El cifrado transforma datos legibles en un resultado que solo una clave autorizada debe recuperar
El cifrado es una transformación matemática que convierte texto claro en texto cifrado usando un algoritmo y una clave, con el objetivo principal de impedir que personas no autorizadas conozcan el contenido. El resultado no debe tener sentido a simple vista. Descifrar aplica la clave correspondiente para recuperar los datos. La seguridad moderna no depende de ocultar el algoritmo: depende de claves secretas, algoritmos públicos analizados y una implementación que gestione correctamente números aleatorios, errores y dispositivos.
Codificar no es cifrar. Base64 cambia el formato para transportar bytes y cualquiera puede invertirlo. Un hash produce una huella de longitud fija y normalmente no se descifra; sirve para integridad y otros usos. Una firma digital demuestra origen e integridad, pero no oculta el mensaje. Los sistemas reales combinan estas herramientas, y confundirlas crea una protección aparente.
La criptografía no evita que alguien robe un dispositivo ya desbloqueado, engañe al usuario o lea datos en pantalla. Forma parte de la ciberseguridad junto a control de acceso, actualizaciones, copias y respuesta a incidentes. Su pregunta es concreta: qué propiedades deben conservarse frente a qué atacante y durante cuánto tiempo.
El cifrado simétrico protege grandes volúmenes; la clave pública ayuda a acordar secretos y verificar identidades
En cifrado simétrico, la misma clave secreta cifra y descifra. Algoritmos como AES procesan datos con gran eficiencia. El problema es distribuir esa clave sin que un tercero la copie. Si miles de usuarios compartieran una sola, comprometer uno expondría a todos. Por eso se generan claves por sesión, archivo o propósito y se protegen con jerarquías.
En criptografía asimétrica hay una clave pública y una privada relacionadas. La pública puede ayudar a encapsular un secreto o verificar una firma; la privada debe permanecer bajo control del propietario. Como estas operaciones cuestan más, protocolos como TLS suelen utilizarlas para autenticar y acordar una clave simétrica temporal, que cifra el resto de la comunicación.
«Pública» no significa confiable. Un atacante puede presentar su propia clave fingiendo ser un sitio. Certificados y autoridades vinculan dominios con claves, mientras aplicaciones pueden fijar o verificar identidades de otras formas. Si el usuario ignora una advertencia de certificado, el algoritmo puede seguir siendo fuerte y la conexión estar establecida con la persona equivocada.
Un mensaje secreto también debe detectar cambios y repeticiones
Ciertos modos antiguos cifran sin autenticar. Un atacante quizá no lea el texto, pero modifica bits y provoca cambios previsibles o usa respuestas de error como oráculo. El cifrado autenticado, como AES-GCM o ChaCha20-Poly1305, combina confidencialidad e integridad mediante una etiqueta que el receptor verifica antes de aceptar. Si falla, no debe procesar datos parciales.
Muchos esquemas usan un nonce o vector de inicialización que no necesita ser secreto, pero debe cumplir una regla, como no repetirse con la misma clave. Reutilizarlo puede revelar relaciones entre mensajes o incluso la clave de autenticación. Generar números aleatorios y contadores de forma segura es parte del diseño, no un detalle posterior.
La autenticación tampoco impide borrar o retrasar mensajes. Números de secuencia y contexto protegen contra repetición y reordenamiento. Los datos asociados autenticados permiten verificar cabeceras que deben permanecer visibles. Un protocolo seguro especifica formato, versión, propósito de claves y conducta ante fallos, porque una primitive aislada no define una conversación completa.
La protección cambia según dónde se encuentren los datos y quién controla el extremo
Cifrado en tránsito protege entre puntos, por ejemplo navegador y servidor mediante TLS. El servidor recibe el contenido descifrado para responder. El cifrado de extremo a extremo limita esa capacidad: solo los participantes finales poseen claves de contenido, aunque el servicio conserve metadatos. La etiqueta debe explicarse con precisión; una copia sin cifrar en la nube puede anular la promesa.
Cifrado en reposo protege discos y bases de datos frente a pérdida física o acceso directo al almacenamiento. Cuando el sistema está encendido y autorizado, necesita claves y puede leer. Malware con permisos del usuario también. Bloqueo de pantalla, módulo seguro y borrado de claves mejoran resistencia, pero una contraseña débil o una sesión abierta siguen siendo puntos de entrada.
Procesar datos normalmente requiere descifrarlos en memoria. Entornos de ejecución confiables y criptografía avanzada intentan reducir exposición, con límites de hardware y coste. No hay una categoría mágica «cifrado en uso» que elimine todo riesgo. El modelo debe identificar si se teme a un ladrón de disco, al proveedor, a un administrador o a código malicioso.
Una clave segura debe nacer, usarse, rotarse, respaldarse y destruirse sin quedar expuesta
La longitud adecuada evita búsqueda exhaustiva, pero almacenamiento y acceso suelen fallar antes que las matemáticas. Incluir claves en código, enviarlas por correo o registrar secretos en logs anula protección. Gestores de claves y módulos de hardware aplican permisos y auditoría. Separar claves por propósito limita el daño; derivarlas con funciones estandarizadas evita reutilizar directamente una contraseña.
Las contraseñas humanas necesitan funciones de derivación lentas, sal y parámetros resistentes para guardar verificadores. No se almacenan cifradas para «recuperarlas», sino que se verifica una derivación. Una contraseña perdida y una clave perdida plantean tensiones: recuperar acceso puede requerir copias protegidas, pero cada copia amplía quién puede descifrar. La política debe decidirlo antes del incidente.
La computación cuántica amenaza algoritmos de clave pública basados en factorización y logaritmos discretos, no rompe AES del mismo modo. NIST ya ha estandarizado algoritmos poscuánticos y las migraciones requieren inventario e interoperabilidad. El cifrado efectivo no es un candado eterno: es un sistema mantenido, con claves y algoritmos adecuados al valor y vida de los datos.
