Cifrado transparente frente a cifrado de campo

• Transparent Data Encryption (TDE) / Cifrado de Storage: Cifra los archivos de datos y registros en el disco duro. Protege contra el robo físico de las unidades o copias de respaldo no autorizadas. Sin embargo, para cualquier usuario o proceso autenticado en el motor (incluyendo DBAs y conexiones de aplicación), los datos se descifran automáticamente y son visibles en texto claro.
• Cifrado a nivel de aplicación / Columna (Field-Level Encryption): Los datos se cifran en la aplicación antes de enviarse a la base de datos utilizando llaves que la base de datos nunca conoce. En el motor solo se almacenan cadenas cifradas (ciphertext), protegiendo la información confidencial incluso si el DBA ejecuta un SELECT directo o si se produce una inyección SQL en el motor.

El análisis comparativo evalúa qué protección ofrece cada tecnología frente a actores privilegiados internos.

Abre el laboratorio y lee mecanismos-cifrado-db.txt. Identifica la tecnología que figura con un NO explícito en la protección contra el DBA curioso.

La misma tabla técnica identifica la solución recomendada cuando la confidencialidad de la columna debe mantenerse oculta para los administradores de infraestructura.

Revisa la tabla técnica e identifica qué tecnología figura con un SI en la protección contra el DBA al almacenar únicamente texto cifrado.

El principio de separación de secretos exige que las llaves criptográficas de descifrado residan en un servicio KMS o HSM independiente y nunca dentro de la misma base de datos que aloja la información cifrada.