Privacy First: Cifrado de extremo a extremo de código abierto (E2EE) en DeHub
Por DeHub Team — 2025-10-22
Cómo funciona el cifrado de extremo a extremo de DeHub
Protección 🔒 de privacidad de grado militar
En DeHub, hemos implementado el cifrado de extremo a extremo de grado militar (E2EE) para garantizar que sus conversaciones permanezcan completamente privadas. Cuando envías un mensaje, solo tú y tu destinatario pueden leerlo; ni siquiera los servidores de DeHub tienen acceso a tus mensajes descifrados.
🛡️ ¿Qué hace seguro nuestro E2EE?
Arquitectura de confianza cero
Usamos bibliotecas criptográficas auditadas y sin dependencias de la suite @noble:
• @noble/ciphers - Para cifrado autenticado • @noble/curves - Para criptografía de curva elíptica • @noble/hashes - Para hash criptográfico
Algoritmos de cifrado probados en batalla
XChaCha20-Poly1305 - Cifrado de mensajes
• Cifrado autenticado moderno utilizado por Signal, WhatsApp y aplicaciones de mensajería segura • Proporciona confidencialidad (los mensajes no se pueden leer) y autenticidad (los mensajes no se pueden manipular) • Rendimiento ultrarrápido incluso en dispositivos móviles
X25519 ECDH - Intercambio de claves
• Curva elíptica Diffie-Hellman para un acuerdo de clave segura • Proporciona un secreto directo perfecto: cada conversación utiliza claves de sesión únicas • Basado en Curve25519, que ofrece un nivel de seguridad de 128 bits
HKDF-SHA256 - Derivación de claves
• Obtención de claves estándar de la industria a partir de secretos compartidos • Garantiza la separación criptográfica entre diferentes conversaciones • Generación de claves determinista pero segura
🔐 Cómo funciona: El flujo completo
Fase 1: Configuración única (habilitar E2EE)
Cuando habilitas E2EE en DeHub, esto es lo que sucede:
- Solicitud de firma de billetera
• Se te pide que firmes un mensaje: "Habilitar E2EE para el chat del titular" • Tu billetera produce una firma criptográfica única • Esta firma nunca sale de tu dispositivo
- Generación de clave privada
Firma de su billetera → [hash SHA-256] semilla de → 32 bytes → [derivación HKDF] → Su clave privada (32 bytes) • Su clave privada se deriva de la firma de su billetera • Nunca se transmite a los servidores DeHub • Nunca se almacena en ningún lugar excepto en su dispositivo
- Creación de clave pública
Clave privada → [operación X25519] Clave → pública (32 bytes) → [codificación Base64] → Cargada en la base de datos DeHub • Tu clave pública está matemáticamente vinculada a tu clave privada • Segura para compartir públicamente: es utilizada por otros para cifrar mensajes para ti • Almacenada en la base de datos de DeHub para que otros puedan encontrarla
Qué se almacena: • En su dispositivo (IndexedDB): clave privada, claves de sesión (caché de 24 horas) • En servidores DeHub: clave pública, estado habilitado para E2EE, marca de tiempo de creación de clave
Fase 2: Iniciar una conversación
Cuando chateas con alguien que también tiene E2EE habilitado:
Su clave privada (desde su dispositivo) + Su clave pública (desde la base de datos DeHub) → [X25519 ECDH Magic] Secreto → compartido (32 bytes) → [HKDF con contexto de conversación] Clave de → sesión (32 bytes)
Características principales: • Secreto directo perfecto: cada conversación tiene una clave de sesión única • Optimización del rendimiento: las claves de sesión se almacenan en caché durante 24 horas • ¡Ambas partes obtienen la misma clave, aunque se deriven de forma independiente!
Fase 3: Enviar un mensaje
Cuando escribes y envías "¡Hola, mundo!":
- Preparación del mensaje
"¡Hola, mundo!" → [Codificación UTF-8] Bytes de → texto plano: [72, 101, 108, 108, 111, ...]
