Infraestructura soberana de identidad digital
La infraestructura para emitir, verificar y gobernar credenciales verificables — codigo abierto, soberana por diseno, y construida para que cualquier institucion participe en la raiz de confianza. Sin punto unico de falla. Sin punto unico de control.
Herramientas abiertas. Infraestructura institucional.
Las herramientas de verificacion, firma e identidad son codigo abierto — cualquiera puede usarlas, auditar el codigo y construir sobre ellas. Los servicios profesionales e institucionales — emision de credenciales, confianza organizacional, cumplimiento regulatorio — financian la infraestructura mediante tarifas transparentes por transaccion. Las herramientas se mantienen abiertas porque el comercio sostiene la red.
Para quien es esto
Ark es infraestructura viva ofrecida a las instituciones, profesionales y desarrolladores que tienen que hacer realidad la identidad digital soberana. Encuentra el rol que te corresponde.
Regulador o institucion publica
Reguladores nacionales e instituciones publicas. Evalua la arquitectura, solicita un briefing y explora la participacion institucional.
Solicitar briefing institucional →Usuario diario de Firma Digital
Si convivis todos los dias con el banner rojo "validez de firma desconocida", Station esta hecho para vos. Verifica PDFs firmados con CR Firma Digital de forma nativa.
Acceso anticipado a Station →Banco, aseguradora, universidad, operador KYC
Corré un piloto sobre un flujo real de onboarding o firma. Emiti credenciales verificables que tus contrapartes puedan validar offline.
Proponer un piloto →Contribuidor open source
Cada componente es codigo abierto. Leé el codigo, abrí issues, manda un modulo, forkeá un despliegue de pais.
Ver los repos en GitHub →Operador fuera de Costa Rica
Levanta una CA soberana en tu jurisdiccion con tus propios accionistas y tu propia ceremonia. La arquitectura es uno-por-pais por diseno.
Desplegá en tu pais →Cinco pilares, una arquitectura
Empieza con un componente y crece hacia la infraestructura completa. Incorporacion progresiva — desplega Station hoy, agrega la Web Extension manana, unite al Mesh cuando estes listo. Cada paso suma, y el todo es mas que la suma de sus partes.
Station
Aplicacion de escritorio Electron. Tu estacion de verificacion, boveda de credenciales y nodo de la red mesh.
- Verificacion de documentos con OCR y padron
- Boveda cifrada local con xsalsa20-poly1305 + scrypt
- Firma electronica hoy; Firma Digital con tarjeta inteligente (PKCS#11) planeado
- Cada instalacion puede unirse a la red como nodo
Web Extension
Extension de navegador que valida firmas de documentos y confianza CA en la pagina, muestra un puntaje de confianza y se conecta a Station para flujos de verificacion.
- Validacion de certificados del lado del cliente
- Puntaje de confianza visible en el navegador
- Descubrimiento de wallet adapter para firma
- Conecta paginas del navegador con Station
Mesh
Red P2P cifrada sobre libp2p. Sincronizacion de estado entre dispositivos locales y nodos nacionales sin servidor central.
- Principio del Courier Ciego — los nodos no pueden leer los datos que transportan
- Huella compacta por ciudadano
- Funciona offline, sincroniza cuando conecta
- Anclaje criptografico en ledger publico
Ceremony
Appliance soberano para ceremonias de llaves CA. Laptop air-gapped con Linux, distribucion de fragmentos Shamir por mesh local.
- Laptop Linux limpio (live USB)
- La llave se divide, la original se destruye
- Verificacion vLEI de accionistas (planeado)
- Soporte PKCS#11 por jurisdiccion (planeado)
Trust
Marco de confianza CA con accionistas Shamir, transparencia on-chain y gobernanza distribuida entre instituciones.
- Llave CA dividida: 2-de-3 hoy, extensible a 3-de-5 con socios institucionales
- Raiz de confianza en vault.attestto.sol
- Transparencia auditable en blockchain
- Ningun actor tiene control unilateral
Verificacion de escritorio a movil
El escritorio y el telefono trabajan juntos sobre WiFi local. Las imagenes y datos biometricos nunca salen de tu red — la conexion es directa, sin servidores ni nube.
Abrí Station en tu escritorio
Selecciona el tipo de documento a verificar. Station genera un codigo QR unico para la sesion.
Escaneá el QR con tu telefono
El QR abre la app movil con la conexion WebSocket preconfigurada. Tu telefono se conecta directamente a tu escritorio.
Captura documento y selfie
Frente, reverso del documento y selfie con prueba de vida (deteccion de parpadeo). Todo se transmite en tiempo real al escritorio.
Procesamiento automatico
Station ejecuta OCR, extrae datos del MRZ, valida el documento y genera la credencial verificable.
Credencial en tu boveda
La credencial se almacena cifrada en la boveda local. Firmala con Firma Digital, anclala en un ledger publico o compartela via presentacion verificable.
Arquitectura de red local
La conexion entre escritorio y movil es directa por WiFi local. No hay servidores intermedios, no hay nube, no hay dependencia de internet.
