Ciclo de vida: generación, rotación y retiro

La publicación NIST SP 800-57 Parte 1 (revisión 5, mayo de 2020) describe los estados por los que pasa una clave entre su generación y su destrucción: preactivación (recién generada, aún sin usar), activa (protege datos o los procesa), suspendida, desactivada, comprometida y destruida.

Una clave desactivada ya no se usa para aplicar protección, por ejemplo cifrar, pero en algunos casos se usa para procesar información que protegió antes, por ejemplo descifrarla. Es lo que ocurre cuando una clave se sustituye por una nueva y hay datos viejos que todavía hay que poder leer.

La rotación reemplaza una clave por otra antes de que su uso prolongado aumente el riesgo. El periodo en que una clave está autorizada para usarse se llama periodo criptográfico; la política de Ciruelo lo fija en 12 meses para las claves de datos y 24 para la clave maestra. Con el corte del 31 de agosto de 2027, una clave de datos activa cuya última rotación es anterior al 31 de agosto de 2026 está fuera de plazo. La clave maestra tiene otro plazo; no la mezcles.

Abre politica_de_claves y registro_de_claves.

Dónde nace una clave importa. Una clave generada dentro del KMS o del HSM nace en un entorno diseñado para protegerla y registrarla. Una clave generada en un servidor de aplicaciones queda al alcance de quienes administran ese servidor y de los respaldos que lo copian. La política de Ciruelo lo trata como incumplimiento.

La política dice que una clave retirada no protege datos nuevos, pero puede descifrar lo que protegió antes. Por eso importa qué evento se registró después del retiro: descifrar está permitido; cifrar, no. Abre eventos_de_clave y compara las fechas con el retiro de cada clave marcada como retirada.

La clave retirada seguía cifrando respaldos nuevos. Eso significa que hay datos protegidos con una clave que debía estar fuera de uso, y que, el día que se destruya, esos respaldos quedarán ilegibles. No se arregla destruyendo la clave: antes hay que saber qué protege.