Air-gapped Wallet은 서명 장치가 온라인 코디네이터와 일반적인 네트워크 연결을 갖지 않는 지갑 구성입니다. 개인 키 환경을 격리하지만 통제된 전송으로 거래 데이터를 받고 서명을 돌려줍니다.
비밀 저장소, 서명 장치, 온라인 코디네이터를 구분해야 합니다. 서로 다른 구성 요소일 수 있습니다. 코디네이터는 블록체인을 추적하고 결제를 준비하며 서명 장치는 이를 승인합니다. 일반 컴퓨터에서 Wi-Fi를 잠시 끄는 것은 영구 격리 환경의 증거가 아닙니다. air gap이라는 표시뿐 아니라 활성 인터페이스와 전체 운영 절차를 설명해야 합니다. [SeedSigner — Frequently Asked Questions]
코디네이터는 거래와 소비할 UTXO의 필수 정보를 담은 PSBT를 만듭니다. 서명 장치는 이를 읽고 지원하는 데이터를 검증한 뒤 서명을 추가하여 결과를 돌려줍니다. 필요한 서명이 모두 모이면 거래를 최종화하고 전파할 수 있습니다. PSBT 전송 자체는 서명, 최종화 또는 블록 확인이 아니며 시드를 온라인으로 보낼 필요도 없습니다. [BIP 174 — Partially Signed Bitcoin Transaction Format]
승인하기 전에 신뢰할 수 있는 서명 장치 화면의 수취인, 금액, 수수료를 자신의 의도와 대조하세요. Change Output은 올바른 지갑 키와 구성으로 검증해야 하며 호스트의 change 표기만으로는 부족합니다. 입력 100000 sat와 출력 60000 및 39000 sat는 수수료 1000 sat를 뜻하지만, 계산이 맞는 것만으로 주소 소유자를 확인할 수는 없습니다. [BIP 174 — Partially Signed Bitcoin Transaction Format] [SeedSigner — Independent Custody Guide]
QR은 데이터 인코딩이지 진위 증명이 아닙니다. BBQr이나 UR 같은 애니메이션 형식은 더 큰 내용을 전송하지만 양쪽이 같은 형식을 지원해야 합니다. 디코더와 PSBT 파서는 여전히 신뢰할 수 없는 입력을 처리합니다. 거래 QR과 SeedQR을 구분하세요. SeedQR은 비밀을 담으므로 온라인 컴퓨터나 휴대전화 카메라로 읽어서는 안 됩니다. [COLDCARD — Bitcoin Air-Gap Signing Methods] [SeedSigner — Independent Custody Guide]
MicroSD는 컨트롤러와 파일 시스템을 통해 파일을 운반하므로 그 처리와 펌웨어도 보안에 영향을 줍니다. 전용 카드는 파일 혼합을 줄이지만 PSBT가 무해함을 증명하지는 않습니다. 전원 전용 USB에는 실제로 활성 데이터 경로가 없어야 합니다. 케이블의 존재나 충전 표기만으로 격리 경계가 정해지지는 않습니다. [COLDCARD — Bitcoin Air-Gap Signing Methods] [SeedSigner — Frequently Asked Questions]
COLDCARD는 NFC를 air gap 전송 방식에 포함합니다. 그러나 NFC는 근거리 무선이지 광학적 격리가 아닙니다. 무선을 금지하는 위협 모델이라면 이 모드는 조건을 충족하지 못합니다. 실제 채널, 활성화, 연결 시간을 비교해야 합니다. QR, MicroSD, NFC, 지속적인 USB 데이터 연결은 서로 다른 인터페이스입니다. [COLDCARD — Bitcoin Air-Gap Signing Methods]
관찰 전용 코디네이터는 서명 능력 없이 xpub나 공개 Descriptor를 사용할 수 있습니다. 그래도 이 데이터는 주소와 거래 관계를 드러내며 PSBT에는 파생 경로, 공개 키, UTXO 정보가 담길 수 있습니다. Multisig에서는 복구와 주소 검증을 위해 모든 공동 서명자의 올바른 구성을 보관해야 합니다. 서명 장치의 네트워크 격리만으로 온라인 코디네이터의 활동이 숨겨지지는 않습니다. [BIP 174 — Partially Signed Bitcoin Transaction Format] [SeedSigner — Independent Custody Guide]
Air gap은 촬영된 Seed Phrase, 악성 펌웨어, 잘못된 결제 승인을 해결하지 못합니다. SeedSigner는 비밀 백업과 일시적으로 로드된 서명 장치를 분리하므로 전원을 끈 뒤에도 올바른 백업과 구성이 남아 있어야 합니다. 별도의 테스트 키로 복구와 전체 서명 흐름을 연습할 수 있습니다. 격리는 하나의 계층이며 장치와 복구 가능성 검증을 대체하지 않습니다. [SeedSigner — Frequently Asked Questions] [SeedSigner — Independent Custody Guide]
더 정확히 이해하려면 이 항목과 함께 다음도 읽어 보세요 Hardware Wallet, PSBT, Cold Storage, Seed Phrase, Output Descriptor, Multisig. 다음 항목에서도 이 글을 참조합니다 Cold Storage, Secure Element.