Privacidad no es una politica — es una garantia matematica.
Confianza distribuida por diseno
La llave privada de la Autoridad Certificadora se divide usando Shamir's Secret Sharing. Ningun actor individual — incluyendo Attestto — puede firmar unilateralmente.
Shamir's Secret Sharing
La llave CA Ed25519 se genera en una ceremonia air-gapped y se divide en N fragmentos. Se requiere un umbral K para reconstruirla. La llave original se destruye.
Accionistas institucionales
La Fase 1A es solo para fundadores con todos los fragmentos en poder de Attestto. Las posiciones de accionistas institucionales estan reservadas para la Fase 1B cuando se incorporen socios formales. Cada fragmento solo es inutil — solo cuando el umbral se reune, la llave se reconstruye temporalmente.
Registro publico de atestaciones
Ark es agnostico de cadena por diseno. Los estandares W3C VC, W3C DID, GLEIF vLEI y eIDAS no dependen de ningun ledger en particular. Los eventos CA se registran como atestaciones publicas on-chain — brindando nombramiento soberano, compromiso publico sub-segundo y un costo por evento compatible con despliegues institucionales. Cada jurisdiccion puede elegir su capa de anclaje segun lo requieran sus socios institucionales; las credenciales emitidas bajo un ancla siguen siendo verificables bajo otra.
Verificacion vLEI
El marco requiere que cada accionista posea un LEI (Legal Entity Identifier) verificado y un vLEI emitido por GLEIF antes de participar en una ceremonia, para que representen legitimamente a su institucion. La via de verificacion on-chain esta planeada.
Soberano, air-gapped, verificable
La ceremonia de generacion de llaves CA ocurre en un ambiente completamente aislado. No hay conexion a internet. La unica red es un mesh local cifrado entre los dispositivos de los accionistas.
El appliance soberano
Un laptop Linux limpio arranca desde USB live. Sin disco duro, sin historial, sin red externa. El software de la ceremonia crea un mesh WiFi privado para distribuir los fragmentos Shamir a los dispositivos de los accionistas.
- Linux live USB — sin disco duro
- Mesh WiFi local — sin internet
- Genera par de llaves Ed25519
- Divide en fragmentos Shamir
- Destruye la llave original
- Ceremonia auditable y filmada
Tipos de ceremonia
El sistema soporta diferentes ceremonias segun el ciclo de vida de la CA.
Multi-jurisdiccion
Cada pais tiene su propio esquema de firma electronica. El appliance soporta PKCS#11 para integrarse con hardware de firma local.
Cuatro caminos hacia la web soberana
El objetivo final: que los certificados TLS emitidos por Attestto CA sean reconocidos nativamente por los navegadores. Hay cuatro caminos paralelos, cada uno con diferente horizonte temporal.
Extension de navegador
La extension Attestto ID valida certificados del lado del cliente contra vault.attestto.sol y muestra un puntaje de confianza soberana en el navegador. Despliegue desde el dia uno, sin cambios en infraestructura DNS.
DANE / TLSA
Publicar registros TLSA en DNS que apunten a certificados Attestto CA. Requiere que el dominio use DNSSEC. Los validadores DANE ya existen en algunos navegadores.
Proxy de verificacion
Un servicio puente que permite a los sitios publicar su certificado emitido por Attestto junto a un certificado de confianza global, para que los navegadores sin DANE ni la extension sigan viendo una cadena valida mientras el certificado soberano es reconocido por los clientes participantes.
Estandares W3C / IETF
Participar en grupos de trabajo para que los navegadores reconozcan nativamente raices CA ancladas en registros descentralizados (blockchain, IPNS, nombramiento descentralizado).
Una CA por jurisdiccion
Cada jurisdiccion opera una Autoridad Certificadora independiente, ceremonia de llaves y esquema de gobernanza propios. Cada una se ancla como raiz soberana en un ledger publico.
Costa Rica
fi-cr.sol · go-cr.sol · sa-cr.sol · ed-cr.sol · or-cr.sol
Un namespace por sector — finanzas, gobierno, salud, educacion, organizaciones — y uno por provincia y municipio. Disenado para integrarse con padron nacional, infraestructura de pagos y marcos de firma digital.
Brasil
fi-br.sol · go-br.sol · sa-br.sol · ed-br.sol
Un namespace por sector. CPF, CNH, RG digital. Integracion con ICP-Brasil y gov.br.
Mexico
fi-mx.sol · go-mx.sol · sa-mx.sol · ed-mx.sol
Un namespace por sector. INE, CURP, licencia federal. Integracion con e.firma SAT.
Tu pais
fi-xx.sol · go-xx.sol · sa-xx.sol · ed-xx.sol
Cada jurisdiccion despliega su propia CA soberana — un namespace por sector, uno por provincia — con su propia gobernanza y accionistas institucionales.
Construyamos juntos
Si alguno de los roles de arriba te corresponde, escribinos. Estamos buscando a las instituciones, profesionales y desarrolladores que quieran ayudar a construir identidad digital soberana de forma abierta.
Contactar al equipo