Cifrado: cuándo, dónde y cómo no equivocarse
Tres estados
En tránsito. Siempre cifrado, incluido entre servicios internos. Una red interna no es una zona segura.
En reposo. Discos, copias de seguridad y almacenamiento de objetos. En la mayoría de los servicios en la nube eso es una opción de configuración, no un proyecto.
A nivel de campo. Para los datos especialmente sensibles, de modo que ni siquiera el acceso a la base de datos los expone. El precio: no se puede buscar en ellos con facilidad.
La gestión de claves es lo principal
La clave se guarda en un servicio de gestión de claves, no junto a los datos. Permisos explícitos, rotación periódica y registro de acceso. El cifrado con una clave que reside en el mismo servidor aporta poco contra un atacante que llegó al servidor.
Errores frecuentes
Modos de cifrado obsoletos, reutilización de un valor aleatorio, comparar cadenas secretas de forma que filtra el tiempo, y un hash rápido para las contraseñas. Todos se evitan usando interfaces de alto nivel en vez de primitivos.
En profundidad
Documenta por tipo de dato: si está cifrado, en qué capa, quién puede descifrar y cuánto tiempo se guarda. Ese documento hace falta en cualquier auditoría, y además suele revelar dos sitios en los que nadie había pensado.