- Cifrado
Bytes de texto sin formato + Clave de sesión + Nonce aleatorio (24 bytes, recién generado) → [Cifrado XChaCha20-Poly1305] → Texto cifrado + Etiqueta de autenticación (16 bytes) → [Codificación Base64] → Listo para servidores DeHub
- Almacenamiento: la base de datos de DeHub almacena:
✅ Quién lo envió (su dirección) ✅ Quién lo recibe (dirección del destinatario) ✅ Cuándo se envió (marca de tiempo) Palabrería ✅ cifrada (el texto cifrado) ❌ Qué dice (completamente ilegible)
Lo que ve DeHub: Podemos ver los metadatos (quién, cuándo, el recuento de mensajes), pero nunca el contenido real, ¡es solo un galimatías encriptado para nosotros!
Fase 4: Recibir un mensaje
Cuando alguien te envía un mensaje cifrado:
- Obtener de la base de datos
@ DeHub recupera: encrypted_content + nonce + version
- Recuperación de clave de sesión
Comprobar caché → Si se encuentra, utilícela ↓ Si no se encuentra Obtener clave de sesión nueva utilizando ECDH (igual que la fase 2)
- Descifrado
Ciphertext + Etiqueta de autenticación + Nonce + Clave de sesión → [descifrado XChaCha20-Poly1305] Bytes de → texto sin formato (¡autenticación verificada!) → [decodificación UTF-8] → "¡Hola, mundo!" aparece en tu pantalla
Verificación de seguridad: ✅ Autenticidad verificada - La etiqueta de autenticación demuestra que el mensaje no fue manipulado con Remitente✅ correcto - Solo alguien con la clave privada del remitente podría crear este texto cifrado Protección de✅ repetición - El nonce único evita que se reproduzcan mensajes antiguos
🛡️ Qué protege E2EE vs. qué no
✅ Completamente protegido
• Contenido del mensaje - Completamente encriptado antes de salir de su dispositivo • Integridad del mensaje - No se puede alterar sin detección • Claves privadas - Nunca salga de su dispositivo, nunca se transmite • Reenviar secreto - Claves únicas por conversación • Autenticidad - Identidad del remitente garantizada
⚠️ Metadatos (visibles para DeHub)
Como todos los sistemas E2EE (Signal, WhatsApp, etc.), algunos metadatos deben ser visibles para que la app funcione:
• A quién estás enviando mensajes (direcciones de remitente/destinatario) • Cuándo se envían los mensajes (marcas de tiempo) • Cuántos mensajes se intercambian (recuento de mensajes) • Tipo de mensaje (texto/imagen/voz, pero no el contenido)
¿Por qué? Estos metadatos son necesarios para el enrutamiento y la entrega de mensajes. ¡Sin ella, no podríamos entregar tus mensajes!
🚀 Estado actual y hoja de ruta
✅ Disponible ahora
✅ Generación de claves basada en billetera (¡sin contraseñas!) Cifrado/descifrado✅ automático de DM Almacenamiento en caché de claves de✅ sesión Secreto de reenvío✅ perfecto Insignias de estado✅ E2EE ✅ Compatibilidad hacia atrás con mensajes no cifrados
🚧 Próximamente
Cifrado de mensajes de 🔜 grupo - Chats de grupo cifrados Cifrado de🔜 medios - Imágenes, GIF, mensajes de voz Verificación de🔜 claves - Verifique la identidad de su contacto con códigos QR Copia de seguridad y recuperación de🔜 claves - Respaldo seguro de sus claves de cifrado Sincronización🔜 multidispositivo - Utilice E2EE en todos los dispositivos
💡 Por qué esto importa
DeHub nunca puede:
❌ Lee tus mensajes ❌ Accede a tus claves privadas ❌ Descifra tus conversaciones ❌ Comparte el contenido de tus mensajes con cualquier persona
Incluso si:
🚨 Los servidores de DeHub están hackeados 🚨 Recibimos una orden del gobierno 🚨 Un empleado deshonesto intenta acceder a los datos
Sus mensajes permanecen encriptados e ilegibles. Ese es el poder del verdadero cifrado de extremo a extremo.
🎯 Compromiso de DeHub con la privacidad
En DeHub, creemos que la privacidad es un derecho fundamental. Nuestra implementación de E2EE garantiza que sus conversaciones estén realmente protegidas en privado por las matemáticas, no solo por las políticas. Hemos elegido bibliotecas criptográficas y algoritmos líderes en la industria para ofrecerte el mismo nivel de seguridad que utilizan Signal, WhatsApp y otras plataformas de mensajería centradas en la privacidad.
Tus mensajes. Tu privacidad. Siempre.