Perforamos el laberinto de las telef贸nicas: as铆 logramos que dos celulares argentinos se hablen en secreto, sin pedirle permiso a nadie
No es una VPN. No es un t煤nel. Es un barrio entero que aprendi贸 a hablar en c贸digo. ⚡
馃懙馃懘 Para mi familia (y para cualquiera que no sabe nada de esto)
Logramos que una computadora en casa y dos celulares (uno de Claro y otro de Personal, con datos m贸viles) se manden mensajes directamente entre ellos, con un cifrado que nadie puede leer: ni la telef贸nica, ni el gobierno, ni el vecino chusmo.
¿Por qu茅 es dif铆cil? Porque las telef贸nicas meten a miles de clientes detr谩s de una sola direcci贸n (como un edificio con un solo timbre), y hacen malabares para que nadie de afuera pueda escribirte directamente. A ese laberinto se lo llama CGNAT, y es famoso por romper cualquier sistema de comunicaci贸n directa.
Nosotros lo perforamos. Y cuando el laberinto es tan malo que ni perfor谩ndolo se puede (el peor caso, que explicamos abajo), el sistema tiene un plan B que nunca falla: un cartero que entrega la carta sin poder abrirla. En esta nota te lo contamos todo, con dibujos y sin palabras raras. ☕
馃摉 El diccionario del barrio (30 segundos y entend茅s todo)
El "portero" del edificio. Tu celu no tiene direcci贸n propia en Internet: comparte la del edificio, y el portero decide ad贸nde va cada carta.
Que dos vecinos se pasen notas directamente, de mano en mano, sin pasar por ninguna oficina.
La carta viaja en una caja fuerte que solo abren el que la escribe y el que la recibe. El cartero ve la caja, nunca el contenido.
Un amigo con casa visible que presenta a los vecinos: "fulano est谩 en tal ventana". Despu茅s los vecinos hablan solos.
El cartero. Cuando no se puede hablar directo, la carta pasa por 茅l… pero va cerrada con llave que 茅l no tiene.
El esp铆a de la telef贸nica que mide la forma de los sobres para adivinar qu茅 protocolo us谩s y estrangularlo.
馃彚 El problema: el portero paranoico (CGNAT)
Imagin谩 un edificio con una sola puerta a la calle. Adentro viven miles de personas (los celulares y computadoras de los clientes de una telef贸nica). El portero (NAT) reparte numeritos internos y traduce: "la carta que llega al buz贸n 4.532 es para el depto 3B".
Hasta ah铆, m谩s o menos bien. Pero las telef贸nicas argentinas usan un portero a煤n peor, el CGNAT sim茅trico: no solo comparte la direcci贸n del edificio entre varios edificios vecinos, sino que cambia el numerito de buz贸n seg煤n a qui茅n le escribas. Si vos le escrib铆s a Mar铆a, el portero te da el buz贸n 100. Si le escrib铆s a Juan, te da el 200. Y si Mar铆a quiere responderte usando el buz贸n 100… el portero de Juan no lo reconoce y tira la carta a la basura. 馃棏️
Con ese portero, que dos vecinos se hablen directo parece imposible. Por eso casi todos los sistemas se rinden y usan una oficina central (un servidor) que reenv铆a todo. Nosotros no nos rendimos.
馃洝️ ¿Y WireGuard? (con todo respeto)
WireGuard es excelente y lo usamos de inspiraci贸n: su filosof铆a de "n煤cleo criptogr谩fico chico, claves ef铆meras, todo sobre UDP" es oro. Pero es una VPN: un t煤nel entre tu dispositivo y un servidor. No fue dise帽ado para que dos vecinos cualesquiera se encuentren solos en medio del laberinto.
- Bajo CGNAT agresivo, sus mapeos de puertos se caen si no hay tr谩fico constante.
- Cuando dos nodos est谩n atrapados detr谩s de CGNAT sim茅trico estricto, el hole punching cl谩sico es matem谩ticamente imposible: sin un servidor TURN externo, la conexi贸n muere.
- Sus tramas tienen tama帽o y encabezados fijos: un esp铆a DPI las reconoce de lejos y puede estrangularlas.
Nosotros no copiamos WireGuard. Le sacamos el alma (su filosof铆a de transporte y criptograf铆a) y la pusimos al servicio de otra arquitectura: no un t煤nel hacia un servidor, sino un sistema operativo de red donde cada nodo habla con cada nodo.
⚡ La soluci贸n: U2P, el idioma secreto del barrio
Dentro de nuestro kernel construimos el Unified UDP Protocol (U2P). Cuatro pilares lo hacen posible:
1️⃣ Una sola ventana para todo
En vez de que cada funci贸n abra su propia ventana al mundo, toda la casa usa una 煤nica ventana: por ah铆 se pregunta al Faro, por ah铆 se golpea la puerta del vecino, por ah铆 pasan las cartas cifradas. Como la ventana nunca deja de moverse, el portero jam谩s la cierra. Ese es el truco que heredamos del alma de WireGuard.
