Microlopez » PDF

6 Herramientas gratuitas para firmar electrónicamente Documentos PDF – Parte II: ESecure y XolidoSign

Alberto — Mon, 14 Nov 2011 07:00:49 +0000

En el artículo de hoy de esta pequeña mini-serie sobre herramientas gratuitas para la firma electrónica basada en certificado de documentos PDF (y también otros formatos) presentaremos las herramientas ESecure de KSI y XolidoSign de Xolido.

Al igual que en el artículo anterior, quiero insistir en que no se trata de una comparativa (no se han hecho pruebas exhaustivas con cada una), sino de un vistazo un poco más a fondo a cada herramienta para obtener unas primeras impresiones de lo que ofrecen al usuario.

Animo desde aquí a los fabricantes y/o usuarios que lean el artículo a que añadan en los comentarios las observaciones que consideran oportunas para completar o, en su caso, corregir aspectos comentados en el artículo.

Bueno, pues vamos allá con la primera herramienta.

ESecure

En el caso de ESecure, la versión probada ha sido ESecure 1.8.51.39, esta versión soporta tanto firma electrónica como el cifrado con contraseña o certificado para cualquier formato de fichero y decenas de algoritmos que van desde las opciones muy básicas como RC2 hasta opciones muy avanzadas como AES256.

Estándares soportados, versiones y principales funcionalidades

ESecure dispone de varios modelos de licenciamiento: una versión gratuita para ciudadanos (licencia USER), una licencia EDU condicionada a la realización de un curso online gratuito y las versiones de pago PRO y PYME que se salen del alcance de esta serie por este motivo.

La versión USER soporta los formatos de firma PKCS#7/CMS/CAdES (X-L), la versión EDU soporta además PDF/PAdES (basic y enhanced) y las versiones de pago permiten firmar en formato XMLDsig/XAdES (X-L) junto con funcionalidades adicionales como una funcionalidad de portafirmas electrónico o correo electrónico seguro S/MIME.

Limitaciones de las versiones

Las versiones gratuitas USER y EDU cuentan con limitaciones, algunas importantes. En el caso de la licencia USER:

Soporta la firma de PDF sólo para tamaños <1Mbyte, aunque permite emplear el formato PAdES.
No soporta el trabajo con servidores OCSP para la consulta del estado revocación de los certificados, ni con servidores TSP para el sellado de tiempo.
No soporta el trabajo con múltiples documentos (portafirmas)

En el caso de la licencia EDU elimina las limitaciones de los ficheros PDF, pero mantiene las demás limitaciones.

La interfaz de usuario de ESecure se ha inspirado en el explorador de ficheros de Windows

El conjunto completo de funcionalidades sólo está disponible en las versiones de pago.

Plataformas

ESecure es compatible solamente con plataformas Windows. El manual menciona que la versión USER puede utilizarse en Linux con WINE, aunque esto supone limitaciones importantes como poder trabajar solamente con ficheros PKCS#12 y las propias de la versión USER.

Posibilidades de Configuración

La aplicación se integra con el almacén de certificados de Windows y permite además importar certificados, soporta tanto ficheros PKCS#12, como librerías PKCS#11 para el uso de tarjetas criptográficas como el DNIe, soporta y dispone de una larga serie de posibilidades de configuración (con los límites según la licencia en cuestión) que permiten una configuración muy detallada de las funcionalidades antes comentadas y que son tantas que sobrepasan por completo el alcance de este artículo, remito al lector interesado al extenso manual que proporciona KSI para ESecure (>300 páginas) para más detalles.

Interfaz, Usabilidad y Documentación

La interfaz se asemeja al explorador de ficheros Windows de XP (mantiene esta apariencia también en Windows 7). Me gusta la idea por la familiaridad que le supone al usuario, aunque no se trata de una integración dentro del auténtico explorador, quizás algo a tener en cuenta para el futuro. De todas formas, favorece que, de alguna manera, la lógica de las operaciones de firma y cifrado se perciba de forma más natural y práctica en el trabajo con el ordenador.

