La firma digitale, tanto quella "leggera" quanto quella "pesante", si basa su di un sistema cosiddetto a "chiavi asimmetriche" (o a "chiave pubblica" o a "doppia chiave"), in pratica due serie di caratteri alfanumerici, appositamente generati, di cui una conosciuta dal solo firmatario (chiave segreta), e l'altra conoscibile da chiunque (chiave pubblica). La chiave segreta è necessaria ad apporre la firma, la chiave pubblica a verificare che il documento provenga effettivamente dal titolare.

La sicurezza di un simile sistema risiede nel fatto che ad ogni chiave pubblica corrisponde una sola chiave privata, e che, con la conoscenza della sola chiave pubblica, è quasi impossibile riuscire a risalire alla chiave privata.

Per garantire la corrispondenza tra "chiave pubblica" e "chiave privata" nonché la titolarità delle chiavi in capo al soggetto firmatario, si ricorre ad un Ente Certificatore (ad es. InfoCamere o Poste Italiane), un soggetto terzo il cui compito istituzionale è appunto quello di garantire la certezza della titolarità delle chiavi pubbliche (attraverso dei cosiddetti " certificati") e di rendere conoscibili a tutti le chiavi pubbliche (attraverso un elenco telematico).