¿Qué es PKI y por qué importa para las firmas digitales?

La entidad de confianza que emite certificados digitales. La CA verifica la identidad de los solicitantes de certificados, emite certificados, mantiene un directorio de certificados válidos y revoca certificados cuando se ven comprometidos o expiran.

Un componente opcional que maneja la verificación de identidad en nombre de la CA. La RA recopila y verifica documentos de identidad pero no emite certificados directamente. En algunos sistemas, la CA realiza ambas funciones.

Cuando un certificado se ve comprometido o ya no es válido, debe ser revocable. Las Listas de Revocación de Certificados (CRL) son listas periódicas de certificados revocados. OCSP (Protocolo de Estado de Certificado en Línea) proporciona un estado de revocación en tiempo real. Ambos se verifican durante la validación de la firma.

Un certificado es confiable porque es emitido por una CA, que es confiable porque está acreditada por una CA raíz o un marco nacional de confianza. Esta cadena de confianza — CA raíz → CA intermedia → certificado de usuario final — es lo que permite que las firmas basadas en PKI sean verificables por cualquier persona.

HSM (Módulo de Seguridad Hardware) de nivel FIPS 140-2 3: $8,000-25,000 por unidad. HSM en la nube (AWS KMS, Azure Key Vault): $1-3 por clave/mes + $0.03 por 10K operaciones. eSign.AI gestiona la infraestructura de HSM internamente, eliminando este costo para los clientes. Una implementación típica de PKI para empresas requiere 2-4 HSM (producción + DR + staging).

Firma RSA 2048 en HSM: 50-200 ms por operación. Firma ECC P-256 en HSM: 5-30 ms. Verificación RSA 2048: 1-3 ms. Validación de la cadena de certificados (3 niveles): 10-50 ms incluyendo la verificación de CRL. A 100 firmas/segundo sostenidas, RSA 2048 requiere 3-5 instancias de HSM; ECC P-256 requiere 1.

El eslabón más débil en PKI es la gestión de claves, no la criptografía. Fallas comunes: clave privada almacenada en software (no HSM), cuentas de servicio compartidas con claves de firma, insuficiente rotación de claves y falta de control dual para operaciones de claves. eSign.AI impone el almacenamiento de claves solo en HSM y aprobación multipartita para todas las operaciones de firma por valor superior a $100K.

Construir su propia PKI requiere: hardware HSM ($8K-25K por unidad, 2-4 para producción+DR), software CA (OpenSSL es gratuito, CA empresarial como Microsoft ADCS cuesta $3K-15K en licencias), experiencia en PKI (2-3 ingenieros de seguridad a tiempo completo), auditoría y costos de cumplimiento continuos. Adecuado para grandes empresas con >100K firmas/año y requisitos estrictos de soberanía de datos. No recomendado para PYMES — el costo total de propiedad excede los precios de los servicios gestionados por debajo de ~50K firmas/año.

Los servicios gestionados como eSign.AI manejan HSM, CA, emisión de certificados, revocación, sello de tiempo y rastros de auditoría como una oferta paquetizada. Ventajas: no se necesitan gastos de capital, no se requiere experiencia en PKI, implementación más rápida, cumplimiento integrado con eIDAS/ETO/ETA. Desventajas: menor control sobre políticas de gestión de claves, posible bloqueo del proveedor, costos por transacción en volúmenes altos. La mayoría de las empresas de APAC eligen servicios gestionados porque las asociaciones con CA locales (Singpass, iAM Smart, PSrE) son difíciles de replicar internamente.

Algunas empresas operan un modelo híbrido: utilizan un servicio gestionado para la mayoría de las firmas, pero mantienen una CA local para casos de uso específicos (documentos clasificados internos, presentaciones gubernamentales que requieren una CA doméstica). eSign.AI admite este modelo a través de su API, las organizaciones pueden utilizar su propia CA para ciertos tipos de documentos mientras utilizan las asociaciones gestionadas de QTSP de eSign.AI para otros.