El Protocolo de Interoperabilidad para la Gestión de Claves (KMIP, por sus siglas en inglés) es un estándar abierto de OASIS que define cómo las aplicaciones se comunican con un servidor de gestión de claves para crear, recuperar y gestionar claves criptográficas, certificados y secretos, independientemente del proveedor que haya desarrollado cualquiera de los dos componentes.
KMIP estandariza la comunicación entre los sistemas de cifrado y los gestores de claves. Las aplicaciones, bases de datos y sistemas de almacenamiento envÃan solicitudes KMIP a un servidor central de gestión de claves, que crea, almacena, rota y destruye sus claves de cifrado. Un único protocolo reemplaza los gestores de claves redundantes e incompatibles que cada producto de cifrado requerirÃa, reduciendo asà los costes y la complejidad operativa.
Puntos Clave
- KMIP es un estándar abierto de OASIS. La versión 1.0 fue aprobada en octubre de 2010, y KMIP 2.1, aprobada el 14 de diciembre de 2020, es el estándar OASIS vigente.
- Un único servidor de gestión de claves compatible con KMIP puede dar servicio a todas las aplicaciones, bases de datos y sistemas de almacenamiento compatibles con KMIP de la empresa, sustituyendo a los gestores de claves especÃficos de cada proveedor.
- Los mensajes KMIP utilizan una codificación binaria TTLV (Etiqueta, Tipo, Longitud, Valor) y se transmiten a través de TLS; la especificación de perfiles KMIP define los conjuntos de cifrado TLS 1.2 y TLS 1.3 necesarios.
- Un servidor KMIP gestiona claves simétricas, claves públicas y privadas, certificados, datos secretos, claves divididas y objetos opacos a lo largo de todo su ciclo de vida.
- KMIP 3.0, publicado como borrador de especificación del comité 02 el 7 de mayo de 2026, añade soporte post-cuántico: ML-KEM (FIPS 203), ML-DSA (FIPS 204) y SLH-DSA (FIPS 205), además de nuevas operaciones de encapsulación y desencapsulación.
Cómo funciona KMIP
KMIP funciona como un protocolo cliente-servidor: una aplicación envÃa un mensaje de solicitud estandarizado a un servidor de gestión de claves, y el servidor responde con una respuesta que crea, devuelve o modifica un objeto criptográfico.
El protocolo define las operaciones que un cliente puede solicitar. Estas incluyen Crear, Crear par de claves, Registrar, Obtener, Localizar, Activar, Revocar, Destruir, Derivar clave y Re-clave. Un cliente también puede solicitar al servidor que cifre, descifre, firme o verifique la firma de los datos en su nombre, de modo que la clave nunca salga del servidor de gestión de claves. La operación Descubrir versiones permite que un cliente conozca las versiones de protocolo que utiliza un servidor antes de comprometerse con una.
Los mensajes se codifican en TTLV (Etiqueta, Tipo, Longitud, Valor), un formato binario compacto en el que las estructuras anidadas transportan solicitudes complejas de múltiples operaciones en un solo mensaje. La especificación también define codificaciones de mensajes HTTPS, JSON y XML para entornos donde el manejo binario no es práctico. El transporte se realiza a través de TLS, y la especificación complementaria de perfiles KMIP nombra los conjuntos de cifrado TLS 1.2 y TLS 1.3 que los clientes y servidores conformes deben admitir.
El efecto práctico es sencillo: KMIP proporciona a cada sistema de cifrado de la empresa un lenguaje común para comunicarse con un único gestor de claves. Sin él, cada producto de cifrado incluye su propio gestor de claves y su propio protocolo, y la organización incurre en los costes de esa redundancia en licencias, infraestructura y formación.
