Il telefono tiene il proprio registro

Perché il dispositivo di firma tiene un registro

Un dispositivo di firma offline (signer) è l’unico dispositivo della configurazione del cui stato ti puoi fidare. Ha senso che sia lui a ricordare cosa ha fatto. AirNox Vault tiene un registro durevole e cifrato di ogni decisione presa sul telefono: cosa è stato chiesto, cosa ti è stato mostrato e cosa hai deciso. È il resoconto dei fatti secondo il dispositivo di firma, indipendente da qualsiasi cosa registri il desktop.

Se nella tua cronologia compare una transazione che non riconosci, il registro ti dice se questo telefono l’ha mai firmata. Quando un desktop afferma di essere abbinato, il registro ti dice quando è avvenuto quell’abbinamento (pairing) e su quale vettore. Se qualcuno ha provato delle password sul telefono mentre eri via, il registro lo riporta.

Cosa ci finisce dentro

Ogni firma, con il suo esito: firmata, fallita, rifiutata, scaduta, ritirata dal desktop. Ogni firma di un messaggio, perché un messaggio firmato può autorizzare tanto quanto una transazione. Ogni abbinamento con un desktop, e ogni volta che un abbinamento è stato dimenticato. Ogni wallet che hai condiviso con un desktop, creato, importato, rinominato o eliminato. Ogni indirizzo che hai verificato sullo schermo del telefono. Ogni blocco dopo ripetuti tentativi con la password sbagliata.

Ogni voce conserva quello che ti serve per riconoscere l’azione: il wallet, il desktop da cui è arrivata la richiesta, il vettore, la rete, il destinatario, l’importo e le segnalazioni che ti sono state mostrate in quel momento.

Cosa non ci finisce mai

Nessuna chiave, nessun seed, nessuna frase di recupero (recovery phrase), nessuna password, nessun byte di firma, e niente che possa servire a ricavare una di queste cose. Il registro annota che hai firmato, non la firma. Lascia fuori anche il rumore tecnico: traffico di sincronizzazione, lotti di indirizzi, collegamenti che si aprono e si chiudono, errori di trasporto. Quelle non sono decisioni, e un registro pieno di queste cose nasconderebbe le voci che contano.

Scritto prima della firma

L’ordine delle operazioni è voluto. Quando premi Accept, il telefono per prima cosa scrive l’approvazione nel registro. Solo dopo firma. Se la voce nel registro non può essere scritta, non viene firmato niente, il desktop viene informato che la richiesta non è andata a buon fine e lo schermo ti dice perché.

Questo significa che al registro non può mai mancare una firma avvenuta. Non esiste un momento in cui il telefono ha firmato e poi non è riuscito a ricordarlo.

Durevole

Il registro è append-only: si può solo aggiungere. Niente al suo interno viene mai modificato, e non c’è un pulsante per svuotarlo. Sopravvive all’eliminazione di un wallet: le voci del periodo in cui quel wallet era in uso restano, contrassegnate come appartenenti a un wallet eliminato. Resiste anche al cambio della password dell’app. È cifrato a riposo sul telefono, sigillato con la stessa cura riservata ai seed.

La dimensione è un’impostazione. Scegli tu quante voci conservare, e quando il registro è pieno le voci più vecchie lasciano il posto alle più recenti. Nient’altro rimuove mai una voce.

Resta sul telefono

Il registro non lascia mai il dispositivo. Non viene mai esportato, mai sincronizzato e mai mostrato a un desktop. Un desktop non può chiederlo, perché non esiste nessuna richiesta che lo restituisca. Lo leggi sul telefono, nella schermata Journal (Registro), con un filtro che mostra tutto oppure solo le voci che contano: una chiave usata, una modifica a chi può chiedere cosa a questo telefono, un wallet creato o rimosso, o un segnale che qualcuno ha cercato di entrare.

Un registro che vive solo sul dispositivo di firma, scritto prima di ogni firma, che nessun altro dispositivo può leggere o alterare. Se mai avessi bisogno di sapere cosa è successo davvero, è qui che devi guardare.