Arquitectura E2EE multicapa
Signal Protocol como base, reforzado con criptografía post-cuántica, firmas AEGIS y Sealed Sender del lado del cliente.
Intercambio de claves PQXDH
Intercambio de claves post-cuántico híbrido que combina X25519 (Curve25519) y ML-KEM-1024 (NIST FIPS 203). Resistente a ataques clásicos y cuánticos.
Double Ratchet
Secreto hacia adelante por mensaje usando DH ratchet + ratchet simétrico. La compromisión de una clave no puede descifrar mensajes pasados ni futuros.
Cifrado AES-256-GCM
Cifrado autenticado con claves de 256 bits. Cada mensaje se cifra con una clave única derivada del Double Ratchet.
AEGIS (Firmas Ed25519)
Firmas digitales por mensaje para no repudio. Rotación de claves cada 90 días con período de gracia de verificación. Lista de dispositivos firmada con Ed25519.
Sealed Sender del lado del cliente
Clave efímera X25519 por mensaje + clave AES derivada HKDF-SHA256. Ni siquiera el servidor puede ver quién envió un mensaje.
AEGIS — Arc Enhanced Guard & Integrity System
AEGIS (Arc Enhanced Guard & Integrity System) es la capa de autenticación de mensajes de Arc construida sobre firmas digitales XEdDSA a través de libsignal. Cada mensaje que envías está firmado criptográficamente, proporcionando tres garantías críticas:
Anti-suplantación
Incluso si un atacante compromete el servidor, no puede falsificar mensajes en tu nombre. Tu Identity Key (X25519) se usa para la firma XEdDSA y nunca sale de tu dispositivo.
Detección de manipulación
Cualquier modificación a un mensaje — incluso un solo carácter — invalida instantáneamente la firma. Los destinatarios pueden verificar que cada mensaje llegó exactamente como fue enviado.
No repudio
Prueba criptográfica de que tú eres el autor de un mensaje. XEdDSA usa tu X25519 Identity Key para firmas compatibles con EdDSA — no se necesita una clave Ed25519 separada.
XEdDSA (libsignal) · X25519 Identity Key · firmas de 64 bytes · firma por mensaje
A diferencia de las aplicaciones de mensajería estándar, AEGIS va más allá del cifrado. Mientras que E2EE protege el contenido de los mensajes, AEGIS protege la identidad del mensaje — asegurando que cada mensaje realmente proviene de quien dice ser. Impulsado por la implementación XEdDSA de libsignal.
Cero conversión de claves
Arc separa X25519 (intercambio de claves) y Ed25519 (firmas) a nivel de tipo. A diferencia de Signal/WhatsApp, no hay conversión de claves Ed25519→X25519, minimizando la superficie de ataque.
Signal/WhatsApp vs Arc V2
| Característica | Signal | Telegram | Arc V2 | |
|---|---|---|---|---|
| Diseño de claves | Ed→X conversion | Conversión Ed→X | MTProto 2.0 (personalizado) | Complete separation |
| Firmas de mensajes | None (DH only) | Ninguna (solo DH) | Solo Chat Secreto | AEGIS XEdDSA |
| Sealed Sender | Server-side | Lado del servidor | No disponible | Client-side |
| E2EE offline | Not supported | No soportado | No soportado | BLE Mesh X3DH+DR |
| Multi-dispositivo | Primary/Linked | Principal/Vinculado | Todos los dispositivos (sincronización en nube) | Independent key sets + Key Sync |
| Rotación de claves | Fixed interval | Intervalo fijo | Manual (Chat Secreto) | Multi-stage automatic |
| Lista de dispositivos | No signature | Sin firma | Gestionado por servidor | Ed25519 signed |
| Transferencia de claves del dispositivo | Via Primary | Vía Principal | Sincronizado por servidor | QR + X25519 ECDH + AES-256-GCM |
| Background E2EE | Foreground only | Solo primer plano | Solo Chat Secreto | ✓ All App States (FG/BG/Terminated) |
| Historial en nuevo dispositivo | Solo medios de los últimos 45 días | Solo medios de los últimos 45 días | Historial completo (nube) | Todos los mensajes dentro del vencimiento IGF |
| Pérdida del teléfono / recuperación | Copia de seguridad limitada (requiere PIN) | Copia E2EE (opt-in) + Drive/iCloud | Copia de seguridad en la nube (servidor) | Restaurar desde copia de seguridad cifrada |
| Acceso del servidor al contenido | No | No (metadatos sí) | Sí (chat no secreto) | No (cifrado con clave de usuario) |
| Crecimiento del historial | Crece indefinidamente | Crece indefinidamente | Ilimitado (nube) | Limitado automáticamente por IGF |
| Jerarquía de dispositivos | El teléfono es el maestro | Multi-dispositivo, sin teléfono requerido | Sin jerarquía | Todos los dispositivos iguales |
Parámetros ML-KEM-1024
Mecanismo de encapsulación de claves post-cuántico estandarizado NIST FIPS 203.
