Le téléphone tient son propre registre

Pourquoi l’appareil de signature tient un journal

Un appareil de signature hors ligne (signer) est, dans l’ensemble du dispositif, le seul appareil dont vous pouvez croire l’état. Il est logique qu’il se souvienne de ce qu’il a fait. AirNox Vault tient un journal durable et chiffré de chaque décision prise sur le téléphone : ce qui a été demandé, ce qui vous a été montré, et ce que vous avez décidé. C’est la version des faits de l’appareil de signature lui-même, indépendante de tout ce que l’ordinateur enregistre.

Si une transaction que vous ne reconnaissez pas apparaît dans votre historique, le journal vous dit si ce téléphone l’a jamais signée. Quand un ordinateur se dit appairé, le journal vous dit quand cet appairage (pairing) a eu lieu et par quel support. Si quelqu’un a essayé des mots de passe sur le téléphone en votre absence, le journal le dit.

Ce qui y est inscrit

Chaque signature, avec son issue : signée, échouée, refusée, expirée, retirée par l’ordinateur. Chaque signature de message, parce qu’un message signé peut autoriser autant qu’une transaction. Chaque appairage avec un ordinateur, et chaque fois qu’un ordinateur a été oublié. Chaque portefeuille que vous avez partagé avec un ordinateur, créé, importé, renommé ou supprimé. Chaque adresse que vous avez vérifiée sur l’écran du téléphone. Chaque blocage après plusieurs mots de passe erronés.

Chaque entrée conserve ce qu’il faut pour reconnaître l’action : le portefeuille, l’ordinateur d’où elle provient, le support, le réseau, le destinataire, le montant, et les alertes qui vous ont été montrées à ce moment-là.

Ce qui n’y est jamais inscrit

Aucune clé, aucune seed, aucune phrase de récupération (recovery phrase), aucun mot de passe, aucun octet de signature, et rien qui permette de dériver l’un d’eux. Le journal enregistre que vous avez signé, pas la signature. Il laisse aussi de côté le bruit technique : trafic de synchronisation, lots d’adresses, connexions et déconnexions du lien, erreurs de transport. Ce ne sont pas des décisions, et un journal rempli de tout cela masquerait les entrées qui comptent.

Écrit avant la signature

L’ordre des opérations est délibéré. Lorsque vous appuyez sur Accept (Accepter), le téléphone écrit d’abord l’approbation dans le journal. Ensuite seulement, il signe. Si l’entrée ne peut pas être écrite, rien n’est signé, l’ordinateur est informé que la requête n’a pas pu aboutir, et l’écran vous en donne la raison.

Il est donc impossible que le journal omette une signature qui a eu lieu. Il n’existe aucun intervalle pendant lequel le téléphone aurait signé, puis oublié de le noter.

Durable

Le journal fonctionne en ajout seul (append-only). Rien n’y est jamais modifié, et aucun bouton ne permet de l’effacer. Il survit à la suppression d’un portefeuille : les entrées de la période où ce portefeuille était utilisé restent, marquées comme appartenant à un portefeuille supprimé. Le changement du mot de passe de l’application n’y change rien non plus. Il est chiffré au repos sur le téléphone, scellé avec le même soin que les seeds elles-mêmes.

La taille est un réglage. Vous choisissez combien d’entrées conserver, et lorsque le journal est plein, les plus anciennes cèdent la place aux plus récentes. Rien d’autre ne supprime jamais une entrée.

Il reste sur le téléphone

Le journal ne quitte jamais l’appareil. Il n’est jamais exporté, jamais synchronisé, jamais montré à un ordinateur. Un ordinateur ne peut pas le demander, car aucune requête ne permet de l’obtenir. Vous le consultez sur le téléphone, dans l’écran Journal, avec un filtre qui affiche soit tout, soit uniquement les entrées qui comptent : une clé utilisée, un changement dans qui peut demander quoi à ce téléphone, un portefeuille créé ou supprimé, ou le signe que quelqu’un a tenté d’entrer.

Un registre qui ne vit que sur l’appareil de signature, écrit avant chaque signature, qu’aucun autre appareil ne peut lire ni modifier. Si vous avez un jour besoin de savoir ce qui s’est réellement passé, c’est là qu’il faut regarder.