DOCUMENTO TÉCNICO OFICIAL

Arquitectura de Seguridad & Modelo de Amenazas

Última actualización: 2026 • Criptografía del lado del cliente y bóveda local

Filosofía de Seguridad: Local-First y Privacidad por Diseño. Scribitium no cuenta con servidores remotos que procesen o almacenen tus notas. Todo el cifrado y descifrado ocurre en el procesador de tu computadora antes de persistir cualquier dato.

1. Primitivas Criptográficas

Scribitium implementa estándares criptográficos recomendados por la industria y la OWASP:

Cifrado Simétrico: AES-256-GCM (Galois/Counter Mode), proporcionando tanto confidencialidad como verificación de integridad mediante etiquetas de autenticación (Auth Tags).
Derivación de Clave (KDF): PBKDF2 con función hash SHA-256 a 600.000 iteraciones con Salt criptográfico único de 16 bytes generado por CSPRNG.
Vectores de Inicialización (IV): IV aleatorio único de 12 bytes generado con crypto.getRandomValues para cada registro individual cifrado.
Bloqueo por Nota Específica: Las notas con contraseña individual utilizan una derivación KDF independiente de doble capa.

2. Modelo de Amenazas

Scribitium está diseñado para proteger tu confidencialidad frente a los siguientes escenarios:

✅ Robo o pérdida del disco físico: El cifrado está diseñado para mantener las notas inaccesibles si un tercero copia la base de datos local sin disponer de la contraseña maestra.
✅ Intercepción de Copias de Seguridad: Los archivos exportados .enc cuentan con cifrado autenticado independiente, protegido por la contraseña elegida al crear el backup.
✅ Inspección casual no autorizada: Si dejas tu computadora desatendida, el temporizador bloquea la sesión y elimina las referencias activas a las claves.
✅ Filtraciones de contenido de la bóveda desde la nube: Las notas y claves no se almacenan en el backend de cuentas, por lo que una brecha de ese servicio no contiene el texto de tu bóveda.

3. Lo que Scribitium NO Puede Proteger (Transparencia Técnica)

Por honestidad técnica y rigurosidad, ningún software puede proteger frente a:

❌ Sistema operativo comprometido con malware o keylogger activo: Si tu Windows tiene virus o registradores de teclas, las credenciales pueden ser capturadas mientras la bóveda está abierta.
❌ Pérdida u olvido de la Contraseña Maestra: Como la clave permanece en el dispositivo, el desarrollador no dispone de una puerta trasera ni de un método para restablecerla.

4. Ciclo de Vida de las Claves en Memoria

Al desbloquear la bóveda, la llave de descifrado reside únicamente en la memoria volátil del proceso. Al pulsar "Bloquear Sesión" (Ctrl + L) o por inactividad, Scribitium elimina sus referencias activas a la clave para que el sistema pueda liberar esa memoria. JavaScript no permite garantizar una sobrescritura física inmediata de cada copia interna.

Security Philosophy: Local-First & Private by Design. Scribitium operates with no remote backend that receives or stores user note content. All cryptography executes strictly on your local CPU before persistent storage.

1. Cryptographic Primitives

Scribitium strictly utilizes industry-standard, authenticated cryptography adhering to OWASP guidelines:

Symmetric Encryption: AES-256-GCM (Galois/Counter Mode) delivering confidentiality and tamper verification with authenticated tags.
Key Derivation Function (KDF): PBKDF2-SHA256 utilizing 600,000 iterations and unique 16-byte cryptographically secure salts.
Initialization Vectors (IV): Unique 12-byte random IVs generated via CSPRNG (crypto.getRandomValues) for every individual record.
Note-Specific Encryption: Individual locked notes utilize independent secondary KDF derivations.

2. Threat Model

Scribitium is engineered to defend user privacy against the following attack vectors:

✅ Theft or loss of physical drive: Encryption is designed to keep copied local databases inaccessible without the master passphrase.
✅ Backup File Interception: Exported .enc files feature standalone authenticated AES-256 encryption.
✅ Casual Unattended Snooping: Configurable inactivity auto-lock locks the session and removes active references to decryption keys.
✅ Vault-content leaks from cloud services: Notes and keys are not stored in the account backend, so a breach of that service does not contain your vault text.

3. Limitations & Out-of-Scope Risks (Honest Disclosure)

In accordance with rigorous cryptographic honesty, software cannot protect against:

❌ Compromised Host OS with Active Malware/Keyloggers: Malicious background processes can record keystrokes or inspect memory while unlocked.
❌ Forgotten Passphrases: Because the key remains on the device, the developer has no backdoor or password-reset mechanism for the vault.

4. Key Lifecycle & RAM Sanitization

Upon unlocking, derived cryptographic keys reside only in volatile process memory. Triggering "Lock Session" (Ctrl + L) or timing out removes Scribitium's active references so the system can reclaim that memory. JavaScript cannot guarantee immediate physical overwriting of every internal copy.