Fortalezas y Debilidades

Entre las principales fortalezas de ESecure se pueden destacar la gran riqueza de su funcionalidad y número de estándares de firma y cifrado soportados que cubre incluso formatos aún no ampliamente soportados como lo es PAdES, una filosofía de interfaz de usuario que le resultará intuitiva a muchos usuarios, aunque necesite quizás una pequeña puesta al día (para asemejarse más a Windows 7) y una enorme capacidad de configuración.

Incluso en funcionalidades como la firma visible (un gráfico que se imprime en el documento como indicativo de que contiene una firma digital) de los documentos PDF permite una configuración muy detallada que en este caso incluye, por ejemplo, un diseñador de los widgets empleados para la firma.

La únicas debilidades claras que he podido encontrar es una política comercial bastante restrictiva que llega a limitar a las versiones de pago incluso en cosas básicas como la validación de los certificados vía OCSP y que la falta de soporte a las plataformas Mac OS y Linux.

XolidoSign

XolidoSign es una herramienta completamente gratuita, sin limitaciones en su funcionalidadcolectivos, ni colectivos de usuarios. Es decir, es 100% legal utilizarla tanto en el sector público como privado. El modelo de negocio de Xolido parece apostar en ese sentido por generar sus ingresos mediante su cartera de servicios en la nube y sus servicios de consultoría y auditoría.

Estándares soportados

La versión probada ha sido la versión 2.1.0.2 que soporta la realización de firmas electrónicas basadas en certificado en los formatos PKCS#7/CMS, CAdES-C y CAdES-XL, PDF signature/PAdES y el sellado de tiempo. En el lado de la validación soporta los siguientes formatos: PKCS#7/CMS, CAdES, XMLDsig, XAdES, PDF signature/PAdES, sellos de tiempo RFC3161 y OASIS XML TST.

En cuanto a los certificados que se pueden utilizar se reconocen tanto certificados en formato PKCS#12 como dispositivos PKCS#11.

Plataformas

XolidoSign soporta solamente la familia Windows, incluyendo las plataformas de 64bits.

Funcionalidades y Posibilidades de Configuración

Dentro de las funcionalidades soportadas habría que destacar que soporta funcionalidades de portafirmas electrónico al poder firmar lotes de documentos a la vez, elegir entre firmas PDF incrustadas o externas, permite la inclusión de una firma visible bastante configurable, y la inclusión de un registro de firmas (como fichero CSV).

La interfaz de usuario de XolidoSign es muy claro y fácil de utilizar

Además se pueden configurar una larga serie de parámetros relacionados con las carpetas de entrada y salida de los documentos, preselección de certificados, parámetros de uso de los certificados y firma (por ejemplo: aceptar o no el uso de certificados caducados para firmas), etc.

Interfaz, Usabilidad y Documentación

El interfaz de usuario de esta herramienta también me ha gustado, es muy diferente a ESecure, pero resulta un planteamiento alternativo muy limpio y sencillo de utilizar.

Hay que destacar además que la Web de XolidoSign me ha resultado extraordinariamente clara, bien organizada y con información muy completa. Permite conocer el producto bastante bien en poco tiempo, sin apenas esfuerzo, hay muchos empresas (y Administraciones) que podrían tomar nota.

A la aplicación la acompaña un manual de usuario de unas 53 páginas que me ha parecido bien redactado y completo. La diferencia en páginas con ESecure refleja en parte que se trata de una herramienta algo más sencilla, aunque lo que hace, lo hace muy bien.

Xolido complementa además este manual con los servicios online como su canal Youtube en el cual se pueden encontrar demos del uso de la herramienta. Otra buena práctica de la que muchas empresas (y Administraciones) deberían tomar nota.

Fortalezas y Debilidades

Al igual que en el caso de ESecure, se trata de una magnífica herramienta y más aún si se tiene en cuenta que es completamente gratuita. Quizás su único “punto débil” sea que, en comparación con ESecure, tiene una funcionalidad algo más limitada (por ejemplo, no firma en XAdES ni tiene funcionalidades de cifrado). Sin embargo, la funcionalidad debería ser suficientemente completa para la enorme mayoría de usuarios y a cambio no sufre las limitaciones en puntos básicos que adolecen las versiones gratuitas de ESecure.

