Un PDF firmado también puede ser falso
Una firma digital parece cerrar la discusión. El lector de PDF muestra una marca verde, el panel dice «firmado» y el documento parece resuelto. Para un estado de cuenta bancario o una factura de la que depende un préstamo o un arrendamiento, vale la pena cuestionar esa tranquilidad, porque una firma válida responde a una pregunta más limitada de lo que la mayoría cree.
Lo que una firma válida prueba realmente
Una firma criptográfica auténtica prueba dos cosas reales: que el archivo no ha cambiado ni un solo byte desde que se firmó y, si revisa el certificado, quién tenía la clave con la que se firmó. Es una prueba sólida, mucho mejor que un documento sin firma alguna. Pero observe lo que falta en esa lista: por sí sola no prueba que el firmante sea su banco, ni que lo que usted ve en la página sea lo que el firmante aprobó.
Tres cosas que una marca verde no le dice
- Firmado no es lo mismo que firmado por el banco. La verificación confirma que el archivo fue firmado; el certificado indica por quién. Una firma válida de un certificado personal, de un proveedor genérico o de una empresa ajena sigue siendo válida, y sigue sin ser su banco. La organización del firmante es el campo que importa, y es el que la gente se salta.
- La imagen de una firma no es una firma. Un gráfico pegado que dice «firmado digitalmente», un garabato escaneado o un logotipo que dice «verificado» no contienen criptografía alguna. Si el panel de firmas del lector está vacío, no hay nada que validar: solo una imagen hecha para parecer una prueba.
- Es posible que el firmante no haya visto lo que usted ve. Con funciones de PDF totalmente legítimas, se puede ocultar contenido bajo la firma o sustituirlo después, de modo que la página se muestre de otra forma mientras la firma sigue siendo válida (los investigadores los llaman ataques de sombra, «shadow attacks»). Una marca verde confirma la integridad desde la firma, no que las cifras visibles sean las que se aprobaron.
Cómo verificar una firma correctamente
- Abra el panel de firmas (en Adobe Acrobat Reader, Foxit y la mayoría de los visores). Si no hay panel, la «firma» es solo una imagen.
- Confirme que el estado es válido y que el documento no se ha modificado desde la firma.
- Abra el certificado y lea el firmante: ¿la organización coincide con el banco o el emisor del que dice provenir el documento, y no solo con un nombre de apariencia verosímil?
- Compare la fecha en que se aplicó la firma con las fechas del propio documento.
Cómo se ve esto en Europa
Según las normas eIDAS de la UE, una firma electrónica cualificada tiene el máximo valor jurídico, y algunos bancos firman sus estados de cuenta por defecto, de modo que en esos mercados un estado de cuenta sin firmar ya es inusual. Pero «cualificada» sigue significando integridad más un firmante identificado; no elimina la pregunta de si ese firmante es el banco. Algunos sistemas nacionales añaden un matiz: una firma puede ser perfectamente auténtica y, sin embargo, aparecer como no verificable en los lectores habituales porque validarla requiere una herramienta nacional. No verificable no es lo mismo que falso, pero tampoco es una prueba.