Saber con quién se firma: los niveles de confianza.

Antes de preguntar cómo se firma, conviene preguntar a quién se le está pidiendo la firma. Una firma impecable desde el punto de vista técnico no sirve de mucho si la persona que la produjo no es la que decía ser. Por eso la identidad es el cimiento silencioso de cualquier proceso de firma, y también el punto donde más se improvisa.

Tres momentos que suelen confundirse

Hablar de "verificar la identidad" mezcla tres cosas distintas, que ocurren en momentos distintos y fallan de maneras distintas.

1. La comprobación inicial. Alguien demuestra quién es: presenta un documento, se lo compara con su rostro, se consulta un registro oficial. Ocurre una vez, al dar de alta a la persona o al emitir un certificado.
2. La credencial. Como resultado, la persona recibe algo que la representa: un certificado, una cuenta, una aplicación vinculada a su teléfono, un documento con chip.
3. La autenticación al firmar. En el momento de firmar, la persona demuestra que es quien controla esa credencial: una clave, un código, una huella, un segundo factor.

Un proceso puede ser muy exigente en un momento y muy débil en otro. Un certificado emitido tras una verificación presencial rigurosa pierde buena parte de su valor si después se protege con una contraseña que cualquiera puede adivinar.

La idea de los niveles

Los marcos de referencia más usados coinciden en ordenar la confianza en niveles. La norma ISO/IEC 29115 de 2013 propone cuatro niveles de seguridad para la autenticación. El reglamento europeo eIDAS, a través de su reglamento de ejecución 2015/1502, define tres: bajo, sustancial y alto. La guía de identidad digital del NIST estadounidense, la SP 800 63, separa desde su tercera revisión de 2017 el nivel de la comprobación de identidad del nivel de la autenticación, precisamente para que no se confundan.

Los nombres y los detalles cambian de un marco a otro, pero la lógica es la misma: cuanto más alto el nivel, más difícil es que alguien se haga pasar por otro, y más cuesta, en tiempo y en fricción, llegar a él.

Proporcionalidad: el nivel lo decide el riesgo

El error más común es elegir un único nivel para todo. Si se exige el máximo en cada trámite, los usuarios abandonan y aparecen atajos. Si se usa el mínimo para todo, se firman con un correo electrónico decisiones que merecían mucho más. La pregunta útil es qué pasaría si quien firma no fuera quien dice ser.

Los caminos para comprobar quién es alguien

• Presencial. La persona se presenta ante un agente con su documento. Sigue siendo la referencia con la que se comparan los demás métodos.
• Remota con documento y rostro. Se fotografía el documento, se toma una imagen o video de la persona y se comparan. Su fortaleza depende de detectar falsificaciones y suplantaciones, un terreno donde el fraude evoluciona rápido.
• Lectura del chip. Muchos documentos de identidad y pasaportes llevan un chip con datos firmados por el emisor, según la especificación 9303 de la OACI. Leerlo con el teléfono permite comprobar que el documento es auténtico, algo que una foto no puede asegurar.
• Identidad ya establecida. Se apoya en una verificación hecha antes por otro: una identidad digital nacional, un banco, un prestador de servicios de confianza.
• Video asistido. Un operador guía la verificación en tiempo real. Suma criterio humano, con un costo mayor.

Lo que no puede faltar en la evidencia

Sea cual sea el nivel, el registro de la firma debe decir con qué método se comprobó la identidad, cuándo, con qué resultado y qué credencial se usó al firmar. Un expediente que sólo dice "identidad verificada" no permite a nadie, años después, juzgar cuánto valía esa verificación.

← Todas las notas