Por lo demás comparte con ESecure la misma carencia, incluso un poco más acusada, en cuanto a falta de soporte de Mac OS y Linux.

Por si fuera poco que una herramienta tan completa sea completamente gratis, en la versión probada (publicada hace apenas unas semanas) incluye como novedad un servicio gratuito de sellado de tiempo basado entidades reconocidas. He podido comprobar que ya vienen preconfiguradas concretamente las autoridades ACCV e IZENPE.

Se trata sin duda de una prestación con un gran valor añadido que hace la herramienta, si cabe, aún más completa.

Por otra parte, me parece muy positivo que Xolido haya cuidado tanto su excelente Web como su presencia en las redes sociales Facebook y Twitter y disponga de un canal Youtube con vídeos de presentaciones y demos del producto. Creo que en esta parte está muy por delante de su competencia.

Aquí dejo un vídeo de demo:

Conclusiones

Ambas herramientas me parecen buenos productos, aunque con filosofías bastante diferentes, suficientemente completos y potentes para cubrir en la práctica las necesidades de usuario en el trabajo ad hoc en la firma electrónica basada en certificado de documentos PDF y otros formatos. La decisión de elegir una u otra será más cuestión de los requerimientos concretos del cliente que de la superioridad de una frente a otra. En cualquier caso, ambas son muy superiores a las vistas en el primer artículo de esta serie.

Me ha llamado la atención la política comercial que KSI sigue con ESecure: habiendo herramientas completamente gratuitas del calibre de XolidoSign, introducir de restricciones tan importantes como limitar el protocolo OCSP a las versiones comerciales me parece una política arriesgada, ya que es muy fácil que un potencial cliente, especialmente si no es muy experto en la materia, se incline ante los primeros inconvenientes directamente por una alternativa como XolidoSign sin llegar a probar ni siquiera Esecure.

Tampoco ayuda que los diferentes niveles de limitaciones que tiene cada una de las versiones de ESecure dificultan entender bien las posibilidades del producto. De hecho, ha sido un factor importante que me ha dificultado y retrasado este artículo que, a priori, era bastante sencillo de hacer.

Me parece una pena que KSI corra ese riesgo comercial cuando ofrecen un buen producto que cuenta frente a sus alternativas con factores diferenciales como reunir en una sola herramienta todos los formatos de firma importantes, incluyendo XAdES y PAdES.

Siendo XolidoSign un producto más limitado funcionalmente, creo que han tenido un gran acierto en ofrecer un producto gratuito que satisface muy bien lo que a día de hoy un usuario puede necesitar hacer con documentos PDF. Xolido acompaña a su producto además de una Web atractiva y fácil de entender y aprovecha también los nuevos canales como las redes sociales y Youtube. Xolido ofrece todo lo importante y ha sabido añadir un envoltorio atractivo, lo cual puede ser una clave importante para que triunfe en la Administración y sector privado.

Finalmente, dada la creciente importancia de sistemas operativos que no sean Windows, como los propios de Apple y las variantes de Linux (incluyo Android en el saco) creo que ambos fabricantes deberían atacar este objetivo a corto/medio plazo para que sus productos queden realmente “redondos”.

6 Herramientas gratuitas para firmar electrónicamente Documentos PDF – Parte I: PDFCreator y ClickSign

Alberto — Wed, 19 Oct 2011 18:50:44 +0000

Si hay un formato de documento electrónico que se ha consolidado como la opción interoperable y profesional por excelencia para el intercambio de estos documentos, tanto en el sector público como en el privado, lo es sin duda el formato PDF. No importa que un usuario utilice la plataforma Windows, Mac OS o incluso Linux o cualquiera de las plataformas móviles, está perfectamente soportado en prácticamente todas.

Inventado por la empresa Adobe, su gran interoperabilidad, su carácter de estándar abierto, su calidad y la disponibilidad de lectores gratuitos en las diversas plataformas, han hecho que Internet haya actuado como un catalizador para su éxito que lo convirtió en un estándar de facto que ha acabado evolucionando hacia un estándar de iure cuya versión más actual es la norma ISO 32000-1:2008.

