Sistemas criptográficos · Egothor
ZeroEcho
Toolkit modular Java para construir workflows criptográficos y PKI que necesitan selección explícita de algoritmos, fronteras de claves controladas y una senda evolutiva desde criptografía clásica hasta despliegues poscuánticos e híbridos.
Criptografía como arquitectura, no como bolsa de algoritmos
ZeroEcho nació de una necesidad práctica: hacer utilizable la criptografía moderna en flujos repetibles sin esconder decisiones críticas en estado global o en un comando monolítico. El resultado es un toolkit por capas donde algoritmos, claves, contenido protegido, servicios PKI e integración tienen fronteras explícitas.
- Agilidad algorítmica significa decisiones explícitas, no defaults ocultos.
- Las fronteras de claves importan tanto como elegir primitivas.
- PKI pertenece dentro de la arquitectura, no a su lado.
- La migración híbrida se trata como una fase real de ingeniería.
Agilidad algorítmica sin fingir que la migración es instantánea
La transición poscuántica no es un flag que todos los sistemas puedan activar al mismo tiempo. Ecosistemas de certificados, protocolos, hardware y contrapartes evolucionan a ritmos distintos. ZeroEcho mantiene por ello opciones clásicas, poscuánticas e híbridas en un mismo modelo de ingeniería en lugar de tratar una familia como proyecto lateral temporal.
Interoperabilidad hoy
RSA, ECDSA, Ed25519/Ed448 y modos simétricos establecidos siguen disponibles para protocolos y contrapartes dependientes de criptografía clásica madura.
Migración donde encaja
ML-KEM y familias de firma poscuántica se seleccionan mediante el mismo toolkit amplio sin exigir una pila de aplicación independiente.
Puente durante la transición
Construcciones híbridas permiten resiliencia entre familias mientras interoperabilidad y política se ponen al día.
El material de claves permanece tras una frontera
Un principio recurrente es que los servicios PKI de nivel superior no deberían transportar claves privadas brutas por sus APIs. Las claves se direccionan por referencias estables; firma y recuperación de clave pública pasan por una frontera de material de claves. Así la capa PKI se concentra en certificados, perfiles, políticas y estado en vez de convertirse en un segundo key store.
Referencias explícitas de claves
Identificadores estables permiten solicitar operaciones criptográficas sin tratar material privado como datos ordinarios de aplicación.
Operaciones conscientes del ciclo de vida
Operaciones largas o externas de firma se modelan con estado explícito e idempotencia, sin asumir que cada llamada termina de forma síncrona.
Fronteras de contenido validado
El contenido persistido se vincula a controles de integridad y referencias controladas para que recuperación y continuación sigan siendo auditables.
Identidades de algoritmo versionadas
Algoritmos y elecciones de interoperabilidad se representan explícitamente para mantener defaults estables e introducir nuevas combinaciones de forma deliberada.
Configuración determinista
La configuración se diseña para inspección y reproducción, no para depender de estado mutable de proveedor a nivel de proceso.
Entrega scriptable
La CLI expone las mismas capacidades subyacentes a automatización y workflows offline, no otra implementación criptográfica.
PKI forma parte del sistema actual
La capa PKI se organiza alrededor de contratos de servicio y no de un objeto CA que lo haga todo. Solicitudes, emisión, revocación, perfiles, política, publicación, objetos de estado, backup/import-export e inventario de credenciales permanecen separados para evolucionar de forma independiente compartiendo almacenamiento y fronteras de claves.
El objetivo es deliberadamente más exigente que «generar un certificado». Una PKI de producción debe responder qué se solicitó, qué se autorizó, qué clave demostró posesión, qué perfil se aplicó, qué se persistió y cómo reconstruir estado tras un reinicio.
Flujos de datos resilientes
ZeroEcho conserva además su enfoque operativo original: protección multi-receptor, cifrado y firma scriptables, y flujos que no presuponen conectividad permanente. Transporte offline o indirecto se considera una condición legítima; las técnicas experimentales de exportación encubierta permanecen aisladas de la arquitectura criptográfica y PKI central.