Logo

Documento técnico sobre seguridad y privacidad (descripción general)Capítulo 6

Capítulo 6 Ciclo de vida y eliminación de datos

Este capítulo define el ciclo de vida de los datos cifrados (fragmentos de texto cifrado y manifiestos): creación, retención, caducidad y eliminación. El objetivo es un comportamiento predecible para usuarios y auditores, manteniendo los límites del conocimiento cero.

6.1 Categorías de datos

  • Fragmentos de texto cifrado: partes cifradas de los archivos almacenadas en el almacenamiento de objetos.
  • Manifiesto: parámetros públicos necesarios para la descarga y el ensamblado (sin CEK).
  • Estado: autorización, progreso, TTL, indicadores de revocación y las mínimas pruebas de entrega.

6.2 Semántica de eliminación

  • La eliminación o revocación iniciada por el remitente DEBE hacer que los accesos posteriores fallen (tokens invalidados / el estado deniega el acceso).
  • La eliminación DEBERÍA desencadenar la limpieza de los objetos relacionados (fragmentos y manifiesto) siempre que sea viable.
  • El comportamiento del sistema DEBE ser coherente para los destinatarios: las transferencias revocadas o caducadas deben mostrar un motivo claro.

6.3 Política de caducidad y limpieza automática

6.3.1 Desencadenantes de la caducidad

  • Las transferencias DEBERÍAN tener una política expiresAt (retención según el plan o TTL elegido por el usuario).
  • Tras la caducidad, el acceso DEBE denegarse aunque el texto cifrado siga existiendo temporalmente.

6.3.2 Limpieza automática

  • La limpieza en segundo plano DEBERÍA eliminar los fragmentos y manifiestos caducados dentro de un plazo razonable.
  • La limpieza debe ser resistente a los reintentos y a los fallos parciales (eliminación idempotente).

6.3.3 Restricciones de experiencia de usuario tras la caducidad

  • Los destinatarios DEBEN ver un estado «Expirada» explícito y el siguiente paso (contactar con el remitente).
  • Los remitentes DEBERÍAN poder distinguir «caducada» de «revocada» en la interfaz de gestión.

6.4 Garantías visibles para el usuario

  • La eliminación o revocación DEBE surtir efecto de inmediato en el control de acceso (cierre ante el fallo).
  • La eliminación física del almacenamiento PUEDE ser eventual; sin embargo, el acceso debe seguir denegado sin que pueda reactivarse.
  • Los registros y las pruebas deben mantenerse al mínimo y no deben incluir secretos (fragmentos de URL o CEK).

6.5 ID de afirmaciones relacionados