Drei Wege über den Air Gap: QR-Codes, Bluetooth LE und NFC

Warum drei

Jede Air-Gap-Wallet fängt mit QR-Codes an, und das aus gutem Grund. Sie sind optisch. Du kannst sie sehen. Eine Kamera lässt sich nicht dazu überreden, etwas zurückzusenden. Das erste Signiergerät (Signer) von AirNox konnte nur QR, und es hat uns etwas gelehrt. Handy auf den Monitor richten, auf die Frames warten, Webcam aufs Handy richten, wieder warten. Zweimal pro Signatur. Für eine Überweisung im Monat ist das in Ordnung. Bei einer Sitzung mit Freigabe, Swap, Einzahlung und Claim suchen die Leute nach Abkürzungen, und dann ist der sichere Weg nicht mehr der, den sie wirklich gehen.

Komfort ist nicht das Gegenteil von Sicherheit. Er entscheidet darüber, ob Menschen bei der sicheren Option bleiben. Deshalb gibt dir AirNox drei Übertragungswege zur Auswahl.

QR-Codes

Der Desktop zeigt einen Code, das Handy scannt ihn. Das Handy zeigt einen Code, die Webcam liest ihn. Lange Anfragen wie ein Contract-Aufruf laufen als animierte Folge von Codes, und der Fortschritt erscheint auf beiden Bildschirmen.

Das ist der strenge Air Gap. Hinüber gelangt nichts als Licht. Er ist die richtige Wahl für die erste Kopplung (Pairing), für seltene große Überweisungen und für Räume, in denen Funk aus bleiben muss. Außerdem steht er immer als Rückfallebene bereit. Wenn du die Puristen-Variante willst, bleib bei QR, und nichts anderes in diesem Artikel betrifft dich.

Bluetooth Low Energy

Das ist der Übertragungsweg für den Schreibtisch. Das Handy liegt neben der Tastatur. Eine Anfrage kommt an, du liest den Bildschirm des Handys, du tippst auf Accept (Annehmen). Nach der ersten Kopplung musst du nichts mehr ausrichten.

Das Handy arbeitet als Peripheriegerät und sendet sein Advertising mit geringer Sendeleistung, seine Reichweite endet also bewusst am Schreibtisch. Es sucht nie nach anderen Geräten, deshalb braucht die App keine Standortberechtigung. Die geringe Leistung dient der Privatsphäre und einer kleineren Angriffsfläche. Sie ist nicht das, was den Datenverkehr geheim hält. Das ist Aufgabe der Sitzung, um die es in den nächsten Artikeln geht.

Bluetooth LE ist für den täglichen Gebrauch: dApp-Sitzungen, viele Signaturen hintereinander, alles, wobei das Handy in Reichweite bleibt.

NFC

Kurz antippen. Das Handy berührt ein kleines USB-Lesegerät am Desktop, und die Anfrage wandert während des Antippens hinüber. Die Reichweite beträgt physikalisch bedingt wenige Zentimeter. Für den Übertragungsweg selbst gibt es keinen Kopplungsbildschirm. Die Geste drückt eine Absicht aus, so wie wenn du eine Karte ans Bezahlterminal hältst. Damit passt NFC von Natur aus zu Terminals, Kiosk-Systemen und geteilten Arbeitsplätzen, an denen eine bewusste körperliche Handlung pro Signatur genau das ist, was du willst.

NFC braucht das Lesegerät. QR-Codes und Bluetooth LE brauchen nichts außer Handy und Computer.

Eine Sitzung, drei Übertragungswege

Egal, welchen Übertragungsweg du nutzt, darüber läuft immer dasselbe: eine End-to-End-verschlüsselte, gegenseitig authentifizierte (mutually authenticated) Sitzung zwischen Desktop und Handy. Du koppelst einmal, per QR-Scan und einem kurzen Code, den du auf beiden Bildschirmen vergleichst. Danach ist der Übertragungsweg nur noch ein Übertragungsweg. Du kannst zwischen ihnen wechseln, ohne neu zu koppeln, und der Sitzung ist es egal, ob sie über Licht, Funk oder ein Antippen läuft.

Dem Übertragungsweg wird nicht vertraut. Bluetooth-Kopplung, NFC-Nähe und ein sichtbarer QR-Code sind keine Authentifizierung. Die Sitzung ist es. Diese Trennung erlaubt uns, Komfort zu bieten, ohne bei der Sicherheit Abstriche zu machen. Sie ist das Thema des Artikels darüber, warum der Übertragungsweg nie als vertrauenswürdig gilt.

Die Wahl

Erste Kopplung: QR. Seltene, große, sorgfältige Überweisungen: QR. Tägliche Arbeit am Schreibtisch: Bluetooth LE. Ein Terminal oder Kiosk-System, an dem jede Signatur ein sichtbarer, körperlicher Akt sein soll: NFC. Ein Raum, in dem Funk verboten ist: wieder QR. Dem Handy und der Wallet ist das gleich. Nimm, was passt.