O celular mantém seu próprio registro

Por que o assinador mantém um diário

Um assinador (signer) offline é o único aparelho do conjunto em cujo estado você pode acreditar. Faz sentido que ele se lembre do que fez. O AirNox Vault mantém um diário durável e criptografado de cada decisão tomada no celular: o que foi pedido, o que foi mostrado a você e o que você decidiu. É a versão do próprio assinador sobre os fatos, independente de qualquer coisa que o desktop registre.

Se uma transação que você não reconhece aparecer no seu histórico, o diário diz se este celular chegou a assiná-la. Se um desktop alega estar pareado, o diário diz quando esse pareamento (pairing) aconteceu e por qual meio. Se alguém testou senhas no celular enquanto você estava fora, o diário conta.

O que entra

Cada assinatura, com o resultado: assinada, com falha, recusada, expirada, retirada pelo desktop. Cada assinatura de mensagem, porque uma mensagem assinada pode autorizar tanto quanto uma transação. Cada pareamento com um desktop, e cada vez que um foi esquecido. Cada carteira que você compartilhou com um desktop, criou, importou, renomeou ou excluiu. Cada endereço que você verificou na tela do celular. Cada bloqueio depois de várias senhas erradas.

Cada entrada guarda o que você precisa para reconhecer a ação: a carteira, o desktop de onde veio, o meio, a rede, o destinatário, o valor e os alertas que foram mostrados a você na hora.

O que nunca entra

Nenhuma chave, nenhuma seed, nenhuma frase de recuperação (recovery phrase), nenhuma senha, nenhum byte de assinatura e nada que possa ser usado para derivar qualquer um deles. O diário registra que você assinou, não a assinatura. Ele também deixa de fora o ruído técnico: tráfego de sincronização, lotes de endereços, conexão caindo e voltando, falhas de transporte. Nada disso são decisões, e um diário cheio disso esconderia as entradas que importam.

Gravado antes da assinatura

A ordem das operações é proposital. Quando você pressiona Accept (Aceitar), o celular primeiro grava o seu aceite no diário. Só então assina. Se a entrada no diário não puder ser gravada, nada é assinado, o desktop é avisado de que o pedido não pôde ser atendido, e a tela diz a você o porquê.

Isso significa que nunca vai faltar no diário uma assinatura que aconteceu. Não existe uma janela em que o celular assinou e depois não conseguiu lembrar.

Durável

O diário só aceita acréscimos. Nada nele é editado, e não existe botão para limpá-lo. Ele sobrevive à exclusão de uma carteira: as entradas do período em que essa carteira esteve em uso ficam, marcadas como pertencentes a uma carteira excluída. Também sobrevive à troca da senha do app. E fica criptografado em repouso no celular, selado com o mesmo cuidado que as próprias seeds.

O tamanho é uma configuração. Você escolhe quantas entradas manter e, quando o diário enche, as entradas mais antigas dão lugar às mais novas. Nada mais remove uma entrada.

Fica no celular

O diário nunca sai do aparelho. Nunca é exportado, nunca é sincronizado e nunca é mostrado a um desktop. Um desktop não consegue pedi-lo, porque não existe nenhum pedido que o entregue. Você o lê no celular, na tela Journal (diário), com um filtro que mostra tudo ou só as entradas que importam: uma chave colocada em uso, uma mudança em quem pode pedir o quê a este celular, uma carteira criada ou removida, ou um sinal de que alguém tentou entrar.

Um registro que vive só no assinador, gravado antes de cada assinatura, que nenhum outro aparelho consegue ler ou alterar. Se um dia você precisar saber o que realmente aconteceu, é aqui que você procura.