Cómo funciona
Un medio que admite el borrado criptográfico cifra los datos en el momento de escribirlos. La clave de cifrado se guarda en el dispositivo, normalmente envuelta por una segunda clave. Esa segunda clave puede venir de una contraseña, de un módulo de seguridad de hardware o de un servicio de gestión de claves.
Los datos de los platos o de las celdas flash son texto cifrado desde la primera escritura. Nunca se escribe texto plano en el medio.
- 1
Cifrar al escribir
Cada escritura se cifra antes de llegar al medio.
- 2
Proteger la clave
La clave se guarda en un área protegida, separada de los datos del usuario.
- 3
Destruir la clave
El texto cifrado permanece, pero ya no se puede descifrar.
Rápido sin importar el tamaño
Otras técnicas de saneamiento tienen que tocar los datos. Sobrescribir reescribe cada bloque, y el borrado a nivel de bloque limpia cada celda, así que ambos tardan más cuanto mayor es la capacidad. El borrado criptográfico destruye una clave de unos pocos cientos de bytes. La operación termina en segundos, incluso en una unidad de varios terabytes. Por eso resulta práctico en matrices de almacenamiento, memoria flash de dispositivos móviles y volúmenes en la nube.
Dónde se aplica
La técnica aparece en estas configuraciones habituales.
| Configuración | Qué logra destruir la clave |
|---|---|
| Unidades de autocifrado | El controlador descarta su clave interna y borra toda la unidad |
| Dispositivos móviles | Descartar la clave del dispositivo borra el almacenamiento casi al instante |
| Volúmenes en la nube y máquinas virtuales | Eliminar la clave da de baja el volumen sin acceso físico |
| Software de cifrado de disco y de archivos | Eliminar la clave borra los datos en el alcance del cifrado |
Su lugar en el saneamiento
NIST Special Publication 800-88, la guía de referencia para el saneamiento de medios, incluye el borrado criptográfico como forma de alcanzar el nivel de purga. Ese nivel es suficiente para medios que salen de la organización.
La técnica solo califica para ese nivel si se cumplen tres condiciones. El medio estaba cifrado antes de que se escribieran datos sensibles. La fortaleza del cifrado cumple los estándares actuales. El mecanismo de destrucción de la clave está verificado como funcional. Si falta una condición, la misma acción solo cuenta como limpieza (clearing), o no cuenta como saneamiento.
Los archivos eliminados comunes no se sanean en absoluto: los datos siguen siendo legibles hasta que algo los sobrescriba.
Qué puede socavarlo
El borrado criptográfico es tan fuerte como la gestión de claves que lo respalda. Borrar la clave del dispositivo no elimina las demás copias de la clave.
- Una clave copiada en una copia de seguridad, un depósito o un servicio de claves mantiene los datos recuperables a través de esas copias.
- El texto plano guardado antes de activar el cifrado puede dejar remanencia recuperable fuera de la zona cifrada.
- Un medio nunca cifrado, o cuyo cifrado no se puede verificar, requiere sobrescritura, borrado a nivel de bloque o destrucción física.
Por dónde empezar
Antes de elegir un método, compruebe cuándo se activó el cifrado en cada dispositivo. Si estaba activo desde la primera escritura y la destrucción de la clave está verificada, el borrado criptográfico es la vía más rápida hacia el nivel de purga. Si no, prevea la sobrescritura o la destrucción física, siguiendo las reglas más amplias de saneamiento de medios.
Lectura recomendada: Cifrado, codificación y hashing: ¿cuál es la diferencia?.
Un disco cifrado desde la primera escritura es fácil de dar de baja. Un disco cifrado después necesita pruebas antes de que alguien confíe en él.
Anexet Team