De cómo firmas hoy a por qué eso deja de bastar

Casi nadie que firma electrónicamente en España piensa en algoritmos: piensa en su DNIe y un PIN, o en un aviso de Cl@ve en el móvil. Merece la pena entender qué hay detrás de cada uno, porque son mecanismos distintos con un resultado criptográfico distinto.

El DNIe (DNI electrónico), emitido por la Dirección General de la Policía, lleva desde 2006 un chip con un certificado personal. Al introducir el PIN en un lector de tarjetas, el propio chip firma dentro de sí mismo: la clave privada nunca sale del documento físico. Es, probablemente, el dispositivo de firma cualificada más extendido de Europa.

Cl@ve es distinto: no es un certificado, es un sistema de identificación para acceder a la Administración. "Cl@ve PIN" da acceso puntual mediante un código enviado por SMS; "Cl@ve Firma" (antes Cl@ve permanente con firma) sí habilita firma electrónica, pero con la clave privada custodiada en la nube por el Estado, no en un chip que llevas encima.

La FNMT (Fábrica Nacional de Moneda y Timbre) emite el certificado software más usado en España: se descarga, se instala en el navegador o en el sistema operativo, y la clave privada vive como fichero en tu ordenador, protegida por una contraseña.

En los tres casos, la operación de firmar el documento en sí (tomar el PDF o XML, calcular su resumen, y aplicar la clave privada del certificado que corresponda) la realiza AutoFirma, la aplicación de escritorio del Gobierno de España. AutoFirma es el punto donde el certificado (DNIe, FNMT o Cl@ve Firma) se convierte en una firma XAdES, PAdES o CAdES real, dentro del propio fichero.

ETSI (el instituto europeo de estandarización de telecomunicaciones) define tres formatos según el tipo de documento: XAdES para XML, PAdES para PDF, y CAdES para formatos binarios genéricos (CMS). AutoFirma produce uno u otro según el fichero que le des, pero internamente los tres comparten la misma lógica.

Dentro de cada formato hay niveles, y son la clave de todo lo que audita esta herramienta:

• B (Basic). Solo la firma. Si el certificado del firmante caduca o se revoca, no hay forma de demostrar que la firma se hizo mientras era válido.
• T (Timestamp). Añade un sello de tiempo de un tercero de confianza, probando que la firma ya existía en una fecha concreta.
• LT (Long-Term). Incorpora la cadena de certificación completa y la información de revocación (CRL/OCSP) del momento, para poder validarla incluso años después de que esos servicios hayan desaparecido.
• LTA (Long-Term with Archive timestamps). Añade sellos de archivo renovables: antes de que el algoritmo del sello anterior se debilite, se puede resellar con uno nuevo sin perder la cadena de custodia. Es el único nivel pensado para durar décadas, y el que casi nadie usa en producción.

Todo lo anterior existe dentro de un marco legal único para los 27: eIDAS (Reglamento (UE) 910/2014, revisado como eIDAS 2 en 2024). eIDAS distingue tres niveles de firma electrónica, no equivalentes entre sí:

• Simple. Cualquier dato en formato electrónico adjunto a un documento con intención de firmar: un clic en "acepto", una firma escaneada. Valor probatorio débil.
• Avanzada (AdES). Vinculada de forma única al firmante, capaz de identificarlo, creada con medios bajo su control exclusivo, y ligada a los datos de forma que cualquier cambio posterior es detectable. Es el nivel técnico que audita esta herramienta.
• Cualificada. Una firma avanzada hecha con un dispositivo cualificado de creación de firma y un certificado cualificado emitido por un prestador cualificado de servicios de confianza (QTSP). Es la única con equivalencia legal directa a la firma manuscrita en toda la UE, por ley, sin necesidad de probarlo caso por caso. El DNIe y un certificado FNMT bien emitido son, en este sentido, cualificados.

Cada Estado miembro mantiene su propia Lista de Confianza (TSL, Trusted List): el registro oficial de qué prestadores están autorizados a emitir certificados cualificados, y desde cuándo. La Comisión Europea agrega las 27 listas nacionales en una sola, la LOTL (List Of Trusted Lists). Es exactamente lo que archiva a diario la capa de verificación de esta herramienta: para saber si una firma de 2022 era de fiar, hace falta saber qué decía la TSL de su país en 2022, no lo que dice hoy.

eIDAS 2 añade la Cartera Europea de Identidad Digital (EUDI Wallet), que cada Estado miembro debe ofrecer antes de finales de 2026: un intento de unificar DNIe, Cl@ve y sus equivalentes en Francia, Alemania o Italia bajo una misma cartera digital reconocida en toda la Unión.

Con el cifrado, la amenaza cuántica es que alguien guarde hoy tráfico cifrado y lo descifre dentro de una década (harvest now, decrypt later). Con la firma electrónica (la de tu DNIe, tu certificado FNMT o cualquiera de los anteriores) el problema es distinto, y más grave.

Cuando exista un ordenador cuántico suficientemente potente, el algoritmo de Shor rompe RSA y ECDSA de cualquier tamaño de clave, los mismos algoritmos que usan hoy el DNIe y la práctica totalidad de certificados FNMT. Cualquiera con la clave pública de un certificado actual podrá fabricar firmas indistinguibles de las legítimas, con fecha retroactiva. La firma no "caduca" en el sentido habitual: a partir de ese momento ya no hay forma de distinguir una firma auténtica de una falsificada.

Ese "cuando" no es indefinido. La estimación de referencia de 2019 (Gidney y Ekerå) situaba la factorización de un RSA-2048 en veinte millones de qubits físicos con corrección de errores; en mayo de 2025, un nuevo resultado de Google la redujo a menos de un millón, veinte veces menos en seis años. Los procesadores actuales (Google Willow, IBM Heron) todavía trabajan con cientos de qubits, muy por debajo de esa cifra, y ningún fabricante promete un sistema capaz de romper RSA-2048 dentro de esta década. Pero el ritmo de reducción, no la cifra absoluta, es lo que hace que 2030 y 2035 (las fechas en las que el NIST deja de recomendar y luego prohíbe RSA y ECDSA, según su borrador NIST IR 8547) sean plazos prudentes y no alarmistas para un documento que, como una escritura notarial, debe seguir siendo defendible dentro de cincuenta años.