Quién puede usar la clave

Sobre una clave hay dos familias de permisos. Las de uso: cifrar, descifrar, firmar. Las de administración: cambiar la política de la clave, rotarla, programar su borrado. Separar funciones significa que ninguna persona ni ningún rol reúne las dos familias sobre la misma clave. La razón es el atajo que abre lo contrario: quien administra puede darse a sí mismo el permiso de usar, y quien usa y administra a la vez no deja rastro de una decisión.

Esto se aplica a los humanos y a los servicios: los servicios usan, las personas administran, y la persona que administra una clave de datos no debería poder leer el dato que esa clave protege.

Para encontrar quien rompe la separación se mira la tabla de permisos por clave, no por persona: de cada clave se leen todos los principales con sus permisos y se busca el que acumula uso y administración. A menudo es un permiso heredado de una migración, una cuenta de emergencia que nunca se retiró o un rol amplio que alguien agregó «mientras tanto».

El hallazgo no es una acusación. Es un permiso que nadie recuerda por qué existe, y eso es suficiente para pedir que se retire.

Los permisos dicen lo que podría pasar; el registro de uso dice lo que pasó. Un servicio de gestión de claves registra cada operación con el principal, la clave, la hora y el resultado, y ese registro es la evidencia de que la separación funciona o de que se ha roto. Se leen con tres filtros: operaciones hechas por personas y no por servicios, fuera del horario habitual y con resultado permitido.

Una operación denegada también es información, pero distinta: dice que el control funcionó y que alguien lo intentó. Una operación permitida de una persona que no debería poder hacerla dice que el control no existe.

Cuando se encuentra un permiso excesivo, el arreglo más barato es retirarlo, no construir algo nuevo. Antes de retirar, se comprueba que nadie legítimo lo usa: el registro de uso lo dice. Si la clave tiene ya un administrador previsto y los servicios que descifran ya tienen su permiso, el rol sobrante no hace falta para nada y se le quitan los dos permisos, no solo el de uso, porque administrar le permitiría devolverse el otro.

Proponer una clave nueva, otro producto de cifrado o una migración es lo que haría un arquitecto que no mira la política. Primero se comprueba qué se puede cerrar con un cambio de permisos, que se hace en una tarde y se revierte en un minuto.

Programar el borrado de una clave equivale, pasado el plazo de espera, a destruir todo el dato que protege: sin clave no hay forma de leerlo. Es la operación con mayor daño de las que tiene un administrador, y por eso se diseña con doble control: una persona la solicita y otra distinta la aprueba. El registro tiene una columna para la segunda aprobación; cuando una operación destructiva figura sin ella, o el control no existe o se saltó.

Un borrado de clave programado es reversible mientras dura la ventana de espera. El hallazgo es útil precisamente porque todavía se puede cancelar.