Cifrado por sobre.

Patron en el que los datos se cifran con una clave de datos rapida, que a su vez es cifrada (envuelta) por una clave maestra almacenada en un KMS o HSM. Pertenece a la categoría de Criptografía en ciberseguridad.

Patron en el que los datos se cifran con una clave de datos rapida, que a su vez es cifrada (envuelta) por una clave maestra almacenada en un KMS o HSM.

El cifrado por sobre separa el cifrado simetrico masivo de la custodia de claves. Una clave de cifrado de datos (DEK) por objeto -normalmente una AES-256 nueva- cifra la carga util y, a continuacion, la DEK se cifra con una clave de cifrado de claves (KEK) o clave maestra de larga vida que nunca sale del KMS o HSM. Solo la DEK envuelta se guarda junto al texto cifrado; para descifrar se necesita una llamada al KMS que desenvuelve la DEK bajo los controles IAM adecuados. Este patron permite cifrado local rapido, claves por inquilino o por registro, rotacion barata (se reenvuelve la DEK, no los datos) y trazas de auditoria limpias. Es la base de AWS KMS, Google Cloud KMS, S3 SSE-KMS y casi todo el cifrado de almacenamiento en la nube.

Las defensas contra Cifrado por sobre combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Cifrado envuelto, Patron DEK/KEK.