Firma digital

Alice firma un mensaje — "¡Hola Bob!"— con una firma computada del mensaje y su llave privada. Bob recibe tanto el mensaje como la firma. Utiliza la clave pública de Alice para verificar la autenticidad del mensaje firmado.

Una firma digital es un esquema matemático para verificar la autenticidad de mensajes o documentos digitales. Una firma digital válida, cuando se cumplen los requisitos previos, otorga al destinatario una gran confianza en que el mensaje fue creado por un remitente conocido (autenticidad) y que el mensaje no se modificó durante el tránsito (integridad).

Las firmas digitales son un elemento estándar de la mayoría de los conjuntos de protocolos criptográficos y se usan comúnmente para la distribución de software, transacciones financieras, software de gestión de contratos y en otros casos en los que es importante detectar falsificaciones o manipulaciones.

Las firmas digitales a menudo se usan para implementar firmas electrónicas, lo que incluye cualquier dato electrónico que tenga la intención de una firma, pero no todas las firmas electrónicas usan firmas digitales. Las firmas electrónicas tienen significado legal en algunos países, incluidos Canadá, Sudáfrica, Estados Unidos, Argelia, Turquía, India, Brasil, Indonesia, México, Arabia Saudita, Uruguay, Suiza, Chile y los países de la Unión Europea.

Las firmas digitales emplean criptografía asimétrica. En muchos casos, brindan una capa de validación y seguridad a los mensajes enviados a través de un canal no seguro: correctamente implementada, una firma digital le da al receptor razones para creer que el mensaje fue enviado por el supuesto remitente. Las firmas digitales son equivalentes a las firmas manuscritas tradicionales en muchos aspectos, pero las firmas digitales implementadas correctamente son más difíciles de falsificar que las firmas manuscritas. Los esquemas de firma digital, en el sentido utilizado aquí, se basan en criptografía y deben implementarse correctamente para que sean efectivos. También pueden proporcionar no repudio, lo que significa que el firmante no puede afirmar con éxito que no firmó un mensaje, al mismo tiempo que afirma que su clave privada permanece en secreto. Además, algunos esquemas de no repudio ofrecen una marca de tiempo para la firma digital, de modo que incluso si se expone la clave privada, la firma es válida. Los mensajes firmados digitalmente pueden ser cualquier cosa representable como una cadena de bits: los ejemplos incluyen correo electrónico, contratos o un mensaje enviado a través de algún otro protocolo criptográfico.

Definición

Un esquema de firma digital normalmente consta de tres algoritmos:

• A generación clave algoritmo que selecciona un clave privada uniformemente al azar de un conjunto de posibles llaves privadas. El algoritmo produce la clave privada y una correspondiente clave pública.
• A firma algoritmo que, dado un mensaje y una clave privada, produce una firma.
• A verificación de firmas algoritmo que, dado el mensaje, clave pública y firma, acepta o rechaza la afirmación del mensaje a la autenticidad.

Se requieren dos propiedades principales. En primer lugar, la autenticidad de una firma generada a partir de un mensaje fijo y una clave privada fija se puede verificar utilizando la clave pública correspondiente. En segundo lugar, debería ser computacionalmente inviable generar una firma válida para una parte sin conocer la clave privada de esa parte. Una firma digital es un mecanismo de autenticación que permite al creador del mensaje adjuntar un código que actúa como firma. El algoritmo de firma digital (DSA), desarrollado por el Instituto Nacional de Estándares y Tecnología, es uno de los muchos ejemplos de un algoritmo de firma.

En la siguiente discusión, 1ⁿ se refiere a un número unario.

Formalmente, un esquema de firma digital es un triple de algoritmos de tiempo polinómico probabilístico, (G, S, V), satisfaciendo:

• G (generador clave) genera una llave pública (pk), y una llave privada correspondiente (sk), en la entrada 1ⁿ, donde n es el parámetro de seguridad.
• S (signing) devuelve una etiqueta, t, en las entradas: la clave privada (sk), y una cuerda (x).
• V (verificación) productos aceptada o rechazado sobre los insumos: la clave pública (pkUna cuerda.x), y una etiqueta (t).

Para que sea correcto, S y V deben cumplir

Pr [pk, sk← G(1ⁿ), V()pk, x, S()sk, x) = aceptada ] = 1.

