Три пути через зазор: QR-коды, Bluetooth LE и NFC

Почему три

Любой изолированный (air-gapped) кошелёк начинается с QR-кодов, и на то есть причины. Они оптические. Их видно глазами. Камеру нельзя уговорить что-то отправить обратно. Первое устройство подписи (signer) AirNox работало только с QR, и это кое-чему нас научило. Наведите телефон на монитор, дождитесь кадров, наведите веб-камеру на телефон, снова подождите. Два наведения на каждую подпись. Для одного перевода в месяц это нормально. Но когда за сессию нужно выдать разрешение на списание, сделать своп, депозит и клейм, люди начинают искать обходные пути, а из-за обходных путей безопасным способом и перестают пользоваться.

Удобство — не противоположность безопасности. Именно оно решает, будут ли люди и дальше пользоваться безопасным вариантом. Поэтому AirNox даёт три канала и оставляет выбор вам.

QR-коды

Компьютер показывает код, телефон его сканирует. Телефон показывает код, веб-камера его считывает. Длинные запросы, например вызов контракта, проигрываются анимированной последовательностью кодов, а прогресс видно на обоих экранах.

Это строгий воздушный зазор. Через него проходит только свет. Подходит для первого сопряжения (pairing), редких крупных переводов и помещений, где радио должно быть выключено. И как запасной вариант он всегда под рукой. Если вам нужна версия для пуристов, оставайтесь на QR — остальное в этой статье вас не касается.

Bluetooth Low Energy

Это канал для работы за столом. Телефон лежит рядом с клавиатурой. Приходит запрос, вы читаете экран телефона и нажимаете Accept («Принять»). После первого сопряжения ничего наводить не нужно.

Телефон работает как периферийное устройство и вещает на низкой мощности передатчика, поэтому его дальность — в пределах стола, так задумано. Он никогда не ищет другие устройства, и поэтому приложению не нужно разрешение на геолокацию. Низкая мощность нужна ради приватности и меньшей поверхности атаки. Секретность трафика обеспечивает не она. Это задача сессии, о которой рассказывают следующие статьи.

Bluetooth LE — для повседневной работы: сессии с dApp, много подписей подряд, всё, где телефон остаётся под рукой.

NFC

Касание. Телефон прикладывается к небольшому USB-ридеру у компьютера, и запрос проходит за время касания. Дальность — несколько сантиметров, так велит физика. Отдельного экрана сопряжения для самого канала нет. Жест выражает намерение так же, как прикладывание карты к терминалу, поэтому NFC естественно подходит для терминалов, киосков самообслуживания и общих рабочих мест, где на каждую подпись и нужно осознанное физическое действие.

Для NFC нужен ридер. QR-кодам и Bluetooth LE не нужно ничего, кроме телефона и компьютера.

Одна сессия, три канала

Какой бы канал вы ни выбрали, по нему идёт одно и то же: сессия между компьютером и телефоном со сквозным шифрованием (end-to-end) и взаимной аутентификацией (mutual authentication). Сопряжение делается один раз: сканирование QR-кода и короткий код, который вы сверяете на обоих экранах. После этого канал — просто канал. Между каналами можно переключаться без повторного сопряжения, и сессии всё равно, что её несёт: свет, радио или касание.

Каналу не доверяют. Сопряжение по Bluetooth, близость NFC и видимый QR-код — это не аутентификация. Аутентификация — это сессия. Именно это разделение позволяет нам дать удобство, не снижая планку, и ему посвящена статья о том, почему транспорту никогда не доверяют.

Как выбирать

Первое сопряжение — QR. Редкие, крупные, обдуманные переводы — QR. Ежедневная работа за столом — Bluetooth LE. Терминал или киоск, где каждая подпись должна быть видимым физическим действием, — NFC. Помещение, где радио запрещено, — снова QR. Телефону и кошельку всё равно. Пользуйтесь тем, что подходит.