Versiones de KMIP: 1.0 a 3.0
Desde 2010, OASIS ha aprobado siete versiones de la especificación KMIP como estándares OASIS, y una octava, KMIP 3.0, se encuentra en fase de borrador.
| Versión | Estado de OASIS | Fecha |
| KMIP 1.0 | Estándar OASIS | Octubre 2010 |
| KMIP 1.1 | Estándar OASIS | Enero de 2013 |
| KMIP 1.2 | Estándar OASIS | 2015 de mayo |
| KMIP 1.3 | Estándar OASIS | de diciembre de 2016. |
| KMIP 1.4 | Estándar OASIS | Noviembre 2017 |
| KMIP 2.0 | Estándar OASIS | Octubre 2019 |
| KMIP 2.1 | Estándar OASIS (actual) | 14 de diciembre de 2020 |
| KMIP 3.0 | Borrador de especificación del comité 02 (en desarrollo) | 7 de mayo de 2026 |
Actualmente, las implementaciones en producción se basan en KMIP 2.1 o versiones anteriores, ya que la versión 3.0 aún no ha alcanzado la certificación OASIS Standard. Al evaluar un gestor de claves o un producto compatible con KMIP, es importante confirmar qué versiones de protocolo admite; muchos clientes todavÃa utilizan las versiones 1.2 o 1.4, y la función de descubrimiento de versiones existe precisamente para gestionar esta compatibilidad.
Qué gestiona un servidor KMIP
Un servidor KMIP gestiona el ciclo de vida completo de los objetos criptográficos, desde su creación hasta su destrucción.
Los tipos de objetos gestionados son claves simétricas, claves públicas y privadas, certificados X.509, solicitudes de certificados, datos secretos como contraseñas y secretos compartidos, claves divididas, claves PGP y objetos opacos que el servidor almacena sin interpretar. Cada objeto lleva atributos que el servidor aplica: fechas de activación y desactivación, una máscara de uso criptográfico que restringe las funciones de la clave, lÃmites de uso y enlaces que conectan objetos relacionados, como una clave pública con su clave privada o un certificado con su cadena.
La clave reside en la aplicación del ciclo de vida. Una clave que ha superado su fecha de desactivación deja de utilizarse para el cifrado. Una clave comprometida puede revocarse registrando el motivo y la fecha. Las claves pueden renovarse periódicamente, mientras que los enlaces preservan la relación entre el material antiguo y el nuevo.
KMIP vs PKCS#11
KMIP es un protocolo de red entre una aplicación y un servidor de gestión de claves, mientras que PKCS#11 es una interfaz de programación local entre una aplicación y un dispositivo criptográfico, como un módulo de seguridad de hardware (HSM).
| Atributo | KMIP | PKCS # 11 |
| Lo que es | Protocolo de red (mensajes de solicitud y respuesta) | API de programación en C (llamadas a funciones locales) |
| Gobernado por | Comité Técnico de OASIS KMIP | Comité Técnico OASIS PKCS#11 |
| <b></b><b></b> | Gestión integral del ciclo de vida de las claves en toda la red. | Operaciones criptográficas en un token local o HSM |
| Enlace tÃpico | Aplicación al gestor de claves empresariales | Aplicación a HSM o tarjeta inteligente |
| Relación | Complementario; KMIP ha definido una operación PKCS#11 desde la versión 2.0 que canaliza las llamadas PKCS#11 a través de un servidor KMIP. | Se suele utilizar detrás de un servidor KMIP para acceder al HSM que protege las claves maestras. |
Beneficios de KMIP
KMIP reduce el coste y la complejidad del cifrado empresarial al sustituir muchos gestores de claves especÃficos de cada proveedor por un sistema interoperable.
- Simplificación de tareas: Antes de KMIP, cada cifrado El producto requerÃa su propio gestor de claves, por lo que los equipos de TI administraban y protegÃan varios sistemas en paralelo. Un único gestor de claves compatible con KMIP les da servicio a todos, y el personal aprende un solo sistema en lugar de cinco.