Un esquema de firma digital es seguro si para cada adversario de tiempo polinomial probabilístico no uniforme, A

Pr [pk, sk← G(1ⁿ), (x, t← A^{S()sk, ·)}()pk, 1ⁿ), x ∉ Q, V()pk, x, t) aceptada]n),

donde A^{S(sk, ·)} indica que A tiene acceso al oráculo, S(sk, ·), Q denota el conjunto de las consultas sobre S realizadas por A, que conoce la clave pública, pk, y el parámetro de seguridad, n, y x ∉ < i>Q indica que el adversario no puede consultar directamente la cadena, x, en S.

Historia

En 1976, Whitfield Diffie y Martin Hellman describieron por primera vez la noción de un esquema de firma digital, aunque solo conjeturaron que tales esquemas existían basados en funciones que son permutaciones unidireccionales trampilla. Poco después, Ronald Rivest, Adi Shamir y Len Adleman inventaron el algoritmo RSA, que podría usarse para producir firmas digitales primitivas (aunque solo como prueba de concepto: las firmas RSA 'simples' no son seguras). El primer paquete de software ampliamente comercializado que ofrecía firma digital fue Lotus Notes 1.0, lanzado en 1989, que utilizaba el algoritmo RSA.

Pronto se desarrollaron otros esquemas de firma digital después de RSA, siendo los primeros las firmas Lamport, las firmas Merkle (también conocidas como "árboles Merkle" o simplemente "árboles hash") y las firmas Rabin..

En 1988, Shafi Goldwasser, Silvio Micali y Ronald Rivest fueron los primeros en definir rigurosamente los requisitos de seguridad de los esquemas de firma digital. Describieron una jerarquía de modelos de ataque para esquemas de firma y también presentaron el esquema de firma GMR, el primero que se pudo probar para prevenir incluso una falsificación existencial contra un ataque de mensaje elegido, que es la definición de seguridad actualmente aceptada para esquemas de firma. Moni Naor y Moti Yung presentaron el primer esquema de este tipo que no se basa en funciones de trampilla, sino más bien en una familia de funciones con una propiedad requerida mucho más débil de permutación unidireccional.

Método

Un esquema de firma digital (de muchos) se basa en RSA. Para crear claves de firma, genere un par de claves RSA que contenga un módulo, N, que es el producto de dos números primos grandes distintos secretos aleatorios, junto con números enteros, e y d, tal que e d ≡ 1 (mod φ(N)), donde φ es la función totient de Euler. La clave pública del firmante consta de N y e, y la clave secreta del firmante contiene d.

Para firmar un mensaje, m, el firmante calcula una firma, σ, tal que σ ≡ m^d (mod N), donde m^{d es una operación de exponenciación modular. Para verificar, el receptor comprueba que σe ≡ m (mod N).}

Varios de los primeros esquemas de firmas eran de un tipo similar: implicaban el uso de una permutación de trampilla, como la función RSA, o en el caso del esquema de firmas de Rabin, cálculo compuesto de módulo cuadrado, N. Una familia de permutaciones de trampilla es una familia de permutaciones, especificada por un parámetro, que es fácil de calcular en la dirección de avance, pero es difícil de calcular en la dirección inversa sin conocer la clave privada ("trampilla"). Las permutaciones de trampilla se pueden usar para esquemas de firmas digitales, donde se requiere calcular la dirección inversa con la clave secreta para firmar, y se usa el cálculo de la dirección directa para verificar las firmas.

Utilizado directamente, este tipo de esquema de firma es vulnerable al ataque de falsificación existencial de solo clave. Para crear una falsificación, el atacante elige una firma aleatoria σ y usa el procedimiento de verificación para determinar el mensaje, m, correspondiente a esa firma. En la práctica, sin embargo, este tipo de firma no se usa directamente, sino que primero se codifica el mensaje que se va a firmar para producir un resumen breve, que luego se rellena con un ancho mayor comparable a N, luego firmado con la función de trampilla inversa. Este ataque de falsificación, entonces, solo produce la salida de la función hash rellenada que corresponde a σ, pero no un mensaje que conduce a ese valor, lo que no conduce a un ataque. En el modelo de oráculo aleatorio, hash-then-sign (una versión idealizada de esa práctica en la que el hash y el relleno combinados tienen cerca de N resultados posibles), esta forma de firma es existencialmente infalsificable, incluso contra un elegido. -ataque de texto plano.

Hay varias razones para firmar dicho hash (o resumen de mensaje) en lugar de todo el documento.

