Firmas un contrato en PDF y lo envías al cliente. Una semana después, ve su firma en un documento completamente diferente. Alguien copió la imagen de su firma del contrato y la pegó en otro archivo. Su firma, que pretendía aplicar únicamente a ese contrato específico, ha sido reutilizada sin su conocimiento o consentimiento. La imagen de firma que usaste fue solo eso: una imagen. No tenía ningún vínculo con el documento en el que estaba colocado.
Un Sign PDF electrónico que no se puede copiar ni mover a otro documento requiere una vinculación criptográfica entre la firma y el contenido del documento. Esto es lo que proporciona una firma digital con certificado: la firma está matemáticamente vinculada a los bytes del documento específico. Mover la firma a otro documento rompe el enlace criptográfico y la firma se marca como no válida.
Firma digital versus firma visual: la distinción fundamental
Una firma visual es una imagen de su firma manuscrita colocada en una página PDF. Cualquiera que abra el PDF puede seleccionarlo, copiarlo y pegarlo en otro documento. No existe ninguna barrera técnica para copiar una firma visual. La única protección es que el destinatario tenga que ser lo suficientemente deshonesto para hacerlo, lo cual es protección social, no protección técnica.
Una firma digital con certificado crea un hash criptográfico del contenido del documento en el momento de la firma. Este hash se cifra con su clave privada y se almacena en el PDF junto con su certificado público. Cuando alguien abre el documento, su visor de PDF vuelve a calcular el hash del contenido del documento actual y lo compara con el hash descifrado almacenado en la firma. Si los hashes coinciden, el documento no ha sido modificado desde su firma y la firma es válida. Si los hashes difieren, el documento se cambió después de la firma o la firma se movió de un documento diferente y la firma se marca como no válida.
Cómo aplicar una firma digital basada en certificado
Necesita un certificado digital de una Autoridad de Certificación o un certificado autofirmado. Para uso comercial formal, un certificado de una CA reconocida proporciona una validación de su identidad por parte de terceros. Para uso interno, es suficiente un certificado autofirmado. El artículo B2§ apoya ambos. Cargue su certificado en la herramienta de firma. Seleccione el campo de firma donde debe aparecer la firma. Aplicar la firma digital. La herramienta codifica el documento, cifra el hash con su clave privada e incrusta la firma en el PDF.
La apariencia visual de la firma, su nombre, la fecha, los detalles del certificado, se colocan en la página junto a los datos de la firma criptográfica. El panel Firma digital en el visor de PDF muestra la información del certificado y el estado de validez de la firma. Una marca de verificación verde indica una firma válida e inalterada. Una X roja o una advertencia indica un problema.
Qué sucede cuando alguien intenta copiar una firma digital
Si alguien extrae la imagen de la firma visual del PDF firmado y la coloca en otro documento, la imagen aparecerá, pero la firma criptográfica no se validará. El nuevo documento no fue codificado con su clave privada. El panel de firma no mostrará ninguna firma válida. Un destinatario que revise el panel de firma verá que el documento no está firmado. La firma visual por sí sola no constituye una firma válida sin el respaldo criptográfico.
Si alguien copia toda la estructura de la firma, visual y criptográfica, el hash no coincidirá con el contenido del nuevo documento. El panel de firma mostrará una firma no válida. El destinatario sabe inmediatamente que la firma no pertenece a este documento. Ésta es la protección que brindan las firmas basadas en certificados. La firma no es sólo una imagen. Es una prueba criptográfica vinculada a un documento específico.
Cuando las firmas basadas en certificados merecen el esfuerzo adicional
Utilice firmas digitales basadas en certificados para contratos en los que la autenticidad e integridad del documento podrían cuestionarse, presentaciones reglamentarias que requieren no repudio, aprobaciones internas en las que la identidad del firmante debe ser verificable y cualquier documento en el que una firma visual por sí sola no proporcionaría suficiente seguridad. La PDF Security de firmas basadas en certificados es apropiada para documentos con implicaciones legales, financieras o de cumplimiento.
Para documentos cotidianos, hojas de permiso, memorandos internos, acuerdos informales, una firma visual es perfectamente adecuada. El riesgo de que alguien copie su firma de una nota interna para cometer fraude es bajo, y la conveniencia de una firma visual rápida supera la seguridad adicional de un certificado. Haga coincidir el método de firma con el perfil de riesgo del documento. Para las organizaciones que implementan firmas digitales a escala, considere obtener un certificado organizacional en lugar de certificados individuales para cada empleado. Un certificado organizacional identifica a la entidad firmante como la empresa en lugar de una persona específica, con el nombre del firmante individual registrado en los metadatos de la firma. Esto es apropiado para documentos en los que la empresa es la parte firmante, como contratos corporativos, órdenes de compra y avisos oficiales. Los certificados individuales son apropiados para documentos en los que la responsabilidad personal importa, como presentaciones reglamentarias de las que un ejecutivo debe dar fe personalmente o certificaciones profesionales emitidas por un profesional autorizado. Elija el tipo de certificado que se alinee con quién tiene la responsabilidad legal del documento firmado. Para documentos que requieren firmas visuales y criptográficas, aplíquelas en el orden correcto. La firma visual, una imagen de su firma manuscrita, se coloca primero en la página. La firma digital criptográfica se aplica en segundo lugar y cubre el contenido del documento, incluida la firma visual. Este orden garantiza que la firma digital proteja todo el documento, incluida la imagen de la firma visual. Si luego alguien copia la firma visual en otro documento, la firma digital no se validará porque el hash del nuevo documento no coincidirá con el original.