Nuevo nskms: tus secretos, directo al proceso

Tus llaves bajo control criptográfico. Aislamiento por hardware.

Llaves de cifrado y firma, y secretos, para tus aplicaciones. Tus servicios las usan por API; la llave nunca sale de un enclave atestado, ni para nosotros.

Solicita acceso Instalar el CLI

Cada carril es una versión de la llave; cada marca, una operación de tus servicios.

Cifra y firma,
sin tocar la llave

Tus servicios piden la operación por API con una cuenta de servicio; la llave vive dentro de un enclave de Northstar Cipher y nunca viaja. Lo que regresa es el resultado: texto cifrado, texto en claro para quien tiene permiso, o una firma.

Solicita accesoSecretos
Una llamada, nada más

La misma API cifra, descifra y firma. Fuera de su contexto, un texto cifrado no se abre.

Cifrar y descifrar

AES-256-GCM con datos asociados: un texto cifrado no sirve en otra llave, otra organización ni otro registro.

Firmar y verificar

Llaves Ed25519 cuyas llaves públicas descargas en PEM, raw o JWK: cualquiera verifica sin preguntarnos.

Rotación programada

Cada 30, 90 o 365 días, o cuando quieras. Lo cifrado antes se sigue leyendo; lo nuevo usa la versión nueva.

Destrucción con espera

Programa la destrucción de una versión con 24 horas a 30 días de espera, y cancélala mientras tanto.

Secretos con versiones,
no en archivos .env

Contraseñas de bases de datos, llaves de API y certificados: cada uno con sus versiones, cifrado con Cipher y leído por tus servicios con versions/latest:access. Desactivar la versión más nueva regresa a la anterior sin desplegar nada.

  • Hasta 64 KiB por versión, con suma de verificación al escribir.
  • Escrituras idempotentes: un despliegue repetido no crea versiones de más.
  • Revelar un valor en la consola pide confirmar tu identidad otra vez, y queda registrado.
Léelos con nskms

Del secreto al proceso,
sin un .env en el servidor

nskms lee tus secretos de KMS al arrancar tu aplicación y se los entrega en su entorno. Tu repositorio y tu panel de hosting solo guardan referencias como nskms://db-password.

  • Node, Python, Go, Ruby, Java o PHP: cualquier proceso que arranque con un comando, también en Docker y systemd.
  • Un .env completo como un solo secreto, o una referencia por variable, con versión fija si la necesitas.
  • Cambiar una contraseña es agregar una versión; desactivarla regresa a la anterior en el siguiente arranque.
Instalar nskmsCómo funciona
Aislamiento por hardware

Ni nuestro personal puede leer tus llaves.

Cada operación ocurre dentro de un enclave AMD SEV-SNP de Northstar Cipher, que solo recibe llaves después de demostrar, con una atestación, que corre exactamente el código aprobado. La memoria del enclave está cifrada por el procesador: ni el sistema operativo ni quien administra el servidor pueden leerla. KMS guarda metadatos y texto cifrado, nunca una llave.

Motor
Northstar Cipher
Protección
Enclave AMD SEV-SNP
Verificación
Atestación de la medición
Material de llave en KMS
Ninguno

El hardware corre hoy en Google Cloud, us-central1.

Quién usa cada llave,
y cuándo

Tus servicios entran con cuentas de servicio y permisos por recurso; tu equipo, con Northstar ID y sus roles. Todo lo que pasa queda en un registro que nadie puede editar sin que se note.

Registro de auditoría

Operaciones, permisos y cambios, con su autor y su resultado.

Cuentas de servicio

Cada servicio con su token, su caducidad y solo los permisos que necesita.

Permisos por recurso

Cifrar, descifrar, firmar o leer un secreto, por anillo, por llave o por secreto.

Registro encadenado

Cada uso queda en un registro por organización, encadenado con hashes: verifícalo o expórtalo.

Si no se registra, no ocurre

Si una operación no puede quedar en el registro, KMS no la entrega.

Preguntas frecuentes

Pon tus llaves bajo control criptográfico

Solicita acceso anticipado

Northstar aún no es público. Estamos abriendo el acceso a un grupo pequeño de empresas: cuéntanos de la tuya.