Please enable JavaScript.
Coggle requires JavaScript to display documents.
GENERACIÓN Y DISTRIBUCIÓN DE CLAVES CRIPTOGRÁFICAS - Coggle Diagram
GENERACIÓN Y DISTRIBUCIÓN DE CLAVES CRIPTOGRÁFICAS
FUNDAMENTOS Y PROPÓSITO
¿Qué es una clave criptográfica?
Valor secreto o público que controla un algoritmo
Generación:
producción segura de material criptográfico impredecible
Distribución:
entrega o establecimiento de claves entre participantes autorizados
Propósito:
proteger datos almacenados y comunicaciones
Objetivos:
confidencialidad, integridad, autenticación y control de acceso
Principio:
la fortaleza depende del algoritmo, la clave y su gestión
TIPOS DE CLAVES Y CLASIFICACIÓN
Clasificación principal: :
simétricas y asimétricas
Clave simétrica:
secreto compartido para cifrado y descifrado; ejemplo AES
Par asimétrico:
clave pública compartible y clave privada confidencial
Clave pública:
cifrar o verificar según el esquema empleado
Clave privada:
descifrar o firmar según el esquema empleado
Por función:
cifrado, autenticación MAC, firma y establecimiento
Por duración:
claves de largo plazo y claves de sesión temporales
Por jerarquía:
clave maestra, clave de envoltura KEK y clave de datos DEK
Por origen:
aleatorias o derivadas mediante función KDF
No existe un número único de tipos:
depende del criterio de clasificación
MÉTODOS DE GENERACIÓN SEGURA
Entropía:
imprevisibilidad obtenida de una fuente adecuada
TRNG:
fuente de aleatoriedad física; debe comprobarse su calidad
CSPRNG o DRBG:
generador criptográficamente seguro inicializado con entropía
Generación simétrica:
bits aleatorios adecuados al tamaño de la clave
Generación asimétrica:
par matemáticamente relacionado RSA o curvas elípticas
HKDF:
extracción y expansión desde un secreto de entrada
PBKDF2 o Argon2id:
derivación endurecida a partir de contraseñas
KMS y HSM:
servicios y hardware para generar y custodiar claves
Requisitos:
tamaño apropiado, unicidad, imprevisibilidad y protección
Evitar:
Math.random, claves elegidas manualmente y semillas predecibles
Derivación KDF:
obtener claves independientes de material inicial
MÉTODOS DE DISTRIBUCIÓN Y ESTABLECIMIENTO
Entrega física segura:
transferencia por personal y medios autorizados
Clave precompartida PSK:
provisionamiento previo por canal protegido
KDC:
centro confiable que facilita claves a usuarios autenticados
Acuerdo Diffie-Hellman DH:
dos partes calculan un secreto común
ECDH:
acuerdo usando curvas elípticas
ECDHE:
intercambio efímero usado para secreto hacia adelante
Transporte de claves:
una parte envía la clave con protección criptográfica
Encapsulación KEM:
encapsular y recuperar un secreto compartido
PKI:
certificados asocian identidades con claves públicas
TLS 1.3:
establecimiento autenticado de claves para HTTPS
IKEv2/IPsec:
negociación de claves para VPN
Distinguir acuerdo, transporte y distribución manual
SEGURIDAD DURANTE EL INTERCAMBIO
Autenticación de extremos:
verificar identidad de participantes
Confidencialidad:
nunca transmitir claves privadas o secretos en claro
Integridad:
detectar sustituciones o alteraciones de mensaje
Ataque MITM:
intermediario suplanta participantes si no hay autenticación
Certificados y validación:
comprobar identidad y cadena de confianza
Forward Secrecy:
exposición posterior de clave duradera no revela sesiones pasadas
Resistencia a repetición:
nonces, identificadores y controles de frescura
Separación de funciones:
claves distintas para fines diferentes
Protección de extremo a extremo:
canal autenticado y cifrado
Auditoría:
registrar operaciones sin revelar material secreto
CICLO DE VIDA DE LAS CLAVES
Planificación:
definir propietario, propósito, algoritmo y política
Generación:
usar fuente segura y longitudes correctas
Registro:
