Firma electrónica de larga duración

Leyendo detenidamente el artículo de Julián Inza sobre la Interoperabilidad de los Prestadores de Servicios de Certificación he tenido la excusa para hablar de un tema importante dentro de la firma electrónica que es la firma electrónica de larga duración.

Actualmente cuando firmamos un documento electrónicamente tenemos los siguientes casos:

1. Que el documento esté firmado con un certificado electrónico. Este documento es válido mientras el certificado sea válido. Una vez que este certificado caduque o quede revocado el documento deja de ser válido. Curiosamente esto podría pasar al día siguiente del día de la firma.
2. Que el documento este firmado y tenga sello de tiempo. Actualmente este caso es que le me produje más asombro. El sello de tiempo nos da una información exacta y verídica del momento en el tiempo en el que se realizo la firma. Pero los servicios de OCSP o CRL para comprobar la firma solo nos dan el estado de la revocación actual. Si un usuario quisiera comprobar la validez de estos documentos y si no me equivoco (por favor, pido que me ayuden si digo algo equivocado) es que estos documentos también dejan de ser válidos si hay una revocación de estos certificados pues el servicio OCSP solo nos va a decir que no es válido ahora. La Autoridad de Certificación (el prestador de servicios) debe estar vivo mientras este documento exista pues si deja de estarno no podremos comprobar la revocación de estos documentos.
   
3. Que el documento esté firmado con sello de tiempo y que incluya referencias a los certificados de la cadena de certificación, que estas referencias tengan sello de tiempo, se incluyan los certificados y la información de revocación de estos. Este último es la firma electrónica de larga duración. El propio documento es independiente de cualquier prestador o autoridad. Su validez viene dada en la propia firma electrónica.

Tal como comenta Julián Inza los documentos firmados electrónicamente de la adminstración para su uso por las entidades privadas deberían ser de larga duración para permitir su interoperabilida y eliminar la carga de la verificación del certificado. Añado que también debería ser así para los documentos que tengan como interesado o destinatario los ciudadanos.

Actualmente para los que estamos en la administración es @firma la plataforma de validación que nos realiza el trabajo del punto 2, pero curiosamente no realiza firma de larga duración y al validar las firmas con sellado de tiempo en su documentación venía que se comprobaba el estado de revocación de los certificados respecto del momento del sello de tiempo. Tras hablar con ellos sobre este tema comentan que solo se puede hacer respecto del momento actual y que la documentación es erronea (si pinchais en el enlace anterior vereis en el apartado de servicios de validación que aparece así aun). Si comentan que la firma de larga duración está prevista su realización en las próximas versiones.

Tenemos que ofrecer soluciones sencillas, claras, legales y duraderas con la firma electrónica. Hasta ahora no me lo está pareciendo pero parece haber soluciones en el horizonte.