La ilusión de la seguridad

“Verificamos SSL”. Excelente. Tus datos están seguros mientras viajan por el cable de fibra óptica (Cifrado en Tránsito). ¿Pero dónde aterriza? Aterriza en una base de datos. ¿Está cifrada la base de datos? Si un hacker obtiene acceso al disco user.db, ¿puede leerlo? Si SysAdmin vuelca la base de datos en un CSV, ¿es legible? Si la respuesta es Sí, no estás seguro. El cifrado en reposo garantiza que los datos almacenados sean esencialmente ruido aleatorio sin la clave.

Por qué Maison Code analiza esto

En Maison Code, manejamos datos de usuarios que están sujetos a regulaciones estrictas (GDPR, CCPA, HIPAA). Registros médicos. Direcciones de domicilio. Una brecha aquí no es sólo una vergüenza; es un pleito. Implementamos arquitecturas Zero Trust. Suponemos que la base de datos se filtrará. Si se filtra, queremos que los datos sean inútiles para el atacante. Hablamos de esto porque la Criptografía es ingeniería válida, no magia.

Los 3 estados de los datos

En Tránsito: Moviéndose por la red.
- Solución: TLS 1.3 (HTTPS). Administrador de certificados de AWS.
En reposo: Sentado en un disco (S3, disco duro RDS).
- Solución: Cifrado de volumen AES-256. (AWS KMS). *Esto es transparente. El sistema operativo cifra las escrituras y descifra las lecturas. Si alguien roba el disco duro físico, no podrá leerlo. Pero si inician sesión en la base de datos como administrador, pueden leerla.
En uso (Nivel de aplicación): Lógica en la RAM.
- La parte más difícil.
- Protección de datos incluso desde el administrador de la base de datos.
- Solución: Cifrado del lado del cliente. La aplicación cifra el número de tarjeta de crédito antes de enviarlo a la base de datos. La base de datos solo ve basura.

KMS (Sistemas de gestión de claves)

Regla n.º 1 de las criptomonedas: No crees tu propia criptomoneda. Regla #2: No guardes la llave al lado de la cerradura. Si cifra la base de datos pero almacena la clave de cifrado en config.js en el mismo repositorio… no logró nada. Utilice un KMS (AWS KMS, HashiCorp Vault). El Módulo de seguridad de hardware (HSM) genera la clave y nunca la deja salir del hardware. Su aplicación le pide a KMS que “descifre esto”. KMS valida el permiso y devuelve el texto sin formato. Puede auditar exactamente quién descifró qué y cuándo.

Hashing versus cifrado

El cifrado es reversible (con una clave). Úselo para: Direcciones, Tarjetas de crédito (si las maneja), PII. Hashing es unidireccional (irreversible). Úselo para: Contraseñas. Nunca cifres contraseñas. Haz un hash usando Argon2 o bcrypt. Si las cifra y le roban la clave, todas las contraseñas se verán comprometidas. Si los has triturado (salados), el atacante tiene que romperlos uno por uno.

Implementación de cifrado a nivel de aplicación

Usando el módulo crypto de Node.js.

importar criptografía desde 'cripto';

ALGORITMO const = 'aes-256-gcm'; // Cifrado autenticado

función cifrar (texto, clave maestra) {
  const iv = cripto.randomBytes(16); // Vector de inicialización (¡aleatorio!)
  cifrado const = crypto.createCipheriv(ALGORITMO, masterKey, iv);
  
  let cifrado = cipher.update(text, 'utf8', 'hex');
  cifrado += cipher.final('hex');
  etiqueta constante = cifrado.getAuthTag();
  
  // ¡Almacena IV y etiqueta con el texto cifrado!
  devolver {
    contenido: cifrado,
    iv: iv.toString('hexadecimal'),
    etiqueta: etiqueta.toString('hexadecimal')
  };
}

Rotación de clave: Cada año, genere una nueva clave maestra. Vuelva a cifrar los datos. Esto limita el “radio de explosión”. Si roban la clave de 2024, los datos de 2025 están seguros.

