Rotación y claves gestionadas por la nube

La rotación automática de un servicio de claves crea cada cierto tiempo material nuevo bajo el mismo alias. Lo que se cifre desde ese momento usa la versión nueva. Lo que ya estaba cifrado sigue siendo legible, porque el servicio conserva las versiones anteriores y elige la que corresponde al descifrar. Quien usa la clave no tiene que cambiar nada, y por eso la rotación automática es barata de operar.

Lo que no hace es tocar los datos que ya existen. En cifrado de sobre, los sobres antiguos siguen envueltos con la versión vieja hasta que alguien los envuelve de nuevo. Abre el laboratorio y lee el campo de versiones activas de cada clave.

No todas las claves de un servicio se pueden rotar por sí mismas. Cuando el material de una clave lo trae la empresa en vez de generarlo el servicio, es frecuente que la rotación automática no esté disponible, y la rotación pasa a ser un trabajo manual: crear una clave nueva, usarla para lo nuevo y envolver de nuevo lo viejo. Si nadie lo tiene en un calendario, no ocurre. Comprueba siempre en la documentación del proveedor qué tipos de clave admiten rotación automática.

En el inventario hay una clave que no rota sola. Escribe su id.

La política de Carreto fija un máximo de 365 días. La clave que no rota sola es la candidata natural a incumplirlo, pero afirmarlo sin medir es opinión. El inventario trae la fecha de la última rotación y el expediente trae una fecha de corte; la diferencia entre las dos es el dato que se pone en el informe.

Calcula cuántos días lleva esa clave sin rotarse a la fecha de corte.

La regla R-2 separa dos poderes: administrar una clave, es decir, cambiar su política, rotarla o borrarla, y usarla para descifrar. Quien reúne los dos puede abrir los datos y borrar el rastro de haberlo hecho, o cambiar la política que lo impediría. En un servicio de claves, esa separación se escribe en los permisos y se comprueba con una lectura, sin necesidad de ejecutar nada.

Lee la tabla de permisos y escribe la identidad que puede administrar y descifrar a la vez.

La regla R-3 dice qué hacer ante la sospecha de que una clave pudo exponerse: rotarla y envolver de nuevo las claves de datos en una semana. Rotar sin envolver de nuevo cambia lo que se cifra de aquí en adelante, pero deja lo viejo bajo la versión sospechosa. Y retirar la versión vieja sin haber envuelto de nuevo lo que depende de ella deja esos datos irrecuperables.

El informe de un incidente de este tipo incluye tres cosas: la rotación, el nuevo envuelto de lo que ya existe y la revisión del registro de uso del período de exposición.