Cifrado de archivos en Python: análisis detallado de técnicas simétricas y asimétricas

En el mundo actual, compartimos constantemente información privada, confidencial y sensible a través de canales digitales. Un componente fundamental de esta comunicación es el cifrado de archivos: transformar los datos en un formato ilegible mediante algoritmos de cifrado.

Hay dos tipos principales de cifrado: simétrico y asimétrico. El cifrado simétrico es como una caja con un solo candado y una sola llave. Si dos personas tienen la llave, pueden pasarse la caja con la seguridad de que solo ellas podrán abrirla. El cifrado asimétrico, en cambio, usa un par de llaves. Imagina una caja que puedes cerrar con una llave, pero que solo puedes abrir con otra. Podrías compartir la llave para cerrar (la llave pública) sin riesgos, porque nadie podría abrir la caja (descifrar los datos) sin la llave para abrirla (la llave privada).

Este artículo explora el mundo del cifrado en Python. Para el cifrado simétrico, nos centraremos en Key Management Service (KMS) de Amazon y SecretBox de PyNaCl. Después, veremos el cifrado asimétrico y la caja de claves pública/privada de PyNaCl.

Requisitos previos

Para seguir este tutorial, necesitas:

• Python instalado (v3.7 o posterior)

• pipenv instalado. Este administrador de dependencias de Python te ayudará a evitar conflictos entre las versiones de los paquetes. Instálalo con pip install pipenv.

• Instalar los paquetes necesarios (aws-encryption-sdk, PyNaCl y cryptography) ejecutando pipenv install aws-encryption-sdk pynacl cryptography. 

• Una cuenta de AWS activa y una clave de KMS (ten a mano el ID de la clave y la región de AWS; los usaremos al ejecutar el programa de Python).

• La herramienta de línea de comandos de AWS (awscli) instalada. Ejecuta aws configure para configurar AWS en tu máquina. 

• Un proyecto nuevo configurado en un entorno aislado, creado con lo siguiente:

mkdir python_encryption && cd python_encryption
pipenv shell

Para ver el resultado final, consulta el código completo del proyecto.

Cifrado simétrico en Python

El cifrado simétrico usa la misma clave para cifrar y descifrar datos. Es sencillo, rápido, eficiente e ideal para proteger grandes cantidades de datos.

En este tutorial, usaremos Amazon KMS y SecretBox de PyNaCl para implementar el cifrado simétrico en Python. Amazon KMS nos ayuda a crear, controlar y administrar claves de cifrado en la nube de Amazon Web Services (AWS). Puedes pensar en él como un llavero en la nube con una capa adicional de seguridad. SecretBox es una biblioteca de Python que facilita el cifrado y lo hace accesible. Puedes pensar en ella como una caja fuerte personal.

Uso de Amazon KMS y los SDK de cifrado para el cifrado simétrico

Amazon KMS es un servicio en la nube para administrar claves criptográficas. Se integra a la perfección con otros servicios y kits de desarrollo de software (SDK) de cifrado de AWS, y aprovecha la sólida seguridad que ofrece AWS. Su estrecha integración con los servicios y SDK de cifrado de AWS lo hace ideal para aplicaciones basadas en AWS. 

La razón más convincente para usar KMS en el cifrado simétrico es la administración de claves secretas compartidas. El manejo seguro de estas claves puede ser el aspecto más difícil del cifrado. Amazon KMS evita estos desafíos con elegancia mediante un patrón de cifrado de sobre. Con este enfoque, las claves se cifran junto con los datos. Esto significa que dependes principalmente de una clave maestra en un módulo de seguridad de hardware, que permanece inaccesible para las entidades no autorizadas. Este mecanismo de envoltura de claves simplifica el proceso de cifrado y deja de lado las complejidades de la administración y rotación de claves, así como otros obstáculos relacionados.

Sin embargo, Amazon KMS puede ser innecesario si solo necesitas una solución sencilla y de pequeña escala. Además, es un servicio de pago, por lo que los costos pueden dispararse con un uso intensivo.