- Flexibilidad operativa: Dado que el protocolo es independiente del proveedor, una organización puede integrar sistemas en la nube, en el perÃmetro y en las instalaciones con un único gestor clave, e intercambiar cualquiera de los dos lados sin tener que reconstruir la integración.
- Menor coste de infraestructuras: Menos administradores clave significa menos licencias, menos servidores y menos vÃas de comunicación que proteger, lo que reduce el coste total de poseer la infraestructura de seguridad.
- Control y auditorÃa centralizados: Un único servidor aplica la polÃtica de ciclo de vida clave, las restricciones de acceso y el registro de uso para cada sistema conectado, en lugar de fragmentar la polÃtica entre los diferentes productos.
Casos de uso de KMIP
KMIP aparece siempre que muchos puntos finales de cifrado necesitan claves de un mismo lugar.
- Cifrado de base de datos: Las bases de datos que cifran los datos en reposo recuperan sus claves maestras de un gestor de claves externo mediante KMIP. MongoDB Enterprise, por ejemplo, admite dispositivos de gestión de claves compatibles con KMIP para su motor de almacenamiento cifrado, manteniendo la clave maestra fuera de la instalación de la base de datos.
- Cifrado de máquinas virtuales y en la nube: Las funciones de cifrado del hipervisor y la nube se integran con proveedores externos de claves KMIP, de modo que las claves de cifrado de las máquinas virtuales permanecen bajo el control de la organización, en lugar de estar dentro de la plataforma. Los entornos multinube utilizan el mismo patrón para mantener la coherencia en la gestión de claves entre los distintos proveedores.
- Sistemas de almacenamiento con unidades de autocifrado: Los sistemas de almacenamiento obtienen las claves de desbloqueo de las unidades desde un servidor KMIP central; la especificación de perfiles KMIP incluso define casos de prueba de conformidad especÃficos para sistemas de almacenamiento con unidades de autocifrado.
- Bibliotecas de cintas: El almacenamiento a largo plazo y de archivo en cintas fue uno de los principales impulsores de KMIP, y un perfil especÃfico para la biblioteca de cintas de KMIP estandariza la forma en que las bibliotecas obtienen y gestionan las claves que cifran los cartuchos grabados con años de diferencia.
- Computación Edge: Los entornos distribuidos de comercio minorista, banca y pagos utilizan numerosos puntos finales de cifrado pequeños, ubicados lejos del centro de datos. KMIP permite que estos dispositivos obtengan las claves de un sistema de gestión de claves centralizado y compatible, en lugar de almacenarlas localmente.
KMIP y la criptografÃa postcuántica
El borrador KMIP 3.0 incorpora los algoritmos post-cuánticos del NIST al propio protocolo.
El NIST publicó las normas FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA) el 13 de agosto de 2024. El borrador de especificación 02 del Comité KMIP 3.0, con fecha del 7 de mayo de 2026, enumera las tres como referencias normativas, añade una enumeración del algoritmo KEM e introduce las operaciones de encapsulación y desencapsulación para que los clientes puedan realizar la encapsulación de claves a través del administrador de claves.
El atributo Quantum Safe, que forma parte de KMIP desde la versión 2.0, permite a las organizaciones etiquetar las claves gestionadas y localizar material vulnerable a la computación cuántica, lo que convierte al gestor de claves en un inventario criptográfico funcional.
Esto es importante porque las claves RSA y de curva elÃptica, que los servidores KMIP gestionan en grandes cantidades hoy en dÃa, pueden ser descifradas por el algoritmo de Shor en una computadora cuántica lo suficientemente grande, y los datos registrados ahora pueden ser descifrados más adelante una vez que exista ese hardware.
Las organizaciones que planifican una migración post-cuántica deberÃan hacerle dos preguntas a su proveedor de gestión de claves: qué versiones de KMIP admite el producto y cuándo será compatible con los tipos de objetos y operaciones post-cuánticas 3.0.
