  ¿Qué pasa si le roban sus servidores, portátiles o discos? ¿Se puede acceder a los datos? La respuesta es no si tiene configurado correctamente el cifrado de disco completo.  En el panorama actual de amenazas, cifrar datos no es opcional, sino fundamental. Si bien diferentes casos de uso y aplicaciones requieren distintos niveles de cifrado, el cifrado a nivel de disco, también conocido como   se ha convertido en el estándar de facto para proteger los datos en reposo. Supongamos que ejecuta sistemas Linux o cualquier carga de trabajo de big data. En ese caso, probablemente haya oído hablar de   o incluso   . Analicemos qué son, por qué son importantes y cuándo debería usarlos. FDE (Cifrado de Disco Completo), LUKS (Configuración de Clave Unificada de Linux), dm-crypt (Cifrado de Asignador de Dispositivos) NBDE (Cifrado de Disco Vinculado a la Red)  ¿Cuáles son los diferentes tipos de cifrado?   Cifrado de datos a nivel de aplicación  Es la forma segura más preferida de cifrar datos confidenciales utilizando claves de cifrado antes de almacenar datos en discos o bases de datos.  Las claves de cifrado se administran de forma segura en un sistema separado, como un sistema de administración de claves (KMS), para aislar el almacenamiento de claves de los datos cifrados.  Este enfoque ayuda a proteger los datos incluso si un atacante obtiene acceso a nivel de administrador del sistema, del sistema de archivos o de la base de datos, ya que los datos permanecen cifrados sin las claves.  Lógica adicional en la capa de aplicación para gestionar el cifrado o descifrado.  Adecuado para proteger datos confidenciales para satisfacer diferentes requisitos de cumplimiento de la industria.    nombre, apellido, direcciones, números de teléfono, direcciones de correo electrónico, SSN, etc. PII (Información de identidad personal):    Números de tarjetas de crédito, códigos CVV, fechas de vencimiento, etc. PCI-DSS (Industria de tarjetas de pago - Estándares de seguridad de datos) -    : registros médicos, diagnósticos, información de tratamientos, resultados de laboratorio, detalles del seguro y otra información de salud del paciente cubierta por  PHI (Información de salud protegida) HIPAA    secretos comerciales, propiedad intelectual, registros financieros, documentos legales o cualquier dato que, de exponerse, pudiera generar violaciones de cumplimiento o daños a la reputación. Otros datos sensibles o regulados:   Cifrado de bases de datos  Cifra datos   dentro del sistema de base de datos (por ejemplo,   ) en reposo cifrado de datos transparente (TDE)  Generalmente encripta automáticamente todo el archivo de base de datos, tabla, columna o espacio de tabla,  sin que la aplicación maneje el encriptado directamente.  Las claves son administradas por el motor de base de datos o un KMS integrado.    , pero no contra usuarios privilegiados (por ejemplo, administradores de bases de datos) que pueden consultar datos descifrados si tienen acceso. Protege contra amenazas como discos robados o acceso no autorizado a archivos  Cifrado a nivel del sistema de archivos  Adecuado para el cifrado de archivos/carpetas/volúmenes.  La gestión de claves se puede realizar a nivel de SO, TPM/HSM, KMS  Protege contra robo/pérdida física  Ideal para la seguridad de dispositivos de almacenamiento y puntos finales   Cifrado de disco completo (FDE)  Cifra datos en reposo a nivel de disco o a nivel de asignador de dispositivos y ofrece    : si un atacante obtiene acceso directo al disco, los datos permanecen ilegibles. Numerosos casos, incluidos los del sector financiero, se han visto afectados por este tipo de actos. Protección contra amenazas internas    : almacene datos no estructurados y los clústeres que no pueden operar en cargas útiles cifradas en la capa de aplicación aún se benefician del cifrado en reposo. Esencial para sistemas de big data    : a menudo, más rápido que el cifrado distribuido a nivel de aplicación complejo en ciertos escenarios. Rendimiento y rentabilidad  FDE   el cifrado a nivel de aplicación; más bien, complementa o aumenta la postura de seguridad de los datos en reposo. no es adecuado ni reemplaza  En las siguientes secciones, analizaremos el cifrado de disco completo con   y lo reforzaremos utilizando  LUKS (configuración de clave unificada de Linux) NBDE (cifrado de disco basado en red).  