Trois façons de franchir l’air gap : QR codes, Bluetooth LE et NFC

Pourquoi trois

Tout portefeuille en air gap commence par les QR codes, et pour de bonnes raisons. Ils sont optiques. On peut les voir. Personne ne peut amener une caméra à renvoyer quoi que ce soit. Le premier appareil de signature (signer) d’AirNox fonctionnait uniquement en QR, et il nous a appris quelque chose. Pointer le téléphone vers l’écran, attendre les images, pointer la webcam vers le téléphone, attendre encore. Deux fois par signature. Pour un virement par mois, cela suffit. Pour une session avec une approbation, un swap, un dépôt et un claim, les gens commencent à chercher des raccourcis, et le chemin sécurisé n’est plus celui que l’on prend vraiment.

La commodité n’est pas le contraire de la sécurité. C’est elle qui décide si les gens continuent d’utiliser l’option sécurisée. AirNox vous offre donc trois supports et vous laisse choisir.

QR codes

L’ordinateur affiche un code et le téléphone le scanne. Le téléphone affiche un code et la webcam le lit. Les requêtes longues, comme un appel de contrat, défilent sous forme de séquence animée de codes, et la progression s’affiche sur les deux écrans.

C’est l’air gap strict. Rien ne passe, à part la lumière. C’est le bon choix pour le premier appairage (pairing), pour les gros virements occasionnels et pour les pièces où les radios doivent rester éteintes. C’est aussi une solution de repli toujours disponible. Si vous voulez la version puriste, restez en QR : rien d’autre dans cet article ne vous concerne.

Bluetooth Low Energy

C’est le support du bureau. Le téléphone est posé à côté du clavier. Une requête arrive, vous lisez l’écran du téléphone, vous appuyez sur Accept (Accepter). Après le premier appairage, il n’y a plus rien à viser.

Le téléphone joue le rôle de périphérique et émet ses annonces à faible puissance, si bien que sa portée se limite au bureau, par conception. Il ne recherche jamais d’autres appareils, ce qui explique que l’application n’ait besoin d’aucune permission de localisation. La faible puissance sert la confidentialité et réduit la surface d’attaque. Ce n’est pas elle qui garde le trafic secret. Ce rôle revient à la session, dont parlent les articles suivants.

Le Bluetooth LE est fait pour l’usage quotidien : sessions avec des dApps, nombreuses signatures d’affilée, tout ce qui se fait avec le téléphone à portée de main.

NFC

Un contact. Le téléphone touche un petit lecteur USB branché à l’ordinateur, et la requête passe pendant le contact. La portée est de quelques centimètres, physique oblige. Il n’y a pas d’écran d’appairage pour le support lui-même. Le geste exprime l’intention, comme lorsqu’on présente sa carte à un terminal, ce qui fait du NFC un choix naturel pour les terminaux, les bornes et les postes partagés, là où un geste physique délibéré pour chaque signature est exactement ce que l’on veut.

Le NFC nécessite le lecteur. Les QR codes et le Bluetooth LE ne demandent rien de plus que le téléphone et l’ordinateur.

Une session, trois supports

Quel que soit le support utilisé, c’est la même chose qui y circule : une session chiffrée de bout en bout (end-to-end) et à authentification mutuelle (mutually authenticated) entre l’ordinateur et le téléphone. Vous appairez une seule fois, par un scan de QR code et un code court comparé sur les deux écrans. Ensuite, le support n’est qu’un support. Vous pouvez passer de l’un à l’autre sans appairer de nouveau, et la session n’a que faire de voyager par la lumière, par la radio ou par un contact.

On ne fait pas confiance au support. L’appairage Bluetooth, la proximité NFC et un QR code visible ne constituent pas une authentification. La session, si. C’est cette séparation qui nous permet d’offrir de la commodité sans abaisser le niveau d’exigence, et c’est le sujet de l’article qui explique pourquoi on ne fait jamais confiance au transport.

Choisir

Premier appairage : QR. Virements rares, importants, faits avec soin : QR. Travail quotidien au bureau : Bluetooth LE. Un terminal ou une borne où chaque signature doit être un acte physique et visible : NFC. Une pièce où les radios sont interdites : QR, là encore. Au téléphone comme au portefeuille, cela ne change rien. Utilisez ce qui convient.