에어갭(망 분리)

에어 갭은 서명 장치가 인터넷으로 통하는 경로가 전혀 없다는 뜻이며, 옆에 있는 기기를 거치는 경로도 없습니다. 이를 가능하게 하는 표준은 부분 서명 비트코인 트랜잭션인 BIP-174이며, 이는 2018년 10월에 Bitcoin Core 0.17에 포함되어 배포되었습니다. 개인 보유자에게는 출금할 때마다 약 1분이 추가될 뿐이고, 한 부류의 원격 공격을 통째로 없애 줍니다.

작동 방식

에어 갭 구성에서는 두 대의 기기가 작업을 나눕니다. 연결된 기기는 사용자의 주소를 알고 있으며, 스스로는 승인할 권한이 없는 트랜잭션의 초안을 작성합니다. 격리된 기기는 키를 보관하고, 무선도 데이터 케이블도 없으며, 사용자가 직접 손으로 가져다 주는 것 외에는 아무것도 받아들이지 않습니다.

흔히 쓰이는 전송 경로는 세 가지이며, 공격자가 무엇을 건드릴 수 있는지가 서로 다릅니다.

microSD 카드는 초안을 파일로 전달합니다. 큰 트랜잭션에는 가장 빠른 경로이며, 보통 같은 슬롯으로 펌웨어 업데이트도 들어오는데, 바로 이 점 때문에 이 카드는 의심할 만합니다. 카드에 들어 있는 것은 무엇이든 사용자의 키 바로 옆에서 실행되는 코드가 해석하기 때문입니다.

애니메이션 QR 코드는 같은 바이트를 빛으로 전달합니다. 서명 장치의 카메라가 각각 조각을 담은 프레임의 연속을 읽으며, 이는 여러 제조사가 서로의 출력을 읽을 수 있도록 Blockchain Commons가 공개한 Uniform Resources 방식으로 인코딩됩니다. 정지 이미지 1장으로는 멀티시그 트랜잭션 전체를 담을 수 없으므로, 카메라가 전체 세트를 모을 때까지 화면이 반복 재생됩니다.

NFC 탭은 정의의 경계에 놓입니다. 거리는 센티미터 단위이고 통신은 의도적으로 이루어지지만, 무선은 여전히 무선이며, 격리된 서명 장치를 산 이유가 무선을 없애기 위해서였다면 하나를 켜 둔 채로 두는 것은 그 이유를 무효로 만듭니다.

반대 방향으로 돌아오는 것은 서명된 트랜잭션이며, 이는 어차피 브로드캐스트되는 순간 공개됩니다. 비밀은 결코 돌아오는 길을 거치지 않으므로, 연결된 기기가 완전히 감염되어 있어도 결과는 달라지지 않습니다.

확인할 수 있는 곳

에어 갭을 중심으로 설계된 기기로는 microSD 카드로 왕복을 완료하는 Coldcard, 포트 대신 카메라와 화면을 쓰는 Foundation Passport와 Keystone, Blockstream Jade, 그리고 세션 사이에 아무것도 저장하지 않고 사용할 때마다 단어를 다시 불러오는 Raspberry Pi Zero 기반의 자작 조립품인 SeedSigner가 있습니다.

에어 갭을 값어치 있게 만드는 습관은 배선과 아무 관련이 없습니다. 승인하기 전에 격리된 기기의 자체 화면에서 목적지 주소와 잔돈 출력을 확인하십시오. 에어 갭은 키가 복사되는 것을 막을 뿐이며, 조용히 다른 사람에게 지급하는 초안에는 아무 효과가 없는데, 이것이 일반 보유자가 실제로 마주치는 공격입니다.

실용적인 참고 사항 두 가지입니다. 수신에는 서명 장치가 전혀 필요하지 않습니다. 새 주소를 도출하는 데는 공개 정보만 쓰이므로, 결제가 들어오는 동안 기기는 몇 년이고 서랍에 놓여 있을 수 있습니다. 그리고 구매하기 전에 사용자의 코디네이터 소프트웨어가 사용자의 기기가 쓰는 전송 방식을 지원하는지 확인하십시오. 제조사 간에 호환되지 않는 QR 인코딩은 새로 구성한 환경이 주말을 지나 조용히 방치되는 가장 흔한 이유입니다.

에어 갭으로 얻지 못하는 것

에어 갭은 사용자의 키로 가는 한 경로를 닫을 뿐 여러 다른 경로는 활짝 열어 두며, 격리된 서명 장치에 막 돈을 쓴 사람들이 이를 잊을 가능성이 가장 큽니다.

백업에는 아무 효과가 없습니다. 열두 개 또는 스물네 개의 단어가 곧 키이므로, 휴대폰으로 사진을 찍은 시드, 비밀번호 관리자에 입력한 시드, 자신에게 이메일로 보낸 시드는 기기가 어떻게 배선되어 있든 이미 에어 갭을 벗어난 것입니다. 이 단계에서 발생하는 손실 대부분은 추출 공격이 아니라 백업 손실입니다.

감염된 채로 도착한 기기에는 아무 효과가 없습니다. 마켓플레이스 재판매업자에게서 산 서명 장치, 또는 복구 문구가 이미 담긴 카드와 함께 배송된 서명 장치는 공급망 문제이며, 아무리 격리해도 다른 사람이 생성한 키를 고칠 수는 없습니다. 제조사에서 구매하고 기기가 자체적으로 단어를 생성하게 하십시오.

사용자가 잘못된 트랜잭션을 승인하는 것에는 아무 효과가 없습니다. 연결된 기기의 코디네이터가 조작되었다면 그것이 건네는 초안은 공격자에게 지급할 수 있으며, 격리된 기기는 사용자가 확인한 그대로 서명합니다. 서명 장치의 화면은 이 사슬에서 마지막으로 정직한 표면이며, 그래서 그 화면에서 주소를 읽는 것은 선택 사항이 아닙니다.

그리고 강압에는 아무 효과가 없으며, 기기와 백업을 같은 서랍에서 발견한 사람에게도 마찬가지입니다. 그것은 패스프레이즈나 멀티시그의 문제이지 배선의 문제가 아닙니다.

에어 갭 vs 콜드 스토리지

에어 갭은 기기가 어떻게 배선되어 있는가에 관한 사실이고, 콜드 스토리지는 키가 어떻게 살아왔는가에 관한 사실입니다. 둘은 양방향으로 갈라집니다. USB 케이블로 연결된 하드웨어 지갑은 콜드 스토리지에 해당하지만 에어 갭은 아닙니다. 케이블이 연결되어 있는 동안에도 비밀은 칩 경계를 넘지 않기 때문입니다. 기존 복구 문구를 한 번 입력했던 오프라인 노트북은 에어 갭이지만 결코 콜드였던 적이 없습니다. 그 단어들은 이미 다른 곳에 있었기 때문입니다. 에어 갭은 콜드 스토리지 안에서 선택할 수 있는 하나의 업그레이드로, 잔액이 추가 단계를 정당화할 때 합리적인 것으로 보십시오. 콜드 스토리지의 또 다른 이름으로 보지 마십시오.