Un portafoglio air gapped in undici passaggi: che cosa attraversa ogni codice ottico, i quattro controlli sullo schermo isolato e i limiti dello schema.
Donald Trung Quoc Don (Chữ Hán: 徵國單) – Wikimedia Commons – © CC BY-SA 4.0 International . / CC BY-SA 4.0
Sul tavolo ci sono due apparecchi che non si toccano. Uno è collegato alla rete e prepara la transazione; l’altro non ha mai visto un cavo dati né una rete senza fili, e custodisce la chiave. Fra i due passa soltanto luce: un quadrato bianco e nero mostrato su uno schermo e letto da una fotocamera.
Non è una precauzione teatrale. Nella maggior parte degli svuotamenti documentati la chiave non è stata estratta da un dispositivo di firma: è stato l’operatore ad autorizzare, davanti a una schermata che mostrava una cosa e ne faceva un’altra. Togliere ogni canale dati riduce le vie d’ingresso e obbliga a leggere quello che si sta firmando.
Quello che segue descrive come si costruisce una postazione di questo tipo, che cosa viaggia esattamente in ciascun codice e quali controlli fare a ogni passaggio. Riguarda la procedura di custodia e la verifica tecnica, non che cosa detenere né dove.
L’occorrente e i tempi, in sintesi
- Due apparecchi separati. Uno collegato, che prepara e trasmette; uno permanentemente isolato, che firma e non fa altro.
- Nessun cavo, nessuna radio. L’unico canale è ottico e unidirezionale in ciascuna delle due direzioni: uno schermo mostra, una fotocamera legge.
- Tre oggetti in transito. La chiave pubblica estesa all’inizio, la transazione non firmata all’andata, la transazione firmata al ritorno.
- Un’ora la prima volta. Configurazione iniziale e verifica degli indirizzi; dalle volte successive una firma richiede pochi minuti.
- Il controllo che regge tutto. Indirizzo di destinazione, importo, commissione e indirizzo di resto letti sullo schermo isolato, non su quello collegato.
Che cosa significa davvero assenza di collegamento
La definizione corrente parla di un dispositivo che non ha connessione, e detta così è vaga. Nella pratica servono tre condizioni insieme, e la mancanza di una qualsiasi delle tre riporta il problema al punto di partenza.
La prima è l’assenza di interfacce dati attive: nessuna porta usata per lo scambio di file, nessuna radio a corto raggio, nessun modulo di rete. Molti apparecchi di firma usano la porta soltanto per l’alimentazione, e alcuni la disattivano del tutto quando funzionano a batteria.
La seconda è che il dispositivo non abbia mai avuto un collegamento, nemmeno durante la configurazione iniziale. Un apparecchio inizializzato una volta sola su un computer collegato non è isolato: è un apparecchio che ha avuto un contatto e ora non lo ha più, il che è un’altra cosa.
La terza è che il canale ottico resti l’unico previsto. Se il dispositivo accetta anche una scheda di memoria rimovibile, quella diventa una via alternativa, e la sicurezza dell’insieme si misura sulla via più debole, non su quella preferita da chi la usa.
Come si costruisce un portafoglio air gapped, componente per componente
Un portafoglio air gapped non è un singolo oggetto ma una coppia di ruoli, e conviene descriverli separatamente perché le loro esigenze sono opposte.
Il primo ruolo è il firmatario. Custodisce il segreto, ha uno schermo abbastanza grande da mostrare un indirizzo per intero, una fotocamera e nient’altro. Non conosce i saldi, non consulta la catena, non sa quanto vale ciò che firma: riceve una richiesta, la mostra e la firma se l’operatore conferma.
Il secondo ruolo è l’osservatore. Vive sul dispositivo collegato, conosce le chiavi pubbliche e quindi gli indirizzi e i saldi, costruisce le transazioni e le trasmette alla rete. Non ha alcun segreto: se viene compromesso, chi lo controlla vede quanto c’è e può proporre transazioni, ma non può firmarne nessuna.
Fra i due c’è il ponte ottico, che è l’unico elemento davvero specifico di questo schema. Nella direzione di andata trasporta una richiesta di firma, in quella di ritorno una firma. In nessuna delle due direzioni transita mai il segreto, ed è questa asimmetria a rendere accettabile l’uso di un dispositivo collegato per la parte restante del lavoro.
