Códigos QR con Firma Digital: Cómo un Código Demuestra que No Es Falso

Qué es

Un código QR con firma digital lleva los datos habituales — un nombre, una fecha, un número de serie, un conjunto de afirmaciones — más una firma criptográfica creada con la clave privada del emisor. Escanéalo con la app adecuada y esta puede confirmar dos cosas: quién creó el código y que nada en él ha cambiado desde que se firmó.

Un código QR normal no ofrece eso. Es solo datos que cualquiera puede generar, incluida una pegatina falsa colocada sobre un código real en un parquímetro o un menú. Una firma cierra esa brecha.

Cómo funciona realmente

Firmar: datos más una clave privada. Una autoridad emisora — una agencia gubernamental, un sistema de salud, un fabricante — codifica los campos relevantes en el código y luego firma esos datos con una clave privada que solo ella posee. ISO 22376 estandariza este patrón como un Sello Digital Visible (VDS): un formato de datos para llevar información firmada y verificable en un código de barras 2D en cualquier documento u objeto, diseñado para complementar — no reemplazar — la especificación VDS-NC de la ICAO para documentos de viaje y salud.

Verificar: una clave pública, sin necesidad de conexión en vivo. No hace falta contactar al emisor. Una app lectora tiene — o ya ha descargado — la clave pública del emisor, y la usa para comprobar la firma localmente. Como la matemática solo funciona en una dirección, una firma válida solo pudo haber venido de la clave privada correspondiente. Cambiar un solo carácter de los datos codificados la invalida al instante. Eso es lo que hace detectable la manipulación silenciosa: edita una fecha o un nombre en un código firmado, y la comprobación falla en el momento en que alguien lo escanea.

Un ejemplo real ya implementado. El Certificado COVID Digital de la UE funciona así. Sus datos se convierten a CBOR, se firman con ECDSA bajo el marco COSE, se comprimen, se codifican en Base45 y se convierten en un código QR. Las apps verificadoras lo comprueban completamente sin conexión, comparando la firma con una clave pública que cada país emisor distribuyó de antemano a través de una puerta de enlace compartida — sin llamada de red en el momento del escaneo.

Dónde lo verás realmente

Los códigos firmados aparecen donde un escaneo necesita servir también como prueba, no solo como enlace. Los documentos de viaje y salud bajo el estándar VDS-NC de la ICAO fueron el primer gran despliegue. Las licencias de conducir móviles usan un modelo relacionado, permitiendo que el código QR del teléfono actúe como una identificación física en la que un escáner puede confiar sin llamar a la base de datos de un organismo de tránsito. ISO 22376 extiende la misma idea a la autenticación de productos y las etiquetas de la cadena de suministro, así que es de esperar que se extienda aún más en los próximos años.

Vale la pena separar esto de los problemas de códigos QR con los que la mayoría de la gente se topa en realidad. El quishing — un código falso que redirige a un sitio de phishing — explota la confianza en una URL sin firmar. Un código firmado lleva datos estructurados verificados contra una firma, normalmente sin ningún enlace en el que se pueda hacer clic. Ataque distinto, solución distinta.

Consejos, trucos y cómo hacerlo con QRDock

Una firma prueba el origen y la integridad, no que la afirmación subyacente sea cierta. Esa distinción importa. Investigaciones de fraude relacionadas con certificados de COVID-19 en Italia, Francia y Grecia encontraron casos donde la criptografía funcionó a la perfección, pero el certificado en sí era falso — en Francia, a través de trabajadores de la salud con acceso legítimo a la base de datos; en Grecia, a través de un médico que emitió certificados para vacunaciones que nunca ocurrieron. Una app verificadora habría dicho "esta firma es válida", porque lo era. El fraude ocurrió en el momento de la emisión, no en la criptografía.

Para la mayoría de los escaneos cotidianos, la firma tipo VDS no es lo que te vas a encontrar — es mucho más probable que te topes con un código normal que ha sido cambiado o que apunta a algún lugar al que no debería. El escáner de QRDock marca destinos sospechosos y te permite inspeccionar los datos sin procesar de un código antes de confiar en él, lo que detecta la manipulación con la que la gente realmente lidia día a día.

Preguntas frecuentes

¿Un código QR con firma digital está encriptado?

No. Firmar y encriptar son cosas distintas. Los datos de un código firmado suelen seguir siendo legibles por cualquiera que lo escanee — la firma solo prueba quién lo firmó y que no ha cambiado, no que sea secreto.

¿Puede alguien copiar un código QR con firma digital?

Puede copiar la imagen, pero no falsificar uno nuevo. Copiar un código legítimo simplemente reproduce la misma firma válida para los mismos datos — no permite cambiar un nombre, una fecha o una cantidad y seguir pasando la verificación.

¿Necesito conexión a internet para verificar un código QR firmado?

No. Las apps de verificación llevan o descargan la clave pública del emisor de antemano, así que comprobar una firma es un cálculo local, sin conexión — ese es todo el sentido del diseño.

¿Una firma digital detiene todo el fraude con códigos QR?

No. Detiene la manipulación después de emitido el código, pero no puede detectar que un emisor legítimo firme datos falsos por error o por abuso interno — casos reales de fraude han explotado ese vacío, no la criptografía en sí.

Conclusión

Un código QR con firma digital prueba dos cosas concretas: quién lo emitió y que nada ha cambiado desde entonces. Esa prueba viene de una firma con clave privada que cualquier verificador puede comprobar sin conexión, usando la clave pública del emisor — sin necesidad de llamar a ningún servidor. A medida que el VDS-NC de la ICAO y el nuevo estándar ISO 22376 se extienden a identificaciones, etiquetas de productos y certificados, es una garantía notablemente distinta de la que ofrecen los códigos QR que la mayoría escaneamos a diario.