Firmas digitales - Verificación de la autenticidad de datos

Lectura de 2 min aprox.

Una firma digital es una técnica que utiliza criptografía de clave pública para lograr simultáneamente la detección de manipulaciones de los datos y la verificación de la identidad del remitente. El remitente firma el valor hash de los datos con una clave privada, y el receptor lo verifica con la clave pública, demostrando que los datos no han sido alterados durante el tránsito y que fueron creados efectivamente por ese remitente. En 2025, con la difusión de los servicios de contratación electrónica, el uso de las firmas digitales se está expandiendo rápidamente.

Cómo se trata el software sin firmar

La presencia de las firmas digitales se aprecia con mayor facilidad cuando el software se distribuye sin firma de código. Los sistemas operativos y el software de seguridad utilizan la existencia de la firma de un ejecutable y su emisor para juzgar la fiabilidad de un archivo distribuido, y un ejecutable sin firmar, cuyo origen no puede confirmarse, tiende a ser objeto de advertencias o bloqueos como programa sospechoso. Cuando el desarrollador obtiene un certificado de firma de código y firma la versión publicada, el sistema del usuario puede verificar de forma mecánica la identidad del editor y que el archivo no ha sido alterado tras su distribución, lo que permite instalarlo sin advertencias. Para distribuir software legítimo, la firma de código se está convirtiendo de hecho en un requisito previo.

El flujo de firma y verificación

Cómo funcionan las firmas digitales

La generación de la firma se realiza en tres pasos. Primero se calcula el valor hash de los datos que se van a enviar (por ejemplo, SHA-256); luego ese valor hash se cifra con la clave privada del remitente para generar la firma; y finalmente se envían juntos los datos y la firma. El receptor descifra la firma con la clave pública del remitente y la compara con el valor hash que él mismo calculó. Si coinciden, no ha habido manipulación; si difieren, ha habido manipulación. La PKI (infraestructura de clave pública) cumple la función de garantizar la legitimidad de la clave pública.

Escenarios de uso

En los servicios de contratación electrónica, se aplica una firma digital a los PDF de los contratos para darles validez legal. En la distribución de software, la firma de código garantiza la legitimidad del desarrollador y que el programa no ha sido manipulado. En el correo electrónico, S/MIME y DKIM aprovechan las firmas digitales y ayudan a detectar correos de phishing. Las firmas digitales también son indispensables para verificar las transacciones de blockchain, sustentando la base misma de la seguridad de las billeteras de criptomonedas.

Aspectos a tener en cuenta

La seguridad de una firma digital depende por completo de la gestión de la clave privada. Si la clave privada se filtra, un tercero puede generar firmas suplantando la identidad. Protege la clave privada con un HSM (módulo de seguridad de hardware) y restringe el acceso al almacén de claves con una contraseña aleatoria suficientemente larga.