| Algoritmo | ML-KEM-1024 (via libsignal-client) |
| Nivel de seguridad NIST | Level 3 (AES-192 equivalent) |
| Seguridad clásica | 2^128 bit (X25519) |
| Seguridad cuántica | NIST Level 3 |
| Fundamento | Module Lattice (FIPS 203) |
| Tamaño de clave pública | 1,184 bytes |
| Tamaño de clave secreta | 2,400 bytes |
| Tamaño del texto cifrado | 1,088 bytes |
Cumplimiento y estándares
🇺🇸NIST CSF 2.0
Marco NIST. 6 funciones para gestión sistemática de ciber-riesgos.
🇺🇸NIST SP 800-53
Controles de seguridad federales. Base de FedRAMP.
🇺🇸FIPS 140-3
Validación federal de módulos criptográficos. Cubre ML-KEM-1024.
🇺🇸NIST SP 800-175B
Guía de selección de algoritmos criptográficos. Basado en FIPS 203.
🌐ISO/IEC 27001
Certificación SGSI internacional. Base de confianza B2B/B2G.
🇪🇺GDPR
Reglamento General de Protección de Datos de la UE. Estándar de protección más alto del mundo.
🇬🇧UK Cyber Essentials+
Certificación de ciberseguridad certificada por el gobierno del Reino Unido.
🇬🇧NCSC Cloud Security
14 Principios del NCSC del Reino Unido. Estándar de evaluación de seguridad en la nube.
Desarrollado en cumplimiento con todos los prerrequisitos de NIST de EE.UU., GDPR de la UE, NCSC del Reino Unido e ISO internacional.
Arc Protocol: Whitepaper de Seguridad
Un documento técnico completo que describe la arquitectura criptográfica de Arc, el modelo de amenazas y las garantías de seguridad. Cubre el intercambio de claves PQXDH (ML-KEM-1024), forward secrecy Double Ratchet, firmas AEGIS por mensaje, Sealed Sender y BLE Mesh E2EE offline.
15 Secciones
Documentación completa del protocolo
Comparación con Signal
Análisis honesto función por función
Modelo de Amenazas
Análisis STRIDE con riesgos residuales
Documentación de arquitectura del sistema
Especificación técnica completa de Arc V2 — arquitectura de 5 capas, pipeline E2EE, implementación PQXDH, ciclo de vida de claves, cifrado grupal, arquitectura multi-dispositivo, red BLE Mesh e IA en dispositivo.
15+ secciones técnicas
Arquitectura por capas, implementación PQC, pipeline de cifrado, almacenamiento de datos y más
Bilingüe (EN/JP)
Documentación completa en inglés y japonés con cambio en un clic
Versión 3.1 — Marzo 2026
Incluye Elixir PreKey Server, Sealed Sender, Sender Keys y PQXDH ML-KEM-1024
Este documento es confidencial y está disponible exclusivamente para socios vinculados por NDA, inversores y revisores técnicos autorizados. El acceso requiere aprobación previa de Atlas Associates.