Cifrado en reposo y en tránsito

Hay dos cifrados distintos y cada uno responde a una amenaza diferente. El cifrado en tránsito protege los datos mientras viajan entre la aplicación y el motor: quien pueda observar el tráfico de la red no ve consultas, resultados ni contraseñas. El cifrado en reposo protege los datos guardados en disco o en una copia: quien se lleve el disco, la máquina virtual o el archivo de respaldo no puede leerlos sin la llave.

Ninguno de los dos protege de quien entra al motor con una cuenta válida: para esa persona, el motor descifra todo y se lo entrega. Por eso un hallazgo de cuentas o de privilegios nunca se cierra con «pero la base está cifrada».

PostgreSQL decide cómo autentica cada conexión con un archivo de reglas, una por línea. Cada regla dice qué tipo de conexión cubre (local, por red con cualquier transporte, o por red solo cifrada), para qué base, qué usuario, desde qué direcciones y con qué método. El motor recorre el archivo de arriba abajo y usa la primera línea que coincide; si esa autenticación falla, no prueba las siguientes.

El tipo host coincide con conexiones por red tanto cifradas como sin cifrar; hostssl solo con las cifradas. Así que el orden importa: una línea amplia y permisiva colocada arriba deja sin efecto una línea estricta escrita debajo, por buena que sea.

Abre el laboratorio, lee el archivo de nmm-pg01 en orden y recorre las líneas como lo haría el motor.

Que un motor tenga el cifrado en tránsito encendido solo significa que lo ofrece. Si no lo exige, cada cliente decide, y los clientes viejos o mal configurados se conectan sin cifrar. La diferencia se ve en dos sitios: en el ajuste que obliga al cifrado y en las conexiones que el motor registró sin él.

El informe necesita la cifra del día de la evidencia, sumando todos los motores.

Un cifrado en reposo vale lo que vale la separación entre los datos y su llave. Si la llave viaja con los datos —en la misma carpeta, en el mismo respaldo, en la misma máquina sin protección—, quien se lleva una cosa se lleva la otra, y el cifrado deja de proteger justo en el caso para el que existe.

El MySQL de Nimaima no exige cifrado y registró conexiones sin él. El borrador del informe dice «cualquiera puede robar las contraseñas de la base». Eso no está en la evidencia: para leer ese tráfico hace falta estar en el camino de la red, y la severidad depende de quién puede estarlo. Este motor, además, es el que responde desde internet, y eso sí cambia el cálculo.

Un hallazgo de cifrado bien escrito dice qué viaja sin cifrar, entre qué puntos, quién podría observarlo y qué ajuste lo corrige.