Telefon prowadzi własny zapis

Dlaczego urządzenie podpisujące prowadzi dziennik

Urządzenie podpisujące (signer) offline to jedyne urządzenie w całym układzie, którego stan jest wiarygodny. Ma sens, żeby pamiętało, co zrobiło. AirNox Vault prowadzi trwały, zaszyfrowany dziennik każdej decyzji podjętej na telefonie: o co poproszono, co ci pokazano i jaka była twoja decyzja. To własna relacja urządzenia podpisującego, niezależna od tego, co zapisuje komputer.

Jeśli w historii pojawi się transakcja, której nie rozpoznajesz, dziennik powie ci, czy ten telefon kiedykolwiek ją podpisał. Jeśli jakiś komputer twierdzi, że jest sparowany, dziennik powie ci, kiedy i przez jaki nośnik doszło do tego parowania (pairing). Jeśli ktoś pod twoją nieobecność próbował zgadywać hasło na telefonie, dziennik to odnotuje.

Co trafia do dziennika

Każdy podpis wraz z wynikiem: podpisane, nieudane, odrzucone, wygasłe, wycofane przez komputer. Każdy podpis wiadomości, bo podpisana wiadomość może autoryzować tyle samo co transakcja. Każde parowanie z komputerem i każde jego usunięcie. Każdy portfel udostępniony komputerowi, utworzony, zaimportowany, przemianowany lub usunięty. Każdy adres zweryfikowany na ekranie telefonu. Każda blokada po wielokrotnym wpisaniu błędnego hasła.

Każdy wpis zawiera to, czego potrzebujesz, żeby rozpoznać działanie: portfel, komputer, z którego przyszło żądanie, nośnik, sieć, odbiorcę, kwotę i ostrzeżenia, które ci wtedy pokazano.

Co nigdy tam nie trafia

Żadnego klucza, frazy seed, frazy odzyskiwania (recovery phrase), hasła ani bajtów podpisu – i niczego, z czego dałoby się którekolwiek z nich wyprowadzić. Dziennik odnotowuje fakt podpisania, a nie sam podpis. Pomija też szum techniczny: ruch synchronizacji, partie adresów, zestawienie i zerwanie połączenia, błędy transportu. To nie są decyzje, a dziennik nimi zapchany ukryłby wpisy, które się liczą.

Zapisany przed podpisem

Kolejność działań jest celowa. Kiedy naciskasz Accept (Akceptuj), telefon najpierw zapisuje twoją akceptację w dzienniku. Dopiero potem podpisuje. Jeśli wpisu nie da się zapisać, nic nie zostaje podpisane, komputer dostaje informację, że żądania nie udało się zrealizować, a ekran wyjaśnia ci dlaczego.

Dzięki temu w dzienniku nigdy nie zabraknie podpisu, który naprawdę został złożony. Nie ma takiej chwili, w której telefon podpisał, a potem nie zdążył tego zapamiętać.

Trwały

Dziennik działa w trybie tylko do dopisywania (append-only). Niczego się w nim nie edytuje i nie ma przycisku, który by go czyścił. Przetrwa usunięcie portfela: wpisy z okresu, w którym portfel był używany, zostają, oznaczone jako należące do usuniętego portfela. Zmiana hasła aplikacji też mu nie szkodzi. Na telefonie leży w postaci zaszyfrowanej, zabezpieczony z tą samą starannością co same frazy seed.

Rozmiar jest ustawieniem. Ty decydujesz, ile wpisów przechowywać, a gdy dziennik się zapełni, najstarsze wpisy ustępują miejsca najnowszym. Nic innego nigdy nie usuwa wpisu.

Zostaje na telefonie

Dziennik nigdy nie opuszcza urządzenia. Nigdy nie jest eksportowany, synchronizowany ani pokazywany komputerowi. Komputer nie może o niego poprosić, bo nie istnieje żądanie, które by go udostępniało. Czytasz go na telefonie, na ekranie Journal (Dziennik), z filtrem, który pokazuje albo wszystko, albo tylko wpisy, które się liczą: użycie klucza, zmianę tego, kto może o co prosić ten telefon, utworzenie lub usunięcie portfela albo ślad, że ktoś próbował dostać się do środka.

Zapis, który istnieje tylko na urządzeniu podpisującym, powstaje przed każdym podpisem i którego żadne inne urządzenie nie może odczytać ani zmienić. Jeśli kiedykolwiek trzeba będzie sprawdzić, co naprawdę się wydarzyło, zajrzyj właśnie tutaj.