Un certificado digital almacenado en un token USB proporciona la forma más sólida de firma de PDF disponible para individuos y organizaciones. A diferencia de una imagen de firma dibujada con un dedo o pegada de un archivo escaneado, una firma basada en certificado de un token USB vincula criptográficamente su identidad verificada al documento y hace que cualquier manipulación posterior a la firma sea inmediatamente detectable. El token USB, también llamado módulo de seguridad de hardware o tarjeta inteligente en formato USB, contiene la clave privada en un hardware resistente a manipulaciones que nunca expone la clave al sistema operativo de la computadora. Configurar y usar un token USB para firmar documentos PDF requiere una configuración inicial, pero una vez configurado, el proceso de firma se vuelve tan rutinario como insertar el token e ingresar un PIN.
Lo que realmente proporciona una firma de certificado de token USB
Una firma de un token USB combina tres propiedades de seguridad distintas en una sola operación. En primer lugar, proporciona verificación de identidad porque el certificado del token fue emitido por una autoridad certificadora que confirmó su identidad antes de emitir el certificado. En segundo lugar, proporciona integridad del documento porque la firma incluye un hash criptográfico del contenido del documento en el momento de la firma, y cualquier cambio en el documento después de la firma invalida la firma. En tercer lugar, proporciona no repudio porque la clave privada que creó la firma nunca abandonó el token USB físico que usted controla.
Estas tres propiedades juntas hacen de las firmas de tokens USB el estándar para documentos electrónicos legalmente vinculantes en jurisdicciones que reconocen firmas electrónicas avanzadas. Muchos sistemas de adquisiciones gubernamentales, plataformas de presentación electrónica de tribunales y portales industriales regulados requieren específicamente firmas basadas en certificados de tokens de hardware porque el almacenamiento de claves basado en hardware cumple con los requisitos de seguridad que los certificados basados en software almacenados en el disco duro de una computadora no pueden satisfacer. Una firma digital de un token USB tiene peso probatorio en procedimientos legales específicamente porque el token de hardware proporciona evidencia sólida de que solo la persona en posesión del token podría haber aplicado la firma.
Obtener un certificado y configurar el token USB
El primer paso es obtener un certificado digital de una autoridad certificadora confiable y cargarlo en un token USB. Las autoridades certificadoras como GlobalSign, DigiCert, Sectigo y los proveedores nacionales de identificación electrónica emiten certificados específicamente para la firma de documentos. El proceso de solicitud implica la verificación de identidad, que puede variar desde la presentación en línea de documentos de identificación emitidos por el gobierno hasta presentarse personalmente ante una autoridad de registro, según la clase de certificado y la jurisdicción. Después de la verificación de identidad, la autoridad certificadora proporciona el archivo del certificado e instrucciones para cargarlo en su token USB.
Durante el token USB en sí debe haber un dispositivo diseñado para el almacenamiento de claves criptográficas. Los tokens YubiKey, SafeNet eToken y Gemalto son modelos ampliamente utilizados que admiten certificados de firma de PDF. Instale el software del controlador del token proporcionado por el fabricante en su computadora. Cuando inserta el token, el controlador pone el certificado a disposición del almacén de certificados del sistema operativo, que es donde las aplicaciones de firma de PDF buscan los certificados de firma disponibles. Proteja el token con un PIN seguro que pueda recordar pero que otros no puedan adivinar. Después de una cantidad configurable de intentos de PIN incorrectos, generalmente de cinco a diez, el token se bloquea para evitar ataques de fuerza bruta.
Firmar un PDF usando el token USB
Inserte el token USB en un puerto USB de su computadora. Abra el PDF que necesita para iniciar sesión en una aplicación de PDF que admita firmas digitales basadas en certificados, como Adobe Acrobat Pro, una plataforma de PDF basada en navegador o una herramienta de firma proporcionada por el gobierno. Navegue hasta la herramienta Firmar PDF y elija la opción para firmar digitalmente, no para agregar una imagen de firma electrónica. La aplicación busca en el almacén de certificados del sistema y muestra los certificados de firma disponibles. Seleccione el certificado de su token USB.
La aplicación le solicita que dibuje o coloque un rectángulo de firma en la página donde debería aparecer el bloque de firma visible. Después del posicionamiento, un cuadro de diálogo solicita el PIN del token para autorizar la operación de firma. Ingrese el PIN y el token realizará la firma criptográfica internamente, combinando el certificado con un hash del contenido del documento. El PDF firmado ahora contiene un bloque de firma incrustado con su nombre, la fecha y hora de la firma, el nombre del emisor del certificado y una firma criptográfica que cualquier lector de PDF puede validar. La clave privada nunca abandonó el token USB durante todo este proceso.
