Trzy drogi przez air gap: kody QR, Bluetooth LE i NFC

Dlaczego trzy

Każdy portfel air-gapped zaczyna od kodów QR i ma ku temu dobre powody. Są optyczne. Widać je. Aparatu nie da się namówić, żeby cokolwiek odesłał. Pierwsze urządzenie podpisujące (signer) AirNox działało wyłącznie na kodach QR i czegoś nas nauczyło. Kierujesz telefon na monitor i czekasz na klatki, potem kierujesz kamerkę na telefon i znowu czekasz. Dwa razy na każdy podpis. Przy jednym przelewie w miesiącu to nie problem. Przy sesji, w której jest approve, swap, depozyt i claim, ludzie zaczynają szukać skrótów, a przez skróty bezpieczna ścieżka przestaje być tą, z której ludzie korzystają.

Wygoda nie jest przeciwieństwem bezpieczeństwa. To ona decyduje, czy ludzie dalej korzystają z bezpiecznej opcji. Dlatego AirNox daje ci trzy nośniki i pozwala wybrać.

Kody QR

Komputer wyświetla kod, a telefon go skanuje. Telefon wyświetla kod, a kamerka go odczytuje. Długie żądania, takie jak wywołanie kontraktu, są odtwarzane jako animowana sekwencja kodów, a postęp widać na obu ekranach.

To ścisły air gap. Przechodzi tylko światło. To właściwy wybór przy pierwszym parowaniu (pairing), przy rzadkich dużych przelewach i w pomieszczeniach, w których radio musi pozostać wyłączone. Zawsze jest też pod ręką jako rozwiązanie awaryjne. Jeśli chcesz wersji dla purystów, zostań przy QR, a reszta tego artykułu cię nie dotyczy.

Bluetooth Low Energy

To nośnik do pracy przy biurku. Telefon leży obok klawiatury. Przychodzi żądanie, czytasz ekran telefonu, naciskasz Accept (Akceptuj). Po pierwszym parowaniu nie trzeba niczego w nic celować.

Telefon działa jako urządzenie peryferyjne i rozgłasza się z małą mocą nadawania, więc jego zasięg z założenia kończy się na biurku. Nigdy nie skanuje w poszukiwaniu innych urządzeń, dlatego aplikacja nie potrzebuje uprawnienia do lokalizacji. Mała moc służy prywatności i mniejszej powierzchni ataku. To nie ona utrzymuje ruch w tajemnicy. To zadanie sesji, którą omawiają kolejne artykuły.

Bluetooth LE służy do codziennego użytku: sesje z dAppami, wiele podpisów pod rząd, wszystko, przy czym telefon pozostaje w zasięgu ręki.

NFC

Zbliżenie. Przykładasz telefon do małego czytnika USB przy komputerze, a żądanie przechodzi w trakcie zbliżenia. Zasięg to kilka centymetrów – tak działa fizyka. Sam nośnik nie ma ekranu parowania. Gest wyraża intencję tak samo jak przyłożenie karty do terminala, dlatego NFC naturalnie pasuje do terminali, kiosków i współdzielonych stanowisk, gdzie świadome fizyczne działanie przy każdym podpisie to dokładnie to, czego chcesz.

NFC wymaga czytnika. Kody QR i Bluetooth LE nie potrzebują niczego poza telefonem i komputerem.

Jedna sesja, trzy nośniki

Niezależnie od nośnika przesyłane jest to samo: sesja szyfrowana end-to-end, z wzajemnym uwierzytelnianiem (mutual authentication), między komputerem a telefonem. Parujesz raz, skanując kod QR i porównując krótki kod na obu ekranach. Potem nośnik jest już tylko nośnikiem. Możesz się między nimi przełączać bez ponownego parowania, a sesji jest wszystko jedno, czy jedzie na świetle, falach radiowych czy zbliżeniu.

Nośnik nie jest zaufany. Parowanie Bluetooth, bliskość NFC i widoczny kod QR to nie uwierzytelnianie. Uwierzytelnianiem jest sesja. Ten podział pozwala nam oferować wygodę bez obniżania poprzeczki i jest tematem artykułu o tym, dlaczego transport nigdy nie jest zaufany.

Jak wybierać

Pierwsze parowanie: QR. Rzadkie, duże, przemyślane przelewy: QR. Codzienna praca przy biurku: Bluetooth LE. Terminal albo kiosk, w którym każdy podpis powinien być widocznym, fizycznym gestem: NFC. Pomieszczenie, w którym nie wolno używać radia: znowu QR. Telefonowi i portfelowi to bez różnicy. Używaj tego, co pasuje.