2️⃣ El c贸digo de la pareja
Cada pareja de vecinos calcula un numerito de sesi贸n que da igual desde ambos lados, ordenando sus identidades alfab茅ticamente (como "Fern谩ndez y L贸pez" da lo mismo lo diga uno u otro). As铆, cuando llega una carta, la casa sabe al instante a qu茅 conversaci贸n pertenece. Y si el celu cambia de antena 4G o pasa de Wi-Fi a datos, la conversaci贸n sigue viva.
3️⃣ Llaves que se autodestruyen
Antes de hablar, los vecinos hacen un apret贸n de manos m谩gico de 2 mensajes que genera una llave 煤nica para esa conversaci贸n. Cada 1.000 cartas o 5 minutos, la llave cambia sola. Si alg煤n d铆a alguien roba una llave, no puede leer ni el pasado ni el futuro. Adem谩s, cada carta lleva un n煤mero de serie sellado con tinta indeleble: si un esp铆a fotocopia una carta y la reenv铆a, el n煤mero repetido la delata.
4️⃣ El cartero ciego
Si el laberinto de porteros es tan malo que lo directo no cierra, el sistema conmuta en menos de 50 milisegundos a un relay incondicional: las cartas pasan por el Faro, pero van en una caja fuerte cifrada y firmada que el Faro no puede abrir. Solo ve el peso del paquete y lo entrega. Nadie en el medio lee ni modifica un solo bit.
馃椇️ El mapa del sistema
XIONIA KERNEL (tu m谩quina)
│
▼
┌───────────┐
│ U2P │ ← una sola ventana UDP
│ Transport │
└─────┬─────┘
│
┌────────┴────────┐
▼ ▼
P2P DIRECTO RELAY E2E
(si el portero (el cartero
lo permite) ciego)
└────────┬────────┘
▼
INTERNET
▼
┌───────────┐
│ U2P Peer │
└─────┬─────┘
▼
KERNEL REMOTO (el vecino)
Directo cuando se puede. Relay cuando no. El relay es el 煤ltimo recurso de conectividad, nunca el centro de la red. Y en ambos caminos, la carta va cifrada de extremo a extremo.
馃敩 La prueba en la calle: tres telef贸nicas, tres nodos reales
No probamos esto en un laboratorio con redes prolijas. Lo probamos en la trinchera: una computadora detr谩s de Fibertel y dos celulares con datos m贸viles de operadores distintos.
¿Por qu茅 el tercer caso va por relay? Porque es la combinaci贸n maldita: dos porteros sim茅tricos estrictos enfrentados, cada uno cambiando los buzones seg煤n el destino. Ah铆 ni Dios perfora: WireGuard necesitar铆a un servidor TURN externo. Nosotros tenemos el cartero ciego integrado, y ning煤n mensaje se pierde jam谩s.
馃攼 Blindaje: seis inteligencias artificiales nos auditaron
Sometimos el c贸digo a una auditor铆a donde varias IAs revisaron l铆nea por l铆nea. Detectaron dos agujeros te贸ricos y los cerramos antes de publicar:
Durante el golpe de puertas inicial cualquiera puede sugerir una direcci贸n. Pero una vez que la conversaci贸n empez贸, solo una carta con sello v谩lido puede cambiar la direcci贸n de entrega. Un mentiroso que invente paquetes no puede redirigir tu tr谩fico.
El contador de cada carta qued贸 atado criptogr谩ficamente al sello. Un esp铆a no puede alterarlo sin romper la verificaci贸n. Lo que antes era un campo "administrativo" ahora es parte del blindaje.
Y todo el motor pas贸 pruebas de estr茅s con 20 hilos transmitiendo en simult谩neo, 100% libre de carreras de datos.
馃搳 ¿En qu茅 nos diferenciamos?
| Caracter铆stica | VPN tradicional | WireGuard | XionIA U2P |
|---|---|---|---|
| Objetivo | T煤nel a servidor | VPN segura | Red P2P soberana |
| P2P nativo | Limitado | No es su objetivo | S铆 ✓ |
| Atravesar CGNAT | Depende | Fuera del n煤cleo | Parte del transporte |
| Relay E2E integrado | Variable | TURN externo | Fallback incluido |
| Forward Secrecy | Variable | Claves est谩ticas | Ef铆meras por sesi贸n |
| Identidad | Cuentas/IPs | Claves fijas | DIDs firmados |
Nota honesta: no pretendemos "ser mejores que WireGuard" en general. Resolvemos problemas distintos: ellos hacen t煤neles VPN; nosotros hacemos el transporte nativo de un sistema operativo de red distribuido.
馃敭 Lo que viene: disfraz y faros de barrio
馃挌 ¿Por qu茅 hacemos esto, familia?
Porque tus palabras son tuyas. Porque la comunicaci贸n no deber铆a depender de la buena voluntad de una corporaci贸n o de un bot贸n de un gobierno. Porque desde Corrientes tambi茅n se puede construir tecnolog铆a soberana que no le pide permiso a nadie.
No queremos una VPN dentro del sistema.
Queremos que el sistema tenga su propio transporte seguro.
Y ya est谩 corriendo en el c贸digo. ⚡
No hay comentarios:
Publicar un comentario