Un registro de vuelo solo vale algo si puede confiar en que no ha sido manipulado, y eso importa aún más en récords y competiciones. El Nano está diseñado para que los datos que produce puedan demostrarse auténticos, y para que su funcionamiento no pueda alterarse sin que se note.
Dos técnicas criptográficas bien consolidadas hacen el trabajo principal: el cifrado AES-256 protege el firmware, y una firma digital Ed25519 protege cada registro de vuelo.
Registros de vuelo firmados (Ed25519)
Cada registro de vuelo que guarda el Nano se sella con una firma digital Ed25519, un esquema moderno que se usa para proteger el tráfico web, el acceso por SSH y aplicaciones de mensajería como Signal.
Una huella. SHA-256 lee el registro completo y lo reduce a un único valor de 256 bits. Cambie un solo carácter en cualquier parte del archivo y la huella resulta completamente distinta.
Una firma. El Nano firma esa huella con una clave privada guardada en su firmware cifrado. Una firma válida solo puede generarse con la clave privada, pero cualquiera que tenga la clave pública correspondiente puede comprobarla. Las dos claves están relacionadas matemáticamente, pero la privada no puede deducirse de la pública.
En la práctica, esto significa:
- Si un registro se edita de cualquier forma después de que el Nano lo escriba, la huella cambia, la firma deja de coincidir y el registro se rechaza.
- Solo un Nano auténtico puede generar una firma válida, así que un registro alterado o inventado no puede firmarse para hacerse pasar por real.
- Nuestros servidores de Altimeter Cloud solo tienen la clave pública, nunca la privada. Aunque nuestros servidores se vieran comprometidos alguna vez, no habría nada en ellos que permitiera falsificar un registro.
- Como para comprobar un registro solo hace falta la clave pública, puede verificarse de forma independiente: un responsable de competición puede confirmar que es auténtico sin depender de nosotros.
Qué cubre la firma
La firma cubre todo el archivo, incluida la cabecera con el número de serie de su dispositivo, los ajustes con los que se voló, su nombre de dispositivo y sus tres números de competidor. Nada de eso puede intercambiarse ni modificarse después del vuelo sin que el registro falle la verificación.
- Los registros ACLZ llevan dos firmas: una sobre el registro completo antes de la compresión y otra sobre el CSV que genera. Así, un CSV que Altimeter Cloud reconstruya a partir de un registro ACLZ sigue pudiendo verificarse.
- Los registros CSV se firman sobre el archivo completo.
- Las páginas de información del vuelo se firman igual que el registro que las acompaña.
- Los registros recuperados, reconstruidos tras un corte de corriente, se firman como cualquier otro, así que su autenticidad sigue pudiendo demostrarse. Consulte Recuperación de registros.
Abrir un CSV en una hoja de cálculo y guardarlo basta para romper la firma, así que suba siempre el archivo original del Nano. Consulte Verificación de registros de vuelo para saber cómo comprobar un registro.
Firmware cifrado (AES-256)
El firmware del Nano se guarda en el chip cifrado con AES-256, el mismo estándar que usan gobiernos y bancos para proteger información sensible. El Nano solo ejecuta firmware correctamente cifrado, así que no puede cargarse en él un programa modificado o no oficial, y el firmware no puede leerse del chip de ninguna forma utilizable.
Eso protege nuestro trabajo frente a copias, pero, lo que es más importante para usted, protege la clave privada de firma. La clave está sellada dentro del firmware cifrado, nunca aparece en la unidad USB ni en un registro, y no puede extraerse del dispositivo para falsificar registros. El Nano tampoco tiene conexión inalámbrica: el WiFi está desactivado permanentemente y el firmware solo puede instalarse por USB con nuestra herramienta de actualización.
AES-256 no puede romperse por fuerza bruta. Una clave de 256 bits tiene aproximadamente 1,2 seguido de 77 ceros valores posibles. Aunque todos los ordenadores del planeta trabajaran juntos probando miles de millones de claves por segundo, tardarían muchísimo más que la edad del universo en recorrer una fracción significativa, y no se conoce ningún atajo.
Por qué la combinación de ambos inspira confianza
La solidez de la firma de los registros depende de que la clave privada permanezca en el dispositivo, y eso es exactamente lo que garantiza el cifrado del firmware. Como el Nano se niega a ejecutar firmware sin cifrar, no hay forma de cargar un programa modificado que pudiera filtrar la clave o firmar datos falsos. El cifrado mantiene la clave privada fuera de alcance, y la firma la usa para avalar cada registro, mientras que la mitad pública, que es todo lo que se necesita para verificar un registro, puede compartirse libremente.
Tanto AES-256 como Ed25519 son estándares abiertos y publicados, estudiados a fondo y de confianza para proteger la banca en línea, el tráfico web y el acceso por SSH. Junto con una clave privada inaccesible, eso convierte un registro de vuelo del Nano en algo que puede defender, tanto si persigue una marca personal como si presenta un resultado oficial de competición.
Registros de firmware anterior a 1.52
El firmware anterior firmaba los registros con HMAC SHA-256 en lugar de Ed25519, mezclando una clave secreta compartida entre el Nano y nuestros servidores en la misma huella del archivo completo. Cualquier manipulación se detecta exactamente igual, y Altimeter Cloud sigue verificando estos registros automáticamente, así que nada de lo que ya haya grabado se ve afectado.
El paso a Ed25519 en la versión 1.52 mantuvo eso y añadió dos cosas: la clave de firma del dispositivo pasó a ser privada, con nuestros servidores guardando solo la mitad pública, y cualquiera que tenga la clave pública puede verificar un registro de forma independiente.