لا ثقة بقناة النقل أبدًا

النواقل ليست بيانات اعتماد

يثبت اقتران Bluetooth أن جهازين أدّيا رقصة الاقتران. ويثبت قرب NFC أن شيئًا ما كان على بعد بضعة سنتيمترات من قارئ. ويثبت رمز QR أن كاميرا رأت نمطًا. لا شيء من ذلك يثبت من على الطرف الآخر، وقد تعرّض كل واحد من هذه النواقل لهجمات علنية: التنصت، وخفض قوة المفاتيح، وترحيل لمسة عبر مدينة كاملة بهاتفين عاديين.

لذلك نعامل الثلاثة كلها كأعداء. يمكن لأي أحد أن يتنصت أو يحقن أو يرحّل. ولا يُعدّ أي شيء يدّعيه الناقل دليلًا على أي شيء.

اقتران مرة واحدة

تُبنى الثقة مرة واحدة، حين تقرن الحاسوب بالهاتف. يعرض الحاسوب رمز QR فيمسحه الهاتف. ثم تعرض الشاشتان رمزًا قصيرًا، فتقارن بينهما. إن تطابقا، فقد اتفق الجهازان على مفاتيح لم يرها أي ناقل قط، ويعرف كل منهما هوية الآخر من تلك اللحظة. وإن لم يتطابقا، فقد كان هناك شيء في المنتصف، فتتوقف.

هذه المقارنة هي اللحظة الوحيدة التي يتحقق فيها إنسان من القناة، وهي اللحظة المهمة. كل ما بعدها يرث الثقة التي أرسيتها بعينيك.

الجلسة

بعد الاقتران، تسير كل رسالة بين الحاسوب والهاتف داخل جلسة تملكها المحفظة. الجلسة مشفّرة من طرف إلى طرف (end-to-end)، فالناقل الذي يتنصت عليه أحد لا يسرّب إلا ضجيجًا. وهي بمصادقة متبادلة (mutual authentication)، فيعرف كل طرف أن الرسالة جاءت من الجهاز الذي اقترن به لا من شيء ينتحل صفته. وهي مرتبطة بالناقل الذي تعمل عليه، فالرسالة الملتقطة على مسار لا يمكن إعادة إرسالها على مسار آخر.

تقوم الجلسة على تصميم مصافحة حديث ومدروس جيدًا، من النوع الذي تستخدمه أنفاق آمنة واسعة الانتشار. نحن لا نرتجل التشفير.

ما يُسقَط

الرسالة التي عُدّلت أثناء النقل تفشل في المصادقة فتُسقَط. والرسالة المعاد إرسالها تصل خارج التسلسل فتُسقَط. والرسالة التي تصل خارج الترتيب تُسقَط. والرسالة الآتية من جهاز غير الجهاز المقترن لا تتجاوز المصافحة أصلًا. وفي كل حالة لا يعرض الهاتف شيئًا للتوقيع، لأنه لم يصل شيء صالح.

ولهذا لا تكلّف راحة Bluetooth LE وNFC شيئًا من الأمان. يمكن للناقل أن يكون ضعيفًا كما يشاء. أما هل الراديو تحته آمن، فسؤال لا نحتاج إلى الإجابة عنه أبدًا.

الجلسة نفسها فوق أي ناقل

لا تعرف الجلسة إن كانت محمولة على الضوء أو الراديو أو اللمسة. يمكنك الاقتران عبر QR، ثم استخدام Bluetooth LE للعمل اليومي وNFC عند محطة طرفية، كل ذلك دون اقتران جديد. تبديل الناقل لا يغيّر ما هو موثوق، لأن الناقل لم يكن موثوقًا من الأساس.

هل ما زالت فجوة هوائية (air gap)؟

يقول المتشددون إن الفجوة الهوائية تعني الضوء وحده. لن نجادل في الكلمة. إن أردت النسخة الصارمة، فاستخدم رموز QR ولا شيء غيرها؛ فهي متاحة دائمًا. الخاصية التي تهمنا تكمن تحت الكلمة: الجهاز الذي يحمل المفاتيح لا طريق له إلى الإنترنت، وكل ما يعبر على الإطلاق طلب يفك الهاتف ترميزه بنفسه وتوقيع اختار أن ينتجه. والجلسة عبر Bluetooth LE تحافظ على هذه الخاصية. وما تضيفه هو أنك تواصل استخدامها.