Wie verwende ich ein Air-Gap-Wallet zur Kühllagerung? (QR-Code-Zeichen)

Grundlagen der Air-Gaped-Wallet

1. Eine Air-Gap-Wallet läuft auf einem Gerät, das vollständig von jedem Netzwerk isoliert ist – es sind keine Wi-Fi-, Bluetooth-, Mobilfunk- oder Ethernet-Verbindungen zulässig.

2. Die privaten Schlüssel verlassen niemals die isolierte Umgebung, sodass die kryptografische Souveränität jederzeit beim Benutzer verbleibt.

3. Die Transaktionssignierung erfolgt offline mithilfe deterministischer Algorithmen, die den Standards BIP-32, BIP-39 und BIP-44 entsprechen.

4. Hardwaregeräte wie Coldcard, BitBox02 und Jade implementieren Air-Gap-Workflows per Design, aber auch softwarebasierte Air-Gap-Setups mit Air-Gap-Linux-VMs oder Raspberry Pi-Einheiten sind weit verbreitet.

5. Boot-Medien müssen vor der Ersteinrichtung mithilfe von GPG-Signaturen überprüft werden, um eine Gefährdung der Lieferkette während der Firmware- oder Betriebssysteminstallation zu verhindern.

QR-Code-basierter Signatur-Workflow

1. Eine Transaktion wird auf einem Online-Gerät, das nur für die Beobachtung bestimmt ist, unter Verwendung öffentlicher Blockchain-Daten vorbereitet und als PSBT-Datei (Partially Signed Bitcoin Transaction) exportiert.

2. Der PSBT wird in eine QR-Code-Sequenz kodiert – aufgrund von Größenbeschränkungen oft auf mehrere Frames aufgeteilt – und auf dem Bildschirm des Online-Geräts angezeigt.

3. Das Air-Gap-Gerät erfasst jedes Bild mit seiner integrierten Kamera oder scannt es manuell über eine spezielle QR-Leseschnittstelle.

4. Nach der vollständigen Rekonstruktion validiert das Air-Gap-Gerät alle Eingaben, Ausgaben, Gebühren und Änderungsadressen, bevor die private Schlüsselsignatur angewendet wird.

5. Der signierte PSBT wird dann als weitere QR-Codesequenz gerendert und zur Übertragung an das Netzwerk zurück in das Online-Gerät gescannt.

Maßnahmen zur Sicherheitsverstärkung

1. Die Verhinderung der Bildschirmaufzeichnung wird durch die Deaktivierung von Screenshots, Bildschirmspiegelung und GPU-beschleunigtem Compositing auf der Betriebssystemebene des Air-Gap-Geräts erzwungen.

2. Die Kamera-Firmware muss auf Seitenkanallecks überprüft werden. Einige Wallets deaktivieren den Autofokus und die automatische Belichtung, um das Risiko zeitbasierter Rückschlüsse zu verringern.

3. QR-Codes werden mit kontrastreichen, fehlerkorrigierten Versionen (z. B. Reed-Solomon-Level Q oder H) generiert, um einer geringfügigen Beeinträchtigung der Scanbarkeit standzuhalten.

4. Air-Gap-Geräte lehnen PSBTs ab, die unbekannte Eingabeskripte, nicht standardmäßige Sighash-Flags oder nicht verifizierte UTXO-Proofs enthalten, sofern sie nicht ausdrücklich von fortgeschrittenen Benutzern überschrieben werden.

5. Alle Firmware-Updates erfordern eine manuelle Überprüfung der SHA256-Prüfsummen anhand von vom Entwickler signierten Manifesten, die auf unveränderlichen IPFS-Gateways gehostet werden.

Operative Best Practices

1. Behalten Sie separate Air-Gap-Geräte für verschiedene mnemonische Seeds bei – verwenden Sie Hardware niemals über verschiedene Schlüsselhierarchien hinweg wieder.

2. Speichern Sie Recovery-Seed-Phrasen auf Edelstahlplatten mit einer BIP-39-Wortlisten-konformen Gravur, nicht auf Papier oder laminierten Karten.

3. Führen Sie Signiersitzungen in elektromagnetisch abgeschirmten Räumen durch, wenn Sie UTXOs im Wert von mehreren Millionen Dollar handhaben, um Emissionen im TEMPEST-Stil zu mindern.

4. Tauschen Sie Air-Gap-Geräte alle 18 bis 24 Monate aus, um Schwachstellen auf Hardwareebene zu vermeiden, die durch langfristige Nutzungsmuster aufgedeckt werden.

5. Protokollieren Sie alle Signaturereignisse in einem Offline-Ledger: Zeitstempel, Transaktions-ID-Präfix, Gebührensatz und Ausgabeanzahl – ohne vollständige Hex- oder Signaturspeicherung.

Häufig gestellte Fragen

F: Kann das Scannen von QR-Codes durch bösartige Kamera-Firmware gefährdet werden? A: Ja. Kameratreiber auf Verbrauchergeräten können undokumentierte Telemetrie- oder Pufferüberlaufvektoren enthalten. Verwenden Sie nur Open-Source-Kamera-Stacks, die durch unabhängige Audits validiert wurden, z. B. die mit Qubes OS oder PureOS gelieferten.

F: Ist es sicher, QR-Codes auf einem browserbasierten Wallet zu generieren? A: Nein. Browserumgebungen setzen Entropiequellen, Speicherinhalte und Rendering-Pipelines gegnerischem JavaScript aus. Die QR-Generierung muss in gehärteten nativen Anwendungen wie Sparrow Wallet oder Electrum mit aktivierten Air-Gap-Plugins erfolgen.

F: Was passiert, wenn ein QR-Rahmen beim Signieren falsch gescannt wird? A: Das Air-Gap-Gerät schlägt beim PSBT-Parsing fehl, weil die Prüfsumme nicht übereinstimmt oder die Base64-Auffüllung unvollständig ist. Es wird nicht mit dem Signieren fortgefahren und die Teildaten werden verworfen, ohne dass der interne Status offengelegt wird.

F: Unterstützen alle Air-Gap-Wallets Multisig-QR-Workflows? A: Nicht überall. Coldcard unterstützt nativ Multisig-PSBT-QR-Flows. BitBox02 erfordert eine begleitende Desktop-Software für die komplexe Multisig-Koordination. Jade verlässt sich bei der Multisig-QR-Orchestrierung auf die mobile App von Blockstream Green.