Il viaggio della transazione, dal primo codice all’ultimo
Il primo trasferimento avviene una volta sola, alla configurazione. Il firmatario mostra la propria chiave pubblica estesa, cioè il dato che permette di generare tutti gli indirizzi di ricezione senza poter firmare nulla. L’osservatore la legge e da quel momento sa dove guardare sulla catena.
Il secondo trasferimento si ripete a ogni operazione. L’osservatore costruisce una transazione incompleta: contiene gli ingressi da spendere, le destinazioni, gli importi, la commissione e le informazioni necessarie a chi dovrà firmare, ma non le firme. Il formato è descritto da specifiche pubbliche, così che due programmi diversi possano scambiarsi lo stesso documento.
Il terzo trasferimento è il ritorno. Il firmatario aggiunge le firme e restituisce la transazione completa, sempre attraverso lo schermo. L’osservatore la verifica, la trasmette alla rete e ne conserva l’identificativo. Il segreto non ha attraversato nulla in nessuno dei tre momenti.
La procedura completa in undici passaggi
L’ordine conta. Ogni passaggio produce un esito osservabile e, se non lo produce, la procedura si ferma lì.
- Inizializza il dispositivo di firma senza collegarlo a nulla, generando il segreto sul dispositivo stesso e mai su un computer.
- Annota la frase di recupero sul supporto scelto e verificala prima di trasferire qualunque importo, con una prova di ripristino su un secondo apparecchio.
- Sul dispositivo di firma, apri la funzione di esportazione della chiave pubblica estesa e visualizza il codice corrispondente.
- Inquadra quel codice con l’applicazione osservatrice sul dispositivo collegato e completa l’importazione in sola lettura.
- Genera il primo indirizzo di ricezione su entrambi gli apparecchi e confrontali carattere per carattere, compresa la parte centrale.
- Invia un importo minimo di prova e verifica che l’osservatore lo registri sull’indirizzo atteso.
- Costruisci la transazione di prova sull’osservatore, indicando destinazione, importo e commissione, e mostra il codice della transazione non firmata.
- Leggi quel codice con la fotocamera del dispositivo di firma e attendi che l’apparecchio ne mostri il contenuto interpretato.
- Verifica sullo schermo isolato l’indirizzo di destinazione, l’importo, la commissione e l’indirizzo di resto, e conferma soltanto se le quattro voci coincidono con l’intenzione.
- Mostra il codice della transazione firmata e leggilo con il dispositivo collegato, che ricompone il documento completo.
- Trasmetti la transazione, annota l’identificativo e riponi il dispositivo di firma spento, senza lasciarlo collegato all’alimentazione.
Il sesto passaggio è quello che quasi tutti saltano. Una prova con importo minimo costa una commissione e verifica l’intera catena, dal codice letto alla trasmissione: farla dopo aver trasferito una somma rilevante significa scoprire un errore quando non serve più.
Che cosa contiene il codice non firmato
Vale la pena sapere che cosa si sta mostrando, perché il contenuto determina anche la dimensione del codice e quindi il numero di quadrati da inquadrare.
Il documento contiene l’elenco degli ingressi che si vogliono spendere, con l’indicazione della transazione precedente da cui provengono e dell’importo corrispondente; l’elenco delle uscite, cioè destinazioni e importi; la commissione, che è la differenza fra la somma degli ingressi e quella delle uscite; e i percorsi di derivazione che dicono al firmatario quale chiave usare per ciascun ingresso.
La voce meno intuitiva è l’importo degli ingressi. Serve al dispositivo isolato per calcolare la commissione, perché senza quel dato non potrebbe dedurla: non ha accesso alla catena e non può verificare da solo quanto valgono le monete che sta spendendo. È anche il motivo per cui un documento malformato può indurre un firmatario disattento ad approvare una commissione molto superiore a quella prevista.
I controlli sullo schermo che non si possono delegare
Lo schermo del dispositivo isolato è l’unica superficie di cui ci si può fidare, perché è l’unica che non dipende dal computer collegato. Quattro voci vanno lette lì e solo lì.
