Para una empresa que intercambia documentos entre Estados Unidos y América Latina, conviene separar dos preguntas: si los archivos son realmente iguales y qué valor jurídico tiene una firma. El 23 de febrero de 2017, investigadores de Google y CWI anunciaron dos PDF con contenidos distintos que producían el mismo resumen SHA-1. Ese resumen es un valor calculado a partir del archivo; la coincidencia demostrada se denomina colisión. [announcing-first-sha1-collision]
La demostración utilizó una estructura preparada para crear ambos documentos. No acreditó que cualquiera pudiera modificar a voluntad un contrato ya firmado. Por eso, comparar únicamente sus valores SHA-1 no resuelve todas las dudas sobre los archivos intercambiados. Tampoco estas fuentes determinan la validez de una firma electrónica en México, Estados Unidos ni otro país: la cuestión jurídica exige evidencia local distinta. [announcing-first-sha1-collision]
El acceso a una página web plantea otra revisión. En su aviso del 16 de noviembre de 2016, Google había previsto retirar la confianza en certificados SHA-1 de autoridades públicas mediante el proceso de lanzamiento de Chrome 56. Para certificados vinculados a raíces instaladas localmente contemplaba una excepción empresarial temporal. Esta no podía anular el rechazo de SHA-1 por la biblioteca criptográfica del sistema operativo. El aviso no demuestra cómo funcionaba cada equipo el 23 de febrero. [sha-1-certificates-in-chrome]
En ese intercambio transfronterizo hipotético, la tarea práctica es identificar si el problema está en la comparación de documentos o en el certificado del sitio utilizado para acceder a ellos. Cambiar uno no acredita haber resuelto el otro. Los dos textos proceden de Google, aunque el anuncio de investigación incluye a CWI; no son comprobaciones independientes. Conviene pedir al proveedor una explicación específica del control aplicado al archivo y del certificado, sin convertir una respuesta técnica en una conclusión jurídica regional. [announcing-first-sha1-collision][sha-1-certificates-in-chrome]
Documentos fuente
- Announcing the first SHA1 collisionhttps://security.googleblog.com/2017/02/announcing-first-sha1-collision.html
- SHA-1 Certificates in Chromehttps://security.googleblog.com/2016/11/sha-1-certificates-in-chrome.html