Por que um registro de voo Nano pode ser confiável

Como nosso altímetro Nano sela cada registro que salva, o que isso impede e como um clube ou competição pode usar isso para aceitar voos enviados por email depois sem se preocupar se o registro foi editado.

Como as competições podem garantir que os registros do altímetro estejam corretos, inalterados e confiáveis?
 Em um dia de competição isso significa duas coisas: ninguém pode editar silenciosamente um registro após o pouso, e ninguém pode aparecer com um registro feito em outro lugar. Construímos o Nano para que ambas as coisas possam ser provadas a partir do próprio arquivo, sem confiar na pessoa que o entrega. O sistema também permite verificação usando uma chave pública diretamente, ou através das ferramentas em nosso site.

Três elementos de criptografia padrão

O registro é protegido pelos mesmos três componentes que protegem operações bancárias online, atualizações de software e SSH, usados da mesma forma que são usados lá. Nada aqui foi inventado por nós, e esse é o ponto: o sistema foi estudado publicamente por décadas.

• Uma impressão digital do arquivo. Conforme o Nano escreve um registro de voo, ele executa um hash SHA-256 sobre cada byte: cada amostra e cada campo de cabeçalho, incluindo o apogeu, os horários, as configurações, o número de série, o número de voo e as tags de dispositivo e competidor. O resultado é uma impressão digital de 32 bytes. Mude um dígito em qualquer lugar do arquivo e a impressão digital é um número completamente diferente.
• Uma assinatura sobre a impressão digital. O Nano então assina essa impressão digital com Ed25519, um esquema de assinatura de chave pública, usando uma chave privada que existe apenas dentro do dispositivo. A assinatura é escrita no registro ao lado da impressão digital. Qualquer pessoa que possua a chave pública correspondente pode verificar que a assinatura se ajusta à impressão digital; ninguém sem a chave privada pode criar uma.
• Firmware criptografado. O programa do Nano é armazenado no chip sob AES-256 e o chip só executará código criptografado. É aí que a chave privada reside. Ela não pode ser lida de volta do dispositivo, e um programa modificado não pode ser carregado em seu lugar.

O que acompanha cada registro: a impressão digital de seu conteúdo e a assinatura sobre ele. A chave privada que faz a assinatura está no chip e em nenhum outro lugar; a chave pública que a verifica pode ser entregue a qualquer pessoa.

O que isso impede

Edite um registro, manualmente ou com um programa, e sua impressão digital muda. A assinatura no arquivo foi feita sobre a impressão digital antiga, portanto ela não se ajusta mais, e não há maneira de fazer uma nova sem a chave privada. O site rejeita o arquivo e explica o porquê. Não importa quão pequena seja a edição, ou se ela está nos dados, no cabeçalho ou nas configurações. É a mesma resposta para um registro que nunca foi feito por um Nano: um arquivo inventado em um computador não tem assinatura válida para carregar. Nem mesmo nós podemos forjar um registro falso no site, e as chaves privadas não são armazenadas em nenhum servidor em nenhum momento. 

Um metro adicionado a um apogeu. A impressão digital é um número diferente, a assinatura feita sobre a original não se ajusta mais a ela, e o registro é rejeitado.

Como o número de série está dentro do que é assinado, um registro não pode ser movido de um altímetro para outro. E como a altitude barométrica bruta é mantida em sua própria coluna, exatamente como o sensor a registrou, um juiz pode ler a figura para a qual as regras estão escritas diretamente do arquivo, ao lado da processada.

Quão forte é isso, honestamente

Não há nenhuma maneira conhecida de quebrar AES-256, SHA-256 ou Ed25519 com computadores que existem ou são previsíveis. Fazer força bruta em qualquer um deles não é uma questão de esperar muito tempo, está além da energia e do tempo disponível, e é por isso que são as escolhas padrão em qualquer lugar onde a segurança importa. A matemática não é o caminho.
Para fins práticos, um registro Nano é à prova de manipulação e pode ser verificado por qualquer pessoa com a chave pública, sem confiar em nós, em nosso servidor ou na pessoa que o enviou.

Um dia de competição

A assinatura prova que um registro não foi alterado desde que o Nano o salvou. Isso não prova por si só quando o voo aconteceu, e um voo pré-gravado de mês passado é a outra maneira de trapacear. O Nano tem uma tag de competidor em suas configurações exatamente para isso.

O organizador emite a cada competidor um código único no dia; o competidor o digita em seu Nano antes de voar, o que leva alguns segundos via USB; e a partir de então cada registro que esse Nano salva carrega esse código dentro do cabeçalho assinado. Um voo gravado antes do código ser emitido não pode contê-lo, e um código não pode ser adicionado depois sem quebrar a assinatura.

Emita, insira, voe, envie, verifique. Uma vez que o código está no cabeçalho assinado o registro pode ser enviado por email uma semana depois e ainda prova tanto que é genuíno quanto que foi voado no dia.

Isso também tira a pressão do próprio dia. Os registros não precisam ser baixados sob supervisão ou coletados no campo. Eles podem ser enviados aquela noite, enviados por email ao organizador, ou mantidos e enviados com um pedido de recorde, e a verificação dá a mesma resposta sempre que é executada. A tag do dispositivo, o número de voo e o número de série acompanham, para que um organizador possa vincular um registro a uma entrada sem nenhum documento além do código que emitiu.

Nada disso muda o que o Nano registra. A coluna bruta fica intocada, a coluna processada mostra o que os filtros fizeram, e a assinatura diz que ninguém mais fez nada. Essa é toda a ideia.


Você pode verificar registros usando a ferramenta online do nosso site ou também nosso sistema de API.

A ferramenta de verificação online
Use esta ferramenta para verificar registros e visualizá-los em detalhes com facilidade em nosso site. 

A ferramenta de verificação de API
Use esta ferramenta para verificar em massa, ou verificar automaticamente registros do seu próprio site, ou software com facilidade.

Chave de verificação pública
Para uso offline no software próprio das competições, entre em contato conosco para solicitar a chave pública, embora seja seguro liberá-la só a oferecemos caso a caso, e não é publicada publicamente.