search

Cristrian / cyber-signature

Digital signature CLI
MIT License
2 stars 0 forks source link

Revisar la seguridad del sistema #7

Open jbbenavidesr opened 1 year ago

jbbenavidesr commented 1 year ago

Este sistema que genera siempre el par de llaves no es tan seguro porque yo puedo interceptar el documento, modificarlo, volverlo a firmar y mandarle el nuevo documento al receptor.

Dado que la llave publica que va en el documento no está asociada al autor de ninguna forma, no existe manera de validar que efectivamente sea quien dice ser.

jbbenavidesr commented 1 year ago

Se me ocurren dos soluciones:

  1. Que el sistema no genere el par de llaves con las que se va a firmar y que la llave publica no vaya en la metadata sino como archivo aparte. Esto permite que el autor comparta su llave publica por algun otro medio que sea seguro y ya el receptor la tiene y puede validar que el documento efectivamente vaya firmado por esa llave.
  2. Generar algun sistema más complejo con base de datos y autenticación en el que la firma incluya algun token asociado al autor, de forma que el sistema pueda validar que efectivamente es quien dice ser. (Una especie de json web token)