L’indirizzo di destinazione va confrontato con quello atteso su tutta la lunghezza. Il controllo sui primi e sugli ultimi caratteri è quello che un indirizzo fabbricato per somigliare all’originale supera senza difficoltà, ed è un attacco che si esegue con potenza di calcolo ordinaria.
L’importo va letto per intero, con attenzione alla posizione della virgola e all’unità di misura, che alcuni apparecchi mostrano in sottomultipli. La commissione va confrontata con l’ordine di grandezza abituale: un valore dieci volte superiore al solito è il segnale che qualcosa nella costruzione della transazione non corrisponde all’intenzione.
L’indirizzo di resto è la voce che nessuno guarda ed è quella dove si perde di più. In una transazione tipica la parte non spesa torna a un indirizzo controllato dallo stesso portafoglio, e il dispositivo isolato è in grado di riconoscerlo come proprio. Se lo segnala come esterno, la parte non spesa sta uscendo, e l’operazione va interrotta. Sono controlli che si integrano con le altre pratiche di protezione delle chiavi e dei supporti.
Tre vie di trasferimento a confronto
| Canale | Che cosa attraversa | Superficie esposta | Limite pratico |
|---|---|---|---|
| Codice ottico | Solo dati interpretati dal lettore | Fotocamera e programma di decodifica | Poco meno di tremila byte per codice |
| Scheda di memoria | File su un supporto rimovibile | Gestione del volume e del sistema di file | Il supporto viaggia fisicamente fra i due apparecchi |
| Cavo dati | Flusso bidirezionale continuo | Pila di driver del dispositivo collegato | Nessun isolamento reale |
La riga centrale merita una precisazione, perché viene spesso presentata come equivalente alla prima. Un supporto rimovibile trasporta un file dentro un sistema di file, e il programma che lo legge deve interpretare entrambi: sono due livelli di analisi invece di uno. Resta comunque molto più isolato di un cavo, e su alcuni apparecchi è l’unica opzione disponibile.
La prima riga non è priva di rischio. Il codice viene decodificato da un programma, e un programma è codice: un documento costruito apposta può cercare di sfruttarne i difetti. La differenza è la quantità di codice esposto, che nel caso ottico è molto ridotta rispetto a una pila di driver completa.
I limiti del codice ottico: dimensione e frammentazione
Un codice a matrice della versione più capiente contiene poco meno di tremila byte in modalità binaria, e circa quattromilatrecento caratteri se il contenuto è limitato a cifre e lettere maiuscole. Sono cifre di specifica, non stime: fissano il tetto oltre il quale un solo quadrato non basta.
Una transazione con pochi ingressi rientra comodamente. Una transazione che ne raccoglie decine, oppure una che include dati aggiuntivi, supera il limite e va suddivisa in una sequenza di codici mostrati uno dopo l’altro. La lettura diventa più lenta e più soggetta a errori, e alcune applicazioni riducono la densità per rendere l’inquadratura più stabile, il che allunga ancora la sequenza.
Le conseguenze pratiche sono due. La prima è che conviene evitare transazioni con troppi ingressi, raggruppandoli in anticipo in momenti di commissioni contenute. La seconda è che la sequenza va mostrata in un ambiente illuminato in modo uniforme, senza riflessi sullo schermo: buona parte delle letture fallite dipende dalla luce, non dal software.
Gli errori ricorrenti alla prima transazione
Chi allestisce la postazione per la prima volta incontra quasi sempre uno di cinque ostacoli, e nessuno dei cinque compromette i fondi se ci si ferma in tempo.
Il primo è lo schema di indirizzi diverso fra i due apparecchi: l’osservatore genera indirizzi di un formato, il firmatario di un altro, e il confronto del quinto passaggio fallisce. Si risolve allineando il ramo di derivazione, non ripetendo l’importazione.
Il secondo è la lettura interrotta a metà di una sequenza, che va ricominciata dal primo codice. Il terzo è la fotocamera che non mette a fuoco a distanza ravvicinata, risolto allontanando gli apparecchi di una decina di centimetri.