Configuración de clave unificada de Linux (LUKS)  Estándar de facto para el cifrado de disco completo (FDE), que utiliza el sistema de kernel del asignador de dispositivos existente (también conocido como dm-crypt)  La clave de cifrado del disco se puede cifrar utilizando un texto/biblioteca aleatorio  El material de cifrado de la clave está en un archivo (también conocido como keyFile) protegido por permisos de nivel de sistema operativo.  KeyFile se mantendrá en un disco diferente del disco protegido por LUKS  Se pueden configurar hasta 8 cuentas de nivel de sistema operativo para acceder al mismo disco con 8 ranuras en LUKS. Mientras que LUKS2 ofrece 32 ranuras.  LUKS se considera a menudo el cifrado de disco completo estándar, ya que los fabricantes de chips utilizan AES-NI (Nuevas Instrucciones AES) de forma nativa. Por lo tanto, el impacto en la CPU es menor.  El cifrado predeterminado es AES-CBC-ESSIV:SHA256 o AES-XTS-PLAIN64 según la instalación del sistema operativo  El tamaño de clave predeterminado para LUKS es de 256 bits y 512 bits con Anaconda Installer (modo XTS)   Fig.: LUKS - Cifrado de disco completo  Configuración de LUKS  La siguiente documentación muestra una guía paso a paso para configurar LUKS en sistemas Redhat Linux.   https://www.redhat.com/es/blog/cifrado-de-disco-luks  ¿Para qué no es adecuado LUKS?  Considere LUKS siempre como un mecanismo de cifrado complementario a nivel de disco, junto con el cifrado a nivel de aplicación. Sin embargo, no sustituye al cifrado a nivel de aplicación, base de datos o sistema de archivos.  LUKS es una capa de conveniencia adicional que almacena toda la información de configuración necesaria para dm-crypt en el propio disco y abstrae la administración de particiones y claves en un intento de mejorar la facilidad de uso y la seguridad criptográfica.  El modo dm-crypt simple, al ser la funcionalidad del kernel anterior, no emplea la capa de conveniencia. Resulta más difícil aplicar la misma seguridad criptográfica con él. Analicemos las diferencias entre LUKS y dm-crypt.  Diferencias entre LUKS y dm-crypt          Agregar fila Eliminar fila Agregar columna Eliminar columna         Agregar fila Eliminar fila Agregar columna Eliminar columna         Agregar fila Eliminar fila Agregar columna Eliminar columna  LUKS  dm-crypt  Licencia GPL  Sí  Sí  Cambiar la contraseña sin volver a cifrar  Sí  No  Defensa contra frases de contraseña de baja entropía (contra ataques de diccionario) Salazón y hash  Sí  No  Varias claves de descifrado para los mismos datos cifrados  Sí  No  Mecanismo de recuperación de claves  Sí  No  Configuraciones de cifrado de la tienda  Sí  No         Agregar fila Eliminar fila Agregar columna Eliminar columna  Archivos de claves seguras  Integración de TPM 2.0 (Módulo de plataforma segura)  Integración con almacenamiento de claves personalizado  Diferentes discos/puntos de montaje o el disco principal. Y, por supuesto, esto no se puede quitar fácilmente.  HSM (Módulo de seguridad de hardware)  NBDE (Cifrado de disco enlazado a red). Es el método preferido, seguro y automatizado para sistemas de producción. NBDE está disponible a partir de RHEL 7.4.  Cifrado de disco enlazado a red (NBDE):  NBDE ofrece criptografía asimétrica. Permite que una máquina con un disco cifrado arranque sin el cifrado del disco, donde la clave debe introducirse al arrancar. Esto solo ocurre cuando la máquina está conectada a la red correcta y sin almacenar la clave de cifrado en texto plano, ni almacenarla fuera de la máquina, ni transmitir datos a través de la red de forma que un ladrón pueda acceder a ellos.    