Air-gapped Wallet

المحفظة تطبيق أو جهاز لاستقبال البيتكوين وإرساله. تستخدم آنا حاسوبها المحمول لتصفح الإنترنت، ولا تريد أن يحتفظ أيضًا بمفاتيحها الخاصة: المعلومات السرية التي تُنشئ بها توقيعات تسمح بإنفاق bitcoin. لذلك تقسّم العمل. يتابع برنامج الحاسوب المدفوعات ويُعدّ مدفوعات جديدة؛ وهذا هو المنسّق. يفحص جهاز منفصل المقترح ويوقّعه بعد موافقتها؛ وهذا هو جهاز التوقيع. يمكن أن تعمل Hardware Wallet، أي المحفظة العتادية، بهذه الطريقة. يصف air gap أساسًا الفصل وطريقة نقل البيانات، وليس صفة تلقائية لكل محفظة عتادية. لا يكفي إيقاف Wi-Fi مؤقتًا على حاسوب عادي؛ فالاتصالات الأخرى والبرنامج وإعادة الاتصال لاحقًا مع بقاء الأسرار في الجهاز أمور مهمة أيضًا. [3] [5]

تُدخل آنا المستلم والمبلغ في المنسّق. فيُعدّ PSBT، حزمة تضم مقترح المعاملة والمعلومات اللازمة لتوقيعها. تشمل هذه المعلومات بيانات UTXO، أي مخرجات مدفوعات سابقة لم تُنفق بعد. وهي مبالغ مستقلة تشير إليها مدخلات المعاملة الجديدة. تنقل آنا الحزمة إلى جهاز التوقيع، بمسح رمز QR مثلًا. يعالج الجهاز البيانات التي يدعمها ويضيف توقيعًا بعد الفحص والموافقة، ثم تعود النتيجة إلى الحاسوب. لا يمكن تجميع المعاملة المكتملة وإرسالها إلى الشبكة إلا بعد استيفاء شروط التوقيع المطلوبة. وهذا لا يعني أنها تأكدت في كتلة بعد. الكتلة مجموعة معاملات تُسجّل معًا في سجل معاملات Bitcoin العام. الذي يسافر في هذا المسار هو المقترح والتوقيع، لا المفتاح السري ولا نسخة المحفظة الاحتياطية. [1] [6]

لنفترض وجود مدخل بقيمة 100000 sat. وsat هي أصغر وحدة في bitcoin. تريد آنا إرسال 60000 sat، وإرجاع 39000 sat لنفسها، وترك 1000 sat كرسوم. للمبلغ المرتجع مخرج مستقل اسمه Change Output. يجب أن يتحقق الجهاز منه وفق المفاتيح وإعدادات المحفظة الصحيحة؛ فلا تكفي تسمية «الباقي» التي يرسلها الحاسوب. وتقارن آنا كذلك عنوان المستلم كاملًا والمبلغ والرسوم على شاشة جهاز التوقيع الموثوقة بما تنوي دفعه. يستطيع حاسوب مصاب اقتراح عنوان لشخص آخر مع إبقاء الحساب صحيحًا تمامًا. إذا وافقت آنا على المقترح، فلن يحمي فصل الجهازين أموالها. [1] [4]

رمز QR طريقة لتمثيل البيانات بصورة، وليس شهادة على سلامتها. يمكن نقل حزمة أكبر كسلسلة صور بتنسيق BBQr أو UR، ويجب أن يفهم الجهازان التنسيق نفسه. والبرنامج الذي يقرأ الصورة وPSBT قد يحتوي على أخطاء مثل أي برنامج آخر. الأهم هو التمييز بين QR المعاملة وSeedQR. فالأخير يحتوي على نسخة من معلومات سرية، لا على مقترح دفع. لذلك لا ينبغي عرضه أمام كاميرا حاسوب أو هاتف متصل. ما يحدد إمكان إخراج الرمز من البيئة المعزولة هو محتواه وغرضه، لا تشابهه مع مربعات أخرى. [2] [4]

تستخدم طريقة أخرى MicroSD: تحفظ آنا PSBT على البطاقة، وتضعها في جهاز التوقيع، ثم تعيد النتيجة. لا تحتاج إلى كابل شبكة، لكن الجهاز لا يزال يقرأ ملفًا خارجيًا. تعتمد السلامة على البرنامج الذي يعالجه، وعلى المتحكم ونظام الملفات اللذين يتوليان قراءة البيانات وتنظيمها. تساعد بطاقة مخصصة في الحفاظ على الترتيب، لكنها لا تضمن محتوى غير ضار. ويستحق مصدر الطاقة التدقيق نفسه. يمكن لـUSB نقل الكهرباء والبيانات معًا. إن كان مخصصًا للطاقة فقط، فيجب ألا يكون هناك مسار بيانات نشط فعلًا. عبارة «شحن» وحدها لا تثبت ذلك. [2] [3]

تُدرج COLDCARD تقنية NFC أيضًا ضمن طرق air gap لديها. NFC اتصال راديوي قصير المدى، بينما ينقل QR صورة، وتنقل MicroSD ملفًا على وسيط مادي. ليست هذه قنوات متماثلة. إذا كان المطلوب استبعاد الاتصال الراديوي، فإن NFC المفعّل لا يحقق الشرط. مع جهاز بعينه، من الأجدى معرفة القناة النشطة، ومتى تُفعّل، وما الذي يمكن أن يمر عبرها، بدل الاكتفاء بكلمة air-gapped. والاتصال الدائم لنقل البيانات عبر USB له حدود تختلف أيضًا عن حمل ملف يدويًا. [2]

يمكن أن يعمل المنسّق بوضع watch-only: يراقب المحفظة دون القدرة على توقيع دفعة بنفسه. قد يستخدم xpub، وهو مفتاح عام موسّع لاشتقاق مفاتيح عامة أخرى، أو Descriptor عامًا يصف المفاتيح وقواعد إنشاء العناوين. لا تسمح هذه البيانات وحدها بالإنفاق، لكنها قد تربط العناوين والمدفوعات بمحفظة واحدة. وقد يحتوي PSBT أيضًا على مفاتيح عامة ومسارات اشتقاقها ومعلومات UTXO. في Multisig، حيث تسمح مفاتيح متعددة بالإنفاق وفق قاعدة محددة، تهم الإعدادات الصحيحة لجميع المشاركين للاستعادة والتحقق من المبلغ المرتجع. لذلك لا يجعل عزل جهاز التوقيع الحاسوب مجهولًا، ولا يجعل استعلاماته الشبكية خاصة تلقائيًا. [1] [4]

تظل آنا بحاجة إلى Seed Phrase محفوظة بأمان، أي النسخة الاحتياطية بالكلمات، وإلى أي معلومات أخرى تتطلبها محفظتها. يحمّل SeedSigner الأسرار مؤقتًا؛ بعد إطفائه لا يمكن الاعتماد على ذاكرته كنسخة احتياطية. ولا يستبدل air gap البرنامج الثابت الموثوق، أي البرنامج داخل الجهاز، ولا مراجعة الدفعة. يحمي Secure Element جانبًا آخر بتصعيب بعض الهجمات على الشريحة نفسها. أما Cold Storage فيصف حفظ المفاتيح خارج البيئة المتصلة، ويصف air gap العمل بتوقيع منفصل. قبل الاعتماد على هذا الترتيب لمدخرات مهمة، من المفيد التدرب على النقل والتحقق والاستعادة بمفاتيح اختبار منفصلة. الهدف فهم كل خطوة، لا مجرد وضع أجهزة إضافية على الطاولة. [3] [4]