En esta guía, descubrirá qué es el cifrado en reposo, cómo funciona y cómo lo implementamos en Mailfence.
¿Qué es el cifrado en reposo?
La encriptación en reposo es la práctica de proteger los datos almacenados en un dispositivo mediante algoritmos de encriptación. Es el método de encriptación de los «datos en reposo», es decir, los datos almacenados en ese momento, normalmente en el disco duro de un ordenador o servidor.
La encriptación en reposo se diferencia de la encriptación en tránsito, que protege los datos mientras se transfieren entre ubicaciones. Además, se distingue de los datos en uso, que se cargan activamente en la memoria y son procesados por una aplicación informática.
| Tipo de datos | ¿Dónde se encuentran? |
|---|---|
| Datos en reposo | En dispositivos de almacenamiento |
| Datos en tránsito | Durante la transferencia por las redes |
| Datos en uso | En la memoria mientras se procesan |
La encriptación en reposo ayuda a garantizar la confidencialidad de la información sensible, incluso si un dispositivo se pierde o es robado. Las personas no autorizadas que accedan a medios de almacenamiento, como discos duros o servidores en la nube, no podrán descifrar los datos sin las claves correspondientes. Puede imaginar la encriptación en reposo como una caja fuerte que protege sus objetos de valor. Aunque alguien entre en casa, no podrá abrirla sin la combinación correcta.
¿Cómo funciona la encriptación en reposo?
Cuando se almacenan datos en un dispositivo, un algoritmo de encriptación transforma la información legible en caracteres ilegibles. Por ejemplo, datos sensibles como «Contraseña de usuario: 12345» pueden convertirse en una cadena codificada como «lJf9#%!@7^g12».
El proceso de encriptación suele constar de dos componentes principales:
- El algoritmo de encriptación, que determina cómo transformar los datos;
- La clave, que actúa como un «secreto» y permite recuperar la información original.
Tipos de encriptación en reposo
La encriptación en reposo puede funcionar a distintos niveles según su implementación:
- Encriptación a nivel de archivo: protege archivos o carpetas específicos;
- Cifrado de disco completo: también denominado cifrado a nivel de bloque. Este método protege todo el dispositivo de almacenamiento. Al encenderlo, el sistema puede desencriptar todos los datos.
- Encriptación a nivel de almacén: protege los datos en sistemas estructurados. En este caso, aunque se encienda el disco, todos los datos permanecen encriptados. Solo se desencripta un dato concreto cuando se solicita.
Gestión de las claves de encriptación
Los sistemas de encriptación en reposo suelen utilizar claves almacenadas en entornos seguros. Un ejemplo son los módulos de seguridad de hardware (HSM), que permiten gestionar los datos encriptados.
Estos dispositivos mantienen las claves a salvo frente a accesos no autorizados. Además, proporcionan una capa de seguridad adicional al aislarlas del acceso general dentro del sistema.
Acceso a los datos encriptados
Los sistemas modernos suelen automatizar los procesos de encriptación y desencriptación para facilitar el uso y mejorar la eficiencia. Cuando los usuarios acceden a los datos encriptados, el sistema los desencripta temporalmente en la memoria. De este modo, permite realizar acciones autorizadas mientras mantiene protegidos los datos almacenados.
Por ejemplo, en un servicio de almacenamiento en la nube, los archivos permanecen encriptados en el servidor. Sin embargo, se desencriptan en el dispositivo del usuario cuando se accede a ellos mediante credenciales y permisos válidos.
Cómo Mailfence implementa el cifrado en reposo
Aunque muchas aplicaciones implementan la encriptación a nivel de bloque (o de disco completo), nosotros optamos por la encriptación a nivel de almacén. Esto presenta varias ventajas:
- Incluso al montar (es decir, encender) el disco duro del servidor, todos los datos del usuario permanecen encriptados. Sólo cuando un usuario solicita un correo electrónico, o archivo, se desencriptan esos datos concretos.
- El cifrado a nivel de almacén permite una gestión avanzada de claves con más control (varias claves para varios almacenes). Esto significa que, si se compromete una clave de un almacén, el resto de los almacenes no se verán comprometidos.
- La encriptación a nivel de almacén también le permite almacenar copias de seguridad de almacenes específicos encriptándolas primero internamente (es decir, no depende de la encriptación de un tercero).
Sin embargo, es importante tener en cuenta que la encriptación en reposo no le protege contra todas las amenazas.
La encriptación en reposo sólo añade una capa adicional de protección contra el robo físico. No le protege de los atacantes que consiguen entrar en su sistema (por ejemplo, a través de Internet) ni de la interceptación de datos en tránsito.
¡Tampoco significa que no deba utilizar la encriptación de extremo a extremo! La E2EE debe ser su máxima prioridad y su mejor línea de defensa contra la vigilancia masiva.
Si desea saber más sobre cómo proteger su vida en Internet, consulte nuestro curso de concienciación sobre seguridad y privacidad del correo electrónico.
Conclusión
Eso es todo para esta guía sobre el cifrado en reposo, y cómo lo implementamos aquí en Mailfence.
Si desea más detalles técnicos sobre nuestra aplicación, no dude en ponerse en contacto con nosotros en support@mailfence.com.