asociar identificador, fecha y nivel de protección
Distribución:
aprovisionar solo a entidades autorizadas
Almacenamiento:
HSM, almacén protegido o sistema KMS
Activación y uso:
restringir operaciones según privilegios
Respaldo:
aplicar únicamente cuando el tipo de clave lo permita
Renovación o rotación:
reemplazar por vigencia, riesgo o política
Suspensión o revocación:
impedir uso de claves comprometidas
Archivo:
conservar solo si existe necesidad autorizada
Destrucción:
eliminación criptográfica y física verificable
ALGORITMOS Y MECANISMOS RELACIONADOS
AES-128 y AES-256:
cifrado simétrico de datos
AES-GCM:
cifrado autenticado de datos y mensajes
RSA-OAEP:
cifrado asimétrico con relleno seguro; no usar RSA sin esquema
ECDH y ECDHE:
establecimiento de secreto compartido
HKDF:
derivación de múltiples claves a partir de un secreto
AES-KW:
envoltura de claves criptográficas
HMAC:
autenticidad e integridad mediante clave secreta
ML-KEM:
encapsulación poscuántica estandarizada FIPS 203
Diferenciar:
cifrar datos, derivar claves y establecer claves
APLICACIONES Y DÓNDE SE UTILIZAN
HTTPS y comercio electrónico:
cifrado de sesiones web
Banca digital:
proteger comunicaciones y transacciones
VPN corporativas:
establecer claves para túneles seguros
Mensajería de extremo a extremo:
negociar secretos y renovar claves
Wi-Fi seguro:
autenticación y establecimiento de claves de sesión
Bases de datos y discos:
cifrado de información almacenada
Computación en la nube:
gestión de claves mediante KMS
Sistemas IoT:
aprovisionamiento y comunicación segura de dispositivos
Administración pública:
servicios digitales y datos sensibles
Desarrollo de software:
API, microservicios y secretos de aplicación
AMENAZAS Y VULNERABILIDADES
Entropía insuficiente: claves fáciles de adivinar
Robo de clave privada o simétrica: suplantación y acceso indebido
MITM: sustitución de claves públicas sin autenticación
Filtración en logs o repositorios: exposición accidental de secretos
Reutilización de claves o nonces: posible ruptura del esquema usado
Contraseñas débiles: ataques por diccionario si derivación inadecuada
Algoritmos obsoletos: resistencia insuficiente frente a ataques
Ingeniería social y privilegios excesivos: acceso no autorizado
Amenaza cuántica: riesgo para RSA y criptografía de curvas elípticas
BUENAS PRÁCTICAS Y GOBERNANZA
Usar bibliotecas criptográficas reconocidas y actualizadas
Emplear CSPRNG de sistema operativo, no generadores comunes
Nunca guardar claves en código fuente ni archivos públicos
Restringir permisos con mínimo privilegio y separación de funciones
Utilizar HSM o KMS en sistemas de alta criticidad
Inventariar claves, responsables, fechas y usos autorizados
Definir políticas de rotación y respuesta ante compromiso
Aplicar copias de seguridad seguras cuando correspondan
Revisar certificados, vigencias y configuración de protocolos
Mantener criptoagilidad para migraciones de algoritmos
EJEMPLO PRÁCTICO: CONEXIÓN WEB SEGURA
Usuario abre una tienda en línea con HTTPS
Navegador valida el certificado del servidor
Cliente y servidor negocian intercambio autenticado de claves
ECDHE permite producir un secreto compartido
HKDF deriva claves de tráfico para la conexión
AES-GCM cifra y autentica los datos intercambiados
Claves de sesión se descartan al finalizar su uso
Resultado: comunicación confidencial e íntegra con servidor autenticado
FUTURO Y ESTÁNDARES
NIST SP 800-57:
administración del ciclo de vida de claves
NIST SP 800-133:
recomendación para generación de clave
FIPS 203:
ML-KEM para establecimiento poscuántico de claves
Criptoagilidad:
capacidad de sustituir algoritmos y parámetros
Enfoque híbrido:
combinar mecanismos clásicos y poscuánticos según estándar
Seguridad integral:
personas, procesos, tecnología y auditoría