Il quarto è la commissione impostata su un valore predefinito inadatto al momento, che rende la trasmissione molto lenta o molto costosa. Il quinto è la tentazione di collegare il dispositivo di firma al computer per aggiornarlo, che annulla in un istante l’intera premessa: l’aggiornamento, quando l’apparecchio lo consente, va condotto per la stessa via ottica o tramite supporto rimovibile, verificando la firma del pacchetto. È il genere di scorciatoia che compare spesso negli schemi di raggiro più diffusi, presentata come assistenza tecnica.
Che cosa questo schema non protegge
L’isolamento risolve una classe di problemi e ne lascia intatte altre tre, e conviene dirlo con chiarezza perché la fiducia mal riposta è essa stessa un rischio.
Non protegge dalla firma consapevole di una richiesta dannosa. Se l’operatore approva senza leggere, il dispositivo isolato firma esattamente ciò che gli viene chiesto: l’isolamento sposta la decisione su uno schermo affidabile, non la prende al posto di nessuno. Sulle catene basate su conti, dove la richiesta è spesso una chiamata a un contratto, il problema si aggrava, perché molti apparecchi mostrano soltanto un valore sintetico e non il significato dell’operazione.
Non protegge dalla perdita del segreto. Un dispositivo isolato che si rompe, si smarrisce o viene sottratto lascia i fondi accessibili solo attraverso la copia di riserva, che quindi resta la parte più delicata dell’insieme.
Non protegge dalla catena di fornitura. Un apparecchio manomesso prima della consegna è compromesso in partenza, e nessuna procedura successiva lo rimedia: si riducono le probabilità acquistando dal canale ufficiale e verificando l’integrità della confezione e del firmware alla prima accensione. Le raccomandazioni generali sulla gestione dei dispositivi e dei supporti pubblicate dall’agenzia europea per la cibersicurezza restano applicabili anche qui, mentre le specifiche pubbliche del formato di transazione condivisa sono raccolte nel repository dei documenti di riferimento. Chi si avvicina ora alla materia trova nella panoramica introduttiva il vocabolario minimo per seguire la procedura.
Domande frequenti
Serve davvero un secondo apparecchio dedicato?
Serve un dispositivo che non abbia mai avuto un collegamento e che non ne abbia bisogno per funzionare. Può essere un apparecchio di firma con fotocamera oppure un telefono dismesso, purché venga azzerato, tenuto senza scheda telefonica e con le interfacce radio disattivate in modo permanente. Un apparecchio usato anche per altro non rientra nella definizione.
La fotocamera non è a sua volta una via d’ingresso?
È una via d’ingresso di dati, non di comandi, e trasporta soltanto ciò che il programma di decodifica riesce a interpretare. La superficie esposta è molto più piccola di quella di un collegamento dati, ma non è nulla: per questo conta che il programma sia aggiornato e che il dispositivo mostri sempre il contenuto interpretato prima di firmare.
Che cosa succede se il dispositivo isolato si guasta?
I fondi non sono nel dispositivo, sono sulla catena, e si recuperano dalla frase di recupero su un altro apparecchio. Per questo la prova di ripristino va fatta prima di trasferire importi rilevanti e ripetuta con regolarità: senza quella verifica il guasto diventa una perdita.
Posso usare lo stesso schema per operazioni su contratti?
Tecnicamente sì, e il canale funziona allo stesso modo. Il limite è la leggibilità: quando la richiesta è una chiamata a un contratto, molti apparecchi mostrano un valore sintetico invece del significato, e la verifica sullo schermo perde gran parte del suo valore. Vanno preferiti gli apparecchi che interpretano la richiesta e la mostrano in forma comprensibile.
Quanto tempo richiede una firma dopo la configurazione?
Da due a cinque minuti nella maggior parte dei casi, quasi tutti impiegati nella lettura delle quattro voci sullo schermo isolato. Le sequenze lunghe di codici aggiungono un minuto. È un attrito voluto: rende scomode le operazioni frequenti e sostenibili quelle rilevanti.
Due schermi e una fotocamera non rendono nessuno inattaccabile. Spostano la difesa in un punto che una persona può presidiare davvero: quattro righe da leggere su un apparecchio che nessuno può raggiungere da lontano.
