Dónde se cifra, campo, motor o disco

Un dato puede cifrarse en tres lugares de la pila. El cifrado de disco o de volumen lo hace el sistema que gestiona el almacenamiento: protege el medio, es decir, un disco que se roba o una copia en bruto del volumen. El cifrado del motor (a veces llamado transparente) lo hace la base de datos con sus propios archivos: cubre los archivos de datos y sus respaldos. El cifrado de campo lo hace la aplicación antes de entregar el valor a la base: la base solo ve texto cifrado.

La diferencia práctica es quién ve el dato en claro. Con disco y con motor, cualquier consulta autorizada recibe el valor descifrado, porque el descifrado ocurre por debajo de la consulta. Con cifrado de campo, el valor solo se descifra en la aplicación que tiene la clave. Abre el laboratorio y lee la tabla de amenazas de Carreto.

El modelo de amenazas de Carreto tiene cuatro filas, cada una con tres columnas que dicen si esa capa la frena. La primera pregunta de un diseño de cifrado es siempre la de las amenazas: sin saber contra quién se protege, no se puede decidir en qué capa. Algunas amenazas las frenan las tres capas; otras, solo la más cercana a la aplicación.

Busca en la tabla la amenaza que únicamente se frena con cifrado de campo, y escribe su id.

El inventario de campos dice, para cada dato, qué cifrado tiene hoy y contra qué amenaza se pensó protegerlo. Un fallo habitual no es la ausencia de cifrado, sino una capa que no corresponde a la amenaza: se activa lo que es fácil de activar, no lo que frena a quien preocupa. Para revisarlo se cruzan dos tablas, la de amenazas con la de campos, fila por fila.

Mira los campos con solo cifrado de disco y compara cada amenaza con lo que esa capa frena según la tabla anterior.

Hay un campo sin ninguna capa activa, la foto de la cédula que los clientes envían a soporte, y su amenaza declarada es el robo de una copia del volumen. Es tentador responder «cifrado de campo, que es lo más fuerte». Pero cada capa extra cuesta algo: claves que custodiar, búsquedas que se complican, copias que dejan de poder inspeccionarse. La capa correcta es la más simple que frena la amenaza declarada, y revisarla si la amenaza cambia.

Un buen informe distingue las tres cosas: qué falta, qué basta para la amenaza que se dijo, y qué decisión habría que revisar si el modelo cambia.