{"id":14796,"date":"2026-08-05T01:50:45","date_gmt":"2026-08-05T08:50:45","guid":{"rendered":"https:\/\/omnitrust.com\/blog\/firma-nativa-de-ilm-y-sellado-de-tiempo-rfc-3161\/"},"modified":"2026-09-21T01:53:19","modified_gmt":"2026-09-21T08:53:19","slug":"firma-nativa-de-ilm-y-sellado-de-tiempo-rfc-3161","status":"publish","type":"post","link":"https:\/\/omnitrust.com\/es\/blog\/firma-nativa-de-ilm-y-sellado-de-tiempo-rfc-3161\/","title":{"rendered":"Firma nativa de ILM y sellado de tiempo RFC 3161"},"content":{"rendered":" \n

Resumen:<\/strong> ILM ahora realiza por s\u00ed mismo la firma y el sellado de tiempo RFC 3161, con perfiles de firma, registros por operaci\u00f3n y endpoints autenticados de sellado de tiempo. Eso significa un inventario, un modelo de autorizaci\u00f3n y una pista de auditor\u00eda \u00fanicos para certificados, claves, secretos, firmas y sellos de tiempo.<\/p> \n\r\n

\u00a0<\/div>\r\n\r\n
\n

La firma y el sellado de tiempo suelen pertenecer al sistema de otra persona. Por eso nadie puede responder, con una sola consulta, qu\u00e9 operaciones criptogr\u00e1ficas realiz\u00f3 una organizaci\u00f3n el mes pasado.<\/p> \n<\/div>\r\n\r\n

\u00a0<\/div>\r\n \n

Pregunte a un equipo de seguridad d\u00f3nde est\u00e1n sus certificados y normalmente obtendr\u00e1 una respuesta clara. Pregunte d\u00f3nde est\u00e1n sus claves de firma, qui\u00e9n las utiliz\u00f3 la semana pasada y qu\u00e9 autoridad de sellado de tiempo marc\u00f3 el resultado, y la respuesta llegar\u00e1 fragmentada. Los certificados est\u00e1n en una plataforma. La firma se ejecuta en otra. El sellado de tiempo es una URL que alguien configur\u00f3 hace a\u00f1os.<\/p> \n \n

Ninguno de esos sistemas est\u00e1 mal por s\u00ed solo. Sin embargo, las uniones entre ellos son el lugar donde la gobernanza falla silenciosamente. Cada sistema tiene su propio modelo de identidad, su propio formato de registro y su propia idea de lo que un operador puede hacer.<\/p> \n \n

ILM ha ido cerrando esas brechas durante varias versiones. Primero llegaron los certificados, despu\u00e9s las claves criptogr\u00e1ficas, luego los secretos y despu\u00e9s las listas de materiales criptogr\u00e1ficos. La firma y el sellado de tiempo son las incorporaciones m\u00e1s recientes y son, precisamente, las que con mayor frecuencia viven fuera de la plataforma.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Los perfiles de firma definen c\u00f3mo; los registros de firma demuestran qu\u00e9<\/h2> \n \n

La firma en ILM comienza con un perfil de firma. El perfil es donde reside la configuraci\u00f3n: qu\u00e9 clave, bajo qu\u00e9 perfil de token y con qu\u00e9 restricciones. Como el perfil es un objeto gestionado, hereda el modelo de autorizaci\u00f3n de la plataforma en lugar de definir uno privado.<\/p> \n \n

Despu\u00e9s viene la parte que lo hace operable. Cada operaci\u00f3n de firma produce un registro de firma. Cada perfil de firma expone un endpoint que enumera sus registros, y el panel de la plataforma muestra estad\u00edsticas de firma junto con las cifras de certificados y claves que ya estaban all\u00ed.<\/p> \n \n

Por consiguiente, \u00abqui\u00e9n firm\u00f3 qu\u00e9, cu\u00e1ndo y con qu\u00e9 clave\u00bb es una consulta en lugar de una investigaci\u00f3n. Esa diferencia importa durante una auditor\u00eda y a\u00fan m\u00e1s durante un incidente. En la pr\u00e1ctica, una capacidad de firma que no puede producir su propio historial es una capacidad que no puede defenderse.<\/p> \n \n

ILM tambi\u00e9n implementa la API de Cloud Signature Consortium como un componente independiente, para que los clientes de firma remota compatibles con CSC dispongan de una v\u00eda est\u00e1ndar de acceso.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Sellado de tiempo que habla el est\u00e1ndar que ya hablan sus herramientas<\/h2> \n \n

Una firma sin una referencia temporal de confianza es m\u00e1s d\u00e9bil de lo que parece. Una vez que expira el certificado de firma, resulta dif\u00edcil verificar que la firma exist\u00eda mientras el certificado era v\u00e1lido. Por tanto, el sellado de tiempo no es un complemento opcional de la firma; forma parte de hacer que una firma sea duradera.<\/p> \n \n

ILM gestiona el sellado de tiempo mediante perfiles TSP y un motor administrado de sellado de tiempo. El motor realiza la operaci\u00f3n y endpoints RFC 3161 invocables la exponen. Como esos endpoints siguen el est\u00e1ndar, los clientes existentes y las herramientas de compilaci\u00f3n funcionan sin modificaciones.<\/p> \n \n