7. Cifrado de sobres: el Santo Grial

Si tiene mil millones de filas, no puede cifrarlas todas con la misma clave maestra. Si esa clave se filtra, todo se filtra. Solución: cifrado de sobres.

Clave maestra (CMK): Vive en KMS (HSM). Nunca se va.
Clave de datos (DK): Generada para cada usuario. Cifrado por CMK.
Datos: cifrados por DK. Cuando desee leer los datos del Usuario A:
Solicite a KMS que descifre el DK del usuario A (usando CMK).
Utilice el DK de texto sin formato para descifrar los datos del Usuario A.
Deseche el DK en texto plano inmediatamente. Así es como funciona el cifrado AWS S3 y EBS bajo el capó. Permite un control de acceso granular.

8. Cumplimiento de FIPS (GovCloud)

Si trabaja con el gobierno o la atención médica, escuchará “FIPS 140-2”. Esta es una certificación para módulos criptográficos. Significa “El generador de números aleatorios es verdaderamente aleatorio”. La criptografía predeterminada de Node.js no es compatible con FIPS de forma predeterminada. Debes compilar Node con --enable-fips. O utilice AWS CloudHSM, que cuenta con la certificación FIPS 140-2 Nivel 3. La ignorancia aquí no es una excusa para el auditor.

9. La visión del escéptico

“Esto arruina el desempeño”. Contrapunto: Las instrucciones AES están integradas en las CPU modernas (AES-NI). La sobrecarga es de microsegundos. La latencia de la base de datos es de milisegundos. El cifrado es gratuito (en cuanto a rendimiento). El costo es Complejidad (Gestión de Claves). ¿Vale la pena la complejidad de la privacidad de su usuario? Sí.

Preguntas frecuentes

P: ¿Simétrico o asimétrico? R: Simétrico (AES): La misma clave cifra y descifra. Rápido. Bueno para datos en reposo. Asimétrico (RSA/ECC): La clave pública cifra, la clave privada descifra. Lento. Bueno para compartir secretos (apretón de manos TLS). Utilice AES para el cifrado de bases de datos.

P: ¿Qué pasa con la Búsqueda? R: No es posible buscar datos cifrados fácilmente (WHERE nombre = 'Alice' falla porque ‘Alice’ está almacenado como x8s7...). Solución: Indexación ciega. Almacene una versión hash del nombre (hash('Alice')) en una columna separada. Busca eso.

10. Resistencia cuántica: la amenaza futura

RSA-2048 es seguro hoy. En 10 años, una computadora cuántica podría descifrarlo en segundos (algoritmo de Short). Esto es “Almacenar ahora, descifrar más tarde”. Los atacantes están recopilando datos cifrados hoy, esperando que la tecnología los descifre mañana. Defensa: Criptografía poscuántica (PQC). NIST está estandarizando algoritmos como Kyber y Dilithium. Maison Code ya está experimentando con bibliotecas PQC para preparar archivos confidenciales a largo plazo (por ejemplo, registros médicos) para el futuro.

11. Cifrado homomórfico (El sueño)

Imagínese preguntarle a la nube: “¿Cuál es el salario promedio?” Y la nube lo calcula sin descifrar nunca los salarios. Esto es Cifrado homomórfico. Permite el cálculo sobre texto cifrado. Enc(5) + Enc(10) = Enc(15). Actualmente es demasiado lento para la producción (1000 veces los gastos generales), pero es la vanguardia de la tecnología de privacidad. Seguimos de cerca este espacio.

12. Conclusión

El cifrado es la aplicación matemática de la privacidad. Sin ella, la privacidad es sólo una promesa. Las promesas se rompen. Las matemáticas no lo son.

¿Datos expuestos?

Si almacena PII en texto sin formato, no cumple con las normas. Maison Code implementa estrategias AES-256 y arquitecturas de administración de claves para proteger su bóveda digital.

¿Datos confidenciales en texto sin formato?

Implementamos estrategias de cifrado de extremo a extremo y administración de claves (KMS) para proteger la PII y la propiedad intelectual. Contrata a nuestros Arquitectos.