Ahora, usemos Amazon KMS para cifrar un archivo en una aplicación de Python.

Importa los módulos necesarios

Para interactuar con Amazon KMS, primero debemos instalar e importar aws-encryption-sdk, el SDK de cifrado de AWS para Python, que simplifica los procesos de cifrado y descifrado. 

Crea un archivo llamado main.py y agrega el siguiente código:

1import aws_encryption_sdk
2
3# Configuration
4KEY_ARNs = [
5    'arn:aws:kms:<REGION>:xxx:key/<KMS-KEY-ID>'
6]
7
8client = aws_encryption_sdk.EncryptionSDKClient()
9kms_key_provider = aws_encryption_sdk.StrictAwsKmsMasterKeyProvider(
10    key_ids=KEY_ARNs)
11

Nota: Puedes copiar el ARN de la clave de KMS desde el panel de AWS KMS.

Cifra el archivo

Usaremos el SDK de cifrado de AWS para realizar el cifrado. El SDK se integra estrechamente con AWS KMS y ofrece una experiencia de cifrado fluida.

Agrega el siguiente código a main.py:

1def encrypt_file(file_path, encrypted_path):
2    with open(file_path, 'rb') as pt_file, open(encrypted_path, 'wb') as ct_file:
3        with client.stream(
4            mode='e',
5            source=pt_file,
6            key_provider=kms_key_provider
7        ) as encryptor:
8            for chunk in encryptor:
9                ct_file.write(chunk)

Descifra el archivo

Usaremos nuevamente el SDK de cifrado de AWS para descifrar el archivo. El proceso de descifrado lee el archivo cifrado y luego usa las claves de KMS para descifrar los datos sin complicaciones.

Agrega los siguientes comandos a main.py:

1def decrypt_file(encrypted_path, decrypted_path):
2    with open(encrypted_path, 'rb') as ct_file, open(decrypted_path, 'wb') as pt_file:
3        with client.stream(
4            mode='d',
5            source=ct_file,
6            key_provider=kms_key_provider
7        ) as decryptor:
8            for chunk in decryptor:
9                pt_file.write(chunk)

Llama a las funciones

Ya creamos las funciones y ahora debemos llamarlas y ejecutar el programa de Python. Primero, crea un archivo llamado myfile.txt y agrega contenido aleatorio.

Luego, dentro de main.py, llama a las siguientes funciones:

1encrypt_file('myfile.txt', 'encrypted_file.txt')
2decrypt_file('encrypted_file.txt', 'decrypted_file.txt')

Al ejecutar python main.py para correr el script, ciframos y luego desciframos myfile.txt, sin modificar su contenido. 

Nota: Para simplificar, incluimos directamente en el código el ID de la clave (como parte del ARN de la clave). Usa el archivo .env para almacenar información confidencial.

Uso de SecretBox de PyNaCl para el cifrado simétrico

PyNaCl es un enlace de Python a la biblioteca de redes y criptografía libsodium. Incluye una gran variedad de herramientas criptográficas, entre ellas SecretBox, que ofrece funciones de cifrado simétrico. La ventaja de SecretBox es su sencillez: solo hace falta una clave para cifrar y descifrar nuestros datos.

Veamos cómo cifrar un archivo sensible en una aplicación de Python con SecretBox. 

Primero, crea un archivo nacl.txt y agrega texto de ejemplo. Luego, importa los módulos necesarios en un archivo nuevo de programa de Python llamado sym.py:

1from nacl import utils
2from nacl.secret import SecretBox
3import os

El siguiente paso es generar y cargar la clave secreta. La función generate_key genera una clave aleatoria, y la función load_key carga la clave generada desde la ruta del archivo y la devuelve:

1def generate_key(secret_key_file):
2    secret_key = utils.random(SecretBox.KEY_SIZE)
3    with open(secret_key_file, 'wb') as f:
4        f.write(secret_key)
5    return secret_key
6
7def load_key(secret_key_file):
8    if not os.path.exists(secret_key_file):
9        print(f"Key file {secret_key_file} not found.")
10    with open(secret_key_file, 'rb') as f:
11        key = f.read()
12    if len(key) != SecretBox.KEY_SIZE:
13        print("Incorrect key length.")
14    return key

