¿Alguna CA (autoridad de certificación) del estado-nación tiene una API pública para verificar las firmas digitales?
No, las CA no verifican las firmas digitales, las partes confidentes (los destinatarios) hacen la verificación por sí mismas, utilizando sus propias aplicaciones de software. Por ejemplo, use Adobe Reader (versión gratuita) para verificar archivos PDF firmados digitalmente.
Sin embargo, las CA publican una CRL (Lista de revocación de certificados) . Ese archivo puede verse como una API que ayuda en el proceso de verificación. No realiza el proceso de verificación per se.
Y algunas CA brindan acceso para las solicitudes de Online Certificate Status Protocol (OCSP) . OCSP es una técnica más nueva para determinar si un certificado ha sido revocado o no. Por ejemplo, Verisign . Al igual que los archivos CRL, OCSP ayuda con el proceso de verificación, pero no es lo mismo que verificar una firma.
Y si ninguno de los más de 200 estados nacionales verifica las firmas digitales, ¿cómo verifica Bob que Alice es realmente Alice?
Bob abre el documento o los datos firmados digitalmente utilizando la aplicación de software adecuada. Para verificar una firma digital, la aplicación de Bob pasa por varios pasos. Uno de los pasos es volver a crear la cadena de confianza entre un certificado en el que Bob ya confía y el certificado de Alice en el que Bob aún no confía.
Si el software de Bob es capaz de recrear la cadena de confianza, hacerlo le da a Bob cierto nivel de seguridad de que Alice es quien dice que es.
¿Qué tan alto es el nivel de confianza? Depende de las políticas y procedimientos de la CA raíz y las CA intermedias en la cadena de confianza. También depende de que Alice proteja adecuadamente su dispositivo de firma digital.
Si te gustan las "tramas de películas", siempre es posible (pero no probable) que alguien falsifique la firma de otra persona sin importar qué tecnología se haya utilizado.
En el mundo real, las firmas denotan confianza y las partes confiables determinan qué nivel de confianza necesitan para aceptar una firma determinada en un documento determinado.