Revolucionando la Criptografía de Alto Rendimiento en Delphi: Conozca la Arquitectura Nativa TLS/SSL, MessagePack y Permessage-Deflate de Dext Framework (S43)

Introducción: El Fin de la Dependencia de Reverse Proxies en Delphi

Históricamente, construir aplicaciones web seguras y APIs corporativas en Delphi requería la presencia obligatoria de una capa externa de Reverse Proxy (como NGINX, Apache o HAProxy) para realizar la terminación de la capa TLS/SSL (TLS Termination). Aunque funcional, este enfoque presentaba severas desventajas:

• Múltiples Saltos de Red (Network Hops): Cada solicitud debe pasar del cliente al proxy y, a continuación, del proxy al proceso Delphi.
• Sobrecarga de Cambio de Contexto: La alternancia entre procesos del sistema operativo eleva la latencia promedio y reduce el rendimiento máximo de solicitudes por segundo.
• Complejidad Operativa: La gestión de certificados, contenedores y archivos de configuración duplica la carga de trabajo de infraestructura y DevOps.

Con la finalización de la Especificación S43 (Net-Advanced) de Dext Framework, este paradigma ha cambiado definitivamente. Dext cuenta ahora con una Arquitectura de TLS Nativa de Alto Rendimiento (Dext.Net.Security), capaz de cifrar y descifrar paquetes directamente dentro del proceso compilado de la aplicación Delphi, con cero asignación en el heap (zero-copy / lock-free) en entornos Windows y Linux.

Nota de Arquitectura: Es importante destacar que las herramientas de infraestructura como NGINX, HAProxy, Traefik o AWS ALB continúan desempeñando un papel valioso en arquitecturas corporativas de gran escala (para balanceo de carga Nivel 7, protección WAF y enrutamiento de borde). El objetivo de la Spec S43 no es reemplazar estos componentes cuando sean necesarios, sino eliminar la dependencia obligatoria de ellos en el ecosistema Delphi. Con la criptografía nativa en Dext, su aplicación gana autonomía total para ejecutarse en contenedores ligeros sin sidecars, además de hacer viables arquitecturas Zero-Trust con cifrado de extremo a extremo (End-to-End Encryption - E2EE) hasta el proceso host.

En este artículo completo, presentamos en detalle los 11 pilares técnicos que componen la especificación S43, con especial énfasis en la comparación entre la CLI de certificados de Dext (dext.exe) y el ecosistema .NET.

---

Los 11 Pilares Técnicos de la Especificación S43

---

Visión General de los 11 Pilares de la Especificación S43

#	Funcionalidad / Pilar	Descripción y Destacado de Implementación
1	Abstracción TLS Unificada (Dext.Net.Security.pas)	Interfaces IDextTLSEngine, IDextTLSContextProvider, IDextTLSStream y TDextTLSOptions para desacoplamiento de transporte.
2	Motor OpenSSL 3.x Memory BIO (BIO_s_mem)	Descifrado in-memory zero-copy, buffers rbio/wbio y envío no bloqueante vía FlushTLSOutput en reactores epoll (Linux) e IOCP (Windows).
3	Windows http.sys Kernel SSL Binding	Cifrado en modo Kernel Schannel con búsqueda por Cert Hash en Windows Cert Store y configuración vía appsettings.json.
4	CLI dext dev-certs https Tooling	CLI en Pascal puro (Windows CryptoAPI) con extensión SAN ASN.1 DER (localhost/127.0.0.1) y confianza automática en Root Store sin dependencia de PowerShell o .NET.
5	Estrategia de Certificados Gratuitos vs. Comerciales	Análisis comparativo DV, OV, EV (Let’s Encrypt, ZeroSSL, Cloudflare vs. DigiCert/Sectigo) con soporte nativo al desafío HTTP-01 del protocolo ACME (RFC 8555).
6	Indy WebServer / Proveedor Taurus TLS	Actualización transparente de servidores Indy existentes a TLS 1.3 nativo y OpenSSL 3.x mediante directiva {$DEFINE DEXT_ENABLE_TAURUS_TLS}.
7	Cliente Redis con SSL/TLS (rediss://)	Conexión cifrada en TDextRedisClient con soporte a TLS 1.3 en el puerto 6380 para clusters de alta seguridad.
8	REST Client HTTPS (TRestClient)	Llamadas REST fluidas con .ConfigureSsl(), aceptación de certificados autofirmados y callbacks de validación personalizados.
9	WebSockets Seguros (wss://)	Handshake HTTPUpgrade (Upgrade: websocket) cifrado dentro del túnel TLS seguro y verificación de encabezados RFC 6455.
10	WebSocket Permessage-Deflate (RFC 7692)	Compresión transparente zlib DEFLATE con ventana deslizante (sliding window), reduciendo el tamaño de payloads en red hasta en un 80%.
11	Protocolo Binario MessagePack para Hubs	Encuadre VarInt prefijado (Dext.Web.Hubs.Protocol.MessagePack.pas) compatible con SignalR, con cero asignación de cadenas en broadcasts.

