Gestión de claves

La clave que cifra la base de un servicio está puesta en una variable de entorno declarada en el repositorio, y aparece también en los registros de la canalización de despliegue. Un secreto en el código —o en los logs de construcción— deja de ser secreto: cualquiera con acceso al repositorio o a esos registros lo tiene. El arreglo es sacar la clave a un servicio de gestión de secretos o de claves (Secrets Manager, Key Vault, KMS) y que la aplicación la lea por identidad en tiempo de ejecución, sin que el valor viva en el código ni se imprima en ningún log.

El fallo se repite en todos los oficios: la clave correcta, en el lugar donde todo el mundo la ve.

Un servicio de CifraLab cifra con la misma clave desde hace años, sin rotarla nunca. Cuanto más vive una clave, más datos protege y más tiempo tiene un atacante para obtenerla; una clave eterna concentra todo el riesgo en una sola pieza que nunca cambia. El arreglo es rotarla: en la nube la rotación automática viene de fábrica —por defecto suele ser anual y se puede configurar en un rango amplio— y, además, se puede forzar una rotación bajo demanda cuando un incidente lo pida. Rotar crea material nuevo para lo que se cifre a partir de ahí y conserva el viejo para poder descifrar lo antiguo.

El fallo de uso es no cambiar nunca la clave; el arreglo es un ciclo de rotación, automático y forzable.

Tras un incidente, el equipo de CifraLab rotó la clave de un almacén y dio por hecho que los datos viejos quedaban re-cifrados con la clave nueva. No es así. Rotar crea material nuevo y lo usa para lo que se cifre desde ese momento; lo que ya estaba cifrado sigue bajo la clave anterior, que por eso se conserva para poder leerlo. Si el objetivo tras el incidente es que lo sensible deje de depender de la clave comprometida, hay que re-cifrarlo explícitamente con la nueva. El arreglo es un paso de re-cifrado deliberado, no confiar en que la rotación lo haga sola.

El malentendido es sutil y caro: creer que rotar «pasa» todo a la clave nueva deja lo viejo bajo la clave que se quería retirar.

La clave privada de la autoridad raíz de CifraLab está en un solo sitio, sin copia de custodia ni respaldo protegido. Si esa clave se pierde —un disco que muere, un borrado— la autoridad no puede firmar ni renovar nada, y todo lo que emitió queda condenado a caducar sin reemplazo posible desde esa raíz. El riesgo de perder una clave es tan real como el de que la roben, y en la raíz de una CA es existencial. El arreglo es custodia: la raíz vive fuera de línea, protegida, con respaldo bajo control estricto de quién puede usarla, para que ni se filtre ni se pierda.

Guardar, rotar y no perder son las tres, y en la raíz de la confianza la tercera es la que hunde todo el sistema si falla.