¿Qué son las claves gestionadas por el cliente (CMK)?
Las claves gestionadas por el cliente (CMK) son claves de cifrado que tú —no el proveedor de almacenamiento o de nube— generas, custodias y controlas, y que se usan para cifrar tus datos en reposo. Como el ciclo de vida de la clave es tuyo, el proveedor guarda texto cifrado que no puede leer sin una clave que tú facilitas y puedes retirar.
La distinción decisiva es esta: el cifrado en reposo es casi universal, pero quién controla la clave decide quién puede leer realmente los datos. "Cifrado" y "cifrado con una clave que solo tú controlas" son garantías muy distintas, y esta página trata de la segunda.
Claves gestionadas por el cliente frente a por el proveedor
Todo servicio de almacenamiento cifrado usa una clave; la cuestión es quién la custodia.
- Las claves gestionadas por el proveedor son lo predeterminado. El proveedor genera y guarda la clave y realiza el cifrado por ti. Es cómodo, y significa que el proveedor puede descifrar tus datos, y puede ser obligado a hacerlo.
- Las claves gestionadas por el cliente ponen la clave bajo tu control: tú decides la rotación, la política de acceso y cuándo revocarla. El proveedor solo puede descifrar mientras tu clave esté disponible para él.
La consecuencia práctica es el control sobre la divulgación. Con claves del proveedor, un requerimiento al proveedor puede producir datos legibles. Con claves del cliente, el proveedor solo puede producir texto cifrado; la copia legible exige tu clave. Esa única diferencia es la razón por la que las organizaciones reguladas tratan la custodia de claves como un control de primer orden y no como una casilla que marcar.
CMK, BYOK y HYOK
Estas siglas se usan sin rigor y describen un espectro según hasta dónde permanece la clave bajo tu control.
- CMK (claves gestionadas por el cliente) es el paraguas: tú gestionas el ciclo de vida de la clave —creación, rotación, política y revocación—.
- BYOK (aporta tu propia clave) lo acota: generas el material de clave en tu propio KMS o HSM y lo importas al servicio de claves del proveedor, que después realiza las operaciones criptográficas dentro de su perímetro.
- HYOK (conserva tu propia clave) es lo más estricto: la clave nunca sale de tu propio gestor de claves. La plataforma del proveedor invoca tu KMS externo para desenvolver los datos, de modo que el material de clave permanece por completo bajo tu jurisdicción.
Más control trae más responsabilidad. HYOK ofrece la separación más fuerte, pero introduce una dependencia real: si tu gestor de claves es inalcanzable, los datos también lo son. Elegir entre ellos es un equilibrio entre control y resiliencia operativa, no un simple "cuanto más, mejor".
Cómo funcionan las claves gestionadas por el cliente
Casi todo el cifrado en reposo usa cifrado por sobres (envelope encryption), y entenderlo hace concreto el modelo CMK.
- Los datos se cifran con una clave de cifrado de datos (DEK), generada por objeto o volumen.
- La DEK, a su vez, se cifra ("se envuelve") con una clave de cifrado de claves (KEK): la clave que tú gestionas.
- Para leer los datos, el sistema debe desenvolver la DEK con la KEK; si la KEK está en tu KMS y no está disponible, los datos no pueden descifrarse.
Situar la KEK en un sistema de gestión de claves que tú operas —al que se accede mediante un protocolo estándar como KMIP— te da tres palancas: rotación (reemplazar claves de forma programada sin recifrar todos los datos), política de acceso (decidir qué sistemas pueden usar una clave) y revocación. Revocar o destruir una clave deja permanentemente ilegibles los datos que protegía —lo que a veces se llama crypto-shredding—, una forma rápida y verificable de retirar datos o aislar un sistema comprometido.
Por qué importan las claves gestionadas por el cliente
La custodia de claves es donde convergen varios objetivos de seguridad y cumplimiento.
- Control sobre la divulgación. Si el proveedor no puede descifrar, un requerimiento produce texto cifrado, no información legible: el punto en el que el cifrado cobra sentido para la soberanía de datos.
- Separación de funciones. Ninguna parte posee a la vez los datos y el medio para leerlos, lo que encaja con los principios de confianza cero y satisface a los auditores que buscan esa división.
- Riesgo interno y de cadena de suministro. Una cuenta o un administrador del proveedor comprometidos no pueden leer datos cuya clave reside en tu KMS.
- Retirada verificable. Destruir la clave es una forma limpia y demostrable de hacer irrecuperables los datos sin rastrear cada copia.
Por estas razones, los marcos de finanzas, sanidad y sector público preguntan cada vez más no solo si los datos están cifrados, sino quién custodia las claves.
Las claves gestionadas por el cliente y ARTESCA
Scality ARTESCA está diseñado para que la plataforma de almacenamiento nunca posea a la vez tus datos y las claves para leerlos.
- AES-256 en reposo. Los datos se cifran con AES-256, y el cifrado puede habilitarse a nivel de bucket, de modo que cada objeto del bucket queda cubierto.
- Claves fuera del sistema. Las claves de cifrado se guardan en un sistema externo de gestión de claves compatible con KMIP, y no en la propia ARTESCA, así que ninguna credencial de cifrado convive con los datos.
- Amplia compatibilidad de KMS. Como ARTESCA habla el protocolo estándar KMIP, funciona con una amplia gama de gestores de claves de terceros que ya operas.
- Confianza cero por diseño. Separar las claves del almacenamiento significa que ningún sistema posee ambos, reforzando la separación de funciones descrita arriba.
El resultado es un cifrado gestionado por el cliente que de verdad controlas: tú operas el gestor de claves, tú fijas la rotación y la revocación, y los mismos datos pueden hacerse inmutables mediante S3 Object Lock, de modo que sean confidenciales y estén protegidos frente al ransomware a la vez.
Preguntas frecuentes sobre las claves gestionadas por el cliente
¿Qué diferencia hay entre las claves gestionadas por el cliente y por el proveedor?
Las claves del proveedor las genera y custodia el proveedor, que por tanto puede descifrar tus datos. Las claves del cliente las controlas tú —fijas la rotación, el acceso y la revocación—, así que el proveedor solo puede descifrar mientras tu clave esté disponible para él.
¿Es CMK lo mismo que BYOK?
No exactamente. CMK es la idea general de que el cliente controla el ciclo de vida de la clave. BYOK es un patrón concreto en el que generas el material de clave y lo importas al servicio de claves del proveedor. HYOK va más allá y conserva la clave por completo en tu propio KMS.
¿Qué es el cifrado por sobres?
Un esquema de dos niveles en el que los datos se cifran con una clave de cifrado de datos (DEK) y la DEK se cifra con una clave de cifrado de claves (KEK) que tú gestionas. Leer los datos exige desenvolver la DEK con la KEK, así que el control de la KEK controla el acceso.
¿Qué pasa si pierdo o revoco mi clave?
Los datos protegidos por esa clave quedan ilegibles. Es un riesgo que se gestiona con copias de seguridad y disciplina de rotación, pero también es una función: destruir una clave es una forma rápida y verificable de hacer irrecuperables los datos, lo que se conoce como crypto-shredding.
¿Importa KMIP para las claves gestionadas por el cliente?
Sí. KMIP es un protocolo estándar para comunicarse con los gestores de claves, de modo que un sistema de almacenamiento que lo admite puede usar el KMS que ya operas en lugar de atarte al servicio de claves de un único proveedor.