Cómo se genera una clave de verdad

Una receta común para «generar» una clave es aplicar un hash a algo que el equipo tiene a mano, como el nombre de la empresa y el año de alta. El resultado mide 256 bits y parece una clave de 256 bits. Pero un hash no crea entropía: solo transforma la que ya tenía la entrada. Si la entrada es un nombre y un año, cuyas combinaciones posibles son pocas y se pueden deducir, la fortaleza real es la de esa entrada, no la del resultado.

La regla es antigua y vale en todas partes: la longitud de la salida no es la imprevisibilidad de la entrada. Una clave nace de azar criptográfico o de una función de derivación aplicada a un secreto con entropía real.

Otro origen muy común de claves débiles es la documentación: guías de instalación, tutoriales y archivos de ejemplo traen un valor de muestra, el equipo lo copia «para que arranque» y nunca se reemplaza. Un valor de ejemplo no tiene nada de secreto: está escrito en un documento que mucha gente lee, a veces en un repositorio público. El hallazgo se reconoce por la forma: el mismo valor en varios sitios y un comentario que dice de dónde vino.

En este laboratorio el valor de muestra lleva un marcador evidente de ficticio. Busca cuál se repite.

La forma correcta de generar una clave tiene tres rasgos. Se genera con una fuente criptográfica, dentro de un gestor de claves (KMS) o un módulo de hardware (HSM) que la crea sin que el valor pase por manos humanas. No se puede exportar: el servicio pide al gestor que cifre o descifre, no que le entregue la clave. Y su acceso es por identidad, con registro de cada uso. La clave nunca aparece como texto en un archivo, un correo ni un chat.

Lee la ficha del gestor y localiza el servicio cuya clave cumple los tres rasgos.

Los entornos de desarrollo y de pruebas son más abiertos que producción: más gente con acceso, datos de muestra, servidores con menos controles y copias en portátiles. Si los tres comparten la misma clave, la seguridad de producción es la del más débil de los tres. Y hay un segundo problema, silencioso: los datos de producción cifrados con esa clave se pueden abrir desde cualquier entorno donde esa clave esté.

El arreglo no es solo cambiar el valor de producción: cada entorno tiene su propia clave, generada de forma independiente.

Una clave que nació de un ejemplo está comprometida desde el primer día: no hace falta que nadie haya hecho nada con ella. Moverla a otro sitio no la arregla. El arreglo completo tiene tres pasos: generar claves nuevas e independientes por entorno con el gestor de claves, retirar la de ejemplo y re-cifrar con las nuevas lo que la de ejemplo protegió. Sin el último paso, los datos antiguos siguen abiertos por la clave que todos conocen.