Ahora, ciframos el archivo. La función encrypt_file necesita file_path y la clave para cifrar el archivo sensible. Busca el archivo mediante file_path, luego lee y cifra su contenido con la clave secreta y escribe el texto cifrado en un archivo nuevo con la extensión .enc:

1def encrypt_file(file_path, key):
2    if not os.path.exists(file_path):
3        print(f"Key file {secret_key_file} not found.")
4    secret_box = SecretBox(key)
5    with open(file_path, 'rb') as f:
6        plaintext = f.read()
7    ciphertext = secret_box.encrypt(plaintext)
8    with open(file_path+'.enc', 'wb') as f:
9        f.write(ciphertext)

Así como tenemos una función para cifrar, también necesitamos una función similar para descifrar. La función decrypt_file recibe file_path y key para descifrar un archivo. Primero, comprueba si existe un archivo cifrado con la extensión .enc (sí existe: lo generamos en el paso anterior). Luego, lee su contenido y lo descifra con la misma clave secreta. Por último, escribe el contenido descifrado en un archivo nuevo con la extensión .dec:

1def decrypt_file(file_path, key):
2    if not os.path.exists(file_path+'.enc'):
3        print(f"Key file {secret_key_file} not found.")
4    secret_box = SecretBox(key)
5    with open(file_path+'.enc', 'rb') as f:
6        ciphertext = f.read()
7    plaintext = secret_box.decrypt(ciphertext)
8    with open(file_path+'.dec', 'wb') as f:
9        f.write(plaintext)

El último paso es llamar a las funciones que acabamos de crear:

1secret_key_file = 'secret.key'
2
3# generate key for encryption
4key = generate_key(secret_key_file)
5encrypt_file('nacl.txt', key)
6
7# load key for decryption
8key = load_key(secret_key_file)
9decrypt_file('nacl.txt', key)

Ahora puedes ejecutar el programa de Python con el comando sym.py en la terminal.

Nota: Este código no está listo para usarse en una aplicación real o en un entorno de producción. El manejo seguro de claves de cifrado es una tarea compleja que requiere pasos adicionales, como rotar las claves con regularidad. Este código no incluye esas medidas de seguridad fundamentales.

Cifrado asimétrico en Python

Mientras que el cifrado simétrico usa una clave, el cifrado asimétrico usa dos: una clave pública para cifrar y una privada para descifrar. Es como un buzón con cerradura. Cualquiera puede dejar una carta por la ranura (cifrado), pero solo quien tenga una llave única puede abrirlo para leerla (descifrado).

El cifrado asimétrico es especialmente adecuado para proteger las comunicaciones por internet. Si quieres enviarle un mensaje secreto a alguien, puedes cifrarlo con su clave pública, y solo esa persona podrá descifrarlo con su clave privada. El cifrado asimétrico protege las firmas y los certificados digitales, que son la base de la autenticación en el mundo digital.

Uso de la caja de claves pública/privada de PyNaCl para el cifrado asimétrico

Entonces, ¿cómo realizamos el cifrado asimétrico en Python? Veamos otra herramienta de PyNaCl: la caja de claves pública/privada. 

La caja de claves pública/privada de PyNaCl es similar a un buzón personal. Es una interfaz para cifrar y descifrar mensajes con dos claves: pública y privada. Podemos compartir abiertamente la clave pública que se usa para cifrar mensajes. Pero debemos mantener en secreto la clave privada, que se usa para descifrarlos.

Primero, crea un archivo asym_nacl.txt y agrega texto de prueba. Debemos habilitar el almacenamiento y la recuperación seguros de las claves de cifrado. La función save_key escribe la clave en file_path, mientras que load_key obtiene y devuelve la clave desde file_path. 

