O transporte nunca é de confiança

Os meios não são credenciais

O emparelhamento (pairing) Bluetooth prova que dois dispositivos passaram por um ritual de emparelhamento. A proximidade NFC prova que alguma coisa esteve a poucos centímetros de um leitor. Um código QR prova que uma câmara viu um padrão. Nada disso prova quem está do outro lado, e cada um destes meios já foi atacado publicamente: escutas, redução forçada da robustez das chaves, um toque retransmitido de um extremo ao outro de uma cidade com dois telemóveis comuns.

Por isso, tratamos os três como hostis. Qualquer um pode ser escutado, receber mensagens injetadas ou ver as suas mensagens retransmitidas. Nada do que o meio afirma é tomado como prova do que quer que seja.

Emparelhar uma vez

A confiança estabelece-se uma vez, quando emparelhas o computador e o telemóvel. O computador mostra um código QR e o telemóvel digitaliza-o. Depois, os dois ecrãs mostram um código curto e tu comparas os dois. Se coincidirem, os dois dispositivos acordaram chaves que nenhum meio alguma vez viu, e cada um passa a conhecer a identidade do outro. Se não coincidirem, houve alguma coisa no meio, e paras aí.

Essa comparação é o único momento em que um ser humano verifica o canal, e é o momento que conta. Tudo o que vem depois herda a confiança que estabeleceste com os teus próprios olhos.

A sessão

Depois do emparelhamento, todas as mensagens entre o computador e o telemóvel viajam dentro de uma sessão que pertence à carteira. É encriptada de ponta a ponta (end-to-end), por isso um meio que esteja a ser escutado não deixa escapar mais do que ruído. Tem autenticação mútua (mutual authentication), por isso cada lado sabe que a mensagem veio do dispositivo com que emparelhou e não de algo que se faz passar por ele. Está ligada ao meio em que corre, por isso uma mensagem capturada num caminho não pode ser repetida noutro.

A sessão assenta num desenho de handshake moderno e bem estudado, do tipo usado por túneis seguros com grande implantação. Não improvisamos criptografia.

O que é descartado

Se uma mensagem for alterada pelo caminho, falha a autenticação e é descartada. Se for repetida, chega fora de sequência e é descartada. O mesmo acontece à que chega fora de ordem. E uma mensagem de um dispositivo que não seja o emparelhado nunca passa do handshake. Em todos os casos, o telemóvel não mostra nada para assinar, porque não chegou nada válido.

É por isso que a comodidade do Bluetooth LE e do NFC não custa nada em segurança. O meio pode ser tão fraco quanto quiser. Saber se o rádio por baixo é seguro é uma pergunta a que nunca precisamos de responder.

Sobre qualquer meio, a mesma sessão

A sessão não sabe se está a viajar por luz, por rádio ou num toque. Podes emparelhar por QR e depois usar Bluetooth LE no trabalho diário e NFC num terminal, sempre sem voltar a emparelhar. Mudar de meio não altera aquilo em que se confia, porque o meio nunca foi de confiança, para começar.

Continua a ser um air gap?

Os puristas dizem que um air gap significa só luz. Não vamos discutir a palavra. Se queres a versão estrita, usa códigos QR e mais nada; está sempre disponível. A propriedade que nos importa está por baixo da palavra: o dispositivo que guarda as chaves não tem caminho para a internet, e as únicas coisas que alguma vez atravessam são um pedido que o telemóvel descodifica por si próprio e uma assinatura que ele escolheu produzir. Uma sessão sobre Bluetooth LE preserva essa propriedade. O que acrescenta é que continuas a usá-la.