For efficiency

La firma será mucho más corta y por lo tanto ahorrar tiempo ya que la piratería es generalmente mucho más rápido que la firma en la práctica.

Para compatibilidad

Los mensajes son típicamente cadenas bit, pero algunos esquemas de firma operan en otros dominios (como, en el caso de RSA, números modulo un número compuesto N). Una función de hash se puede utilizar para convertir una entrada arbitraria en el formato adecuado.

For integrity

Sin la función hash, el texto "a firmar" puede tener que dividirse (separado) en bloques lo suficientemente pequeños para que el esquema de firma actúe directamente sobre ellos. Sin embargo, el receptor de los bloques firmados no puede reconocer si todos los bloques están presentes y en el orden apropiado.

Aplicaciones

A medida que las organizaciones se alejan de los documentos en papel con firmas en tinta o sellos de autenticidad, las firmas digitales pueden proporcionar garantías adicionales de la evidencia de procedencia, identidad y estado de un documento electrónico, además de reconocer el consentimiento informado y la aprobación de un signatario. La Imprenta del Gobierno de los Estados Unidos (GPO) publica versiones electrónicas del presupuesto, leyes públicas y privadas y proyectos de ley del Congreso con firmas digitales. Universidades como Penn State, la Universidad de Chicago y Stanford están publicando expedientes académicos electrónicos de los estudiantes con firmas digitales.

A continuación se presentan algunas razones comunes para aplicar una firma digital a las comunicaciones:

Autenticación

Aunque los mensajes a menudo pueden incluir información sobre la entidad que envía un mensaje, esa información puede no ser precisa. Las firmas digitales se pueden utilizar para autenticar la identidad de los mensajes de origen. Cuando la propiedad de una clave secreta de firma digital está vinculada a un usuario específico, una firma válida muestra que el mensaje fue enviado por ese usuario. La importancia de una alta confianza en la autenticidad del remitente es especialmente obvia en un contexto financiero. Por ejemplo, supongamos que la sucursal de un banco envía instrucciones a la oficina central solicitando un cambio en el saldo de una cuenta. Si la oficina central no está convencida de que dicho mensaje es realmente enviado desde una fuente autorizada, actuar sobre tal solicitud podría ser un grave error.

Integridad

En muchos escenarios, el remitente y el receptor de un mensaje pueden necesitar la confianza de que el mensaje no ha sido alterado durante la transmisión. Aunque el cifrado oculta el contenido de un mensaje, es posible cambiar un mensaje cifrado sin comprenderlo. (Algunos algoritmos de encriptación, llamados no maleables, evitan esto, pero otros no). Sin embargo, si un mensaje está firmado digitalmente, cualquier cambio en el mensaje después de la firma invalida la firma. Además, no existe una forma eficiente de modificar un mensaje y su firma para producir un nuevo mensaje con una firma válida, porque la mayoría de las funciones hash criptográficas aún lo consideran computacionalmente inviable (ver resistencia a la colisión).

No repudio

El no repudio, o más específicamente el no repudio del origen, es un aspecto importante de las firmas digitales. Por esta propiedad, una entidad que ha firmado alguna información no puede en un momento posterior negar haberla firmado. Del mismo modo, el acceso a la clave pública únicamente no permite que una parte fraudulenta falsifique una firma válida.

Tenga en cuenta que estas propiedades de autenticación, no repudio, etc. se basan en que la clave secreta no se haya revocado antes de su uso. La revocación pública de un par de claves es una habilidad requerida, de lo contrario, las claves secretas filtradas continuarían implicando al propietario reclamado del par de claves. Verificar el estado de revocación requiere un "en línea" controlar; por ejemplo, consultando una lista de revocación de certificados o a través del Protocolo de estado de certificados en línea. Más o menos, esto es análogo a un proveedor que recibe tarjetas de crédito primero verificando en línea con el emisor de la tarjeta de crédito para averiguar si una tarjeta dada ha sido reportada como perdida o robada. Por supuesto, con pares de claves robadas, el robo a menudo se descubre solo después del uso de la clave secreta, por ejemplo, para firmar un certificado falso con fines de espionaje.

