ENCRYPTION / HOW IT WORKS

Cómo funciona el cifrado
y lo que protege.

El valor depende de algo más que el nombre del algoritmo. La cuestión clave es cómo separar a quienes poseen datos de quienes pueden leerlos.

Cifrado no siempre significa la misma protección.

Considere almacenar una dirección de entrega. El cifrado de transporte, disco y datos protege diferentes límites.

Cifrado de transporte/TLS: Protege la comunicación entre el navegador y el servidor. El servidor receptor puede procesar la dirección; TLS no protege automáticamente el contenido de la base de datos ni una aplicación comprometida.
Cifrado de almacenamiento: Protege contra discos robados y medios de respaldo. Si la base de datos descifra de forma transparente las lecturas normales, los usuarios con acceso de lectura SQL aún pueden ver las direcciones.
Cifrado antes del almacenamiento: Cifre la dirección en la aplicación y almacene el texto cifrado. Separe los permisos de lectura de la base de datos de los permisos de uso de claves para proteger contra el robo exclusivo de la base de datos.

OneNym combina estas capas con una autorización para fines específicos. Una criptografía sólida es importante, al igual que limitar las rutas de descifrado.

La implementación descifra la dirección completa en memoria y devuelve solo los campos permitidos. No es cifrado por campo. Gestione el texto recibido y los registros y almacenamiento anteriores al registro. Guía de inicio

Proteja una clave de datos con una clave independiente.

Un DEK cifra la dirección; una KEK protege esa DEK. Este es el cifrado de sobres. A continuación se muestra un ejemplo con un DEK dedicado para cada dirección.

Genere una DEK utilizando una fuente aleatoria criptográficamente segura y cifre la dirección con cifrado autenticado.
Envuelva la DEK con una KEK administrada por un servicio de administración de claves. El ajuste cifra y protege la clave.
Almacene texto cifrado, DEK empaquetado, versión de clave y metadatos de descifrado. No almacene una DEK en texto plano en la base de datos.
Cuando se necesite dirección, autorizar al organización, finalidad, registro y campos.
El servicio autorizado desenvuelve el DEK, descifra la dirección y devuelve sólo los campos permitidos.

Servicio de gestión de claves de base de datos.
Dirección cifrada KEK protegiendo el DEK
Permisos y auditoría de uso de claves DEK envueltos
Nonce/etiqueta/versión clave
          ↓ Servicio autorizado accede a ambos
       Descifrado temporal → Procesamiento de entrega

Incluso se puede abusar de una KEK no exportable si se roban sus permisos de uso. Acceso, administración, operaciones de emergencia y credenciales de servicio independientes a la base de datos y al KMS. Proteja también la memoria descifrada y los cachés de claves.

Administre KEK a través de servicios clave en la nube.

El Vault usa Azure Key Vault para su KEK. Separa el permiso de usar la clave que protege las claves de datos (DEK) del acceso a la base.

Los servicios en la nube controlan claves y acceso a operaciones criptográficas. OneNym primero autoriza a los organizaciones, registros, campos y propósitos. Las aplicaciones empresariales obtienen permisos API de bóveda limitados, no acceso directo a KEK.

Servicios clave en la nube y responsabilidades de OneNym →

Dos tipos diferentes de rotación de claves.

Al rotar una KEK se pueden volver a empaquetar las DEK sin cambiar el texto cifrado de los datos. Una DEK comprometida requiere volver a cifrarse con una nueva DEK. La rotación no puede recuperar texto plano robado ni copias de claves antiguas y texto cifrado.

Detectar sustituciones y proteger la confidencialidad.

El cifrado autenticado, como AES-GCM, detecta cambios en el texto cifrado a través de una etiqueta de autenticación. Rechazar fracasos. Nunca reutilice un nonce con la misma clave AES-GCM, incluso entre reintentos y múltiples servidores.

Vincule el ID del organización, el ID del registro y la versión del esquema como datos autenticados adicionales (AAD). El texto cifrado copiado del organización A al registro del organización B no supera la verificación cuando se compara con el contexto esperado del organización B.

AAD no está cifrado; no pongas direcciones secretas en él. Obtenga los ID esperados a partir de solicitudes autenticadas y registros confiables. Confiar en los ID proporcionados junto con el texto cifrado sustituido no preserva el límite.

¿Qué queda protegido en caso de incumplimiento?

Sólo se roba una copia de la base de datos.: El cifrado correcto protege el contenido de la dirección si no hay claves de texto sin formato ni otras copias de texto sin formato. Evalúe la exposición de metadatos, como recuentos, ID, marcas de tiempo y tamaños por separado.
Los permisos de base de datos y descifrado están comprometidos: El cifrado por sí solo no puede impedir el acceso. Limite el impacto con autorización de alcance, controles de uso, detección de anomalías y revocación.
El servidor de entrega está comprometido: Las direcciones descifradas durante el procesamiento legítimo pueden ser robadas. No devuelva ningún campo más allá de lo que requiere la entrega.
Ya se ha enviado una dirección a un socio: Revocar la clave de la bóveda no borra el texto sin formato compartido. Administre también la retención y eliminación de socios.

Preguntas para hacer antes del despliegue.

Más allá de si se utiliza AES, pregunte quién puede usar las claves, si el alcance del descifrado, si se audita el uso de las claves, qué tan rápido llega la revocación a las cachés y cómo se manejan las claves perdidas. Los límites de protección y la evidencia operativa respaldan la evaluación.

Referencias técnicas

Para conocer los principios generales de cifrado y administración de claves, consulte Hoja de referencia de almacenamiento criptográfico de OWASP; para jerarquías clave, consulte Guía de cifrado en reposo de Microsoft. Esta página explica el diseño de protección de OneNym; Las claves por registro son una configuración ilustrativa.

Discutir la integración técnica