Tres formas de cruzar el air gap: códigos QR, Bluetooth LE y NFC

Por qué tres

Toda billetera con air gap empieza por los códigos QR, y con razón. Son ópticos. Puedes verlos. A una cámara no se la puede convencer de que envíe nada de vuelta. El primer firmador (signer) de AirNox solo usaba QR, y nos enseñó algo. Apuntas el teléfono al monitor, esperas a que pasen los fotogramas, apuntas la cámara web al teléfono, esperas otra vez. Dos veces por firma. Para una transferencia al mes, no pasa nada. Para una sesión con una aprobación, un intercambio, un depósito y un claim, la gente empieza a buscar atajos, y entonces el camino seguro deja de ser el que la gente usa de verdad.

La comodidad no es lo contrario de la seguridad. Es lo que decide si la gente sigue usando la opción segura. Por eso AirNox te da tres medios y te deja elegir.

Códigos QR

La computadora muestra un código y el teléfono lo escanea. El teléfono muestra un código y la cámara web lo lee. Las solicitudes largas, como una llamada a contrato, se reproducen como una secuencia animada de códigos, y el progreso se ve en las dos pantallas.

Este es el air gap estricto. Solo cruza la luz. Es la opción adecuada para el primer emparejamiento (pairing), para transferencias grandes y poco frecuentes, y para salas donde las radios deben estar apagadas. Además, siempre está ahí como alternativa. Si quieres la versión purista, quédate con QR y el resto de este artículo no va contigo.

Bluetooth Low Energy

Es el medio para la mesa de trabajo. El teléfono está junto al teclado. Llega una solicitud, lees la pantalla del teléfono y pulsas Accept (Aceptar). Después del primer emparejamiento no hay que apuntar a nada.

El teléfono actúa como periférico y se anuncia con baja potencia de transmisión, así que su alcance es la mesa, por diseño. Nunca busca otros dispositivos, y por eso la app no necesita permiso de ubicación. La baja potencia tiene que ver con la privacidad y con una superficie de ataque menor. No es lo que mantiene el tráfico en secreto. Esa es la tarea de la sesión, de la que hablan los siguientes artículos.

Bluetooth LE es para el uso diario: sesiones con dApps, muchas firmas seguidas, cualquier caso en que el teléfono esté al alcance de la mano.

NFC

Un toque. El teléfono toca un pequeño lector USB conectado a la computadora, y la solicitud cruza durante el toque. El alcance es de unos pocos centímetros, por pura física. No hay pantalla de emparejamiento para el propio medio. El gesto expresa la intención igual que acercar una tarjeta a un terminal de pago, y eso hace del NFC la opción natural para terminales, quioscos y puestos compartidos, donde un acto físico deliberado por cada firma es justo lo que quieres.

El NFC necesita el lector. Los códigos QR y Bluetooth LE no necesitan nada más que el teléfono y la computadora.

Una sesión, tres medios

Sea cual sea el medio, por él viaja lo mismo: una sesión cifrada de extremo a extremo (end-to-end) y con autenticación mutua (mutually authenticated) entre la computadora y el teléfono. Emparejas una sola vez, con un escaneo QR y un código corto que comparas en las dos pantallas. A partir de ahí, el medio es solo un medio. Puedes cambiar de uno a otro sin volver a emparejar, y a la sesión le da igual si viaja por luz, por radio o en un toque.

El medio no es de confianza. El emparejamiento Bluetooth, la proximidad NFC y un código QR visible no son autenticación. La sesión sí. Esa separación es lo que nos permite ofrecer comodidad sin bajar el listón, y es el tema del artículo sobre por qué nunca se confía en el transporte.

Cómo elegir

Primer emparejamiento: QR. Transferencias raras, grandes y cuidadosas: QR. Trabajo diario en la mesa: Bluetooth LE. Un terminal o quiosco donde cada firma deba ser un acto físico y visible: NFC. Una sala donde no se permiten radios: QR otra vez. Al teléfono y a la billetera les da igual. Usa lo que encaje.