nivel de la firma y cualquier otra condición que imponga la política aplicable.
Las anclas de confianza
El paso tres es el que más se pasa por alto. Ningún validador confía en todos los certificados: confía en una lista de autoridades raíz y, a partir de ellas, en los certificados que emiten. Quién arma esa lista es una decisión de enorme peso.
- Almacenes de sistemas y programas. Los sistemas operativos, los navegadores y los lectores de PDF traen sus propias listas, armadas con criterios propios y pensadas sobre todo para la web.
- Listas de confianza oficiales. En la Unión Europea, cada Estado publica, según el reglamento eIDAS, una lista de los prestadores cualificados que supervisa, con su estado a lo largo del tiempo. Otros países mantienen raíces nacionales administradas por un organismo público, como la Autoridad Certificadora Raíz Nacional de Uruguay, a cargo de AGESIC y bajo el control de la Unidad de Certificación Electrónica.
- Listas propias. Una organización puede decidir confiar en ciertas autoridades para sus propios procesos, siempre que lo documente.
Por eso una firma puede aparecer como válida en un programa y como "identidad desconocida" en otro. No es que la firma cambie: cambian las anclas de confianza.
Tres resultados, no dos
La norma europea de validación de firmas, ETSI EN 319 102 1, no reduce el resultado a "sí" o "no". Define tres estados: aprobada, fallida e indeterminada. El tercero es el más común en la práctica y el más malentendido. Significa que el validador no pudo concluir, por ejemplo porque no pudo consultar la revocación o porque no reconoce la raíz. No es un rechazo, pero tampoco es una aprobación.
| Resultado | Qué significa | Qué hacer |
|---|---|---|
| Aprobada | Todas las comprobaciones pasaron según la política aplicada. | Conservar el informe de validación. |
| Fallida | Alguna comprobación falló de forma definitiva, por ejemplo el documento fue alterado. | No aceptar el documento. |
| Indeterminada | Faltó información para decidir. | Buscar el dato que falta o validar con otra política. |
Qué pedirle a un buen validador
- Que diga qué anclas de confianza y qué política usó.
- Que distinga entre aprobada, fallida e indeterminada, y explique el motivo.
- Que valide en el momento de la firma, usando sellos de tiempo y datos de revocación incorporados.
- Que entregue un informe que pueda guardarse junto al documento.
- Que declare también lo que no comprueba.
Validar una firma es comprobar integridad, correspondencia, confianza, vigencia y reglas, en ese orden. El resultado depende de las anclas de confianza y de la política del validador, y puede ser aprobado, fallido o indeterminado. Un buen validador dice qué comprobó, con qué criterios y qué quedó sin comprobar.