ギャップを越える3つの方法：QR コード、Bluetooth LE、NFC

なぜ3つなのか

エアギャップ型ウォレットはどれも QR コードから始まります。それには正当な理由があります。光学的であること。目で見えること。カメラは、言いくるめられて何かを送り返すことがないこと。最初の AirNox 署名端末（signer）も QR 専用で、そこから学んだことがあります。スマホをモニターに向け、フレームを待ち、Web カメラをスマホに向け、また待つ。これを署名1回につき2回です。月に1度の送金ならそれで問題ありません。でも、承認、スワップ、預け入れ、受け取り（クレーム）が続くセッションになると、人は近道を探し始めます。そして近道こそが、安全な経路が使われなくなるきっかけです。

利便性はセキュリティの反対ではありません。人が安全な選択肢を使い続けるかどうかを決めるものです。だから AirNox は3つの通信手段を用意し、選べるようにしています。

QR コード

デスクトップがコードを表示し、スマホがそれを読み取ります。スマホがコードを表示し、Web カメラがそれを読み取ります。コントラクト呼び出しのような長いリクエストは、コードが次々に切り替わるアニメーションとして再生され、進捗は両方の画面に表示されます。

これが厳格なエアギャップです。行き来するのは光だけ。最初のペアリング（pairing）、まれな高額送金、無線を切っておかなければならない部屋には、これが正しい選択です。また、いつでもフォールバックとして使えます。純粋主義のやり方がよければ、QR だけを使ってください。この記事の残りは、あなたには関係ありません。

Bluetooth Low Energy

これは机の上で使うための通信手段です。スマホはキーボードの横に置いておきます。リクエストが届いたら、スマホの画面を読んで Accept（承諾）を押します。最初のペアリングが済めば、何かにカメラを向ける必要はありません。

スマホはペリフェラルとして動作し、低い送信出力でアドバタイズ（周囲への存在通知）を行うので、届く範囲は設計上、机の上です。ほかのデバイスをスキャンすることは一切ないため、アプリに位置情報の権限は必要ありません。低出力にしているのは、プライバシーと攻撃対象領域を小さくするためです。通信の秘密を守っているのは、そこではありません。それはセッションの役割で、続く記事で取り上げます。

Bluetooth LE は日常使い向けです。dApp のセッション、連続する多数の署名など、スマホが手の届く範囲にあるあらゆる場面に向いています。

NFC

タップです。デスクトップにつないだ小さな USB リーダーにスマホを触れさせると、タップの間にリクエストが渡ります。届く距離は、物理的に数センチです。通信手段そのもののペアリング画面はありません。この動作は、決済端末にカードをタッチするのと同じように意思を示します。そのため NFC は、業務用端末やキオスク端末、共用デスクにぴったりです。署名ごとに意図的な物理的動作が求められることが、まさに望ましい場面だからです。

NFC にはリーダーが必要です。QR コードと Bluetooth LE には、スマホとパソコン以外に何も要りません。

セッションは1つ、通信手段は3つ

どの通信手段を使っても、その上を流れるものは同じです。デスクトップとスマホの間の、エンドツーエンド（end-to-end）で暗号化され、相互認証（mutual authentication）されたセッションです。ペアリングは1回だけ、QR スキャンと、両方の画面で見比べる短いコードで行います。そのあと、通信手段はただの通信手段です。再ペアリングなしに切り替えられ、セッションは自分が光、電波、タップのどれに乗っているかを気にしません。

通信手段は信頼されていません。Bluetooth のペアリングも、NFC の近さも、目に見える QR コードも、認証ではありません。認証を担うのはセッションです。この分離があるから、基準を下げずに利便性を提供できます。これが、通信経路を決して信頼しない理由についての記事のテーマです。

選び方

最初のペアリング：QR。まれで高額な、慎重を要する送金：QR。机での日々の作業：Bluetooth LE。署名のたびに目に見える物理的な動作を求めたい業務用端末やキオスク：NFC。無線が許されない部屋：やはり QR。スマホもウォレットも気にしません。合うものを使ってください。