2-1-verificar firmas

 Entonces en las Firmas Integradas en PDF, el receptor recibe el pdf despues separa la firma del pdf, entonces como el receptor sabe la clave publica del firmante? en tiendo que una vez que tiene el pdf el receptor lo genera un hash del pdf con la firma publica y despues descifra la firma digital y compara los dos hashes(el generado por el receptor y el obtenido de la firma) asi seria? pero en que momento el receptor sabe cual el la clave publica del firmante?

Para las firmas digitales integradas en PDFs, el proceso es un poco diferente al de simplemente manejar archivos y firmas por separado. Aquí te explico en detalle cómo se realiza y cómo el receptor obtiene la clave pública del firmante.

Funcionamiento de las Firmas Digitales Integradas en PDFs

1. Firmante:

   • El firmante utiliza un software que soporta firmas digitales en PDF (como Adobe Acrobat, por ejemplo) para firmar el documento PDF. Este software inserta la firma digital en el PDF y también incluye el certificado digital del firmante dentro del archivo PDF.

2. Receptor:

   • El receptor abre el documento PDF utilizando un software compatible con firmas digitales (Adobe Acrobat Reader, por ejemplo). Este software extrae la firma digital y el certificado digital del firmante del PDF.

Pasos Detallados

1. Firma del Documento PDF:

   • El documento PDF es firmado utilizando la clave privada del firmante.
   • Se genera un hash del contenido del PDF.
   • El hash es cifrado utilizando la clave privada del firmante para crear la firma digital.
   • La firma digital y el certificado del firmante (que contiene la clave pública) se incrustan en el PDF.

2. Verificación de la Firma del Documento PDF:

   • El receptor abre el PDF y el software lector extrae la firma digital y el certificado digital del firmante.
   • El software lector utiliza la clave pública del certificado del firmante para descifrar la firma digital y obtener el hash.
   • El software lector genera un hash del contenido del PDF.
   • El software lector compara el hash generado con el hash obtenido de la firma digital. Si coinciden, la firma es válida.

Ejemplo de Proceso de Verificación con Herramientas

Usando Node.js y la librería node-forge, a continuación se presenta un ejemplo básico de cómo realizar la verificación:

Verificación de la Firma en Node.js

const fs = require('fs');

const forge = require('node-forge');

const { PDFDocument } = require('pdf-lib');

async function verifySignature(pdfPath) {

  const pdfBytes = fs.readFileSync(pdfPath);

  const pdfDoc = await PDFDocument.load(pdfBytes);

  // Extraer las firmas del PDF

  const acroForm = pdfDoc.context.lookup(pdfDoc.catalog.get('AcroForm'));

  const fields = acroForm.get('Fields');

  const sigFieldRef = fields.get(0); // Suponiendo que el campo de firma está en el primer índice

  const sigField = pdfDoc.context.lookup(sigFieldRef);

  const sigDict = sigField.get('V');

  const signature = sigDict.get('Contents').decodeText();

  const cert = sigDict.get('Cert').decodeText();

  // Convertir los datos en formatos manejables por node-forge

  const signatureBytes = forge.util.decode64(signature);

  const certBytes = forge.util.decode64(cert);

  const certificate = forge.pki.certificateFromAsn1(forge.asn1.fromDer(certBytes));

  // Crear un hash del contenido del PDF

  const md = forge.md.sha256.create();

  md.update(pdfBytes.toString('utf8'), 'utf8');

  // Verificar la firma

  const verified = certificate.publicKey.verify(md.digest().bytes(), signatureBytes);

  if (verified) {

    console.log('La firma es válida.');

  } else {

    console.log('La firma no es válida.');

  }

}

verifySignature('path/to/signed-document.pdf');

Consideraciones Adicionales

• Certificado Digital: Los certificados digitales son emitidos por una Autoridad Certificadora (CA) de confianza. Estos certificados incluyen la clave pública del firmante y son incrustados en el PDF durante el proceso de firma.
• Cadena de Confianza: Para validar completamente un certificado, el software puede verificar la cadena de confianza hasta una CA raíz de confianza. Esto generalmente requiere acceso a internet para obtener la lista de certificados revocados (CRL) o utilizar el Protocolo de Estado de Certificado en Línea (OCSP).
• Validez del Certificado: El certificado digital tiene una fecha de expiración y puede ser revocado. Es importante verificar que el certificado no esté expirado o revocado durante la verificación de la firma.

