Descifrando la firma electrónica: Comprende cómo PAdES garantiza la seguridad de las firmas en PDF

En el artículo anterior, comprendimos brevemente ESI. En este artículo, profundizaremos en el concepto de PAdES y lo compararemos para ver cómo se especifica el formato de firma electrónica para PDF.

I. ¿Qué es PAdES?

1. Definición en una frase PAdES (PDF Advanced Electronic Signature) es un conjunto de estándares internacionales para firmas electrónicas avanzadas diseñadas para documentos PDF. Es mucho más que simplemente colocar un sello de firma en un PDF, sino que utiliza un conjunto complejo pero estandarizado de estructuras de datos y mecanismos para garantizar que el archivo PDF firmado pueda verificarse y confiarse incluso después de muchos años.

II. La función principal de PAdES:

Las firmas electrónicas ordinarias enfrentan tres riesgos principales con el tiempo:

Vencimiento del certificado: la validez de los certificados digitales utilizados para firmar suele ser de solo 1 a 3 años. ¿Cómo se verifica la firma original después de que caduca? Craqueo de algoritmos: los algoritmos de cifrado que son seguros ahora pueden ser craqueados por computadoras más potentes en el futuro. Pérdida de materiales: los materiales necesarios para verificar la firma, como las listas de revocación de certificados (CRL), pueden tener sus servidores cerrados, lo que hace que la verificación sea imposible. PAdES resuelve estos problemas definiendo diferentes niveles de firma de manera progresiva:

PAdES-B-B (nivel básico): prueba la identidad del firmante y la integridad del documento. PAdES-B-T (con marca de tiempo): agrega una marca de tiempo confiable para probar que la firma existió en un momento determinado, evitando el repudio posterior. PAdES-B-LT (validación a largo plazo): empaqueta todos los materiales necesarios para la verificación (certificados, listas de revocación, etc.) en el propio PDF, evitando la imposibilidad de verificación debido al cierre de servidores externos. PAdES-B-LTA (validación y archivo a largo plazo): genera periódicamente nuevas marcas de tiempo con algoritmos más seguros, cubriendo todo el paquete de firma, contrarrestando el riesgo de obsolescencia del algoritmo y logrando una validez permanente. Actualmente, generalmente es suficiente adoptar PAdES-B-T (con marca de tiempo) para satisfacer las necesidades básicas de las especificaciones de firma electrónica (después de todo, la posibilidad de que la propia CA quiebre no es muy alta, por lo que la verificación del estado del certificado generalmente se puede admitir).

III. Composición de PAdES:

Una firma PAdES tiene incorporado un “paquete de datos de confianza” completo en el archivo PDF:

Valor de la firma (Signature Value): el valor de la firma central basado en operaciones criptográficas. Certificado del firmante (Signer’s Certificate): una identificación electrónica que prueba la identidad del firmante. Marca de tiempo confiable (Trusted Timestamp): emitida por una autoridad para probar la hora de la firma. Datos de verificación (DSS - Document Security Store): Cadenas de certificados (Certificates): el certificado de la autoridad emisora superior del certificado del firmante. Información de revocación (Revocation Information): una lista que prueba que el certificado no fue revocado en el momento de la firma. Marca de tiempo de archivo (Archive Timestamp): en el nivel LTA, se utiliza para “reforzar” periódicamente la nueva marca de tiempo de todo el paquete de firma.

IV. Relación entre PAdES, CAdES y XAdES

PAdES no es un estándar aislado, sino que junto con CAdES y XAdES forman el “trío” de estándares de firma electrónica avanzada de ETSI (Instituto Europeo de Normas de Telecomunicaciones). El concepto central de estos tres estándares es el mismo, destinado a lograr la validez a largo plazo y la garantía de confianza de las firmas electrónicas. Sin embargo, tienen diferentes características para diferentes formatos de archivo y escenarios de aplicación.