ofrece mayor seguridad con una forma automática y más sencilla de administrar el cifrado/descifrado del disco en el arranque a alto nivel. NBDE tiene los siguientes conceptos. LUKS + NBDE    : marco conectable para el descifrado automático. En NBDE, Clevis proporciona desbloqueo automático de volúmenes LUKS. CLEVIS    : es un complemento del framework Clevis. Implementa interacciones con el servidor TANG. CLEVIS Pin    : Servicio de recuperación de datos seguro y sin estado basado en red. TANG no es un servidor de custodia; nada se guarda en el servidor.  TANG Figura: Cifrado de disco enlazado a red (NBDE)  Puntos clave    El sistema aprovecha la criptografía asimétrica para que el descifrado del disco solo sea posible cuando la máquina está conectada a la red correcta (donde el servidor Tang es accesible), sin necesidad de almacenar claves de descifrado localmente ni transmitirlas de forma insegura. Modelo de seguridad:    NBDE permite el desbloqueo automático de volúmenes cifrados durante el arranque, lo que reduce la intervención manual y mejora la seguridad de los datos en reposo en entornos de servidores desatendidos. Automatización:    Clevis está diseñado como un marco flexible, que permite otros pasadores (no solo Tang) para diferentes escenarios de desbloqueo o integraciones de hardware. Modularidad:    el servidor Tang no retiene ningún secreto ni claves de depósito, lo que protege contra la vulneración del servidor central. Sin estado:  Flujo de trabajo en capas  El cliente (Clevis) inicia el desbloqueo durante el arranque.  Clevis utiliza el pin Tang para comunicarse con el servidor Tang y realizar un intercambio de clave seguro.  Las operaciones criptográficas (JOSE) gestionan el material de claves efímeras seguras.  LUKSMeta almacena la lógica de enlace y desbloqueo.  Tras un intercambio exitoso, Clevis descifra la clave maestra y desbloquea el volumen cifrado con LUKS.  NBDE - Ventajas  No es necesario ingresar frases de contraseña al iniciar o reiniciar el sistema manualmente (si la raíz también está cifrada)  No es necesario guardar frases de contraseña en KeyFiles  No se comparten claves públicas ni privadas entre el servidor TANG y el marco CLEVIS  Llamadas remotas automatizadas al servidor TANG (actúa como un servidor de claves de descifrado)  Utiliza claves asimétricas (algoritmo de intercambio MR)  Opción escalable con implementaciones de servidores crecientes.  Conclusión:  Si su organización maneja datos confidenciales u opera en industrias reguladas,   ofrece una solución poderosa, automatizada y segura para la protección de datos en reposo. FDE con LUKS + NBDE

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Read My Stories

Este audio es producido en el idioma original de la historia!

Protección de datos en reposo: de LUKS a NBDE: una guía de cifrado moderna

About Author

COMENTARIOS

ETIQUETAS

ESTE ARTÍCULO FUE PRESENTADO EN

Related Stories

Una guía del arquitecto para crear una arquitectura de referencia para un lago de datos de IA/ML

Crecimiento de las criptomonedas: creación de perfiles de usuarios eficaces

Liberando el poder de la IA. Una revisión sistemática de técnicas de vanguardia: resumen e introducción

¿Quieres ganar un concurso de redacción de HackerNoon? Esto es lo que recomiendan los ganadores del concurso #crypto-api

Una guía del arquitecto para crear una arquitectura de referencia para un lago de datos de IA/ML

Crecimiento de las criptomonedas: creación de perfiles de usuarios eficaces

Liberando el poder de la IA. Una revisión sistemática de técnicas de vanguardia: resumen e introducción

¿Quieres ganar un concurso de redacción de HackerNoon? Esto es lo que recomiendan los ganadores del concurso #crypto-api

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps