Три способи перетнути повітряний проміжок: QR-коди, Bluetooth LE і NFC

Чому три

Будь-який гаманець за повітряним проміжком (air-gapped) починається з QR-кодів, і на те є добрі причини. Вони оптичні. Їх видно. Камеру неможливо вмовити щось відправити назад. Перший підписувач (signer) AirNox працював тільки з QR-кодами, і це дечого нас навчило. Наведіть телефон на монітор, дочекайтеся кадрів, наведіть вебкамеру на телефон, знову зачекайте. Двічі на кожен підпис. Для одного переказу на місяць це нормально. Але коли в сесії є дозвіл на списання, обмін, депозит і клейм, люди починають шукати обхідні шляхи, а коли з’являються обхідні шляхи, безпечним способом просто перестають користуватися.

Зручність — не протилежність безпеки. Саме вона вирішує, чи люди й далі користуватимуться безпечним варіантом. Тому AirNox дає вам три канали і дозволяє обирати.

QR-коди

Комп’ютер показує код, телефон його сканує. Телефон показує код, вебкамера його зчитує. Довгі запити, як-от виклик контракту, передаються анімованою послідовністю кодів, а прогрес видно на обох екранах.

Це суворий повітряний проміжок. Через нього проходить лише світло. Підходить для першого сполучення (pairing), рідкісних великих переказів і приміщень, де радіо мусить бути вимкнене. І як запасний варіант він завжди під рукою. Якщо вам потрібна версія для пуристів, лишайтеся на QR, і решта цієї статті вас не стосується.

Bluetooth Low Energy

Цей канал — для роботи за столом. Телефон лежить біля клавіатури. Приходить запит, ви читаєте екран телефону, натискаєте Accept (Прийняти). Після першого сполучення нічого не треба наводити.

Телефон працює як периферійний пристрій і виходить в ефір із низькою потужністю передавача, тож його дальність — це стіл, і так задумано. Він ніколи не сканує інші пристрої, тому застосунку не потрібен дозвіл на геолокацію. Низька потужність — це про приватність і меншу поверхню атаки. Не вона тримає трафік у таємниці. Це завдання сесії, про яку розповідають наступні статті.

Bluetooth LE — для щоденного використання: сесії з dApp, багато підписів поспіль, усе, де телефон лишається під рукою.

NFC

Дотик. Телефон торкається невеликого USB-зчитувача, підключеного до комп’ютера, і запит переходить під час дотику. Дальність — кілька сантиметрів, так влаштована фізика. Для самого каналу немає екрана сполучення. Жест виражає намір так само, як дотик карткою до термінала, тож NFC природно пасує для терміналів, кіосків і спільних робочих місць, де свідома фізична дія на кожен підпис — саме те, що потрібно.

Для NFC потрібен зчитувач. Для QR-кодів і Bluetooth LE не потрібно нічого, крім телефону й комп’ютера.

Одна сесія, три канали

Хоч який канал ви використовуєте, ним передається одне й те саме: наскрізно зашифрована (end-to-end) сесія із взаємною автентифікацією (mutual authentication) між комп’ютером і телефоном. Ви сполучаєте пристрої один раз — скануванням QR-коду і коротким кодом, який звіряєте на обох екранах. Після цього канал — просто канал. Між каналами можна перемикатися без повторного сполучення, і сесії байдуже, чим вона передається: світлом, радіо чи дотиком.

Каналу не довіряють. Сполучення Bluetooth, близькість NFC і видимий QR-код — це не автентифікація. Автентифікація — це сесія. Саме це розділення дає нам змогу пропонувати зручність, не знижуючи планки, і саме йому присвячено статтю про те, чому каналу передачі ніколи не довіряють.

Як обрати

Перше сполучення: QR. Рідкісні, великі, обережні перекази: QR. Щоденна робота за столом: Bluetooth LE. Термінал чи кіоск, де кожен підпис має бути видимою фізичною дією: NFC. Приміщення, де радіо заборонене: знову QR. Телефону й гаманцю все одно. Користуйтеся тим, що пасує.