Três formas de atravessar o air gap: códigos QR, Bluetooth LE e NFC

Porquê três

Todas as carteiras com air gap começam pelos códigos QR, e por boas razões. São óticos. Consegues vê-los. Não há maneira de convencer uma câmara a enviar alguma coisa de volta. O primeiro assinador (signer) da AirNox só usava QR, e isso ensinou-nos uma coisa. Aponta-se o telemóvel ao monitor e espera-se pelas imagens, depois aponta-se a webcam ao telemóvel e espera-se outra vez. Duas vezes por assinatura. Para uma transferência por mês, tudo bem. Para uma sessão com uma aprovação, um swap, um depósito e um resgate, as pessoas começam a procurar atalhos, e é pelos atalhos que o caminho seguro deixa de ser o que as pessoas usam.

A comodidade não é o contrário da segurança. É ela que decide se as pessoas continuam a usar a opção segura. Por isso a AirNox dá-te três meios e deixa-te escolher.

Códigos QR

O computador mostra um código e o telemóvel digitaliza-o. O telemóvel mostra um código e a webcam lê-o. Os pedidos longos, como uma chamada a contrato, passam como uma sequência animada de códigos, e o progresso aparece nos dois ecrãs.

Este é o air gap estrito. Só a luz atravessa. É a escolha certa para o primeiro emparelhamento (pairing), para transferências grandes e raras e para salas onde os rádios têm de ficar desligados. Está também sempre disponível como alternativa. Se queres a versão purista, fica pelo QR, e nada mais neste artigo se aplica a ti.

Bluetooth Low Energy

Este é o meio para a secretária. O telemóvel fica ao lado do teclado. Chega um pedido, lês o ecrã do telemóvel, carregas em Accept (Aceitar). Depois do primeiro emparelhamento, não há nada para apontar.

O telemóvel funciona como periférico e anuncia-se com baixa potência de transmissão, por isso o seu alcance é a secretária, de propósito. Nunca procura outros dispositivos, e é por isso que a aplicação não precisa de permissão de localização. A baixa potência serve a privacidade e uma superfície de ataque menor. Não é ela que mantém o tráfego secreto. Essa é a função da sessão, de que tratam os próximos artigos.

O Bluetooth LE é para o uso diário: sessões com dApps, muitas assinaturas seguidas, tudo o que mantenha o telemóvel ao alcance da mão.

NFC

Um toque. O telemóvel encosta a um pequeno leitor USB ligado ao computador, e o pedido atravessa durante o toque. O alcance é de poucos centímetros, por força da física. Não há ecrã de emparelhamento para o meio em si. O gesto declara a intenção, tal como encostar um cartão a um terminal, o que faz do NFC a escolha natural para terminais, quiosques e secretárias partilhadas, onde uma ação física deliberada por cada assinatura é exatamente o que se quer.

O NFC precisa do leitor. Os códigos QR e o Bluetooth LE não precisam de mais nada além do telemóvel e do computador.

Uma sessão, três meios

Seja qual for o meio que usas, o que viaja nele é sempre o mesmo: uma sessão encriptada de ponta a ponta (end-to-end) e com autenticação mútua (mutually authenticated) entre o computador e o telemóvel. Emparelhas uma vez, com a leitura de um código QR e um código curto comparado nos dois ecrãs. A partir daí, o meio é só um meio. Podes alternar entre eles sem voltar a emparelhar, e à sessão tanto lhe faz se viaja por luz, por rádio ou num toque.

O meio não é de confiança. O emparelhamento Bluetooth, a proximidade NFC e um código QR visível não são autenticação. A sessão é. É essa separação que nos permite oferecer comodidade sem baixar a fasquia, e é o tema do artigo sobre porque é que o transporte nunca é de confiança.

Como escolher

Primeiro emparelhamento: QR. Transferências raras, grandes e cuidadosas: QR. Trabalho do dia a dia à secretária: Bluetooth LE. Um terminal ou quiosque onde cada assinatura deve ser um ato físico e visível: NFC. Uma sala onde os rádios não são permitidos: QR outra vez. Ao telemóvel e à carteira tanto faz. Usa o que for mais adequado.