Cifrado en reposo y en tránsito

Qué es: cifrar convierte los datos en texto ilegible que solo recupera quien tiene la clave (Sesión 4). Se cifra en dos momentos:

• En reposo: los datos guardados en un disco EBS, un bucket de S3 o una base de datos. Protege si alguien obtiene el disco o una copia.
• En tránsito: los datos que viajan por la red, del navegador al servidor o entre servicios. Se hace con TLS, el protocolo que convierte HTTP en HTTPS (Sesión 0). Protege de quien escucha la conexión.

Analogía: en reposo es la caja fuerte de tu casa; en tránsito, el camión blindado que lleva el dinero al banco. Dónde falla la analogía: una caja fuerte se ve y se toca. El cifrado no se nota: si un atacante entra con tu propia identidad, AWS descifra los datos para él. Cifrar no reemplaza a los permisos de IAM.

Ejemplo real: Clínica Vértice guarda historias clínicas. (1) El navegador del médico las envía por HTTPS al servidor: cifrado en tránsito. (2) El servidor las escribe en S3, que las guarda cifradas: cifrado en reposo. (3) La clave vive en AWS KMS. Es la pregunta 1 del inicio: cifrar el disco protege lo guardado; cifrar la conexión, lo que viaja.

S3 cifra todo objeto nuevo desde enero de 2023, sin costo y sin opción de apagarlo (SSE-S3). EBS no: activas el cifrado por defecto en cada Región, desde EC2 › Settings. Recuerda la Sesión 4: decidir qué cifrar es responsabilidad tuya.