El acceso se controla correctamente en lugar de depender de la posici\u00f3n en la red. Los perfiles TSP incluyen m\u00e9todos de autenticaci\u00f3n y credenciales Basic, y un filtro de autenticaci\u00f3n dedicado se sit\u00faa delante de los endpoints de sellado de tiempo. Adem\u00e1s, una cach\u00e9 de perfiles TSP mantiene la b\u00fasqueda del perfil fuera de la ruta de la solicitud, algo importante cuando un pipeline sella miles de artefactos.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Qu\u00e9 aporta realmente la consolidaci\u00f3n<\/h2> \n \n

Es f\u00e1cil afirmar que se consolida una plataforma y tambi\u00e9n es f\u00e1cil exagerarlo. As\u00ed que aqu\u00ed est\u00e1 la versi\u00f3n concreta, expresada como diferencias en lugar de adjetivos.<\/p> \n \n

\n \n \n \n \n \n \n \n \n \n
Aspecto<\/th> \nSistemas separados<\/th> \nUna sola plataforma<\/th> \n<\/tr> \n<\/thead> \n
Inventario<\/td> \nCertificados aqu\u00ed, claves de firma all\u00ed, configuraci\u00f3n de sellado de tiempo en otro sitio<\/td> \nUn \u00fanico inventario que cubre certificados, claves, secretos, firmas y sellos de tiempo<\/td> \n<\/tr> \n
Autorizaci\u00f3n<\/td> \nCada sistema tiene sus propios roles y su propia definici\u00f3n de operador<\/td> \nUn \u00fanico modelo de autorizaci\u00f3n, incluido un rol de auditor de solo lectura<\/td> \n<\/tr> \n
Pista de auditor\u00eda<\/td> \nVarios formatos de registro, correlacionados manualmente despu\u00e9s de los hechos<\/td> \nRegistros de firma e historial de eventos en el mismo lugar que el historial de certificados<\/td> \n<\/tr> \n
Custodia de claves<\/td> \nClaves duplicadas o exportadas para llegar al servicio de firma<\/td> \nLas claves permanecen bajo su perfil de token; la firma hace referencia a ellas<\/td> \n<\/tr> \n
Informes<\/td> \nRespuestas parciales por sistema<\/td> \nEstad\u00edsticas del panel para todas las operaciones<\/td> \n<\/tr> \n<\/tbody> \n<\/table> \n
Qu\u00e9 cambia cuando la firma y el sellado de tiempo pasan a la plataforma que ya alberga las claves.<\/figcaption> \n<\/figure> \n \n

La fila de custodia de claves merece una pausa. Siempre que un servicio de firma vive fuera del sistema que gestiona las claves, algo tiene que cruzar el l\u00edmite. Normalmente ese algo es la clave o una copia de ella. Mantener la firma junto a la gesti\u00f3n de claves elimina la necesidad de ese traslado.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

D\u00f3nde est\u00e1n los l\u00edmites reales<\/h2> \n \n

La consolidaci\u00f3n no es lo mismo que el reemplazo, y preferimos ser precisos al respecto.<\/p> \n \n

ILM no reemplaza un m\u00f3dulo de seguridad de hardware. Las claves siguen viviendo donde su pol\u00edtica diga que deben vivir, e ILM hace referencia a ellas mediante un perfil de token. Del mismo modo, ILM no decide su pol\u00edtica de firma ni sus elecciones de algoritmos criptogr\u00e1ficos. Les proporciona un \u00fanico lugar donde configurarse y un \u00fanico registro de su aplicaci\u00f3n.<\/p> \n \n

Tampoco trasladar la firma a la plataforma elimina la necesidad de servicios de confianza cualificados cuando la regulaci\u00f3n los exige. Si un caso de uso requiere un sello de tiempo cualificado de un proveedor cualificado, ese requisito no cambia porque su plataforma tambi\u00e9n pueda sellar tiempos.<\/p> \n \n

\n
\n

Un paraguas es \u00fatil porque cubre todo a la vez, no porque sustituya al cielo.<\/p> \n<\/blockquote> \n<\/figure> \n\r\n

\u00a0<\/div>\r\n \n

Primeros pasos<\/h2> \n \n

Si ya utiliza ILM, ambas capacidades son configuraci\u00f3n en lugar de despliegue. Cree un perfil de firma sobre un perfil de token existente y cree un perfil TSP con un m\u00e9todo de autenticaci\u00f3n. Despu\u00e9s, apunte un cliente al endpoint RFC 3161 y compruebe que aparece un registro de firma.<\/p> \n \n

Si est\u00e1 evaluando ILM, la firma y el sellado de tiempo son un punto razonable para empezar precisamente porque suelen estar separados. Config\u00farelos junto con unos cuantos certificados y observe si un \u00fanico panel puede responder preguntas que antes requer\u00edan tres sistemas.<\/p> \n\r\n

\u00a0<\/div>\r\n
\r\n
\u00a0<\/div>\r\n\r\n
\n

Puntos clave<\/h3> \n\r\n\r\n \n