Resumen

• Firma Integrada en el PDF: La firma digital y el certificado del firmante se incrustan en el PDF.
• Extracción y Verificación: El receptor utiliza software compatible para extraer la firma digital y el certificado del PDF, y luego verifica la firma utilizando la clave pública del certificado.
• Certificado Digital: Incluye la clave pública del firmante y es emitido por una Autoridad Certificadora.

Si tienes más preguntas o necesitas más detalles sobre algún aspecto específico, no dudes en preguntar.

como seria para las firmas digitales separadas

Para las firmas digitales separadas, el proceso implica trabajar con el documento y el archivo de la firma digital por separado. Aquí te explico cómo funciona este proceso y te proporciono ejemplos de código en Node.js para firmar y verificar documentos utilizando archivos de firma digital separados.

Proceso de Firmas Digitales Separadas

1. Firmante:

   • El firmante genera un hash del documento.
   • El hash se cifra utilizando la clave privada del firmante para crear la firma digital.
   • La firma digital se almacena en un archivo separado.

2. Receptor:

   • El receptor recibe tanto el documento como el archivo de la firma digital.
   • El receptor genera un hash del documento.
   • El receptor descifra la firma digital utilizando la clave pública del firmante obtenida del certificado digital.
   • El receptor compara el hash generado con el hash descifrado. Si coinciden, la firma es válida.

Ejemplo de Código para Firmar un Documento

Firmar un Documento

const forge = require('node-forge');

const fs = require('fs');

// Leer la clave privada y el certificado

const privateKeyPem = fs.readFileSync('path/to/private-key.pem', 'utf8');

const certificatePem = fs.readFileSync('path/to/certificate.pem', 'utf8');

// Cargar la clave privada

const privateKey = forge.pki.privateKeyFromPem(privateKeyPem);

// Documento a firmar (por ejemplo, el contenido de un archivo PDF)

const document = fs.readFileSync('path/to/document.pdf');

// Crear un hash del documento

const md = forge.md.sha256.create();

md.update(document.toString('binary'), 'binary');

// Firmar el hash

const signature = privateKey.sign(md);

// Guardar la firma en un archivo separado

fs.writeFileSync('path/to/signature.sig', signature);

console.log('Documento firmado exitosamente.');

Ejemplo de Código para Verificar una Firma

Verificar la Firma

const forge = require('node-forge');

const fs = require('fs');

// Leer el certificado y la firma

const certificatePem = fs.readFileSync('path/to/certificate.pem', 'utf8');

const signature = fs.readFileSync('path/to/signature.sig');

// Cargar el certificado

const certificate = forge.pki.certificateFromPem(certificatePem);

// Documento original (el contenido del archivo PDF)

const document = fs.readFileSync('path/to/document.pdf');

// Crear un hash del documento

const md = forge.md.sha256.create();

md.update(document.toString('binary'), 'binary');

// Verificar la firma

const verified = certificate.publicKey.verify(md.digest().bytes(), signature);

if (verified) {

  console.log('La firma es válida.');

} else {

  console.log('La firma no es válida.');

}

Resumen del Proceso

1. Firmar el Documento:

   • Leer la clave privada y el certificado del firmante.
   • Generar un hash del documento.
   • Cifrar el hash utilizando la clave privada para crear la firma digital.
   • Guardar la firma digital en un archivo separado.

2. Verificar la Firma:

   • Leer el certificado y la firma digital.
   • Generar un hash del documento original.
   • Descifrar la firma digital utilizando la clave pública del certificado para obtener el hash original.
   • Comparar los dos hashes. Si coinciden, la firma es válida.

Consideraciones de Seguridad

• Certificado Digital: Asegúrate de que el certificado del firmante sea válido y emitido por una autoridad certificadora confiable.
• Caducidad y Revocación: Verifica que el certificado no esté expirado ni revocado.
• Integridad de los Archivos: Asegúrate de que tanto el documento como el archivo de la firma no hayan sido alterados.

Con estos pasos y ejemplos de código, puedes implementar un sistema de firma digital con archivos de firma separados en Node.js. Si tienes más preguntas o necesitas más detalles sobre algún aspecto específico, no dudes en pregunta