Una clave de cifrado es un valor secreto, una cadena de bits, que un algoritmo criptográfico usa para cifrar y descifrar datos; quien posee la clave puede leer la información protegida.
Cómo funcionan las claves de cifrado
El cifrado moderno sigue el principio de Kerckhoffs: el algoritmo es público y la seguridad depende por completo de mantener la clave en secreto. Hay dos tipos principales de claves:
- Claves simétricas: un único secreto compartido para cifrar y descifrar, por ejemplo una clave AES de 128 o 256 bits.
- Pares de claves de la criptografía de clave pública: una clave pública que puede compartirse libremente y una privada que debe mantenerse en secreto; las claves RSA suelen tener 2048 bits o más, y las de curva elíptica, 256 bits.
La longitud de la clave determina la resistencia a la fuerza bruta: probar las 2^128 claves AES posibles está muy por encima de la capacidad de cualquier ordenador. Las claves se generan con un generador de números aleatorios criptográficamente seguro o se derivan de una contraseña con funciones como PBKDF2 o Argon2.
Por qué importa la gestión de claves
Los algoritmos robustos no sirven de nada si las claves se filtran. Problemas habituales son las claves incrustadas en el código fuente o el firmware (CWE-321), guardadas junto a los datos cifrados, subidas a repositorios públicos o mantenidas en memoria, donde el malware puede leerlas. En 2023 el grupo Storm-0558 usó una clave de firma robada de cuentas de consumo de Microsoft para falsificar tokens y acceder al correo de agencias del Gobierno de EE. UU., un recordatorio de que una sola clave puede abrir miles de cuentas. El ransomware, a la inversa, se basa en que la víctima no tiene la clave del atacante.
Buenas prácticas
- Seguir un ciclo de vida de las claves (generación, almacenamiento, rotación, revocación y destrucción), como describe NIST SP 800-57.
- Guardar las claves en hardware: HSM, servicios de gestión de claves en la nube o un TPM.
- Separar las claves de los datos que protegen y limitar quién puede usarlas.
- Rotar las claves con regularidad e inmediatamente ante una sospecha de compromiso.