Configurar la apariencia y la información de la firma
La apariencia visible del bloque de firma en la página PDF es personalizable. La mayoría de las aplicaciones de firma le permiten elegir qué información aparece en el bloque de firma: solo su nombre, su nombre y la fecha de la firma, o su nombre y un gráfico personalizado, como el logotipo de una empresa o la imagen de su firma manuscrita. Configure la apariencia para incluir la información que los destinatarios necesitan para verificar la firma. Un bloque de firma que muestra solo un nombre proporciona menos contexto que uno que muestra el nombre, el emisor del certificado y la marca de tiempo de la firma.
Configure la firma para bloquear el documento después de firmar. Esta opción, normalmente una casilla de verificación en el cuadro de diálogo de firma, evita más ediciones en el contenido del documento, los campos del formulario o las anotaciones. Un documento bloqueado que llega a un destinatario con una firma válida proporciona una gran seguridad de que el contenido no ha sido alterado desde que lo firmó. Si el documento requiere firmas de varias partes, configure el campo de firma para permitir firmas adicionales en lugar de bloquear el documento después de la suya. WukongPDF admite la aplicación de firma digital, incluida la firma basada en certificados, con apariencia de firma configurable y opciones de bloqueo de documentos.
Validar una firma de token USB como destinatario
Cuando recibe un PDF firmado con un certificado de token USB, el visor de PDF valida automáticamente la firma al abrir el documento. Una firma válida muestra una marca de verificación verde, el nombre del firmante y un mensaje que indica que el documento no ha sido modificado desde la firma. Al hacer clic en la firma, se abre un panel de validación detallado que muestra la cadena de certificados desde el certificado del firmante hasta la autoridad certificadora raíz, la hora de la firma y el algoritmo de firma utilizado.
Si la firma se muestra como inválida o no verificada, verifique el panel de validación por el motivo específico. Un certificado caducado produce una advertencia aunque el contenido no haya cambiado. Un certificado revocado por la autoridad emisora antes de la fecha de firma indica un problema grave que debe investigarse. Una firma que se muestra como desconocida significa que el visor de PDF no confía en la autoridad certificadora que emitió el certificado del firmante, lo cual es común con los certificados de sistemas nacionales de identificación electrónica que no cuentan con la confianza previa en los almacenes de certificados de Adobe o del navegador.
Gestión de múltiples tokens y certificados
Si firma documentos para varias funciones u organizaciones, es posible que tenga varios tokens USB, cada uno con un certificado diferente. Etiquete cada token físicamente con la organización o función asociada para insertar el correcto para cada sesión de firma. En la aplicación de firma de PDF, el cuadro de diálogo de selección de certificados muestra todos los certificados disponibles. Verifique que está seleccionando el certificado correcto verificando el nombre del emisor y el propósito del certificado antes de ingresar el PIN.
Mantenga un registro de la fecha de vencimiento de cada certificado token. Los certificados para la firma de documentos suelen caducar entre uno y tres años después de su emisión. Una firma aplicada con un certificado caducado puede seguir siendo criptográficamente válida, pero los destinatarios verán una advertencia y algunos sistemas de validación de documentos rechazan de plano las firmas de los certificados caducados. Renueve el certificado a través de la autoridad emisora de certificados antes de la fecha de vencimiento y cargue el certificado renovado en el mismo token USB para mantener la continuidad de la firma.
Solución de problemas de reconocimiento de tokens USB
El problema más común al utilizar un token USB para firmar PDF es que la computadora no reconoce el token cuando se inserta. Es posible que el controlador del token no se haya iniciado, que el puerto USB no haya proporcionado suficiente energía o que el almacén de certificados del sistema operativo no se haya actualizado para incluir el certificado del token. Retire la ficha, espere unos segundos y vuelva a insertarla firmemente. Abra la aplicación de administración de tokens que vino con el dispositivo y confirme que el estado del token muestra como conectado y que el certificado aparece en la lista.
En Windows, el Administrador de certificados se puede abrir ejecutando certmgr.msc desde el cuadro de diálogo Ejecutar. En Personal, Certificados, el certificado del token debería aparecer cuando se inserta el token y desaparecer cuando se elimina. Si el certificado no aparece, es posible que sea necesario reinstalar el controlador del token o el middleware. Descargue el controlador más reciente del sitio web del fabricante del token, ya que los controladores obsoletos son la causa más común de fallas de reconocimiento.
Mantenga una copia de seguridad de la clave pública del certificado, que no comprometa la seguridad porque la clave privada permanece en el token. La copia de seguridad de la clave pública le permite verificar las firmas del certificado incluso si el token se pierde y proporciona los detalles del certificado necesarios para la renovación. La autoridad certificadora que emitió el certificado puede proporcionar el archivo de clave pública si no lo guardó durante la configuración inicial.
Cuando viaje con un token de firma USB, manténgalo consigo en lugar de en una bolsa para computadora portátil que pueda ser revisada o dejada desatendida. El token físico es la raíz de confianza de su firma digital. Si el token se pierde o se lo roban, revoque el certificado inmediatamente a través de la autoridad emisora de certificados. La mayoría de las autoridades certificadoras ofrecen un portal de revocación en línea o un número de teléfono para la revocación de emergencia.