Arquitectura de claves
Cómo el grupo custodia sus propias claves
Las autoridades de certificación, los algoritmos y la ceremonia que sostienen cada servicio que opera el grupo.
Una nota de diseño, no un certificado
Cada afirmación de esta nota describe una decisión de diseño que el grupo tomó y puede demostrar. Ninguna describe una auditoría que no haya superado.
Autoridades
Una raíz fuera de línea, dos autoridades operativas
La raíz no firma casi nada. Lo que firma a diario le está subordinado, y acotado.
- La raíz permanece fuera de líneaSolo firma a sus autoridades subordinadas. Una raíz que firma trabajo diario es una raíz que vive en una máquina accesible.
- Una autoridad para la cadena de suministroFirma los artefactos de compilación y sus atestaciones. Nunca emite una identidad a un servicio en ejecución.
- Una autoridad para las cargas de trabajoEmite las identidades que los servicios se presentan entre sí. Nunca firma nada que se entregue a un cliente.
Algoritmos
Con qué firma e intercambia el grupo
Curvas elípticas para la firma, un intercambio híbrido para la confidencialidad y una familia heredada en retirada.
- FirmaECDSA P-384 para servidores y autenticación entre servicios. Ed25519 para la raíz y para el acceso de operador.
- Intercambio de clavesUn híbrido de X25519 y ML-KEM-768. El tráfico capturado hoy sigue siendo confidencial frente a un adversario cuántico futuro.
- Lo que está en retiradaRSA-3072 permanece solo donde una contraparte lo exige, y su retirada está bajo seguimiento.
Vigencias
Cortas por diseño
Una credencial que vive meses es una credencial cuya fuga nadie advierte.
- Identidades de carga de trabajoSe emiten por minutos, no por días, y se renuevan automáticamente. Una robada carece de valor antes de poder usarse.
- Acceso de operadorCada sesión se abre con un certificado emitido para esa sesión y registrado. Ninguna clave permanente reside en un portátil.
- Certificados públicosLos emite una autoridad de confianza pública y se renuevan un mes antes del vencimiento, porque los navegadores deben confiar en ellos.
Ceremonia
Ninguna persona sola puede usar la raíz
Las operaciones sobre la raíz exigen un quórum de portadores, en persona, según un guion escrito.
Un quórum elimina el punto único de compromiso, y de coacción. Cada operación de raíz pasa a ser un acto fechado y presenciado.
Referencias
Con qué está alineado el diseño
Estos son los textos según los cuales se ha construido la arquitectura. El grupo no posee certificación alguna bajo ninguno de ellos.
- ISO/IEC 27001 § 8.24
- NIST SP 800-57
- NIST FIPS 203 (ML-KEM)
- CNSA 2.0
- RFC 8446 (TLS 1.3)
- RFC 9334 (RATS)
Solicite el detalle bajo acuerdo
Los diagramas de arquitectura, inventarios de claves y actas de ceremonia se comparten con los clientes bajo acuerdo de confidencialidad.