Rotar la clave: lo que cambia y lo que no

Cuando una clave de AWS KMS rota, KMS genera material nuevo y lo usa para cifrar a partir de ese momento. La clave sigue siendo el mismo recurso, con el mismo identificador y la misma política. Lo que se cifró antes no se toca: KMS conserva el material anterior y lo elige solo al descifrar, de modo que las aplicaciones no cambian. En una clave del cliente la rotación automática es opcional y, si se activa sin más, ocurre cada 365 días.

La rotación renueva la llave maestra hacia adelante y no obliga a recifrar nada.

La clave de KMS suele ser una clave que envuelve otras: cifra las claves de datos, y estas cifran los datos. Rotar la clave de KMS no rota las claves de datos que ya generó ni recifra los datos que protegen. Por eso la rotación no remedia el compromiso de una clave de datos: si una de ellas se filtró, hay que generar otra y recifrar lo que cubría. La rotación es higiene periódica y cumplimiento; no es la respuesta a un incidente.

Exigir rotación es razonable; creer que sustituye a la respuesta a un incidente, no.

Abre el laboratorio y lee la política de rotación y las claves de KMS. La política exige que toda clave del cliente que protege datos Restringidos rote sola. En la tabla de KMS, la columna de rotación automática dice qué claves lo cumplen: una tiene la rotación apagada.

El hallazgo se redacta con la antigüedad exacta, no con un «hace mucho». Toma la clave que no rota, lee la fecha de su última rotación y cuenta los días hasta la fecha de corte de la revisión, que está en el archivo de lectura inicial. Cuenta días naturales.

En Key Vault, la rotación se declara con una política escrita en el vault: cuándo rotar y cuándo avisar. La política de Quebrada Alta pide que cada clave tenga la suya. Lee la tabla de claves del vault y encuentra la única que no la tiene, aunque la clave funcione sin problema.