Cómo ayuda la consultorÃa de cifrado
HSM-as-a-Service proporciona módulos de seguridad de hardware dedicados y de alta fiabilidad para generar y proteger las claves raÃz y maestra que gestiona un gestor de claves KMIP. El servicio Enterprise Encryption Platforms de Encryption Consulting le ayuda a seleccionar, implementar e integrar una plataforma de gestión de claves compatible con KMIP en sus bases de datos, almacenamiento y cargas de trabajo en la nube, con polÃticas de ciclo de vida y auditorÃa integradas. Todo ello respaldado por las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.
Preguntas frecuentes
¿Qué es KMIP en términos sencillos?
KMIP es un lenguaje común que utilizan los productos de cifrado para comunicarse con un servidor de gestión de claves. En lugar de que cada base de datos, sistema de almacenamiento y aplicación incluya su propio gestor de claves, todos envÃan solicitudes KMIP estandarizadas a un servidor central que crea, almacena, rota y elimina sus claves de cifrado. OASIS, el organismo que lo respalda, aprobó KMIP por primera vez en octubre de 2010.
¿Cuál es la última versión de KMIP?
KMIP 2.1 es el estándar OASIS vigente, aprobado el 14 de diciembre de 2020. KMIP 3.0 está en desarrollo: OASIS publicó el borrador de especificación del comité 02 el 7 de mayo de 2026. El borrador 3.0 añade algoritmos post-cuánticos (ML-KEM, ML-DSA, SLH-DSA), nuevas operaciones de encapsulación y desencapsulación, y objetos del sistema para usuarios, grupos y credenciales.
¿Cuál es la diferencia entre KMIP y PKCS#11?
KMIP es un protocolo de red: una aplicación envÃa mensajes de solicitud a través de TLS a un servidor de gestión de claves, que puede estar ubicado en cualquier punto de la red. PKCS#11 es una interfaz de programación local en C entre una aplicación y un dispositivo criptográfico, como un HSM o una tarjeta inteligente. Son complementarios y ambos son mantenidos por OASIS. KMIP incluso ha definido una operación PKCS#11 desde la versión 2.0 que encapsula las llamadas PKCS#11 a través de un servidor KMIP.
¿Qué objetos puede gestionar un servidor KMIP?
Un servidor KMIP administra claves simétricas, claves públicas y privadas, certificados X.509, solicitudes de certificados, datos secretos como contraseñas, claves divididas, claves PGP y objetos opacos. Cada objeto contiene atributos, como fechas de activación y desactivación, máscaras de uso y enlaces a objetos relacionados, que el servidor aplica durante todo su ciclo de vida, desde su creación hasta su destrucción.
¿KMIP admite criptografÃa postcuántica?
El borrador de KMIP 3.0 sà lo contempla. El borrador de especificación del comité 02, con fecha del 7 de mayo de 2026, incluye las normas NIST FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA) como referencias normativas y añade operaciones de encapsulación y desencapsulación para los mecanismos de encapsulación de claves. KMIP 2.1 ya puede etiquetar claves con su atributo Quantum Safe, pero solo admite los algoritmos post-cuánticos mediante extensiones de proveedores.
¿Es seguro KMIP?
KMIP funciona mediante conexiones protegidas con TLS, y la especificación de perfiles KMIP define los conjuntos de cifrado TLS 1.2 y TLS 1.3 que deben admitir los clientes y servidores compatibles, junto con la autenticación mutua entre cliente y servidor. KMIP también permite que los clientes soliciten al servidor que cifre, descifre, firme o verifique datos de forma remota, de modo que las claves confidenciales nunca tengan que salir del servidor de gestión de claves.
Centralice la gestión de sus claves
¿Listo para consolidar la gestión de claves en una plataforma interoperable? Explore HSM-as-a-Service o hable con un asesor de Encryption Consulting sobre cómo crear una arquitectura de gestión de claves basada en KMIP.