Para la Administración ha resultado ser un formato de documento electrónico particularmente adecuado por su soporte nativo para firmas electrónicas basadas en certificado electrónico, incrustadas dentro del propio documento.

La simplicidad de que la firma pueda estar embebida dentro del propio fichero PDF y de nuevo, el hecho de que Adobe proporcione también un lector gratuito, Adobe Reader, que sea capaz de detectarlas y validarlas ha sido un hecho muy favorable a la extensión del uso de documentos PDF firmados electrónicamente. Así cualquier usuario puede descargarse, por ejemplo, los boletines del BOE en formato PDF y validar su firma electrónica (sello electrónico en este caso).

Las Licencias de Pago como una Barrera más al uso de la Firma electrónica de Documentos PDF

No obstante, este bonito cuadro siempre ha visto afeado por una gran mancha: Adobe Reader no permite realizar firmas electrónicas (salvo en formularios PDF preparados para ello), sólo permite validarlas. La opción de la casa, la familia Acrobat, es de pago, lo cual, aunque su licencia no es muy cara, en la práctica ha supuesto una barrera de entrada más y por tanto un freno más a la utilización masiva de la firma electrónica en el intercambio de documentos en la Administración y entre Administración y ciudadanos.

Cuando aparecen licencias software también se dificulta considerablemente la iniciativa desde las bases, la iniciativa de los propios usuarios. Esto es importante porque en la práctica los (pocos) usuarios/funcionarios con conocimiento, inquietudes e interés en innovar y probar nuevas herramientas son una fuente de innovación e impulso muy valiosa en cualquier organización, ya sea pública o privada.

El popular generador de PDFs PDFCreator también incluye funcionalidades de firma electrónica

Hace años que existen alternativas como, por ejemplo, PDFCreator, que son gratuitas o “casi” gratuitas. Pero hasta hace poco la oferta era muy pobre: productos poco usables, disponibles solamente en el idioma inglés, etc.

Por suerte, la situación ha cambiado y mucho en los últimos tiempos. Ha habido bastante movimiento en cuanto a nuevos y atractivos productos, disponibles en castellano y además gratis. En este artículo voy a hacer una pequeña presentación de algunas de las opciones más interesantes, no pretende ser una comparativa en profundidad, simplemente un artículo práctico y muy sintetizado para dar un pequeño repaso orientativo a la oferta actual de este tipo de herramientas con un pequeño cuadro resumen de sus principales características que se incluirá en la segunda parte del artículo.

Si alguien echa en falta alguna herramienta en este listado, le animo a que haga un comentario proponiendo la inclusión de dicha herramienta. Eso sí, la condición es que exista, al menos, una versión gratuita, aunque sea limitada, de la herramienta.

Alternativas gratuitas actuales

PDFCreator

La herramienta PDFCreator es todo un “clásico”, una herramienta que se distribuye bajo licencia GNU GPL de software libre ha sido (y sigue siendo) una de las alternativas más populares a Adobe Acrobat para crear documentos PDF. Se instala como driver de impresora de modo que “engaña” al ordenador cuando se imprime a través de esta impresora, por ejemplo, desde Word, Excel o un navegador: el driver en vez de imprimir, canalizará el proceso de impresión para crear el documento PDF.

Aunque en la actualidad en MS Office (a partir de la versión 2007) y en OpenOffice/LibreOffice se pueden guardar los documentos directamente en formato PDF, PDFCreator sigue siendo una herramienta de creación de documentos PDF interesante gracias a su madurez y posibilidades de ajustes de los documentos generados.

Sin embargo, el soporte a la firma basada en certificado es muy básico, no se pueden validar los documentos firmados, no se integra con el almacén de certificados del sistema operativo, no soporta tarjetas criptográficas como el DNIe y utiliza malas prácticas como leer los certificados del usuario directamente de ficheros de intercambio de información personal PKCS#12 (extensiones .pfx/.p12) en vez del almacén de certificados.

Por todas estas razones se puede decir que no es una opción muy adecuada para la firma electrónica basada en certificado electrónico y como veremos actualmente existe hay una buena oferta de alternativas mucho mejores. Su inclusión en este artículo obedece en realidad a su gran difusión y en resaltar precisamente que para la creación de las firmas se deberían utilizar las alternativas que iremos viendo.

