Rotación y detección de claves

La rotación de claves consiste en sustituir periódicamente un secreto por uno nuevo y retirar el anterior. Incluso una clave almacenada a la perfección se beneficia de la rotación:

• Limita la ventana de exposición: si una clave se filtró sin que nadie lo supiera, la rotación la invalida.
• Reduce el desgaste criptográfico: se cifran menos datos con una misma clave.
• Cumple los requisitos de conformidad: estándares como PCI DSS exigen una rotación periódica.
• Elimina los accesos de quienes ya no forman parte de la organización: las credenciales que haya visto un exempleado dejan de servir.

La idea fundamental es que el valor de un secreto para un atacante disminuye cuanto más a menudo cambia. La rotación convierte una filtración en un problema temporal en lugar de permanente.

La rotación ingenua —eliminar la clave antigua y crear una nueva— provoca interrupciones, porque los consumidores que aún tienen la clave antigua dejan de funcionar al instante. La rotación segura utiliza una validez solapada:

• 1. Genere una clave nueva junto a la existente.
• 2. Distribuya la clave nueva a todos los consumidores.
• 3. Active la clave nueva para las operaciones nuevas.
• 4. Período de gracia: ambas claves siguen siendo válidas mientras los consumidores se actualizan.
• 5. Retire la clave antigua una vez que nadie la utilice.

Esta superposición de dos claves es la base de la rotación sin interrupciones.

Para realizar la rotación sin interrumpir el tráfico, los servicios deben aceptar tanto la clave antigua como la nueva durante el periodo de gracia. Un verificador comprueba un token entrante con cualquiera de las claves válidas en ese momento.

Para las claves de firma, publique varias claves públicas e indique cuál firmó un token mediante un identificador de clave (kid) en el encabezado. Los consumidores seleccionan automáticamente la clave correspondiente.

Solo cuando la telemetría confirme que no hay tráfico con la clave antigua debe retirarla.

La rotación manual es poco frecuente, propensa a errores y suele omitirse bajo presión. Automatícela. Las plataformas cloud y de gestión de secretos pueden rotar según una programación sin intervención humana:

• AWS Secrets Manager ejecuta una Lambda de rotación que crea una credencial nueva, la prueba y la promueve.
• HashiCorp Vault rota las credenciales raíz y emite secretos dinámicos de corta duración, de modo que la rotación es continua.
• Cloud KMS puede rotar automáticamente las claves de cifrado en intervalos fijos.

La rotación automatizada también es la respuesta más fiable ante una filtración sospechada: un solo comando o una programación que se aplica en todas partes.

Rotar una contraseña es sencillo: emita una nueva y actualice los consumidores. Rotar una clave de cifrado es más difícil porque los datos antiguos se cifraron con la clave anterior.

La solución estándar es el cifrado de sobre: los datos se cifran con una clave de datos específica para cada objeto, y esa clave de datos se cifra mediante una clave maestra de cifrado de claves (KEK). Para rotarla, solo debe volver a cifrar las pequeñas claves de datos con la nueva KEK, no todo el conjunto de datos.

El motor Transit de Vault gestiona esto mediante claves versionadas: registra qué versión cifró cada texto cifrado y permite reenlazarlo con la versión más reciente.

La rotación programada sirve para mantener la seguridad; la rotación de emergencia se utiliza ante filtraciones. Cuando se sabe o se sospecha que una clave está comprometida, se omite el lento periodo de gracia y se rota de inmediato, aceptando una breve interrupción si es necesario.

La preparación permite superar esta situación:

• Mantenga un runbook probado para rotar cada tipo de secreto.
• Conozca de antemano a todos los consumidores de cada secreto.
• Prepare la automatización para que la rotación de emergencia requiera un solo comando y no se convierta en un proyecto de investigación.

La rapidez de la rotación de emergencia determina directamente la magnitud de una filtración.

La rotación gestiona las filtraciones conocidas; la detección encuentra las que aún se desconocen. Los escáneres de secretos buscan patrones de credenciales en el código, el historial, los registros y los artefactos.

