Neste ponto quando ele diz que é criptografada de certa maneira, creio eu que se referia do HTTPS/SSL para encriptar o tráfego, correto?
Não, ele fala de TCP, HTTP ou outro protocolo conforme mostra o diagrama. Até poderia ser HTTPS, mas provavelmente não é. O que você precisa entender é que esta é uma aplicação que até pode usar algumas tecnologias web, mas ela não é feita para a web. E a segurança/privacidade é dada na camada de aplicação. Portanto o transporte não precisa estar criptografado, a aplicação se encarrega de fazer isto.
Conforme eu já havia explicado antes em outras respostas sobre o assunto usar a camada de aplicação é a única forma de fazer "end-to-end".
1 - O header é criptografado junto as transmissões na rede?
Pelo que entendi no diagrama, não, e provavelmente não teria como fazer isto.
2 - Para que servem essas chaves adicionadas, o que elas irao descriptografar?
Teria que estudar mais profundamente o protocolo. Vou ficar devendo. Mas quanto mais informações que ajudem verificar a autenticidade, melhor.
é meio confuso para mim, ele usou a chave de usuário (creio eu que seja o identificador do usuário) e a chave da mensagem...? Não entendi.
Se você não consegue entender todo o diagrama e as explicações você terá dificuldade de fazer certo se quer reproduzir o mesmo mecanismo. Vou repetir uma coisa que falei algumas vezes. Fazer algo seguro é alfo complexo e requer experiência específica na área. Vontade não consegue resultados. Eu até torço para que um especialista em segurança consiga dar respostas corretas e fáceis de entender mas mesmo com estas informações não será fácil fazer correto sem um entendimento profundo de como funciona criptografia, troca de chaves, etc. Na verdade com este entendimento, provavelmente será simples entender este protocolo.
Ele quiz dizer que o que foi criptografado contem dados variáveis (sessão, ID da mensagem, número de sequência, sal servidor) O que é sal servidor?
Segundo a definição que ele forneceu logo abaixo do diagrama é um servidor que fornece chaves de sal que são trocadas periodicamente. Estas chaves são usadas para evitar certos tipos de ataque como o Replay Attack. Se não me engano o mgibsonbr deu um exemplo disto em uma das respostas dele sobre o assunto.
A quantidade de ataques possíveis é grande e sempre surge algo novo. Algo é seguro até o dia que deixa de ser. Tem que estar atendo a tudo o que acontece por isto que segurança exigem especialistas muito experientes.
e por que estes dados variantes influenciam a chave da mensagem (a chave da mensagem é o que a desencripta correto?)
Com dados variantes fica mais difícil atacantes conseguiram resolver o enigma. Alvos móveis são mais difíceis de acertar que alvos fixos. Isto é uma das bases da segurança.
A chave da mensagem é um dos componentes para conseguir a decrepitação.
Criptografia End-to-End
Eu não li tudo e não sei se o que eles fornecem é ou pode ser chamada de end-to-end. Não sei o quanto eles não injetam back-door nisto. Eles têm o controle de tudo de boa parte do processo, não sei se isto é confiável. Em tese é possível.
Eles falam que pode usar pela web. Como isto ocorre entre os pontos diretamente? Há intermediários nestes caso? Se há, não afeta nada? Só estudando todo o funcionamento dele para entender se realmente consegue.
Confiança
Colocar todos os ovos na mesma cesta, ou deixar uma só pessoa ter controle de todo o processo dificilmente garantirá a tão procurada segurança end-to-end. Até é possível mas tem que confiar no fornecedor.
Quando você usa partes necessárias para a segurança de fornecedores completamente diferentes, com interesses diferentes, e principalmente que são auditados publicamente, o que não parece ser o caso deste serviço, aí já fica mais fácil confiar.
Por isto dar uma solução única, fácil e pronta para usar e dizer que isto é end-to-end me parece uma falácia. Não que eu tenha visto eles falarem nisto a não ser me chats específicos que eu tenho dúvidas se pode ser feito pela web ou se eles cumprem tudo o que dizem.
Crítica à descrição do serviço
Há descrições que mostram que isto não é uma absoluta verdade. Na FAQ mostra que eles confiam na aplicação, na ponta para dar certas garantias, o que é ingênuo. Eu até entendo que não dá para garantir segurança completa, alguém pode até colocar uma arma na cabeça de alguém do outro lado e violar a segurança. Mas eles tentam passar a impressão que não há forma alguma da informação ser passada à terceiros mesmo após chegar na ponta. Eu sei que eles entendem isto mas publicam de uma forma que o leigo compra algo - por contra própria - que não é exatamente como parece na descrição.
Mesmo a definição de end-to-end não garante que terceiros tenham acesso às informações se uma as duas pontas envolvidas na comunicação segura end-to-end fornecer acesso. Você não pode conversar com alguém e garantir que ninguém mais terá acesso ao que você escreve para o outro lado. Isto é fisicamente impossível. A ideia da informação se destruir beira ao ridículo. Só os bytes que geraram ela é que serão destruídos, não a informação.
Segredo completo só o que não sai do cérebro de uma pessoa, e olhe lá :)
Conclusão
Lá é fornecido uma informação útil para seus estudos sobre o assunto que é o algoritmo Diffie–Hellman key exchange. Ali deve mostrar como trocar as chaves sem a interferência de terceiros, que é essencial para o objetivo. Ainda assim duvido que dê para fazer pela web. Há indicações na FAQ que não dá.
Enfim, parece ser mais um caso de marketing tentando fazer um produto comum passar como se fosse algo revolucionário. Talvez a única inovação é uma maior facilidade para conseguir a privacidade end-to-end em certas circunstâncias. Mas não sei se isto não produz alguns desvantagens ou brechas.
Coloquei no GitHub para referência futura.