O telemóvel guarda o seu próprio registo

Porque é que o assinador mantém um diário

Um assinador (signer) offline é o único dispositivo da configuração em cujo estado podes acreditar. Faz sentido que se lembre do que fez. O AirNox Vault mantém um diário durável e encriptado de todas as decisões tomadas no telemóvel: o que foi pedido, o que te foi mostrado e o que decidiste. É a versão dos acontecimentos do próprio assinador, independente de tudo o que o computador regista.

Se aparecer no teu histórico uma transação que não reconheces, o diário diz-te se este telemóvel alguma vez a assinou. Se um computador afirma estar emparelhado, o diário diz-te quando é que esse emparelhamento (pairing) aconteceu e por que meio. Se alguém experimentou palavras-passe no telemóvel enquanto estavas fora, o diário mostra-o.

O que fica registado

Cada assinatura, com o seu resultado: assinada, falhada, recusada, expirada, retirada pelo computador. Cada assinatura de mensagem, porque uma mensagem assinada pode autorizar tanto como uma transação. Cada emparelhamento com um computador, e cada vez que um foi esquecido. Cada carteira que criaste, importaste, renomeaste, eliminaste ou partilhaste com um computador. Cada endereço que verificaste no ecrã do telemóvel. Cada bloqueio após várias palavras-passe erradas.

Cada entrada guarda o que precisas para reconhecer a ação: a carteira, o computador de onde veio, o meio, a rede, o destinatário, o montante e os alertas que te foram mostrados na altura.

O que nunca fica registado

Nenhuma chave, nenhuma seed, nenhuma frase de recuperação (recovery phrase), nenhuma palavra-passe, nenhuns bytes de assinatura, e nada que possa servir para derivar qualquer um destes. O diário regista que assinaste, não a assinatura. Também deixa de fora o ruído técnico: tráfego de sincronização, lotes de endereços, ligações que se estabelecem e caem, falhas de transporte. Não são decisões, e um diário cheio delas esconderia as entradas que importam.

Escrito antes da assinatura

A ordem das operações é deliberada. Quando carregas em Accept (Aceitar), o telemóvel escreve primeiro a aprovação no diário. Só depois assina. Se a entrada no diário não puder ser escrita, nada é assinado, o computador é informado de que o pedido não pôde ser executado, e o ecrã explica-te porquê.

Isto significa que nunca pode faltar no diário uma assinatura que tenha acontecido. Não existe nenhum intervalo em que o telemóvel tenha assinado e depois não se tenha lembrado.

Durável

O diário só aceita novas entradas no fim (append-only). Nada nele é alguma vez editado, e não há nenhum botão para o limpar. Sobrevive à eliminação de uma carteira: as entradas do período em que essa carteira esteve em uso ficam, marcadas como pertencentes a uma carteira eliminada. Sobrevive também à mudança da palavra-passe da aplicação. E está encriptado em repouso no telemóvel, selado com o mesmo cuidado que as próprias seeds.

O tamanho é uma definição. Escolhes quantas entradas guardar e, quando o diário está cheio, as entradas mais antigas dão lugar às mais recentes. Mais nada remove uma entrada.

Fica no telemóvel

O diário nunca sai do dispositivo. Nunca é exportado, nunca é sincronizado e nunca é mostrado a um computador. Um computador não o pode pedir, porque não existe nenhum pedido que o devolva. Lês o diário no telemóvel, no ecrã Journal (Diário), com um filtro que mostra tudo ou apenas as entradas que importam: uma chave usada, uma alteração em quem pode pedir o quê a este telemóvel, uma carteira criada ou removida, ou um sinal de que alguém tentou entrar.

Um registo que vive apenas no assinador, escrito antes de cada assinatura, que nenhum outro dispositivo consegue ler nem alterar. Se alguma vez precisares de saber o que aconteceu realmente, é aqui que deves procurar.