Esta publicación trata de explicar que, aunque la Política de Formatos Oficiales de los Documentos Electrónicos Firmados Digitalmente indique por ejemplo que los documentos PDF firmados deberían tener nivel PAdES-LTV, no significa que no puedas recibirlos con nivel de firma como por ejemplo PAdES-T y luego agregarle la información LTV una vez recibido. Es más: es muy recomendable que se haga así. La razón se debe a la información del estado de revocación disponible en el momento de firmar.

La información de estado de revocación no siempre es instantánea

Los certificados emitidos por una autoridad de certificación tienen, además de un período de vigencia, un estado de validez. Los certificados, antes de que venza su periodo de vigencia, pueden revocarse para que dejen de ser válidos. Esta información se puede consultar mediante dos mecanismos: listas de revocación de certificados (CRL), que son ficheros que se consultan al servidor y se actualizan con cierta frecuencia, y el protocolo de estado de certificado en línea (OCSP), que mediante una consulta a partir del identificador único de un certificado se puede consultar y devuelve una respuesta si está revocado o no.

Tanto los ficheros CRL, que son grandes y contienen la lista de todos los revocados, como la respuesta de un servidor OCSP, tienen una firma digital que los protege contra la manipulación, garantizando su integridad. La firma proviene de la autoridad certificadora (CA).

Cuando se firma un documento, el nivel básico de Firma Digital contiene la firma y el certificado del firmante. Ni siquiera se requiere conexión a Internet, aunque es recomendable porque hay validadores, sobre todo de PDF, que si no se incluye una marca de hora dentro de la firma, no lo consideran una firma preparada para LTV (lo de “preparada para LTV” es un concepto de Adobe, no confundir con PAdES-LTV). Aunque es posible posteriormente cumplir con el nivel PAdES-T posteriormente, la ubicación del sello de tiempo es en una firma posterior y los validadores de baja calidad no lo interpretan adecuadamente.

La norma PAdES permite que la información básica requerida por el firmante a la hora de firmar sea suficiente y que sea ampliable después, sin necesidad de que el firmante lo tenga que hacer, puede hacerlo otra persona, por ejemplo, quien reciba el documento. Esto está recogido explícitamente en la política oficial vigente en Costa Rica, enlazada al inicio de este artículo.

La validación LTV permite guardar información firmada por una autoridad de certificación (CA) que indica si un certificado era válido en un momento en particular. Esta información, especialmente en el caso de los ficheros CRL, no se actualiza necesariamente a tiempo real. Tanto CRL como OCSP contienen unas fechas en los campos ThisUpdate y NextUpdate que indican la fecha y hora de la lista o respuesta actual y de la próxima actualización. Estos datos, según las normas ETSI para la verificación de documentos, son importantes porque si la última fecha de actualización no es posterior a la fecha de la firma, no se puede saber con certeza si los certificados involucrados en el proceso de firma eran válidos.

En el caso de la jerarquía de certificados de Firma Digital de Costa Rica, no todos los certificados tienen servicio OCSP. Esto implica que habría que esperar a que se actualizaran las CRL de los certificados intermedios para tener la certeza de que no fueron revocados. Para ello habría que esperar hasta 3 meses en el peor de los casos antes de agregar la información LTV que garantice que se dispone de validación de toda la jerarquía de certificados.

En Europa, la norma obliga a actualizar máximo a diario para poder agregar esta información prontamente.