Cifrado de sobre
El cifrado de sobre separa la clave de datos de la que la protege. El archivo cifrado y su clave de datos envuelta deben gestionarse juntos.
Proteger los datos y su clave por separado
El cifrado de sobre cifra los datos con una clave de cifrado de datos, llamada Data Encryption Key o DEK. Otra clave, la Key Encryption Key o KEK, cifra esa DEK. Esta segunda operación también se llama wrapping o envoltura. La DEK cifrada puede almacenarse junto a los datos cifrados; la KEK se protege por separado.
Un portal ficticio de documentos cifra el archivo document-42 con una DEK generada para él. Hace que una KEK de su servicio de gestión de claves envuelva esa DEK. Junto al documento guarda el archivo cifrado, la DEK envuelta y la referencia de clave necesaria. No guarda allí de forma persistente la DEK sin cifrar.
Tener en cuenta ambas capas al leer
Para abrir el archivo, la aplicación necesita acceso al archivo cifrado y a la DEK envuelta. Con el permiso adecuado en el servicio de gestión de claves, puede desenvolver la DEK y utilizarla para descifrar el archivo. Los permisos de uso de claves y la gestión de la DEK disponible en memoria siguen siendo relevantes para la seguridad.
Una copia robada de los datos con su DEK envuelta no equivale a acceder a la KEK protectora. Sin embargo, si un atacante consigue además permisos suficientes para desenvolverla, la separación puede perder su efecto protector. Por tanto, la construcción no sustituye el control de acceso. Una rotación posterior de la KEK también debe determinar qué claves envueltas y versiones antiguas siguen siendo necesarias.
Fuentes
Términos relacionados
- Rotación de clavesLa rotación introduce nuevo material de clave. Hay que determinar qué versiones de clave siguen necesitando los datos antiguos y las copias para poder descifrarse.
- Registro de auditoríaUn registro de auditoría permite seguir eventos importantes de la aplicación. El actor, la acción, el objeto afectado y el resultado deben leerse juntos.
- Política de conservación de datosUna política de conservación define la finalidad, el inicio, la duración y el fin del almacenamiento. Los trabajos de borrado y las copias requieren medidas técnicas.
- Minimización de datosLa minimización limita los datos personales a lo adecuado, pertinente y necesario para una finalidad definida.
- Salado de contraseñasEl salado da a cada nuevo hash de contraseña un valor aleatorio propio. El salt se almacena junto al hash y no necesita ser secreto.
- Argon2Argon2 es una familia de funciones hash de contraseñas con uso intensivo de memoria. La variante, la memoria y la duración deben encajar con la seguridad y la operación.
Su proyecto con ASES
Descríbanos su proyecto. Le responderemos con una primera valoración.