Gestión de llaves criptográficas en AWS, con una ceremonia de llaves que resiste auditoría

Es el procedimiento formal, presenciado y documentado mediante el cual se genera una llave criptográfica maestra y se reparte su control entre varias personas. Se hace en una sola sesión, con un guion escrito de antemano, custodios que reciben fragmentos o credenciales independientes, testigos que dan fe y un acta que todos firman al cerrar. Su valor no es técnico: es la prueba verificable de que ninguna persona sola pudo conocer la llave y de que el control existió desde el primer minuto de vida de esa llave.

Porque el HSM demuestra que la llave está protegida hoy, pero solo la ceremonia demuestra cómo nació y quién la controla. Si la llave se generó en la laptop de una persona y luego se cargó al módulo, el hardware sigue siendo impecable y el control sigue roto: esa persona pudo haberla copiado. La ceremonia responde las preguntas que un auditor, un regulador o el directorio hacen cuando algo sale mal —quién estuvo presente, quién custodia qué, cuántas firmas hacen falta, qué pasa si alguien renuncia— y esas preguntas no las responde ninguna configuración.

AWS KMS es un servicio administrado y multi-inquilino, excelente para cifrar servicios de AWS con esfuerzo operativo mínimo y rotación automática. AWS CloudHSM te entrega módulos de hardware dedicados de un solo inquilino, validados FIPS 140-3 Nivel 3, donde tú administras los usuarios criptográficos y las llaves. Se elige CloudHSM cuando el marco regulatorio o el contrato exige custodia exclusiva, control dual demostrable y una ceremonia auditable. También se combinan: el almacén de claves personalizado de KMS permite que servicios como S3, EBS o RDS cifren respaldados por tus llaves en CloudHSM.

En CloudHSM, no. AWS conserva una credencial limitada que le permite monitorear la salud del clúster y ejecutar respaldos cifrados, y nada más: no puede leer el material criptográfico ni realizar operaciones con tus llaves. La gestión de usuarios del HSM es tuya. Ese modelo es justamente lo que hace posible sostener una custodia exclusiva frente a un regulador.

Los más frecuentes en nuestros clientes son la autoridad certificadora privada y la emisión de certificados internos, la firma digital de documentos y transacciones, el cifrado de bases de datos y respaldos con llaves bajo tu control, la tokenización de datos sensibles y la custodia de las llaves maestras que protegen al resto de la jerarquía criptográfica. El denominador común es el mismo: llaves cuya exposición sería un incidente mayor y cuyo control tienes que poder demostrar ante un tercero.

Depende del propósito y del marco que te aplique, no de una cifra universal. Las llaves de datos suelen rotar con más frecuencia que las llaves maestras, y las maestras rotan mediante ceremonia formal, no con un botón. Lo importante es que exista un calendario acordado, con responsables nombrados y un procedimiento probado: la rotación que nunca se ensayó es la que falla el día que hace falta.

Se resuelve con diseño, no con improvisación. Definimos desde el inicio cuántos custodios existen y cuántas firmas se necesitan, de modo que la ausencia de uno no bloquee la operación ni exponga la llave. Dejamos además un procedimiento de relevo de custodios y una ceremonia de recuperación ensayada, para que el cambio de una persona sea un trámite planificado y no una crisis.

Sí, y suele ser el escenario más común en banca y seguros. Si tus aplicaciones ya usan PKCS #11, JCE o CNG/KSP, el cambio del lado de la aplicación es acotado. El trabajo real está en trasladar la gobernanza: reconstruir la jerarquía de llaves, redefinir custodios y ejecutar la ceremonia en el nuevo entorno con la misma formalidad. Lo abordamos como parte del proceso de migración a AWS.

El despliegue técnico del clúster y su integración toma pocas semanas. El plazo lo marca la gobernanza: acordar la política de llaves, designar custodios y testigos, alinear a Seguridad, Cumplimiento y Auditoría Interna, y coordinar la agenda de la ceremonia. En proyectos regulados solemos trabajar en un rango de seis a diez semanas de punta a punta. Conversemos y lo estimamos sobre tu caso.

Con acta de ceremonia firmada por custodios y testigos, guion ejecutado con sus desviaciones registradas, matriz de roles y separación de funciones, inventario de llaves con propósito y ciclo de vida, registro de sobres y credenciales selladas, bitácora de CloudTrail y calendario de rotación y recuperación. Es el paquete que permite responder una auditoría sin volver a reconstruir la historia desde cero.