Miriade Srl presenta pg_vault_tde v1.7.1 con cifrado transparente a nivel de bloque para PostgreSQL 17 y 18

El cumplimiento de normativas internacionales estrictas sobre protección de datos confidenciales y secreto bancario (como PCI-DSS v4.0, HIPAA y RGPD) exige que la información almacenada en bases de datos relacionales esté cifrada en reposo sin que los desarrolladores deban alterar la lógica de sus aplicaciones ni el código de sus consultas SQL. Para resolver esta necesidad histórica en el motor de base de datos de código abierto más popular del mundo, la empresa italiana Miriade Srl oficializó hoy, jueves 17 de septiembre de 2026, la disponibilidad general de pg_vault_tde v1.7.1.

La extensión implementa Cifrado de Datos Transparente (Transparent Data Encryption - TDE) actuando directamente en la capa de entrada y salida del motor relacional. Cada bloque de datos de 8 KB que PostgreSQL escribe en los archivos de almacenamiento de disco o en los registros de transacciones Write-Ahead Log (WAL) es cifrado al vuelo mediante algoritmos estándar AES-256-GCM o ChaCha20-Poly1305. Al leer desde el almacenamiento hacia la memoria compartida (shared buffers), los bloques se descifran de forma transparente, protegiendo los datos frente a robos físicos de discos o copias de seguridad no autorizadas.

1. Integración Criptográfica con HashiCorp Vault y Aceleración por Hardware

Uno de los aspectos más sobresalientes de la versión 1.7.1 radica en la desvinculación completa de las llaves maestras de cifrado del servidor de base de datos. La extensión se conecta a través de APIs seguras y túneles mTLS con plataformas de gestión de secretos empresariales como HashiCorp Vault, AWS KMS o Azure Key Vault. Esto asegura que ningún administrador de sistemas o atacante con privilegios de superusuario (root) en el servidor de PostgreSQL pueda acceder a las llaves criptográficas en texto plano.

Asimismo, pg_vault_tde aprovecha las instrucciones de aceleración criptográfica por hardware de procesadores modernos (Intel AES-NI y ARMv8 Cryptography Extensions). Gracias a esta optimización a bajo nivel en lenguaje C, el impacto en la latencia de las transacciones de escritura se mantiene por debajo del 3% en cargas transaccionales intensivas (OLTP), desmintiendo el mito de que el cifrado en reposo degrada severamente el rendimiento de las bases de datos.

«Llevar Cifrado Transparente de grado militar a PostgreSQL sin requerir forks privativos es un avance democratizador; las empresas pueden cumplir con los estándares de cumplimiento más exigentes sobre software 100% abierto» — Equipo de Ciberseguridad de Miriade Srl en el anuncio reproducido por PostgreSQL News

2. Especificaciones Técnicas y Funcionalidades de pg_vault_tde v1.7.1

La nueva versión incorpora capacidades de seguridad y auditoría adaptadas a entornos corporativos de alta demanda:

• Cifrado a Nivel de Tablespace y Tablas Individuales: Flexibilidad para cifrar selectivamente tablas con datos confidenciales (números de tarjeta, historias clínicas) o la totalidad del cluster.
• Protección Criptográfica de Registros WAL: Asegura que los archivos de replicación y logs transaccionales viajen y se almacenen cifrados en todo momento.
• Rotación de Llaves Maestras sin Detención del Servicio: Capacidad para re-cifrar las llaves de encriptación de datos (DEK) periódicamente sin requerir reinicio del motor.
• Compatibilidad Nativa con PostgreSQL 17 y 18: Totalmente adaptada a los ganchos internos de almacenamiento (Storage Manager Hooks) introducidos en las últimas versiones del motor.

La solución cierra la brecha de características que solía forzar a las corporaciones reguladas a permanecer en bases de datos privativas como Oracle TDE o SQL Server TDE.

3. FinOps y Cumplimiento Normativo sin Sobrecostos de Licenciamiento

La implementación de TDE en código abierto repercute de manera sumamente favorable en el presupuesto de seguridad:

1. Ahorro en Módulos de Cifrado Comerciales Propietarios: En bases de datos privativas, la opción TDE se comercializa como un paquete adicional de hasta USD 11.500 por procesador; en PostgreSQL es libre.
2. Aprobación Inmediata en Auditorías PCI-DSS e ISO 27001: Disponer de cifrado transparente en reposo y gestión centralizada de llaves agiliza las certificaciones regulatorias bancarias.
3. Mitigación de Multas por Fuga Física de Datos: Si un disco rígido o backup en cinta es sustraído físicamente, la información es completamente ilegible, evitando sanciones por negligencia de custodia.
4. Menor Consumo Computacional frente a Soluciones de Disco Completo: Cifrar a nivel de base de datos es significativamente más eficiente que cifrar volúmenes completos de sistema de archivos (dm-crypt/LUKS).

La seguridad criptográfica de vanguardia ya no es un privilegio de grandes bancos con presupuestos millonarios de software propietario.

4. Hoja de Ruta y Checklist de Implementación Técnica en 5 Fases

1. Fase 1: Instalar y Compilar la Extensión en el Servidor: Descargar pg_vault_tde desde los repositorios oficiales y compilar el módulo contra los encabezados de PostgreSQL 17/18.
2. Fase 2: Configurar la Conexión Segura con HashiCorp Vault: Establecer las credenciales de autenticación por certificado mTLS y la ruta del motor de secretos (Transit Secrets Engine).
3. Fase 3: Habilitar la Extensión en postgresql.conf: Añadir pg_vault_tde a la directiva shared_preload_libraries y reiniciar el servicio para cargar los ganchos criptográficos.
4. Fase 4: Crear un Tablespace Cifrado y Migrar Tablas Sensibles: Ejecutar CREATE TABLESPACE cifrado_tde WITH (encryption = 'on') y reubicar las tablas mediante ALTER TABLE.
5. Fase 5: Probar y Automatizar el Procedimiento de Rotación de Llaves: Verificar mediante comandos de administración que la rotación de llaves se ejecute en segundo plano sin bloquear transacciones activas.