Encryption at Rest

El cifrado en reposo cifra los datos mientras se almacenan, de modo que los medios filtrados siguen siendo ilegibles; requiere una gestión de claves acompañante.

Propósito

Proteger la confidencialidad de los datos en medios de almacenamiento (discos, copias, SSD) frente al robo físico.

Mecanismo

Los datos se cifran antes de escribirse en el almacenamiento y se descifran al leer, de forma transparente para la aplicación (implementado por la capa de almacenamiento o el SO). La gestión de claves es crítica: un KMS guarda la clave maestra y las claves de datos cifran la información. Ejemplos: LUKS (disco completo en Linux), FileVault (macOS), TDE (bases de datos).

Casos de uso

TDE de bases de datos
Cifrado de almacenamiento en la nube (S3 SSE)
Cifrado de disco completo (LUKS/BitLocker)
Cifrado de copias de seguridad

Ejemplos

entrada
```
Disk data + KMS key
```
Output
```
Encrypted storage
```
Keys separated from data

Errores comunes

Storing keys alongside the data: Keep keys in KMS/HSM, separated from encrypted data

Términos relacionados

AES (Advanced Encryption Standard) es un cifrado de bloques simétrico establecido por NIST en 2001, soporta claves de 128/192/256 bits y es el estándar de facto del cifrado moderno.

La derivación de claves es el proceso de generar claves de cifrado a partir de contraseñas de baja entropía o claves maestras de alta entropía, usando KDFs (p. ej., PBKDF2, scrypt, Argon2) para elevar el coste de la fuerza bruta.

X.509 Certificate

Un certificado X.509 vincula una clave pública a una identidad, firmado por una CA para su verificación, e incluye validez, emisor, sujeto y campos de extensión.

References