Cifrado en reposo, qué capa protege de qué

El cifrado en reposo no es una sola cosa: se puede aplicar en el volumen, en el motor de la base de datos, en el campo desde la aplicación o en el dispositivo del cliente. Cada capa descifra en un punto distinto, y quien está del lado del punto donde ya se descifró ve el dato en claro. Esa es la regla para razonar: una capa protege contra quien está fuera de su punto de descifrado y no protege contra quien está dentro.

El cifrado de volumen es el más sencillo de activar y el que más a menudo se tiene. Descifra al montar el volumen en el servidor, de modo que lo que hay del lado del sistema operativo lo ve todo en claro. Es una protección real, pero tiene un alcance concreto, y el catálogo de capas lo dice en dos columnas.

Las instantáneas y los respaldos son donde el cifrado en reposo falla con más frecuencia, porque se crean automáticamente y heredan, o no, la configuración del volumen original. Una copia sin cifrar de un volumen restringido es una copia completa de la base, y compartirla con una cuenta ajena a la empresa la deja fuera del perímetro de control.

Para encontrarla se cruzan dos columnas del inventario, la que dice si la copia está cifrada y la que dice con quién se compartió. Sin cifrar y compartida es un hallazgo; sin cifrar y sin compartir es una deuda; cifrada y compartida es una decisión que hay que justificar.

El modelo de amenazas de un sistema dice a quién se quiere frenar: un ladrón de discos, un respaldo extraviado, un administrador con acceso a la base, una copia compartida por error. La capa correcta es la que descifra más lejos del atacante modelado. Contra un administrador de base de datos, ni el volumen ni el motor sirven, porque ambos descifran para quien se conecta con una sesión válida; solo sirve cifrar antes de que el dato llegue a la base, con una clave que la base no tenga.

Eso cambia dónde vive la clave, y por eso es una decisión de arquitectura y no un interruptor: una clave fuera de la base necesita su propio sitio, su propio control de acceso y su propia rotación, tema de las salas siguientes.

Un sistema sin ninguna capa de cifrado en reposo suele ser un sistema que no estaba en el inventario cuando se tomó la decisión de cifrar: un exporte, una carpeta de trabajo, una hoja de cálculo que alguien guardó. El riesgo no es abstracto; el modelo de amenazas de ese sistema ya lo nombra, y casi siempre es el extravío.

Encontrarlo es leer una columna del inventario. Arreglarlo es decisión de arquitectura: a veces la respuesta es cifrar, y a veces es no tener el exporte.

Cifrar en la aplicación da la protección más fuerte contra quien administra la base, y tiene precios que hay que decir al comité antes de elegirlo. La base ya no entiende el valor cifrado: no puede buscar por él, ordenarlo ni unirlo con otra tabla, salvo que se diseñe un mecanismo adicional (un valor derivado para búsquedas exactas, por ejemplo) que a su vez revela algo. Además, la aplicación pasa a tener la clave, de modo que un fallo de la aplicación sigue exponiendo el dato.

Un arquitecto no vende cifrado de campo como mejora gratis. Lo propone para los campos que la amenaza lo justifica y deja el resto en una capa más barata.