¿Quieres actualizar las claves de los datos cifrados almacenados en Walrus? Suena sencillo, pero en la práctica es un gran desafío.

En las normativas tradicionales de seguridad empresarial, rotar las claves de cifrado periódicamente es una operación estándar. Pero en la arquitectura de Walrus, las cosas se vuelven mucho más costosas. El problema principal es claro: los datos ya están cifrados y subidos; si cambias la clave, esas viejas fragmentos de datos se convierten en basura imposible de descifrar. ¿Intentar modificar el algoritmo de cifrado directamente en la cadena? Ni pensarlo. La única opción es descargar los archivos, descifrarlos con la nueva clave, volver a cifrarlos y luego subirlo todo como si fueran archivos nuevos.

¿Y cuánto desperdicio implica este proceso? Doble consumo de ancho de banda, doble uso de recursos computacionales y además gestionar la compatibilidad entre datos antiguos y nuevos. Si tus datos alcanzan TBs, el coste de rotar todas las claves puede ser tan alto que el equipo no pueda soportarlo. ¿El resultado? Muchos equipos se ven obligados a seguir usando claves antiguas durante mucho tiempo, acumulando poco a poco riesgos de seguridad.

¿Y cómo resolverlo? La respuesta está en usar el patrón de **Cifrado de Sobre** (Envelope Encryption). La lógica no es complicada: en Walrus, en lugar de almacenar archivos cifrados directamente, almacenas archivos cifrados con una "Clave de Datos" (DEK). Luego, esa DEK se cifra con una "Clave de Cifrado de Claves" (KEK), y se guarda en un lugar más fácil de actualizar — por ejemplo, en un objeto en la cadena de Sui o en un sistema KMS fuera de la cadena.

Cuando sea necesario rotar las claves, solo tienes que volver a cifrar esa pequeña DEK, mientras que los archivos grandes en Walrus permanecen igual. Esto garantiza la seguridad y reduce significativamente los costos de almacenamiento. En resumen, es una estrategia imprescindible al diseñar soluciones de seguridad en sistemas de almacenamiento como Walrus.

Si estás planificando una arquitectura basada en Walrus, esta idea debería considerarse desde la fase de diseño.