---

1. Capa de Abstracción Criptográfica Unificada (Dext.Net.Security.pas)

Para evitar el acoplamiento del código de negocio a una librería específica (OpenSSL, Schannel o Indy), Dext estableció un contrato unificado basado en interfaces orientadas a alto rendimiento:

• IDextTLSContextProvider: Fábrica abstracta responsable de cargar claves privadas, certificados X.509 y configurar protocolos ALPN (h2, http/1.1).
• IDextTLSEngine: Motor de cifrado asíncrono en memoria. Recibe bytes cifrados de la red y produce texto plano (plaintext) sin bloqueo de hilos.
• IDextTLSStream: Envoltorio de stream para clientes TCP de larga duración.
• TDextTLSOptions: Estructura unificada de opciones compartida entre el Servidor Web, Cliente REST y Cliente Redis.

var
  Options: TDextTLSOptions;
begin
  Options.Enabled := True;
  Options.Mode := tlsmServer;
  Options.CertFile := 'server.crt';
  Options.KeyFile := 'server.key';
  Options.ALPNProtocols := ['h2', 'http/1.1'];
  Options.Provider := 'OpenSSL';
end;

---

2. Motor Nativo OpenSSL 3.x con Memory BIOs (BIO_s_mem) en epoll e IOCP

En entornos Linux (sobre el reactor de eventos no bloqueantes epoll) y en sockets asíncronos Windows (IOCP), las llamadas bloqueantes de socket degradan drásticamente el rendimiento. Dext resuelve esto integrando OpenSSL 3.x y 1.1.1 a través de Memory BIOs (BIO_s_mem).

El motor crea dos buffers de memoria virtuales (rbio y wbio):

1. Los paquetes recibidos de la red vía recv se inyectan en el rbio mediante BIO_write.
2. El método SSL_read realiza el descifrado directamente en los buffers reutilizables de la aplicación.
3. Las respuestas se cifran vía SSL_write hacia el wbio.
4. El método no bloqueante FlushTLSOutput drena el wbio y envía los paquetes cifrados inmediatamente al socket.

---

3. Vinculación Nativa en el Kernel Windows (http.sys y Schannel)

En servidores Windows, Dext se conecta directamente al driver de Kernel http.sys y al proveedor de seguridad Schannel. Esto permite que el sistema operativo gestione SSL en modo Kernel (Kernel Space), eliminando la necesidad de DLLs externas de OpenSSL en producción:

{
    "Server": {
        "Port": 443,
        "UseHttps": "true",
        "SslProvider": "HttpSys",
        "SslCertHash": "450D882D8080B6F92B6F2512ABE6FAB9768035C6",
        "StoreName": "MY"
    }
}

---

4. CLI de Certificados de Desarrollo: dext.exe vs. .NET SDK

Uno de los mayores diferenciadores de Experiencia de Desarrollador (DX) de la especificación S43 es el comando dext dev-certs https.

En el ecosistema Microsoft .NET, los desarrolladores utilizan dotnet dev-certs https --trust para aprovisionar certificados SSL de prueba localmente. Dext trae esta misma experiencia fluida a los desarrolladores Delphi.

Comparativo Directo: dext.exe vs. dotnet.exe

Característica	dotnet dev-certs https (.NET)	dext dev-certs https (Dext CLI)
Tecnología Subyacente	C# / CLR (.NET Runtime)	Pascal Nativo (Compilado / Zero Runtime)
Dependencia de Ejecutables	Requiere .NET SDK instalado	Ejecutable autónomo nativo (dext.exe)
Generación de Claves	RSA 2048-bit vía .NET Crypto	RSA 2048-bit nativo vía Windows CryptoAPI
Soporte a SAN (Subject Alt Name)	localhost, 127.0.0.1	localhost, 127.0.0.1, ::1 (ASN.1 DER)
Archivos Generados	Certificado en Cert Store	server.crt, server.key, server.pfx + Store
Automatización en Windows Kernel	Requiere permisos elevados	Vincula el puerto en Kernel (http.sys) vía netsh
Confianza Automática (--trust)	Instala en LocalMachine\Root	Instala en LocalMachine\Root vía crypt32.dll

Uso en Terminal:

# Genera server.crt, server.key, server.pfx e instala la confianza en el SO
dext dev-certs https --trust

Ingeniería Interna en Pascal Puro:

La CLI de Dext fue desarrollada en Pascal puro directamente sobre advapi32.dll y crypt32.dll de la API de Windows:

1. Invoca CryptGenKey para crear la clave privada RSA de 2048 bits con flag de exportación.
2. Codifica en memoria la estructura ASN.1 DER para la extensión Subject Alternative Name (SAN - 2.5.29.17).
3. Firma el certificado X.509 vía CertCreateSelfSignedCertificate usando SHA-256 (szOID_RSA_SHA256RSA).
4. Importa el certificado en los repositorios My y Root del SO, eliminando advertencias de seguridad en Chrome, Edge o Firefox.

