En reposo, en tránsito y el cifrado de sobre

En el cifrado de sobre, el servicio pide al gestor de claves una clave de datos, cifra el dato con ella y guarda junto al dato la clave de datos cifrada por la clave del gestor. Para leer, le pide al gestor que descifre la clave de datos, y con ella descifra el dato. Así, la clave del gestor casi nunca toca los datos grandes: solo envuelve claves pequeñas. Esa es la razón por la que quitar el permiso de uso de la clave del gestor deja ilegible lo que cifró.

El control de acceso a la clave del gestor es, en la práctica, el control de acceso a todo lo cifrado con sobre.

El cifrado en reposo no protege el dato mientras viaja. Para eso está TLS, y lo que importa en una revisión es la versión mínima que el servicio acepta y si admite conexiones sin cifrar. El RFC 8996 declara obsoletas las versiones 1.0 y 1.1 de TLS, de modo que un servicio que todavía las acepta permite negociar una versión que ya no se considera segura, aunque el dato esté bien cifrado en el disco.

Un dato cifrado con una clave del cliente puede seguir viajando por un canal débil.

Abre el laboratorio. El estándar de Quebrada Alta exige TLS 1.2 como mínimo en todos los servicios. Recorre la tabla de configuración y busca el servicio cuya versión mínima queda por debajo, aunque su clave en reposo sea del cliente.

La tercera regla del estándar pide atender solo por HTTPS. Un servicio puede tener una versión mínima de TLS correcta y, aun así, aceptar conexiones sin cifrar por un puerto abierto a ello. Esa pareja de columnas se lee junta: versión mínima y solo HTTPS.