Três caminhos através do air gap: QR codes, Bluetooth LE e NFC

Por que três

Toda carteira air-gapped começa com QR codes, e com bons motivos. Eles são ópticos. Você consegue vê-los. Ninguém convence uma câmera a mandar alguma coisa de volta. O primeiro assinador (signer) da AirNox era só QR, e isso nos ensinou uma coisa. Você aponta o celular para o monitor e espera os quadros, depois aponta a webcam para o celular e espera de novo. Duas vezes por assinatura. Para uma transferência por mês, tudo bem. Para uma sessão com uma aprovação, um swap, um depósito e um resgate, as pessoas começam a procurar atalhos, e é com atalhos que o caminho seguro deixa de ser o que as pessoas usam.

Conveniência não é o oposto de segurança. É ela que decide se as pessoas continuam usando a opção segura. Por isso a AirNox oferece três meios e deixa você escolher.

QR codes

O desktop mostra um código e o celular escaneia. O celular mostra um código e a webcam lê. Pedidos longos, como uma chamada de contrato, viram uma sequência animada de códigos, e o progresso aparece nas duas telas.

Este é o air gap estrito. Nada além de luz atravessa. É a escolha certa para o primeiro pareamento (pairing), para transferências grandes e raras e para ambientes onde os rádios precisam ficar desligados. O QR também está sempre lá como alternativa. Se você quer a versão purista, fique no QR, e nada mais deste artigo se aplica a você.

Bluetooth Low Energy

Este é o meio para a mesa de trabalho. O celular fica ao lado do teclado. Chega um pedido, você lê a tela do celular, pressiona Accept (Aceitar). Depois do primeiro pareamento, não há nada para apontar.

O celular funciona como periférico e se anuncia com baixa potência de transmissão, então o alcance dele é a mesa, de propósito. Ele nunca procura outros aparelhos, e é por isso que o app não precisa de permissão de localização. A baixa potência tem a ver com privacidade e com uma superfície menor. Não é ela que mantém o tráfego em segredo. Isso é trabalho da sessão, que os próximos artigos explicam.

O Bluetooth LE é para o uso diário: sessões com dApps, muitas assinaturas seguidas, qualquer situação em que o celular fique ao alcance da mão.

NFC

Um toque. O celular encosta num pequeno leitor USB no desktop, e o pedido atravessa durante o toque. O alcance é de poucos centímetros, por pura física. Não há tela de pareamento para o meio em si. O gesto expressa intenção do mesmo jeito que aproximar o cartão da maquininha, o que faz do NFC um encaixe natural para terminais, quiosques e mesas compartilhadas, onde uma ação física deliberada por assinatura é exatamente o que você quer.

O NFC precisa do leitor. QR codes e Bluetooth LE não precisam de nada além do celular e do computador.

Uma sessão, três meios

Seja qual for o meio, o que trafega por ele é a mesma coisa: uma sessão criptografada de ponta a ponta (end-to-end) e com autenticação mútua (mutually authenticated) entre o desktop e o celular. Você pareia uma vez, com a leitura de um QR code e um código curto comparado nas duas telas. Depois disso, o meio é só um meio. Você pode alternar entre eles sem parear de novo, e a sessão não se importa se está indo por luz, rádio ou toque.

Não confiamos no meio. Pareamento Bluetooth, proximidade NFC e um QR code visível não são autenticação. A sessão é. Essa separação é o que nos permite oferecer conveniência sem baixar o nível, e é o tema do artigo sobre por que nunca confiamos no transporte.

Como escolher

Primeiro pareamento: QR. Transferências raras, grandes e cuidadosas: QR. Trabalho do dia a dia na mesa: Bluetooth LE. Um terminal ou quiosque em que cada assinatura deve ser um ato físico e visível: NFC. Um ambiente onde rádios não são permitidos: QR de novo. O celular e a carteira não se importam. Use o que fizer sentido.