Nociones de seguridad

En su artículo fundacional, Goldwasser, Micali y Rivest establecen una jerarquía de modelos de ataque contra las firmas digitales:

1. En un sólo clave ataque, el atacante sólo recibe la llave de verificación pública.
2. En un mensaje conocido ataque, el atacante recibe firmas válidas para una variedad de mensajes conocidos por el atacante pero no elegidos por el atacante.
3. En un mensaje adaptador elegido ataque, el atacante primero aprende firmas en mensajes arbitrarios de la elección del atacante.

También describen una jerarquía de resultados de ataques:

1. A total de descanso resultados en la recuperación de la clave de firma.
2. Un ataque universal de falsificación resulta en la capacidad de falsificar firmas para cualquier mensaje.
3. Un ataque selectivo de falsificación resulta en una firma en un mensaje de la elección del adversario.
4. Una falsificación existencial simplemente resulta en un par de mensaje/signatura válido no conocido ya al adversario.

La noción más fuerte de seguridad, por lo tanto, es la seguridad contra la falsificación existencial bajo un ataque de mensaje elegido adaptativo.

Precauciones de seguridad adicionales

Colocar la clave privada en una tarjeta inteligente

Todos los criptosistemas de clave pública/clave privada dependen por completo de mantener en secreto la clave privada. Una clave privada puede almacenarse en la computadora de un usuario y protegerse con una contraseña local, pero esto tiene dos desventajas:

• el usuario sólo puede firmar documentos en esa computadora particular
• la seguridad de la llave privada depende completamente de la seguridad de la computadora

Una alternativa más segura es almacenar la clave privada en una tarjeta inteligente. Muchas tarjetas inteligentes están diseñadas para ser resistentes a la manipulación (aunque algunos diseños se han roto, en particular por parte de Ross Anderson y sus alumnos). En una implementación de firma digital típica, el hash calculado a partir del documento se envía a la tarjeta inteligente, cuya CPU firma el hash utilizando la clave privada almacenada del usuario y luego devuelve el hash firmado. Por lo general, un usuario debe activar su tarjeta inteligente ingresando un número de identificación personal o un código PIN (lo que proporciona autenticación de dos factores). Se puede arreglar que la clave privada nunca salga de la tarjeta inteligente, aunque esto no siempre se implementa. Si se roba la tarjeta inteligente, el ladrón aún necesitará el código PIN para generar una firma digital. Esto reduce la seguridad del esquema a la del sistema PIN, aunque aún requiere que un atacante posea la tarjeta. Un factor atenuante es que las claves privadas, si se generan y almacenan en tarjetas inteligentes, generalmente se consideran difíciles de copiar y se supone que existen exactamente en una copia. Así, la pérdida de la tarjeta inteligente puede ser detectada por el propietario y el certificado correspondiente puede ser revocado inmediatamente. Las claves privadas que están protegidas solo por software pueden ser más fáciles de copiar, y tales compromisos son mucho más difíciles de detectar.

Uso de lectores de tarjetas inteligentes con un teclado independiente

Ingresar un código PIN para activar la tarjeta inteligente generalmente requiere un teclado numérico. Algunos lectores de tarjetas tienen su propio teclado numérico. Esto es más seguro que usar un lector de tarjetas integrado en una PC y luego ingresar el PIN usando el teclado de esa computadora. Los lectores con un teclado numérico están destinados a eludir la amenaza de espionaje donde la computadora podría estar ejecutando un registrador de pulsaciones de teclas, lo que podría comprometer el código PIN. Los lectores de tarjetas especializados también son menos vulnerables a la manipulación de su software o hardware y, a menudo, cuentan con la certificación EAL3.

Otros diseños de tarjetas inteligentes

El diseño de tarjetas inteligentes es un campo activo y existen esquemas de tarjetas inteligentes destinados a evitar estos problemas particulares, a pesar de tener pocas pruebas de seguridad hasta el momento.

Uso de firmas digitales solo con aplicaciones confiables

Una de las principales diferencias entre una firma digital y una firma escrita es que el usuario no "ve" lo que firman. La aplicación de usuario presenta un código hash para ser firmado por el algoritmo de firma digital utilizando la clave privada. Un atacante que obtiene el control de la PC del usuario posiblemente puede reemplazar la aplicación del usuario con un sustituto externo, reemplazando de hecho las propias comunicaciones del usuario con las del atacante. Esto podría permitir que una aplicación malintencionada engañe a un usuario para que firme cualquier documento mostrando el original del usuario en la pantalla, pero presentando los propios documentos del atacante a la aplicación de firma.