---

5. Estrategia de Certificados en Producción (Gratuitos vs. Comerciales) y Automatización ACME

Dext incluye soporte completo a estrategias modernas de certificados para producción:

• Certificados Gratuitos (Let’s Encrypt / ZeroSSL): Válidos por 90 días, enfocados en Validación de Dominio (DV). Dext permite exponer nativamente la ruta del desafío HTTP-01 del protocolo ACME (RFC 8555):

// Ruta nativa en Dext para responder desafíos de Let's Encrypt (HTTP-01)
App.Builder.MapGet('/.well-known/acme-challenge/{token}',
  procedure(Ctx: IHttpContext)
  var
    Token, ChallengePath: string;
  begin
    Token := Ctx.Request.GetRouteParam('token');
    ChallengePath := TPath.Combine('/var/www/html/.well-known/acme-challenge', Token);
    if TFile.Exists(ChallengePath) then
      Ctx.Response.Write(TFile.ReadAllText(ChallengePath))
    else
      Ctx.Response.SetStatusCode(404);
  end);

• Certificados Comerciales (DigiCert, Sectigo, GlobalSign): Para entornos corporativos que requieren garantías financieras (warranties) de hasta $1.5M y validaciones jurídicas institucionales (OV y EV).

---

6. Compatibilidad Indy con Proveedor Taurus TLS

Para aplicaciones corporativas existentes que utilizan el servidor web basado en componentes Indy, Dext proporciona el proveedor Taurus TLS (Dext.Web.Indy.SSL.Taurus.pas).

Activando la directiva {$DEFINE DEXT_ENABLE_TAURUS_TLS}, la aplicación utiliza TDextTaurusTLSContext, equipando los servidores Indy tradicionales con TLS 1.3 nativo y librerías modernas de OpenSSL 3.x sin alterar la arquitectura.

---

7. Conexión Redis Cifrada (rediss://)

El cliente Redis de alta velocidad de Dext (TDextRedisClient) incluye ahora soporte nativo a conexiones seguras cifradas mediante el esquema rediss://:

var
  Options: TDextRedisOptions;
  Redis: TDextRedisClient;
begin
  Options := TDextRedisOptions.Default;
  Options.Host := 'redis.production.internal';
  Options.Port := 6380; // Puerto SSL estándar de Redis
  Options.UseSsl := True;
  Options.SslOptions.Provider := 'OpenSSL';

  Redis := TDextRedisClient.Create(Options);
  Redis.Connect;
  Redis.SetKey('user_session', 'encrypted_token');
end;

---

8. Llamadas REST HTTPS con Validación Avanzada (TRestClient)

Al consumir Web APIs externas sobre HTTPS, TRestClient proporciona control fluido sobre la validación de certificados SSL:

var
  Client: TRestClient;
begin
  Client := TRestClient.Create('https://api.partner.com');

  Client.Get('/v1/status')
    .ConfigureSsl(
      procedure(var Options: TDextTLSOptions)
      begin
        Options.VerifyServerCertificate := True;
        Options.Protocols := [tls1_2, tls1_3];
      end)
    .OnComplete(
      procedure(Res: IRestResponse)
      begin
        Writeln('Estado de API Socio: ', Res.StatusCode);
      end)
    .Start;
end;

---

9. WebSockets Seguros sobre WSS (wss://)

El soporte a WebSockets en tiempo real de Dext realiza la negociación del handshake HTTPUpgrade (Upgrade: websocket) directamente dentro del túnel TLS cifrado, verificando la integridad de los encabezados RFC 6455 bajo el esquema wss://.

---

10. WebSocket Permessage-Deflate (RFC 7692)

Para aplicaciones en tiempo real con alto tráfico de mensajes (como paneles de telemetría y gráficos financieros), Dext implementa el estándar RFC 7692 Permessage-Deflate.

