Última modificación: 19 de marzo de 2025

Normativa nº 4204 Procedimiento de encriptación

Descargar el documento sobre el procedimiento de cifrado

Visión general

El objetivo de este procedimiento es proporcionar orientaciones que limiten el uso de la encriptación a aquellos algoritmos que hayan sido objeto de una revisión pública sustancial y cuya eficacia haya quedado demostrada. Además, este procedimiento proporciona orientación para garantizar que se cumple la normativa federal y se concede autoridad legal para la difusión y el uso de tecnologías de cifrado fuera de Estados Unidos.

La gestión de claves de cifrado, si no se hace correctamente, puede llevar a comprometer y revelar las claves privadas utilizadas para proteger datos sensibles, comprometiendo así los datos. Aunque los usuarios comprendan la importancia de cifrar determinados documentos y comunicaciones electrónicas, es posible que no estén familiarizados con las normas mínimas para proteger las claves de cifrado.

Propósito

Este procedimiento describe los requisitos para proteger las claves de cifrado que están bajo el control de los usuarios finales. Estos requisitos están diseñados para evitar la divulgación no autorizada y el posterior uso fraudulento. Los métodos de protección descritos incluyen controles operativos y técnicos, como procedimientos de copia de seguridad de las claves, cifrado con una clave independiente y el uso de hardware a prueba de manipulaciones.

Alcance

Este procedimiento se aplica a todas las claves de cifrado enumeradas a continuación y a la persona responsable de una clave de cifrado. Las claves de cifrado cubiertas por este procedimiento son:

Claves de cifrado emitidas por el PCSD
Claves de cifrado utilizadas para las actividades de PCSD
Claves de cifrado utilizadas para proteger los datos propiedad del PCSD

Las claves públicas contenidas en certificados digitales están específicamente exentas de este procedimiento.

Procedimiento

Todas las claves de cifrado contempladas en este procedimiento deben protegerse para evitar su divulgación no autorizada y su posterior uso fraudulento.

Clave secreta Claves de cifrado

Las claves utilizadas para el cifrado de claves secretas, también llamado criptografía simétrica, deben protegerse ya que se distribuyen a todas las partes que las utilizarán.
Durante la distribución, las claves de cifrado simétricas deben cifrarse utilizando un algoritmo más potente con la longitud de clave más larga autorizada en el Procedimiento de cifrado aceptable de PCSD.
Si las claves son para el algoritmo más potente, habrá que dividir la clave, cifrar cada parte con una clave distinta y transmitirla utilizando mecanismos diferentes.
Las claves de cifrado simétrico, cuando están en reposo, deben protegerse con medidas de seguridad al menos tan estrictas como las utilizadas para su distribución.

Claves de cifrado de clave pública

La criptografía de clave pública, o criptografía asimétrica, utiliza pares de claves públicas y privadas.
La clave pública se incluye en el certificado digital emitido al usuario final, mientras que la clave privada sólo debe estar disponible para el usuario final asignado.

Claves de la infraestructura de clave pública (PKI) del PCSD

Los pares de claves públicas y privadas utilizados por la PKI de PCSD se generan en una tarjeta inteligente a prueba de manipulaciones que se entrega a cada usuario final.
La clave privada de los certificados de identidad utilizados para las firmas digitales nunca saldrá de la tarjeta inteligente.
La clave privada de los certificados de cifrado debe depositarse en custodia de conformidad con las políticas del PCSD.
El acceso a las claves privadas almacenadas en una tarjeta inteligente emitida por el PCSD estará protegido por un PIN que sólo conocerá el titular de la tarjeta.

Otras claves de cifrado de clave pública

Otras claves pueden generarse mediante software en el ordenador del usuario final y almacenarse en un disco duro o en un token de hardware.
Si se generan en una tarjeta inteligente, siguen los mismos requisitos de protección que las claves privadas PKI.
Si se genera en software, los usuarios deben crear y almacenar de forma segura al menos una copia de seguridad y de custodia.

Claves de infraestructura de clave pública (PKI) comerciales o de organizaciones externas

Al trabajar con socios comerciales, los usuarios finales pueden utilizar pares de claves públicas y privadas almacenadas en archivos generados por software en su disco duro.
Las claves privadas sólo están protegidas por la fuerza de la contraseña elegida por el usuario.
Los navegadores web que almacenen claves privadas deben exigir la introducción de una contraseña cada vez que se acceda a una clave privada.

Pares de claves PGP

Los pares de claves públicas y privadas PGP pueden almacenarse en archivos de llavero en el disco duro de un ordenador o en un token de hardware (por ejemplo, una unidad USB o una tarjeta inteligente).
PGP debe configurarse para requerir la introducción de la frase de contraseña para cada uso de la clave privada.

Hardware Token Storage

Los tokens de hardware que almacenan claves de encriptación serán tratados como equipos sensibles según el procedimiento de Seguridad Física de PCSD.
Las fichas, tarjetas inteligentes y fichas USB no deben dejarse conectadas a un ordenador cuando no se utilicen.
Cuando viajan, los usuarios deben guardar los tokens de hardware separados de su ordenador.

PIN, contraseñas y frases de contraseña

Todos los PIN, contraseñas o frases de contraseña que se utilicen para proteger las claves de cifrado deben cumplir los requisitos de complejidad y longitud establecidos en la norma Procedimiento de contraseña PCSD.

Pérdidas y robos

La pérdida, robo o posible divulgación no autorizada de claves de cifrado debe comunicarse inmediatamente al equipo InfoSec.
El personal de InfoSec guiará a los usuarios a través de las acciones necesarias, como la revocación de certificados.

Acuerdo de claves y autenticación

Los intercambios de claves deben utilizar uno de los siguientes protocolos criptográficos:
- Diffie-Hellman
- IKE
- Curva elíptica Diffie-Hellman (ECDH)
Los puntos finales deben autenticarse antes del intercambio de claves.
Las claves públicas utilizadas para establecer la confianza deben autenticarse antes de su uso.
Todos los servidores de autenticación (por ejemplo, RADIUS o TACACS) deben utilizar un certificado válido de un proveedor de confianza.
Todos los servidores y aplicaciones que utilicen SSL o TLS deben tener certificados firmados por un proveedor de confianza.

Definiciones y términos

Las siguientes definiciones y términos se encuentran en el Glosario SANS:

Autoridad de certificación (CA)
Certificado digital
Firma digital
Depósito de llaves
Texto sin formato
Criptografía de clave pública
Pares de claves públicas
Criptografía simétrica

Último estado de actualización:

Actualizado en enero de 2015