Para protegerse contra este escenario, se puede configurar un sistema de autenticación entre la aplicación del usuario (procesador de textos, cliente de correo electrónico, etc.) y la aplicación de firma. La idea general es proporcionar algún medio para que tanto la aplicación de usuario como la aplicación de firma verifiquen la integridad de cada uno. Por ejemplo, la aplicación de firma puede requerir que todas las solicitudes provengan de archivos binarios firmados digitalmente.

Uso de un módulo de seguridad de hardware conectado a la red

Una de las principales diferencias entre un servicio de firma digital basado en la nube y uno local es el riesgo. Muchas empresas reacias al riesgo, incluidos los gobiernos, las instituciones financieras y médicas y los procesadores de pagos, requieren estándares más seguros, como la certificación FIPS 140-2 nivel 3 y FIPS 201, para garantizar que la firma sea validada y segura.

WYSIWYS

Técnicamente hablando, una firma digital se aplica a una cadena de bits, mientras que los humanos y las aplicaciones "creen" que firman la interpretación semántica de esos bits. Para ser interpretada semánticamente, la cadena de bits debe transformarse en una forma que sea significativa para los humanos y las aplicaciones, y esto se hace a través de una combinación de procesos basados en hardware y software en un sistema informático. El problema es que la interpretación semántica de los bits puede cambiar en función de los procesos utilizados para transformar los bits en contenido semántico. Es relativamente fácil cambiar la interpretación de un documento digital implementando cambios en el sistema informático donde se procesa el documento. Desde una perspectiva semántica, esto crea incertidumbre sobre qué se ha firmado exactamente. WYSIWYS (Lo que ves es lo que firmas) significa que la interpretación semántica de un mensaje firmado no se puede cambiar. En particular, esto también significa que un mensaje no puede contener información oculta que el firmante no conozca y que pueda revelarse después de que se haya aplicado la firma. WYSIWYS es un requisito para la validez de las firmas digitales, pero este requisito es difícil de garantizar debido a la creciente complejidad de los sistemas informáticos modernos. El término WYSIWYS fue acuñado por Peter Landrock y Torben Pedersen para describir algunos de los principios en la entrega de firmas digitales seguras y legalmente vinculantes para proyectos paneuropeos.

Firmas digitales versus firmas de tinta en papel

Una firma en tinta se puede replicar de un documento a otro copiando la imagen de forma manual o digital, pero tener copias de firma creíbles que puedan resistir cierto escrutinio es una habilidad manual o técnica importante, y producir copias de firma en tinta que resistan la revisión profesional. el escrutinio es muy dificil.

Las firmas digitales vinculan criptográficamente una identidad electrónica a un documento electrónico y la firma digital no se puede copiar a otro documento. Los contratos en papel a veces tienen el bloque de firma de tinta en la última página, y las páginas anteriores pueden reemplazarse después de aplicar una firma. Las firmas digitales se pueden aplicar a un documento completo, de modo que la firma digital en la última página indicará una manipulación si se ha alterado algún dato en cualquiera de las páginas, pero esto también se puede lograr firmando con tinta y numerando todas las páginas del documento. contrato.

Algunos algoritmos de firma digital

• RSA
• DSA
• ECDSA
• EdDSA
• RSA con SHA
• ECDSA con SHA
• ElGamal esquema de firma como el predecesor de DSA, y variantes Schnorr firma y algoritmo de firma Pointcheval-Stern
• algoritmo de firma de Rabin
• Planes basados en pares, como BLS
• NTRUSign es un ejemplo de un esquema de firma digital basado en problemas de celo duro
• Firmas innegables
• Firma agregadarupias – un esquema de firma que apoya la agregación: Dados n firmas en mensajes de n de usuarios n, es posible agregar todas estas firmas en una sola firma cuyo tamaño es constante en el número de usuarios. Esta firma única convencerá al verificador que los usuarios n sí firmaron los mensajes originales n. Un esquema de Mihir Bellare y Gregory Neven se puede utilizar con Bitcoin.
• Las firmas con protocolos eficientes son esquemas de firma que facilitan protocolos criptográficos eficientes, como pruebas de conocimiento cero o computación segura.