El servidor negocia parámetros de compresión zlib en ventana deslizante (sliding window) con el cliente, reduciendo el consumo de ancho de banda hasta en un 80%:

App.Builder.MapHub<TChatHub>('/hubs/chat',
  procedure(Options: TDextHubOptions)
  begin
    // Compresión transparente de frames WebSocket RFC 7692
    Options.EnablePermessageDeflate := True;
  end);

---

11. Protocolo Binario MessagePack para Hubs (Compatible con SignalR)

Aunque el protocolo JSON para Hubs es práctico, impone costo computacional en la conversión de cadenas y sobrecarga de encabezados. Dext incluye el protocolo binario nativo MessagePack (Dext.Web.Hubs.Protocol.MessagePack.pas), 100% compatible con los clientes oficiales de SignalR:

uses
  Dext.Web.Hubs.Protocol.MessagePack;

App.Builder.MapHub<TChatHub>('/hubs/chat',
  procedure(Options: TDextHubOptions)
  begin
    Options.EnableMessagePack := True;
    Options.EnablePermessageDeflate := True;
  end);

Ventaja de Rendimiento: Durante el envío de broadcasts masivos (Clients.All.SendAsync), Dext codifica el mensaje binario una sola vez en memoria y transmite la secuencia de bytes VarInt directamente a todos los clientes conectados con cero asignación de cadenas en el heap.

---

Benchmarks y Evidencias Prácticas de Rendimiento

Para validar la estabilidad y la eficiencia del motor TLS OpenSSL nativo bajo condiciones de estrés, ejecutamos una suite de pruebas de carga utilizando bombardier:

# Ejecución de la suite de carga S43 en el servidor epoll Linux64
powershell -File "Benchmarks\run_s43_http_load.ps1" -Engine epoll -Concurrency 32

Especificación del Entorno de Prueba y Limitaciones de Hardware

Es importante contextualizar el entorno en que se realizaron las mediciones:

• Entorno Host: Estación de desarrollo con Windows 11 y Subsistema de Windows para Linux (WSL2 / Ubuntu 22.04 LTS).
• Hardware Utilizado: Procesador Intel Core i7-8550U @ 1.80GHz (8ª Generación - CPU móvil de ultrabook relativamente antigua) con 4 núcleos físicos / 8 hilos lógicos y 16 GB de RAM DDR4.
• Concurrencia de Recursos: El generador de carga (bombardier) y el servidor HTTP Dext se ejecutaron en la misma máquina física, compitiendo por los mismos 4 núcleos de CPU, la interfaz de red loopback virtualizada y el ancho de banda de memoria de WSL2.
• Limitación de Hardware: Medición realizada en una CPU de portátil de bajo voltaje. La competencia por ciclos de reloj entre el generador de estrés y el servidor limita la capacidad máxima local. En servidores dedicados de producción (bare-metal con CPUs corporativas Xeon/EPYC de 32+ cores o instancias en nube con interfaces 10GbE+), el rendimiento se multiplica proporcionalmente a la capacidad del hardware.

Resultados Obtenidos:

• Rendimiento de Solicitudes (Throughput): 32.338,99 solicitudes por segundo (con picos de 34.882 req/s en entorno virtualizado compartido).
• Latencia Promedio: 986 microsegundos (respuesta sub-milisegundo constante).
• Estabilidad Criptográfica: 100% de éxito (322.252 solicitudes cifradas completadas con estado 200 OK, 0 errores o conexiones caídas).
• Consumo de Memoria: Solo 11 MB de RAM de Working Set durante toda la prueba de carga, demostrando la ausencia de fugas de memoria (memory leaks) o pausas por Garbage Collector.

---

Conclusión: El Nuevo Estándar de Delphi para la Web

La finalización de la especificación S43 (Net-Advanced) consolida a Dext Framework como la plataforma web compilada en Pascal más avanzada y potente de la actualidad.

Entregando cifrado TLS nativo in-process, gestión automatizada de certificados de desarrollo mediante CLI nativa, soporte a Redis SSL, cliente HTTPS fluido, además de optimizaciones de transporte avanzadas como Permessage-Deflate y MessagePack para Hubs, Dext aproxima el ecosistema Delphi a los estándares más modernos de la industria (como .NET, Node.js, Go y Rust).

---

Conozca el Proyecto y Sea Parte de la Comunidad Dext

Si usted desarrolla en Delphi y busca alto rendimiento, seguridad y simplicidad para la Web, ¡lo invitamos a explorar Dext Framework!

Puede probar estas nuevas funcionalidades, participar en las discusiones de la comunidad, abrir Issues o sugerencias y dejar su ⭐ (Star) en el repositorio oficial de GitHub para apoyar el proyecto:

• Repositorio Oficial en GitHub: github.com/cesarliws/dext
• Documentación Oficial (Libro en Español / Port): Dext Book (PT-BR)
  • Capítulo de SSL/TLS: ssl-tls.md
• Documentación Oficial (Libro en Inglés): Dext Book (EN)
  • Capítulo de SSL/TLS (EN): ssl-tls.md

#Delphi #SoftwareArchitecture #WebDevelopment #CyberSecurity #Performance #DotNet #OpenSSL #WebSockets #MessagePack #DextFramework