digital-signature - que - firmas y certificados digitales
¿Cuál es la diferencia entre firma digital y certificado digital? (8)
Conceptualmente son una especie de oposites. Con un certificado digital, codifíquelo con la clave pública y descifre con la clave privada, de esa manera podrá asegurarse de que solo la persona con la clave privada pueda leer su texto. Con una firma digital, puede cifrar con la clave privada y descifrar con la clave pública, de esa manera cualquier persona puede descifrar, pero solo la persona con la clave privada puede cifrar para que sepa que el mensaje proviene de la persona con la clave privada.
He estado buscando en Google la diferencia entre la firma digital y el certificado digital (cifrado asimétrico) parece que son lo mismo. Me gustaría aclarar si son iguales o no? ¡¡¡muchas gracias!!!
Déjame ampliar la explicación de Ashley. Al igual que con todas las cosas criptográficas, suponga que Alice (remitente) desea enviar un mensaje seguro a Bob (destinatario)
Hay dos problemas para resolver aquí.
- Cómo cifrar el mensaje para que solo Bob pueda descifrarlo.
- ¿Cómo puede Bob estar seguro de que el mensaje es de Alicia en primer lugar y no ha sido modificado por alguien en tránsito?
Ambos de estos problemas se pueden resolver con criptografía de clave pública. Para (1), Alice cifra el mensaje con la clave pública de Bob. Cuando Bob recibe el mensaje, puede desencriptarlo de manera segura con su clave privada. Así que encripte con la clave pública de Bob y descifre con la clave privada de Bob (esto es algo básico en criptografía de clave pública)
Para resolver (2), Alice también envía una firma digital junto con el mensaje cifrado. Esto se hace de la siguiente manera:
- Pase el mensaje original a través de una función hash (como sha-1 ) para obtener un resumen del mensaje
- Cifre este resumen del mensaje con la clave privada de Alice (tenga en cuenta que esto es lo contrario de cómo el mensaje original está cifrado con la clave pública de Bob)
Cuando Bob reciba el mensaje + firma digital, él:
- Descifre el mensaje con esta clave privada y luego calcule su resumen del mensaje. Llamemos a este compendio M1.
- Descifre la firma con la clave pública de Alice para obtener el resumen del mensaje. Llamemos a esto M2.
- Si M1 y M2 son iguales, Bob puede estar seguro de que el mensaje no se modificó durante el tránsito y que, de hecho, es de Alice.
En cuanto a los certificados digitales, observe que Alice confía en cifrar el mensaje original con la clave pública de Bob y Bob confía en la clave pública de Alice para descifrar la firma. ¿Cómo pueden ambos estar seguros de la clave pública de cada uno? Para eso son los certificados digitales. Permite a un tercero de confianza verificar / decir "la clave pública de Alice es xyz".
De Wikipedia (énfasis mío):
Una firma digital o un esquema de firma digital es un esquema matemático para demostrar la autenticidad de un mensaje o documento digital. Una firma digital válida le da al destinatario un motivo para creer que el mensaje fue creado por un remitente conocido y que no se modificó durante el tránsito. Las firmas digitales se utilizan comúnmente para la distribución de software, transacciones financieras y en otros casos donde es importante detectar falsificaciones y manipulaciones.
y
En criptografía, un certificado de clave pública (también conocido como certificado digital o certificado de identidad) es un documento electrónico que utiliza una firma digital para unir una clave pública con una identidad , información como el nombre de una persona u organización, su dirección, y así sucesivamente. El certificado se puede utilizar para verificar que una clave pública pertenece a un individuo.
Entonces, si entiendo correctamente lo anterior, una firma digital simplemente prueba que un documento no ha sido manipulado, mientras que un certificado digital prueba que el documento realmente proviene de usted.