Agrega el siguiente código a un archivo nuevo, asym.py:

1from nacl.public import PrivateKey, Box
2import pickle
3
4def save_key(file_path, key):
5    with open(file_path, 'wb') as f:
6        pickle.dump(key, f)
7
8def load_key(file_path):
9    with open(file_path, 'rb') as f:
10        key = pickle.load(f)
11    return key

Ahora, debemos implementar funciones para cifrar y descifrar nuestro archivo sensible. La función encrypt_file usa claves públicas para cifrar el archivo y guardarlo en un archivo .enc con el texto cifrado. La función decrypt_file usa claves privadas para abrir el archivo (descifrarlo) y guardarlo en un archivo .dec. 

Agrega las siguientes funciones a asym.py:

1def encrypt_file(file_path, public_key):
2    private_key = PrivateKey.generate()
3    box = Box(private_key, public_key)
4
5    with open(file_path, 'rb') as f:
6        plaintext = f.read()
7
8    ciphertext = box.encrypt(plaintext)
9
10    with open(file_path+'.enc', 'wb') as f:
11        f.write(ciphertext)
12
13    return private_key
14
15def decrypt_file(file_path, private_key, public_key):
16    box = Box(private_key, public_key)
17
18    with open(file_path+'.enc', 'rb') as f:
19        ciphertext = f.read()
20
21    plaintext = box.decrypt(ciphertext)
22
23    with open(file_path+'.dec', 'wb') as f:
24        f.write(plaintext)

Por último, es hora de ver los resultados de todo nuestro trabajo. Generamos dos claves: la clave pública, que usamos para cerrar nuestro archivo, y una clave privada, que guardamos. Cuando necesitamos acceder al archivo, cargamos la clave privada guardada junto con la clave pública correspondiente para descifrarlo. 

Agrega las llamadas finales a las funciones en el archivo asym.py:

1private_key = PrivateKey.generate()
2public_key = private_key.public_key
3
4encryption_private_key = encrypt_file('asym_nacl.txt', public_key)
5save_key('private.key', encryption_private_key)
6
7encryption_private_key = load_key('private.key')
8decrypt_file('asym_nacl.txt', private_key, encryption_private_key.public_key)

Ejecuta el programa con python asym.py desde la terminal local.

Nota: El código anterior demuestra cómo funcionan el cifrado y el descifrado. Sin embargo, no es seguro para aplicaciones del mundo real. El archivo de claves no está protegido, por lo que, si alguien obtiene acceso a él, podrá abrir tus archivos.

Ventajas y desventajas de la caja de claves pública/privada de PyNaCl

La caja de claves pública/privada de PyNaCl ofrece una sólida seguridad. También permite una comunicación segura, incluso a través de canales inseguros, lo que la hace ideal para las comunicaciones por internet.

Por otro lado, la administración de claves puede ser complicada con la caja de claves pública/privada. Debemos almacenar las claves privadas de forma segura y asegurarnos de usar las claves públicas correctas para el cifrado. El cifrado asimétrico también puede ser más lento que el simétrico, porque implica operaciones más complejas.

Conclusiones de nuestra exploración

En este artículo, exploramos algunas herramientas potentes de Python para implementar métodos de cifrado. Amazon KMS y SecretBox de PyNaCl son excelentes para el cifrado simétrico, mientras que la caja de claves pública/privada de PyNaCl destaca en el cifrado asimétrico.

Estas herramientas ofrecen diversos beneficios para el manejo seguro de datos. Amazon KMS ofrece una escalabilidad excepcional, SecretBox de PyNaCl brinda alto rendimiento y amplia compatibilidad, y la caja de claves pública/privada de PyNaCl permite comunicaciones altamente seguras. En conjunto, estas herramientas conforman un kit integral de cifrado.

Al elegir un método de cifrado, debemos considerar qué tan sensibles son nuestros datos, el entorno en el que los transmitiremos y cómo administraremos las claves. No existe un método de cifrado perfecto, pero podemos encontrar fácilmente el que mejor se adapte a nuestras necesidades.