Cada disco, cifrado
Cifrado por defecto, sin coste ni configuración. No es un extra, es cómo guardamos tus datos desde el primer momento.
Cómo funciona
Cada disco virtual se cifra de forma nativa (AES-256-GCM) desde el momento en que se crea, con su propia clave de 256 bits generada al azar. No se comparte ni se reutiliza entre discos. Esa clave está protegida por una clave maestra que nunca se escribe en ningún disco: vive solo en memoria mientras el sistema está en marcha. Al eliminar una VM, primero destruimos su clave y solo después el disco, así que si algo falla a mitad de camino, no queda nada que recuperar.
La clave maestra, que vive solo en memoria, envuelve la clave de 256 bits de cada disco (aleatoria, no compartida entre discos), y esa clave es la que cifra tu disco.
Qué protege
El cifrado por defecto no es una casilla que marcas: es cómo se crea cada disco desde el primer momento.
Robo físico
Si alguien se lleva un disco del datacenter, su contenido no sirve de nada sin la clave, y la clave no vive en el disco.
Retirada de discos
Dar de baja un disco al final de su vida útil no requiere borrarlo bloque a bloque: basta con destruir su clave para que el contenido sea irrecuperable.
Aislamiento entre clientes
Cada disco tiene su propia clave independiente. Aunque alguien accediera al almacenamiento compartido, los datos de otro cliente seguirían siendo ilegibles sin su clave específica.
Qué no cubre
El cifrado en reposo protege el disco parado. Mientras tu VM está encendida, sus datos están descifrados y son legibles desde el servidor que la ejecuta, igual que en cualquier otra plataforma. Es una capa más, no una promesa de que nada puede verse jamás.
Próximamente: cifrado mejorado
Cuando ampliemos a más nodos, añadiremos cifrado de memoria a nivel de hardware para las VMs en marcha: una capa adicional sobre el cifrado en reposo que ya tienes hoy.