El cifrado en reposo es la protección de los datos almacenados mediante su cifrado, de modo que un archivo guardado en un móvil, un portátil, una memoria USB o un servidor es ilegible sin la clave correcta.
«En reposo» solo significa «quieto». El escaneo de tu pasaporte en una carpeta está en reposo. El mismo escaneo adjunto a un correo, volando por internet, está «en tránsito». A la gente de seguridad le importa la diferencia porque las amenazas son distintas: que alguien intercepte una conexión es un problema, y que alguien recoja un móvil perdido o un portátil robado es otro.
El móvil es donde acaban tu tarjeta del seguro, tu contrato de alquiler y las fotos de tu declaración de la renta, y los móviles se pierden. El cifrado en reposo es el cerrojo de ese cajón.
Qué es el cifrado en reposo
El NIST, la agencia de estándares de EE. UU., define el cifrado como la transformación de datos legibles, llamados texto claro, en una forma, llamada texto cifrado, que oculta el significado original de los datos para impedir que se conozcan o se usen. Si la transformación es reversible, la inversa se llama descifrado. La clave es lo que la hace reversible: sin clave, no hay lectura.
La guía del NIST sobre cifrado de almacenamiento en dispositivos de usuario final, la SP 800-111, lo describe como el uso del cifrado y la autenticación para restringir el acceso a la información almacenada y su uso. Nombra tres enfoques habituales: cifrado de disco completo, cifrado de volúmenes y discos virtuales, y cifrado de archivos o carpetas. La elección correcta, dice, depende sobre todo del tipo de almacenamiento, de cuánta información hay que proteger, de dónde se guardará el almacenamiento y de las amenazas que intentas frenar.
El enfoque de Apple en el iPhone es del tipo por archivo. La guía de seguridad de Apple dice que Data Protection asigna cada archivo a una clase, y que la accesibilidad de un archivo depende de si las claves de esa clase se han desbloqueado. Cada vez que se crea un archivo en el volumen de datos, Data Protection crea una nueva clave de 256 bits para él y se la entrega a un motor de cifrado por hardware, que cifra el archivo al escribirlo en la memoria flash.
Qué aspecto tiene
El cifrado en reposo no es algo que se vea. Aparece en unos cuantos sitios, y la tabla de abajo separa lo que cubre de lo que no.
| Situación | ¿Lo cubre el cifrado en reposo? | Qué comprobar |
|---|---|---|
| Móvil perdido o robado estando bloqueado | Sí, es el caso para el que está diseñado | Usa un código fuerte y un bloqueo automático corto |
| Móvil entregado estando desbloqueado | No | Bloqueo automático corto; Face ID en las apps sensibles |
| Archivo enviado por correo o subido | No (eso es cifrado en tránsito) | Usa un enlace seguro o un adjunto cifrado |
| Disco de un portátil extraído y leído en otro sitio | Sí, con el cifrado de disco completo activado | Confirma que está activado en los ajustes del sistema |
| Copia de seguridad o sincronización en la nube | Depende del proveedor y de los ajustes | Lee la descripción del proveedor sobre qué se cifra |
| Impresión en papel | No | Tritúrala (trituración) |
El límite honesto es la segunda fila. El cifrado en reposo protege los datos almacenados de alguien que tiene el dispositivo o el almacenamiento pero no la clave. No hace nada contra alguien que ya está dentro de una sesión desbloqueada, ni contra una persona a la que le diste el archivo.
Qué conservar y durante cuánto tiempo
El cifrado no es un documento, así que no hay nada que archivar. Lo que merece la pena conservar es el hábito y unos cuantos datos.
- Tu código y la información de recuperación. Si pierdes la clave, los datos cifrados pueden perderse para siempre. Guarda los datos de recuperación en un lugar seguro y aparte, como tu carpeta de emergencia digital.
- Una copia de seguridad cifrada. El cifrado no la sustituye. Mira cómo hacer copias de seguridad de documentos importantes.
- Una nota de dónde viven los archivos sensibles, y qué apps los protegen. Cuánto tiempo conservar los documentos en sí es otra cuestión: mira conservación de documentos.
Un consejo que conviene saber: algunos formatos están pensados para poder leerse dentro de décadas y prohíben el cifrado dentro del archivo. PDF/A, el estándar de PDF para archivo, es uno. La respuesta habitual es proteger el almacenamiento, no el archivo.
Dónde encaja Paperlock: sus documentos se guardan cifrados en el móvil usando Data Protection de iOS, y la app añade encima un bloqueo con Face ID o código. Es la misma capa en reposo descrita arriba, más un cerrojo para el caso del móvil desbloqueado.