El estado actual de uso: legal y práctico

La mayoría de los esquemas de firma digital comparten los siguientes objetivos, independientemente de la teoría criptográfica o la disposición legal:

1. algoritmos de calidad: Se sabe que algunos algoritmos de clave pública son inseguros, ya que se han descubierto ataques prácticos contra ellos.
3. Implementaciones de calidad: Una implementación de un buen algoritmo (o protocolo) con error(s) no funcionará.
5. Los usuarios (y su software) deben llevar a cabo el protocolo de firma correctamente.
7. La clave privada debe permanecer privada: Si la clave privada se conoce a cualquier otro partido, ese partido puede producir perfecto firmas digitales de cualquier cosa.
9. El titular de llave pública debe ser verificable: Una llave pública asociada a Bob realmente vino de Bob. Esto se hace comúnmente utilizando una infraestructura clave pública (PKI) y la asociación de comercialización de clave pública está atestiguada por el operador de la PKI (llamada autoridad certificado). Para los PKIs 'abiertos' en los que cualquiera puede solicitar tal certificado (universalmente incorporado en un certificado de clave pública criptográficamente protegido), la posibilidad de atestiguación equivocada es no-trivial. Los operadores comerciales de PKI han sufrido varios problemas conocidos públicamente. Tales errores pueden conducir a documentos falsamente firmados y, por tanto, atribuidos erróneamente. Los sistemas PKI 'Closed' son más caros, pero menos fácilmente subvertidos de esta manera.

Solo si se cumplen todas estas condiciones, una firma digital será realmente una prueba de quién envió el mensaje y, por lo tanto, de su asentimiento a su contenido. La promulgación legal no puede cambiar esta realidad de las posibilidades de ingeniería existentes, aunque algunas de ellas no han reflejado esta actualidad.

Las legislaturas, importunadas por empresas que esperan beneficiarse de la operación de una PKI, o por la vanguardia tecnológica que aboga por nuevas soluciones a viejos problemas, han promulgado estatutos y/o reglamentos en muchas jurisdicciones que autorizan, respaldan, fomentan o permiten la digitalización. firmas y previendo (o limitando) su efecto legal. El primero parece haber sido en Utah en los Estados Unidos, seguido de cerca por los estados de Massachusetts y California. Otros países también han aprobado estatutos o emitido reglamentos en esta área y la ONU ha tenido un proyecto de ley modelo activo durante algún tiempo. Estas promulgaciones (o promulgaciones propuestas) varían de un lugar a otro, por lo general han incorporado expectativas que difieren (de manera optimista o pesimista) del estado de la ingeniería criptográfica subyacente, y han tenido el efecto neto de confundir a los usuarios y especificadores potenciales, casi todos los cuales no tienen conocimientos criptográficos.

La adopción de estándares técnicos para firmas digitales se ha retrasado con respecto a gran parte de la legislación, retrasando una posición de ingeniería más o menos unificada sobre interoperabilidad, elección de algoritmos, longitudes de clave, etc., sobre lo que la ingeniería está tratando de proporcionar.

Estándares de la industria

Algunas industrias han establecido estándares comunes de interoperabilidad para el uso de firmas digitales entre los miembros de la industria y con los reguladores. Estos incluyen Automotive Network Exchange para la industria del automóvil y la Asociación SAFE-BioPharma para la industria de la salud.

Uso de pares de claves independientes para la firma y el cifrado

En varios países, una firma digital tiene un estatus similar al de una firma tradicional en lápiz y papel, como en el Directiva de firma digital de la UE de 1999 y legislación de seguimiento de la UE de 2014. En general, estas disposiciones significan que cualquier cosa firmada digitalmente obliga legalmente al firmante del documento a los términos del mismo. Por ese motivo, a menudo se considera mejor utilizar pares de claves separados para cifrar y firmar. Con el par de claves de cifrado, una persona puede entablar una conversación cifrada (por ejemplo, con respecto a una transacción de bienes raíces), pero el cifrado no firma legalmente todos los mensajes que envía. Solo cuando ambas partes llegan a un acuerdo, firman un contrato con sus claves de firma, y solo entonces están legalmente obligados por los términos de un documento específico. Después de firmar, el documento se puede enviar a través del enlace cifrado. Si una clave de firma se pierde o se ve comprometida, se puede revocar para mitigar cualquier transacción futura. Si se pierde una clave de cifrado, se debe utilizar una copia de seguridad o un depósito de claves para continuar viendo el contenido cifrado. Las claves de firma nunca se deben respaldar o custodiar a menos que el destino de la copia de seguridad esté encriptado de forma segura.