Firma digital explicada:
Sender : Encrypt(hash(message), priv_key) = dig_sign
Receiver : Decrypt(dig_sign, pub_key) => hash_of_message == hash(message)
La explicación más clara para mí está disponible en RSA Laboratories:
Firma digital: Supongamos que Alice desea enviar un documento o mensaje firmado a Bob. El primer paso generalmente es aplicar una función hash al mensaje, creando lo que se llama un resumen del mensaje. El resumen del mensaje suele ser considerablemente más corto que el mensaje original. De hecho, el trabajo de la función hash es tomar un mensaje de longitud arbitraria y reducirlo a una longitud fija. Para crear una firma digital, normalmente se firma (cifra) el resumen del mensaje en lugar del mensaje en sí.
...
Alice envía a Bob el resumen del mensaje cifrado y el mensaje, que puede o no cifrar. Para que Bob autentique la firma, debe aplicar la misma función hash que Alice al mensaje que le envió, descifrar el resumen del mensaje cifrado utilizando la clave pública de Alice y comparar los dos. Si los dos son iguales, él ha autenticado exitosamente la firma. Si los dos no coinciden, hay algunas explicaciones posibles. O alguien está intentando hacerse pasar por Alice, el mensaje se ha modificado desde que Alice lo firmó o se produjo un error durante la transmisión.
...
Certificado digital : Además, alguien podría pretender ser Alicia y firmar documentos con un par de claves que afirma que son de Alicia. Para evitar escenarios como este, hay documentos digitales llamados certificados que asocian a una persona con una clave pública específica.
Estas citas provienen de los laboratorios RSA en http://www.rsa.com/rsalabs/node.asp?id=2182 y http://www.rsa.com/rsalabs/node.asp?id=2277
La respuesta de @ numan proporciona una buena explicación del proceso necesario para garantizar la confidencialidad, la integridad y la autenticación. Pero esto no responde a una pregunta real.
El objetivo de una firma digital es proporcionar estos servicios básicos,
Autenticidad: el remitente ha firmado los datos como afirmó (los datos deben cifrarse con la clave privada del remitente).
Integridad: para proporcionar una garantía de que los datos no han cambiado desde el momento en que se firmaron.
No rechazo: el receptor puede proporcionar los datos a un tercero que puede aceptar la firma digital como prueba de que el intercambio de datos tuvo lugar. Además, el remitente (parte firmante) no puede rechazar que haya firmado los datos.
y tiene propiedades para garantizar la autenticidad y la integridad, tales como,
La firma no es falsificable: proporciona pruebas de que el firmante y nadie más firmaron el documento.
La firma no puede ser repudiada : lo que significa que, para fines legales, la firma y el documento se consideran cosas físicas. Los firmantes no pueden reclamar más tarde que no lo firmaron.
La firma no se altera : después de firmar un documento, no se puede modificar.
La firma no es reutilizable : la firma es parte del documento y no se puede mover a un documento diferente.
Mientras que, por otro lado, un certificado digital es emitido por alguna autoridad de certificación (CA) de terceros para verificar la identidad del titular del certificado. En realidad, contiene la firma digital de la autoridad de certificación que se deriva de la propia clave privada de CA.
También contiene la clave pública que está asociada con el propietario del certificado digital.
Es posible que desee leer acerca de cómo se estructuran los certificados digitales .
No hay diferencia si la firma / el certificado está firmado por la misma entidad de certificación / entidad de confianza.
Si los datos firmados contienen algunos datos firmados (p. Ej., Clave pública del remitente) firmados por CA / entidad de confianza para confiar el remitente (es decir, la cadena de confianza), no hay diferencia también (¿o debemos llamar al certificado de datos firmados?) .
En otras palabras, el certificado es un tipo de usos de la firma.
Una firma digital se utiliza para verificar un mensaje. Es básicamente un hash cifrado (cifrado por la clave privada del remitente) del mensaje. El destinatario puede verificar si el mensaje fue manipulado mediante el hashing del mensaje recibido y comparando este valor con la firma desencriptada.
Para descifrar la firma, se requiere la clave pública correspondiente. Un certificado digital se utiliza para vincular claves públicas a personas u otras entidades. Si no hubiera certificados, la firma podría ser fácilmente falsificada, ya que el destinatario no podría verificar si la clave pública pertenece al remitente.
El certificado en sí está firmado por un tercero de confianza, una Autoridad de Certificación como VeriSign.