Analice varias capas para aplicar una defensa en profundidad:

• Pre-commit: bloquee los secretos antes de que entren en el repositorio.
• Pipeline de CI: detecte lo que haya omitido los hooks locales.
• En todo el repositorio: realice análisis profundos y periódicos de todo el historial.
• En la plataforma: use el análisis de secretos de GitHub/GitLab al hacer push.

Herramientas como gitleaks y trufflehog combinan expresiones regulares con análisis de entropía para detectar cadenas muy aleatorias que parecen claves.

Los escáneres utilizan dos técnicas complementarias:

• Coincidencia de patrones: busca prefijos y formatos conocidos; por ejemplo, las claves de AWS comienzan por AKIA, las claves de producción de Stripe por sk_live_ y los tokens de GitHub por ghp_.
• Análisis de entropía: mide la aleatoriedad. Los secretos reales son cadenas de alta entropía; un valor largo con aspecto aleatorio resulta sospechoso incluso sin un prefijo conocido.

Los patrones aportan precisión (pocos falsos positivos), mientras que la entropía aporta exhaustividad (detecta formatos desconocidos). Las buenas herramientas combinan ambos métodos y permiten ajustar los umbrales y las listas de permitidos para controlar el ruido.

El análisis encuentra secretos donde no deberían estar. Un honeytoken (o token canario) detecta cuándo un atacante utiliza un secreto.

Se coloca una credencial falsa con aspecto realista —una clave de AWS, un token de API o una conexión a una base de datos— en ubicaciones tentadoras, como un archivo de configuración o un repositorio público. La credencial no sirve para nada, pero cualquier intento de utilizarla activa una alerta.

Como los sistemas legítimos nunca acceden al honeytoken, cada detección es una señal de alta confianza de una intrusión: una alerta temprana de que un atacante ha obtenido acceso al almacén de secretos o al código base.

Además de los honeytokens, supervise cómo se utilizan los secretos reales. Los registros de auditoría del almacén de secretos y del proveedor cloud revelan patrones de abuso:

• Nueva ubicación geográfica: una clave que de repente se utiliza desde un país inesperado.
• Acceso fuera del horario habitual: credenciales utilizadas a las 3 a. m. cuando no se ejecuta ningún trabajo.
• Sondeo de privilegios: una clave de solo lectura que intenta realizar escrituras o llamadas administrativas.
• Picos de volumen: un aumento repentino de las llamadas a la API.

Envíe estos registros a un SIEM con alertas. La detección, combinada con una rotación rápida, es la respuesta práctica a las filtraciones que superan las medidas de prevención.

Un programa maduro combina la rotación proactiva con la detección continua:

• Prefiera secretos dinámicos de corta duración para que la rotación sea automática y constante.
• Automatice la rotación programada de cualquier secreto estático inevitable.
• Utilice un solapamiento de dos claves para rotar las claves de firma sin tiempo de inactividad.
• Analice todo: pre-commit, CI, historial y plataforma.
• Implemente honeytokens y supervise los registros de auditoría para detectar usos anómalos.
• Mantenga runbooks de emergencia para que una filtración confirmada pueda resolverse mediante la rotación en cuestión de minutos.

El objetivo es que cada secreto tenga una duración corta, cada filtración sea detectable y cada rotación sea rápida y rutinaria.

Compruebe su comprensión de las técnicas de detección.

Ha aprendido a mantener actualizados los secretos y a detectar las filtraciones que superan las medidas de seguridad.

• La rotación limita la ventana de exposición y cumple los requisitos de conformidad; una rotación segura utiliza un solapamiento de dos claves para evitar el tiempo de inactividad.
• Automatice la rotación mediante gestores cloud, Vault y KMS; prefiera secretos dinámicos de corta duración para que la rotación sea continua.
• La rotación de claves de cifrado utiliza el cifrado de sobre para reenlazar pequeñas claves de datos, no conjuntos de datos completos.
• La rotación de emergencia depende de los runbooks y de conocer de antemano a todos los consumidores.
• La detección combina el análisis de secretos (patrones y entropía), los honeytokens que revelan el uso y la supervisión de anomalías mediante registros de auditoría y SIEM.
• Una estrategia madura combina la rotación proactiva con la detección continua para que las filtraciones sean breves, visibles y se contengan rápidamente.

Esto completa el curso de Gestión de secretos y rotación de claves.