Gestión de llaves: Políticas, procesos y sistemas que controlan el ciclo de vida de las llaves criptográficas (generación, almacenamiento, distribución, uso, rotación y destrucción) y quién puede usar cada una.
También conocido como: Gestión de claves, Gestión de llaves de cifrado, KMS (servicio de gestión de llaves)
Puntos clave
- Un cifrado fuerte con llaves mal protegidas es un cifrado débil.
- El ciclo de vida de una llave tiene seis etapas: generar, guardar, distribuir, usar, rotar y destruir.
- La separación de funciones y el registro de accesos pesan tanto como la criptografía.
- Quién tiene las llaves define el modelo: gestionadas por el proveedor, por el cliente o solo en el dispositivo.
- C Chat gestiona una llave por organización; no ofrece llaves gestionadas por el cliente.
A las páginas de seguridad les encanta nombrar algoritmos. Pocas explican dónde están las llaves. Y sin embargo, la llave es lo único que un atacante necesita y lo que un proveedor debe proteger por encima de todo. La gestión de llaves es la disciplina que decide si el cifrado funciona de verdad.
Gestión de llaves: qué es
Una llave de cifrado es un valor secreto que cierra y abre los datos. Gestionarla es tomar todas las decisiones sobre ese valor a lo largo de su vida:
| Etapa | Pregunta que responde |
|---|---|
| Generar | ¿Es aleatoria y lo bastante fuerte? |
| Guardar | ¿Dónde vive y está protegida aparte de los datos? |
| Distribuir | ¿Cómo llega a los sistemas que la necesitan sin quedar expuesta? |
| Usar | ¿Qué personas y servicios pueden usarla y queda registrado cada uso? |
| Rotar | ¿Cada cuánto se reemplaza y qué pasa con los datos antiguos? |
| Destruir | ¿Cómo se retira para que nunca se vuelva a usar? |
Una debilidad en cualquier etapa compromete toda la cadena.
Cómo funciona
En los servicios modernos, las llaves casi nunca se usan directamente. Un patrón común es el cifrado de sobre (envelope encryption):
- Una llave de datos cifra la información, por ejemplo con AES-256.
- Una llave maestra protege esa llave de datos.
- La llave maestra vive en un sistema reforzado, como un servicio de gestión de llaves o un módulo de hardware, y nunca sale de él.
- Las aplicaciones piden descifrar las llaves de datos cuando las necesitan, y cada petición puede autorizarse y registrarse.
Gracias a esa separación, una copia de la base de datos por sí sola no basta para leer la información, que es justo el objetivo del cifrado en reposo. También permite acotar las llaves, por ejemplo una por cliente, como explicamos en llave de cifrado por organización.
La criptografía de llave pública suma otra familia de llaves, los pares de llave pública y privada, que se usan sobre todo para establecer conexiones seguras y verificar identidades. También hay que gestionarlas, sobre todo la mitad privada.
Por qué importa en la mensajería empresarial
Quién tiene las llaves decide quién puede leer tus mensajes:
- Llaves gestionadas por el proveedor: el servicio puede descifrar para ofrecer búsqueda, historial en varios dispositivos y, en los modelos auditables, supervisión por parte de la organización.
- Llaves gestionadas por el cliente: el cliente controla una llave que usa el proveedor, lo que le da más palanca técnica y contractual.
- Llaves solo en el dispositivo: en los sistemas de extremo a extremo, solo los dispositivos de los usuarios tienen las llaves y el proveedor no puede descifrar.
Ninguna opción es la mejor para todos. Cada una equilibra de forma distinta comodidad, supervisión y control. Al evaluar un proveedor, el cuestionario de seguridad para proveedores incluye preguntas sobre dónde se guardan las llaves, quién accede a ellas y cada cuánto se rotan.
Qué tiene que ver con C Chat
C Chat cifra los mensajes almacenados con AES-256 usando una llave distinta para cada organización, y protege el tráfico con TLS. Las llaves las gestiona el servicio, y eso es lo que hace posible el cifrado auditable: los propietarios y administradores pueden auditar y exportar las conversaciones de grupo de su equipo, mientras los mensajes directos entre personas siguen siendo privados. La plataforma solo accede al contenido para moderar mensajes denunciados o por requerimientos legales, y ese acceso queda registrado.
C Chat no ofrece llaves gestionadas por el cliente (BYOK) ni llaves solo en el dispositivo. Si necesitas detalles técnicos sobre cómo se guardan o rotan las llaves para una revisión de seguridad, escribe a support@cguardpro.com.
Para profundizar, lee las llaves por organización explicadas, cifrado AES-256 en reposo por organización y cómo cifra C Chat tus mensajes. La comparación de cifrado auditable vs cifrado de extremo a extremo explica qué se gana y qué se pierde con cada tipo de llave, y TLS en C Chat cubre las llaves de sesión de corta duración.
Términos relacionados y errores comunes
- “Lo ciframos todo, así que estamos seguros.” No si la llave está en el mismo lugar que los datos.
- “Rotar vuelve a cifrar todo al instante.” Las estrategias varían; algunas solo aplican la llave nueva a los datos nuevos.
- “Tener tu propia llave elimina todo el riesgo del proveedor.” Lo traslada junto con la responsabilidad: si pierdes tu llave, puedes perder tus datos.
Cómo empezar
Al evaluar cualquier herramienta de mensajería, haz tres preguntas: qué algoritmo, qué llaves y quién puede usarlas. En C Chat las respuestas son AES-256, una llave por organización y un modelo de auditoría definido. Crea tu equipo en la app web en getcchat.com/c para probarlo.
Preguntas frecuentes
¿Por qué es tan importante la gestión de llaves?
Porque quien obtiene una llave puede descifrar todo lo que protege. La mayoría de los fallos reales de cifrado vienen de llaves expuestas, reutilizadas, nunca rotadas o al alcance de demasiadas personas, no de algoritmos rotos.
¿Qué es un servicio de gestión de llaves (KMS)?
Es un sistema especializado, que muchas veces ofrecen los proveedores de nube, que genera y guarda llaves, controla qué aplicaciones pueden usarlas y registra cada uso. Las aplicaciones le piden cifrar o descifrar en lugar de manejar las llaves directamente.
¿Qué es BYOK (trae tu propia llave)?
Es un esquema en el que el cliente genera o controla la llave de cifrado y el proveedor la usa en su nombre. C Chat no ofrece BYOK ni llaves gestionadas por el cliente; gestiona una llave distinta para cada organización.
¿Qué es la rotación de llaves?
Rotar una llave es reemplazarla por otra nueva según un calendario o tras una posible exposición, para que cada llave proteja una cantidad limitada de datos durante un tiempo limitado. Pregunta a cualquier proveedor cómo y cada cuánto rota sus llaves.