Cifrado en reposo y en tránsito

Los datos están expuestos en dos momentos distintos, y cada uno tiene su cifrado. En reposo, mientras están guardados en el almacenamiento: el cifrado en reposo hace que, si alguien accede al soporte físico, a una copia o a un respaldo, lo que lee sea ininteligible sin la clave. En tránsito, mientras viajan por la red entre el cliente y el servicio: el cifrado en tránsito (TLS) impide que quien escuche el camino vea el contenido. Son independientes —un dato puede ir cifrado por la red y guardarse en claro, o al revés—, así que un almacén de datos personales necesita los dos activados.

Privado decide quién puede pedir el dato; el cifrado protege el dato aunque alguien lo obtenga por otra vía.

El almacén de respaldos de Cobalto está en acceso privado: sin credenciales no se lee. Pero tiene el cifrado en reposo desactivado. Eso significa que los datos están guardados en claro, y cualquiera que llegue al soporte por una vía que no pasa por el control de acceso —una copia de seguridad mal custodiada, un disco retirado, un error del proveedor, una credencial robada que da acceso de lectura— se lleva el contenido legible. Privado reduce quién puede pedir el archivo; no hace nada por el archivo si se obtiene de otra manera. Por eso el cifrado en reposo es la segunda capa, la que sigue protegiendo cuando la primera falla.

Confiar solo en "está privado" deja los datos legibles para cualquier camino que no sea la puerta principal.

El mismo almacén de Cobalto acepta conexiones sin cifrar: su política no exige transferencia segura, así que un cliente puede pedir y subir datos por una conexión en claro. Mientras esos datos viajan, cualquiera que escuche la red en medio —una red compartida, un punto intermedio comprometido— ve el contenido y hasta las credenciales que lo acompañan. El arreglo es exigir TLS: que el almacenamiento rechace toda conexión que no vaya cifrada, de modo que no quede la opción de hablar en claro ni por error. No basta con que el cifrado en tránsito "esté disponible"; tiene que ser obligatorio.

Permitir conexiones en claro es dejar abierta una versión insegura que alguien usará por descuido o por diseño.

La corrección del almacén de respaldos cierra las dos capas: activar el cifrado en reposo —y, donde importe, con una clave que el cliente controla— y exigir TLS para rechazar las conexiones en claro. Pero igual que con el acceso público, lo de fondo es que esto no dependa de acordarse almacén por almacén: se deja el cifrado en reposo activado por defecto en la cuenta y una regla que impida crear almacenamientos sin él, y se exige transferencia segura de forma general. Así el estado por defecto es "cifrado en los dos momentos", y un almacén nuevo nace protegido en vez de nacer en claro a la espera de que alguien lo note.

Cifrado en reposo y TLS obligatorio por defecto es lo que hace que el próximo almacén no repita el descuido del de respaldos.

Abre el laboratorio de cifrado de Cobalto. Compara los dos almacenes: uno tiene el cifrado en reposo activado y exige TLS, el otro no. Quédate con el que guarda los datos en claro y acepta conexiones sin cifrar —el de respaldos— y lee el informe de la revisión, que cierra con el código de la sala.