Encryption

El cifrado convierte información legible, llamada texto plano, en una forma ilegible, llamada texto cifrado, mediante un algoritmo y un valor secreto, la clave. El algoritmo es público y está bien probado; la clave es el único secreto. Quien tiene la clave correcta puede revertir el proceso, y todos los demás ven solo ruido.

Es la principal forma técnica de mantener la confidencialidad cuando el medio no es de fiar: una computadora portátil robada, un respaldo copiado, un cable en un edificio ajeno. Por eso está en el centro de los programas de protección de datos, y las normas sobre datos personales y de pago, del GDPR al PCI DSS, suelen señalarlo como salvaguarda.

Sea cual sea el producto, el ciclo se repite: una clave y un algoritmo cierran los datos, y el mismo ciclo en sentido inverso los abre.

1. 1

   Elegir algoritmo y clave

   Usa un algoritmo estándar y bien revisado, como AES, y una clave generada con una fuente aleatoria sólida.

2. 2

   Cifrar

   El algoritmo combina el texto plano con la clave, normalmente añadiendo un valor aleatorio nuevo para cada mensaje, y produce el texto cifrado.

3. 3

   Guardar o enviar

   El texto cifrado puede quedar en un disco o viajar por internet. Sin la clave, no revela nada del contenido.

4. 4

   Descifrar

   Quien tiene la clave correcta invierte el proceso y recupera los datos; una clave equivocada solo da basura ilegible.

Como los algoritmos sólidos son públicos, el cifrado suele fallar por las claves, no por las matemáticas. No elimina el riesgo, lo traslada de los datos a la clave, y por eso la clave necesita su propio ciclo de vida:

• Genera las claves con una fuente aleatoria confiable y una herramienta estándar.
• Guarda las claves por separado de los datos que protegen, en un administrador de claves o en un módulo de hardware.
• Limita quién y qué puede usar cada clave, y registra cada uso.
• Rota las claves según un calendario y ante cualquier sospecha de exposición.
• Respalda las claves y define un proceso de recuperación, porque una clave perdida deja los datos ilegibles para siempre.
• Destruye las claves cuando los datos deban desaparecer: borrar la clave puede volver los datos irrecuperables, un método conocido como borrado criptográfico.

El cifrado actúa en varias capas, y cada una responde a una amenaza distinta. El cifrado de discos y archivos protege los datos en reposo, mientras que el de transporte cubre los datos en movimiento.

El cifrado protege los datos de quienes no tienen la clave. No hace nada frente a quienes sí la tienen: un empleado que abre un archivo cifrado lo ve en claro, y en la misma sesión puede enviarlo a un correo personal. Por eso el cifrado complementa la prevención de pérdida de datos (DLP) y no la reemplaza, y por eso la exfiltración de datos suele salir por canales perfectamente cifrados.

También funciona en ambos sentidos. El ransomware usa las mismas técnicas para bloquear los archivos de la víctima, y algoritmos de clave pública muy extendidos, como RSA y la criptografía de curva elíptica, podrían ser rotos por una computadora cuántica lo bastante grande, por lo que los organismos de normalización ya han publicado algoritmos poscuánticos.

La mayor parte del tráfico web está cifrada, así que un agente que la ignorara perdería casi todas las transferencias. En la consola de Anexet, los ajustes de intercepción de red permiten que el agente sustituya los certificados de los servidores por otros emitidos por una raíz de confianza, para analizar el tráfico cifrado con el monitoreo del tráfico web. El certificado puede generarse automáticamente o ser el propio de la empresa, y un filtro de hosts excluye los sitios elegidos.

Se confunde el cifrado con técnicas que también cambian el aspecto de los datos, pero funcionan distinto. El hash es de un solo sentido, la codificación, como Base64, es solo un cambio de formato, y el enmascaramiento de datos sustituye valores para pruebas o pantallas. Solo el cifrado une reversibilidad y clave secreta.

Empieza por los datos, no por la herramienta: averigua qué es sensible y dónde está, y luego cifra los almacenes y canales que lo contienen, con algoritmos estándar y un administrador de claves. Anota quién es responsable de cada clave y cómo se rota y se recupera. Por último, revisa qué pasa después del descifrado, porque los usuarios autorizados siguen necesitando supervisión.