CAdES (CMS Advanced Electronic Signatures) es un estándar de firma electrónica ampliamente aplicable a cualquier formato de archivo, y se destaca especialmente cuando los archivos requieren firmas separadas. XAdES (XML Advanced Electronic Signatures) está diseñado específicamente para firmar datos XML, puede ser tan detallado como el nivel de elemento de datos y es adecuado para firmar datos estructurados. En comparación con estos dos, PAdES (PDF Advanced Electronic Signatures) se centra en la firma de archivos PDF, enfatizando la estrecha integración de la firma y el documento, proporcionando una buena experiencia visual, y los usuarios pueden percibir intuitivamente la existencia de la firma.

Los tres comparten el mismo concepto, todos admiten diferentes niveles de firmas como B-B, B-T, B-LT, B-LTA, etc., y se esfuerzan por lograr la validez a largo plazo. Dependen de la misma infraestructura, incluida la infraestructura de clave pública (PKI) y los servicios de marca de tiempo (TSA). En términos de marco legal, los tres también siguen requisitos reglamentarios similares, en línea con las regulaciones de eIDAS de la UE y otras regulaciones para firmas electrónicas avanzadas.

Según el formato del archivo, los usuarios pueden elegir el estándar apropiado según sus necesidades: si necesita firmar cualquier tipo de archivo, puede elegir CAdES; si la firma es de datos XML, elija XAdES; y para la firma de documentos PDF, elija PAdES.

V. PAdES vs Estándar chino GB/T 31308.3-2023

El estándar GB/T 31308.3-2023 de China es técnicamente completamente consistente con el estándar internacional PAdES (ETSI EN 319 142). Los mecanismos centrales, los niveles de firma y los objetivos de ambos son los mismos, destinados a resolver la validez a largo plazo y los problemas de validez legal de las firmas electrónicas PDF. En resumen, el estándar internacional PAdES y el estándar GB/T 31308.3 no tienen diferencias en las especificaciones técnicas, pero existen diferentes requisitos en algunos aspectos clave, que se reflejan principalmente en los algoritmos de cifrado y la selección de raíces de confianza.

El estándar internacional PAdES generalmente usa algoritmos de cifrado de uso común internacional como RSA, ECDSA y SHA-2, mientras que el estándar GB/T 31308.3 enfatiza más el uso de algoritmos de cifrado nacionales desarrollados independientemente por China (como SM2, SM3, SM9). Además, PAdES depende de instituciones CA/TSA reconocidas internacionalmente o por la UE, mientras que GB/T 31308.3 requiere el uso de instituciones de servicio nacionales que hayan sido certificadas por productos de cifrado comercial chinos y con licencia CA.

En términos de campos de aplicación, el PAdES internacional se utiliza más en contratos electrónicos transfronterizos y documentos de comercio internacional, cumpliendo con los requisitos del mercado internacional y el reconocimiento mutuo transfronterizo. El GB/T 31308.3 se utiliza principalmente en documentos oficiales gubernamentales nacionales, contratos financieros, preservación de evidencia judicial y otros campos, cumpliendo con las normas de la industria nacional y los requisitos legales de China.

En general, el PAdES internacional puede considerarse como un “pasaporte universal internacional”, mientras que el GB/T 31308.3 es la “versión especial china” de este pasaporte. Aunque las especificaciones técnicas son completamente consistentes, en la aplicación práctica, se deben seguir los requisitos legales de China, como la “Ley de Firma Electrónica” y la “Ley de Criptografía”, y utilizar la “tecnología antifalsificación” especificada (algoritmo de cifrado nacional).

VI. Resumen

PAdES es una de las tecnologías de piedra angular para construir la confianza a largo plazo en la era digital. A través de la combinación con CAdES y XAdES, proporciona soluciones integrales para diferentes escenarios de aplicación, asegurando que las firmas electrónicas desde los datos hasta los documentos puedan resistir la prueba del tiempo.

Para las empresas, comprender y adoptar PAdES (o GB/T 31308.3 nacional) significa:

Garantía legal: los contratos electrónicos firmados tienen una mayor validez como evidencia judicial. Reducción de costos y aumento de la eficiencia: lograr la digitalización de todo el proceso, la gestión de contratos, el archivo y la verificación son más convenientes. Cumplimiento a largo plazo: cumplir con varios requisitos reglamentarios nacionales e internacionales para el archivo a largo plazo de firmas electrónicas.