Телефон веде власний журнал

Навіщо підписувачу (signer) журнал

Офлайн-підписувач — єдиний пристрій у цій схемі, стану якого можна вірити. Логічно, щоб він пам’ятав, що робив. AirNox Vault веде довговічний зашифрований журнал кожного рішення, ухваленого на телефоні: що було запитано, що вам показали і що ви вирішили. Це власна версія подій від підписувача, незалежна від усього, що записує комп’ютер.

Якщо у вашій історії з’являється транзакція, якої ви не впізнаєте, журнал скаже, чи підписував її цей телефон. Якщо комп’ютер стверджує, що його сполучено, журнал скаже, коли відбулося сполучення (pairing) і через який канал. Якщо хтось підбирав паролі до телефону, поки вас не було, журнал про це скаже.

Що потрапляє до журналу

Кожен підпис із результатом: підписано, не вдалося, відхилено, минув термін, відкликано комп’ютером. Кожен підпис повідомлення, бо підписане повідомлення може дозволити стільки ж, скільки транзакція. Кожне сполучення з комп’ютером і кожне його видалення. Кожен гаманець, яким ви поділилися з комп’ютером, який створили, імпортували, перейменували чи видалили. Кожна адреса, яку ви перевірили на екрані телефону. Кожне блокування після кількох неправильних паролів поспіль.

Кожен запис зберігає те, що потрібно, щоб упізнати дію: гаманець, комп’ютер, з якого прийшов запит, канал, мережу, отримувача, суму і попередження, які вам тоді показали.

Що туди не потрапляє ніколи

Жодного ключа, жодної сид-фрази (seed), жодної фрази відновлення (recovery phrase), жодного пароля, жодних байтів підпису і нічого, з чого можна було б вивести щось із цього. Журнал фіксує, що ви підписали, а не сам підпис. Він також оминає технічний шум: трафік синхронізації, пакети адрес, встановлення й розрив з’єднання, збої каналу. Це не рішення, і журнал, заповнений ними, сховав би записи, які мають значення.

Записано до підпису

Порядок дій навмисний. Коли ви натискаєте Accept (Прийняти), телефон спершу записує схвалення в журнал. Лише потім він підписує. Якщо запис у журнал зробити не вдалося, нічого не підписується, комп’ютер отримує повідомлення, що запит не вдалося виконати, а екран пояснює вам чому.

Тож жоден підпис, що відбувся, не зникне з журналу. Немає такого моменту, коли телефон уже підписав, а потім не зміг цього запам’ятати.

Довговічний

Журнал працює лише на дописування. У ньому ніколи нічого не редагується, і немає кнопки, щоб його очистити. Він переживає видалення гаманця: записи за період, коли цей гаманець використовувався, лишаються з позначкою, що вони належать видаленому гаманцю. Він переживає зміну пароля застосунку. На телефоні він зберігається в зашифрованому вигляді і захищений так само ретельно, як і самі сид-фрази.

Розмір задається в налаштуваннях. Ви обираєте, скільки записів зберігати, і коли журнал заповнюється, найстаріші записи поступаються місцем найновішим. Більше ніщо й ніколи запис не видаляє.

Лишається на телефоні

Журнал ніколи не залишає пристрій. Його ніколи не експортують, не синхронізують і не показують комп’ютеру. Комп’ютер не може його запросити, бо не існує запиту, який би його повертав. Ви читаєте його на телефоні, на екрані Journal (Журнал), з фільтром, що показує або все, або лише важливі записи: використання ключа, зміну того, хто й що може запитувати в цього телефону, створення чи видалення гаманця або ознаку того, що хтось намагався увійти.

Журнал, який живе лише на підписувачі, пишеться перед кожним підписом, і жоден інший пристрій не може його прочитати чи змінити. Якщо вам колись треба буде знати, що сталося насправді, — дивіться сюди.