Quines proves tècniques enforteixen una signatura avançada (hash, segells i logs)

Més enllà del clic: per què una signatura avançada és robusta

Una signatura electrònica avançada no és un botó, un traç a pantalla ni un OTP per SMS. El valor jurídic d’una signatura avançada no està en el “gest de signar”, sinó en les proves tècniques que permeten demostrar:

• qui va signar,
• quin document es va signar,
• com es va identificar al signant,
• quan es va realitzar la signatura,
• i que el document no ha estat alterat després.

L’article 26 del Reglament eIDAS estableix aquests requisits, però no descriu la tecnologia necessària per complir-los. Aquesta responsabilitat recau en el proveïdor del servei de signatura.

En aquest article expliquem les evidències tècniques que fan que una signatura avançada sigui realment avançada.

1. Hash criptogràfic: la petjada digital del document

El hash és una funció criptogràfica que genera una petjada única d’un conjunt de dades qualsevol, com per exemple un document. Si el document canvia una sola coma, el hash que s’obté del mateix canvia completament.

Exemple (abreujat):

Què aporta a la signatura avançada:

• Garanteix que el document signat no s’ha modificat.
• Vincula la signatura a un document específic.
• Permet verificar la integritat fins i tot anys després.

2. Identificació del signant i control exclusiu

eIDAS exigeix vincular la signatura al signant mitjançant “dades de creació sota el seu control exclusiu”.

Això s’aconsegueix mitjançant evidències com:

• Sol·licitud enviada per email certificat, que vincula identitat i canal.
• OTP per SMS certificat, que demostra possessió del número.
• Enllaç segur únic (token d’un sol ús).

Com més evidències independents conflueixen, més inequívoca és la identificació.

3. Logs detallats del procés de signatura

Els logs documenten tot el que va ocórrer durant la signatura:

• Enviaments, obertures i intents.
• Adreça IP i dispositiu.
• Validacions d’identitat.
• Resultat final de la signatura.

Exemple:

Per ser vàlids, els logs han d’estar:

• signats,
• ser immutables,
• i conservar-se amb custòdia tècnica.

4. Evidència d’integritat del procés

Una signatura avançada protegeix no només el document, sinó tot el flux:

• Registres (logs) de cada pas.
• Enllaços amb expiració i tokens segurs.
• Verificació d’integritat del PDF final.

Això demostra que la signatura no va poder ser interceptada o alterada.

5. El paquet d’evidències (audit trail)

El resultat d’una signatura avançada no és simplement un PDF signat. S’ha de generar un paquet d’evidències verificable:

• Document signat.
• Hashes i metadades.
• Segell de temps.
• Logs complets.
• Signatura digital del prestador.

En eEvidSign, aquest conjunt forma un Evidence Audit llest per a litigis o auditories.

Com difereix d’una signatura simple

Ambdues són vàlides, però s’usen en contextos diferents segons el risc jurídic.

Quan són necessàries totes aquestes proves

• Contractes comercials.
• RRHH (contractes, annexos, autoritzacions).
• Sectors regulats.
• Processos susceptibles d’impugnació.

Conclusió

La signatura avançada no consisteix en “dibuixar” una signatura sobre un document. És un sistema de hashes, segells, logs i evidències que demostra:

• qui va signar,
• què va signar,
• com es va identificar,
• i que el document no va canviar.

Sense aquestes proves, una signatura avançada no és realment avançada.

Amb solucions com eEvidSign d’eEvidence, les empreses obtenen evidència tècnica completa, llesta per a auditories o litigis.