Almacenamiento seguro de archivos .p12

Es un contenedor (formato PKCS#12) que guarda tu certificado y tu clave privada, protegido con una contraseña. El certificado es público. La clave privada no lo es. Con ambas puedes firmar.

1. 1 Cifra el archivo en reposo Guárdalo siempre cifrado, nunca en texto plano.
2. 2 Separa el archivo de su clave El archivo va en un almacén; la clave, en un gestor de secretos distinto.
3. 3 Usa cifrado de sobre (envelope encryption) Un KMS protege una clave maestra que nunca sale de él. Esa clave maestra cifra una clave de datos, y la clave de datos cifra tu archivo.
4. 4 Descifra solo en memoria, solo al firmar El archivo descifrado no debe tocar el disco ni los registros.
5. 5 Da el mínimo acceso Solo el servicio que firma puede leer el certificado, y solo ese.
6. 6 Audita cada uso Registra quién y cuándo accedió al certificado.

Este ejemplo muestra la parte de cifrar y descifrar el archivo con AES-256-GCM, que además detecta si alguien lo alteró:

import crypto from "node:crypto";

// En producción, la clave de datos la genera y la protege un KMS (cifrado de sobre).
// Aquí se recibe como parámetro para mostrar solo el cifrado del archivo.
export function cifrar(contenido, claveDatos) {
  const iv = crypto.randomBytes(12);
  const cifrador = crypto.createCipheriv("aes-256-gcm", claveDatos, iv);
  const cifrado = Buffer.concat([cifrador.update(contenido), cifrador.final()]);
  return { iv, etiqueta: cifrador.getAuthTag(), cifrado };
}

export function descifrar({ iv, etiqueta, cifrado }, claveDatos) {
  const descifrador = crypto.createDecipheriv("aes-256-gcm", claveDatos, iv);
  descifrador.setAuthTag(etiqueta);
  return Buffer.concat([descifrador.update(cifrado), descifrador.final()]);
}

• Una clave por cliente Así un incidente en uno no expone a los demás.
• Aislamiento de acceso El proceso que firma para el cliente A no debe poder leer el certificado del cliente B.
• Offboarding Cuando un cliente se va, elimina su certificado y su clave de datos, y confirma que también salen de los respaldos.

1. Alta Verifica el archivo, cífralo y registra su fecha de vencimiento.
2. Uso Descifra en memoria y firma. Nada más.
3. Antes de vencer Avisa con anticipación para renovar. Un certificado vencido provoca firmas inválidas.
4. Renovación Carga el nuevo y retira el anterior.
5. Baja Elimina el certificado, su clave y sus copias.