El teléfono lleva su propio registro

Por qué el firmador lleva un diario

Un firmador sin conexión (signer) es el único dispositivo del conjunto cuyo estado puedes dar por cierto. Tiene sentido que recuerde lo que hizo. AirNox Vault lleva un diario duradero y cifrado de cada decisión tomada en el teléfono: qué se pidió, qué se te mostró y qué decidiste. Es el relato de los hechos del propio firmador, independiente de todo lo que registre la computadora.

Si en tu historial aparece una transacción que no reconoces, el diario te dice si este teléfono la firmó alguna vez. Cuando una computadora dice estar emparejada, el diario te dice cuándo se hizo ese emparejamiento (pairing) y por qué medio. Si alguien probó contraseñas en el teléfono mientras no estabas, el diario lo dice.

Qué entra

Cada firma, con su resultado: firmada, fallida, rechazada, caducada, retirada por la computadora. Cada firma de mensaje, porque un mensaje firmado puede autorizar tanto como una transacción. Cada emparejamiento con una computadora, y cada vez que se olvidó uno. Cada billetera que compartiste con una computadora, creaste, importaste, renombraste o eliminaste. Cada dirección que verificaste en la pantalla del teléfono. Cada bloqueo tras varias contraseñas erróneas.

Cada entrada guarda lo que necesitas para reconocer la acción: la billetera, la computadora de la que vino, el medio, la red, el destinatario, la cantidad y los hallazgos que se te mostraron en su momento.

Qué nunca entra

Ninguna clave, ninguna semilla (seed), ninguna frase de recuperación (recovery phrase), ninguna contraseña, ningún byte de firma, y nada que pueda servir para derivar cualquiera de ellos. El diario registra que firmaste, no la firma. También deja fuera el ruido técnico: tráfico de sincronización, lotes de direcciones, conexiones y desconexiones del enlace, fallos de transporte. Eso no son decisiones, y un diario lleno de ello escondería las entradas que importan.

Escrito antes de la firma

El orden de las operaciones es deliberado. Cuando pulsas Accept (Aceptar), el teléfono primero escribe tu aceptación en el diario. Solo entonces firma. Si la entrada del diario no se puede escribir, no se firma nada, se le comunica a la computadora que la solicitud no se pudo llevar a cabo y la pantalla te explica por qué.

Esto significa que al diario nunca le puede faltar una firma que sí ocurrió. No hay ningún intervalo en el que el teléfono haya firmado y después no lo recuerde.

Duradero

El diario solo admite añadir entradas. Nada en él se edita nunca, y no hay ningún botón para vaciarlo. Sobrevive a la eliminación de una billetera: las entradas del periodo en que esa billetera estuvo en uso se quedan, marcadas como pertenecientes a una billetera eliminada. Un cambio de contraseña de la app tampoco lo afecta. Está cifrado en reposo en el teléfono, sellado con el mismo cuidado que las propias semillas.

El tamaño es un ajuste. Tú eliges cuántas entradas conservar, y cuando el diario se llena, las más antiguas dejan sitio a las más nuevas. Ninguna otra cosa borra jamás una entrada.

Se queda en el teléfono

El diario nunca sale del dispositivo. Nunca se exporta, nunca se sincroniza y nunca se muestra a una computadora. Una computadora no puede pedirlo, porque no existe ninguna solicitud que lo entregue. Lo lees en el teléfono, en la pantalla Journal (Diario), con un filtro que muestra todo o solo las entradas que importan: una clave que se usó, un cambio en quién puede pedirle qué a este teléfono, una billetera creada o eliminada, o una señal de que alguien intentó entrar.

Un registro que vive solo en el firmador, que se escribe antes de cada firma y que ningún otro dispositivo puede leer ni alterar. Si alguna vez necesitas saber qué pasó de verdad, aquí es donde tienes que mirar.