ClickSign

Uno de los puntos fuertes de ClickSign es su integración en el explorador de ficheros del sistema operativo

ClickSign es una herramienta de la empresa Isigma. Se trata de una herramienta que ya resulta bastante completa y que no adolece ninguno de los puntos criticados anteriormente en PDFCreator.

La herramienta cuenta con posibilidades de configuración avanzadas que permiten ajustar cosas como los modo attached/detached de la firma, la inclusión de una firma visible (un gráfico con información de la firma, visible en el documento), integración de diferentes dispositivos PKCS#11 y el CryptoAPI de Windows, sello de tiempo, Multifirma, etc.

En cuanto al uso de la misma se ha seguido además una filosofía de usabilidad que me gusta particularmente: para firmar un documento no hace falta arrancar la aplicación, sino que se integra en el explorador de Windows como un menú más (véase la captura).

Sin embargo, la herramienta tiene también una gran pega: la versión gratuita se encuentra muy limitada y añade además una marca de agua comercial a los documentos firmados lo cual, en la práctica, la hace inservible para su utilización en el sector público y también en el privado, salvo que se adquiera la licencia de pago.

Más en la segunda Parte

Esto es todo por hoy, en la segunda parte hablaremos de las herramientas ESecure, XolidoSign, el cliente Standalone de @firma y la herramienta eCoFirma del Ministerio de Industria, Turismo y Comercio.

Usar Acrobat Reader con documentos firmados electrónicamente

Alberto — Wed, 25 Nov 2009 16:29:26 +0000

En la Administración electrónica es cada vez más frecuente el uso de documentos PDF firmados electrónicamente. Un ejemplo reciente es la Orden EHA/2784/2009, de 8 de octubre, por la que se regula la interposición telemática de las reclamaciones económico-administrativas, dónde se establece como formato obligatorio para los acuses de recibo devueltos al ciudadano.

Adobe Acrobat Reader incorpora un soporte completo a la firma electrónica, pero desafortunadamente la enorme mayoría de los usuarios desconocen cómo configurar esta aplicación para que valide las firmas electrónicas de aquellos documentos que las incluyen, algo que es realmente una pena porque bien configurado el Reader no solamente comprueba que la firma está basada un certificado entre los habitualmente reconocidos sino que es incluso capaz de consultar vía OCSP en el acto si el certificado usado en la firma sigue vigente en el momento que se abre el documento.

Como las cosas hay que procurar no reinventarlas, no explicaré aquí como se configura correctamente, sino que me limitaré a recomendar la guía que publicada el BOE para la configuración de la validación de sus boletines. Se explica en detalle cómo configurar Adobe Acrobat para que sea capaz de validar la firma, el sello de tiempo si el documento lo incluye, y habilitar la consulta vía OSCP del estado de revocación del certificado.

Lógicamente se ciñe al caso del BOE que desde 1 de enero de este año publica sus boletines en el formato PDF/A (ISO 19005) y con firma electrónica, pero se extrapola fácilmente a firmas realizadas en base a certificados emitidos por otras autoridades de certificación que no sean la FNMT.

En cierto modo casi recomiendo esta guía casi más por el valor didáctico que tiene configurar una validación completa de una firma electrónica con consulta OCSP incluida como ésta para documentos PDF que la necesidad práctica que tiene un particular de validar los documentos de una fuente con el grado de fiabilidad del BOE u otros organismos públicos. Además de alguna manera a quien no lo haya visto antes seguramente le producirá un cierto grado de fascinación ver cómo se valida en tiempo real la firma contra el proveedor del certificado electrónico de la misma (se puede ver cuando el Reader al dar por buena la firma incluye la fecha y hora de la respuesta OSCP en su panel de firma electrónica).

La guía tiene 24 páginas, pero con un poco de paciencia se siguen rápidamente sus instrucciones en unos 20-30 minutos y el resultado merece sin duda la pena.

Nota del 05/02/2009:

Este tema se ha incluido en la primera edición del Manual Práctico de Supervivencia en la Administración Electrónic@, se puede encontrar en la página 42.