VPN Post-Quantum
VPN proprietaria con handshake post-quantistico ibrido. Possesso e controllo totali dal cliente. Nessuna terza parte nel percorso delle chiavi. Architettura compatibile con HTTP/3 + MASQUE.
Handshake ibrido PQ + classico
Le handshake combine ML-KEM-1024 (FIPS 203) avec X25519 via HKDF-SHA-512. Même si l'une des deux primitives est cassée à l'avenir, les sessions restent sécurisées. Protection contre les attaques harvest-now-decrypt-later.
- ML-KEM-1024: 256-bit security PQ
- X25519: 128-bit security classica come fallback
- HKDF-SHA-512 combiner per K_master
Cliente proprietario delle chiavi
La VPN BCrypto non gestisce mai le chiavi del cliente. Il KMS sovrano gira nell'infrastruttura dell'organizzazione. Audit completo del key lifecycle, rotation policy configurabile, ZK-attestation che le chiavi non hanno lasciato l'enclave.
- HSM o TPM-bound key storage opzionale
- Rotation programmabile (oraria → mensile)
- Audit log firmato di ogni operazione chiave
Trasporto HTTP/3 + MASQUE
Il datapath usa HTTP/3 con MASQUE (RFC 9298) per UDP proxying. Indistinguibile da traffico web normale, resistente a DPI e censura. Latency-optimized: 1-RTT handshake con ML-KEM.
- QUIC native transport (no TCP fallback necessario)
- MASQUE-on-HTTP/3 pour l'encapsulation UDP
- Connessioni resilienti al cambio di rete (multipath)