Cifrado y protocolos

SecurQbit protege tu tráfico con criptografía moderna y estándar de la industria construida sobre TLS 1.3, el mismo protocolo probado que asegura la banca en línea y el HTTPS en toda la web. Eso significa cifrados AEAD autenticados y un intercambio de claves con secreto hacia adelante, sin modos heredados que lo debiliten. Esta página explica las primitivas, el protocolo de enlace y por qué se tomaron estas decisiones.

Cifrados AEAD

SecurQbit cifra el tráfico con los cifrados AEAD (cifrado autenticado con datos asociados) definidos por TLS 1.3. AEAD cifra y autentica en una sola operación, de modo que cada paquete es a la vez confidencial y a prueba de manipulaciones: un paquete modificado se detecta y se descarta.

• ChaCha20-Poly1305 — rápido y de tiempo constante en software, ideal en CPU móviles sin hardware AES dedicado. A menudo es el predeterminado en los teléfonos.
• AES-256-GCM — extremadamente rápido cuando hay aceleración AES por hardware disponible (la mayoría de los dispositivos modernos), con una clave de 256 bits.

El cliente y el servidor negocian el mejor cifrado para las capacidades de tu dispositivo.

Secreto hacia adelante

SecurQbit establece las claves de sesión con un intercambio de claves Diffie-Hellman de curva elíptica efímero sobre X25519 (Curve25519). Cada sesión deriva claves nuevas a partir de valores efímeros de corta duración que se descartan cuando la sesión termina.

Esto proporciona secreto hacia adelante: incluso si una clave a largo plazo se viera comprometida en el futuro, las sesiones pasadas no podrían descifrarse de forma retroactiva, porque las claves que las protegían ya no existen en ninguna parte. Combinado con servidores solo de RAM, no hay nada persistido que volver a desbloquear.

Visión general del protocolo de enlace

La conexión se ejecuta sobre una sesión TLS 1.3 genuina en el puerto TCP 443, indistinguible en la red del tráfico web ordinario.

1. Intercambio de claves — el cliente y el servidor generan cada uno pares de claves X25519 efímeras e intercambian los valores públicos durante el protocolo de enlace de TLS 1.3.
2. Secreto compartido — ambas partes calculan el mismo secreto compartido mediante Diffie-Hellman de curva elíptica; nunca se transmite.
3. Derivación de claves — las claves de sesión se derivan del secreto compartido mediante HKDF, con claves separadas por dirección.
4. Autenticación del servidor — el servidor demuestra su identidad antes de que fluyan datos de usuario, derrotando los intentos de intermediario.
5. Túnel AEAD — todo el tráfico posterior se cifra y se autentica con el cifrado AEAD negociado.

Como el portador es TLS 1.3 real y no una imitación, la sesión se mezcla con el HTTPS normal sin un envoltorio separado e identificable. Consulta Evasión de cortafuegos y ofuscación para ver cómo eso derrota la inspección profunda de paquetes.

Client ── ephemeral X25519 pubkey ──▶ Server   (TLS 1.3 / TCP 443)
Client ◀── ephemeral X25519 pubkey ── Server
both:  ECDH → shared secret → HKDF → per-direction AEAD keys
data:  AEAD(ChaCha20-Poly1305 | AES-256-GCM) over genuine TLS 1.3

Las primitivas de un vistazo

Por qué estas decisiones

• Construido sobre TLS 1.3 — el transporte seguro más escrutado y ampliamente desplegado del mundo; no es posible degradar a cifrados heredados débiles.
• AEAD frente a modos más antiguos — el cifrado autenticado de una sola pasada elimina clases enteras de ataques de oráculo de relleno y de manipulación.
• Dos opciones de cifrado — ChaCha20-Poly1305 mantiene rápidos los teléfonos sin hardware AES; AES-256-GCM aprovecha la aceleración por hardware cuando está presente.
• Intercambio de claves X25519 efímero — rápido, resistente a ataques de canal lateral y con secreto hacia adelante por diseño.
• Sin cifrado redundante — el tráfico ya cifrado (como el HTTPS que navegas) se transporta de forma eficiente sin una segunda capa derrochadora de criptografía en bloque, manteniendo rápido el túnel.
• Primitivas estándar y bien analizadas — SecurQbit prefiere la criptografía ampliamente auditada frente a esquemas novedosos y no probados.

Nota: El cifrado protege lo que envías; la ofuscación oculta que estás usando una VPN. Consulta la Arquitectura de seguridad para ver cómo se combinan las capas.