Custodia y separación de funciones

Para proteger una clave maestra se usan dos ideas que se confunden. El conocimiento dividido (split knowledge, definido en NIST SP 800-57) parte la clave en componentes, de modo que ningún componente por sí solo da información de la clave. El control dual es una regla de la organización: una operación sensible exige a dos personas distintas.

Una sirve para que nadie tenga la clave entera; la otra, para que nadie la use sin que otro lo vea. La política de Ciruelo usa las dos: tres componentes con tres custodios y actas de cada ceremonia.

La primera regla de Ciruelo es una separación de funciones: quien administra las claves no puede usarlas para cifrar ni descifrar datos del negocio. Si una persona administra y descifra, puede darse permisos, leer datos y borrar su rastro en el mismo acto. Abre politica_de_custodia y acceso_al_kms. Una cuenta de servicio no es una persona administradora; fíjate solo en los roles de administración.

La clave maestra se divide en tres componentes, A, B y C. La política exige un custodio distinto para cada uno y que ninguno guarde más de uno. Si una persona guarda dos componentes, para reconstruir la clave solo hace falta convencer a otra, y el conocimiento dividido deja de proteger. Abre componentes_clave_maestra.

Una ceremonia sobre la clave maestra, como generarla, rotarla, reponer un componente o probar su recuperación, deja un acta firmada: qué se hizo, quién estuvo y cuándo. Sin acta, ante una investigación no hay forma de probar que se hizo como la política manda. El símbolo «—» significa vacío. Abre ceremonias.

Hay un administrador de claves que puede descifrar, un custodio con dos componentes y una reposición de componente sin acta. La reposición sin acta, además, no deja prueba de cómo quedó el reparto después. Hay que decidir el orden de las acciones.