COMPAXENTRAR
El mismo inicio de sesión que
una cartera no custodial
Veinticuatro palabras, hechas en tu dispositivo y enviadas a ninguna parte. Sin número de teléfono, sin dirección de correo, sin código que esperar, sin contraseña que nadie pueda restablecer. Si alguna vez restauraste una cartera desde una frase, ya conoces esta pantalla.
Las pantallas de abajo son las de la propia aplicación, reproduciendo los cuatro pasos de un primer arranque, en el orden en que los encuentras.
EL PRIMER ARRANQUE
Cuatro pantallas, y ni una sola
pregunta quién eres
Apunta a una y vuelve a reproducirse desde el principio.
Ábrela y elige un lado
Dos botones y ningún campo: hacer una identidad, o restaurar una que ya tienes. Nada en esta pantalla se consulta en ningún sitio, así que no hay nada que escribir.
Hacer una no necesita red en absoluto. Las veinticuatro palabras salen del azar del propio dispositivo, y al servicio de entrega no se le dice nada — no puede saberlo, porque no lleva cuentas.
Sin registro, así que sin confirmación. No llega nada por SMS porque aquí nadie tiene tu número.
Mensajes, grupos y llamadas que el servidor transporta pero no puede leer. Tu identidad es un par de claves, no una cuenta — no hay a quién pedírsela de vuelta.
Crear una identidad nuevaYa tengo una frase de recuperación
Veinticuatro palabras son la cuenta
BIP-39, la norma que imprime una cartera de hardware. Se muestran una vez, en el dispositivo, y son la única copia: el servidor guarda texto cifrado que no puede leer y no sabe nada de nadie.
Escríbelas en papel. Todo lo que se sincroniza está también en otro sitio, y ese otro sitio es la parte que se llevan.
Piérdelas y la cuenta se acabó. Es la misma frase que: nadie puede quitártela, y a nadie se le puede convencer de entregarla.
On paper, not in a photograph. Anything that syncs is somewhere else as well.
Written down?
You will be asked for three of them, to check.
Ya las he anotadoUn nombre que eliges, y ya estás dentro
Un nombre, y es lo que publicas ante quienes hablas — la clave es lo que ellos verifican. Una etiqueta de dispositivo, para que revocar un dispositivo dentro de un año sea leer y no adivinar. Y el servicio de entrega, que lleva el texto cifrado y lo ordena.
No llega ningún código de verificación, porque no se entregó nada que verificar. El botón dice empezar, y empieza.
El nombre no identifica a nadie: dos personas pueden elegir el mismo, y aun así no se confunden. Eso lo hace la clave.
Tu nombre
Nombre del dispositivo
Servicio de entrega
Lleva el texto cifrado y lo ordena. No guarda claves.
Empezar a escribirUn segundo dispositivo pega las palabras
Restaurar no mueve la identidad, le añade: el nuevo dispositivo hace una clave propia, y la identidad la atestigua. Los dispositivos que ya tienes siguen dentro y sin tocar.
Así también se quita uno — revoca el que perdiste, y la frase sigue abriendo todos los que conservas.
Las mismas veinticuatro palabras en tantos dispositivos como quieras, cada uno con su propia clave, cada uno revocable por separado.
Escribe las 24 palabras. Este dispositivo recibe su propia clave y queda atestiguado por la identidad — tus otros dispositivos no se tocan.
Este dispositivo ya tiene una clave propia. Tus otros dispositivos no se tocaron.
ContinuarLO QUE NUNCA SE PIDE
Los campos que no están
en la pantalla
- Un número de teléfono, y una SIM con un nombre puesto
- Una dirección de correo, y un código que llega a ella
- Una contraseña guardada en un servidor, restablecible por quien lo tenga
- Tu agenda, subida para que encuentre a tus amigos
- Una cuenta que puede suspenderse, y un formulario para apelarlo
- Veinticuatro palabras, hechas en el dispositivo y mostradas una vez
- Un par de claves — la mitad pública es por la que te verifican
- Una contraseña opcional que nunca sale del dispositivo
- La agenda de nadie: no hay dónde buscar a nadie
- Nada que suspender, porque el servidor no tiene una cuenta tuya
Nada de esto es austeridad. Cada campo de la izquierda existe para que alguien te encuentre por él, te cobre a través de él o te lo quite — y un campo que no está en la pantalla no puede entregarse a quien lo pida.
LADO A LADO
Comparado con la cartera
que ya está en tu teléfono
Las carteras no custodiales resolvieron la cuestión de entrar hace diez años, y la respuesta fue dejar de tener cuentas. Esta es esa respuesta aplicada a una mensajería — y Compax lleva también una cartera, sobre las mismas veinticuatro palabras.
Una cartera no custodial
Compax
Dónde se hace la clave
En el dispositivo, de azar local
En el dispositivo, de azar local
Qué la restaura
Una frase BIP-39 de 12 o 24 palabras
Una frase BIP-39 de 24 palabras
Quién puede restablecerla
Nadie
Nadie
Qué te identifica
Una dirección derivada de la clave
Una clave pública, y un nombre que escribiste al lado
Qué hace un segundo dispositivo
Vuelve a escribir la frase
Escribe la frase y luego recibe una clave propia
Qué guarda el servicio sobre ti
Nada — no hay servicio
Texto cifrado, y el orden en que llegó
Qué te cuesta entrar
Nada que escribir
Nada que escribir
EN EL DISPOSITIVO
Campos opcionales
Que no haya pantalla de entrada no quiere decir que no haya cerradura. La frase vive en el almacén de claves de este dispositivo, y delante se le pueden poner tres cosas: cada una opcional, cada una local.
- 1
Una contraseña
Se pide una vez, en el momento posterior a anotar la frase y mientras aún la tienes en la cabeza. PBKDF2 con 210 000 iteraciones la convierte en la clave bajo la que se guarda la frase.
Nunca se envía a ninguna parte, así que nunca puede restablecerse. El diálogo dice exactamente eso antes de que pongas una, y te deja saltártelo.
- 2
La biometría
Una cara o una huella, protegiendo el almacén de claves que este dispositivo ya tiene. Es una forma de no escribir la contraseña, no un sustituto de ella.
Se ofrece en la misma pantalla que la contraseña, y rechazarla es una pulsación.
- 3
Una llave de seguridad
Una llave FIDO2 guarda treinta y dos bytes que no existen en ningún otro sitio. La frase se cifra con esos y con la contraseña a la vez:
hmac-secretal tocarla, y SHA-256 sobre ambas mitades.Hoy está compilado para macOS y Linux; la pantalla que ofrece una se dibuja según lo que la máquina responde en ejecución, no según una suposición. Vincula dos — una en el llavero, otra en un cajón.
EL PRECIO DE ESTO
Lo que te cuesta un inicio de sesión así de simple
Una cosa, y no es pequeña: pierde todas las copias de la frase y todas las llaves vinculadas, y la cuenta se acabó. Ninguna cola de soporte puede ayudar, porque de nuestro lado no hay nada con lo que ayudar — el servidor guarda texto cifrado que no puede leer y nunca guardó nada que lo abriera. Es la misma propiedad que impide que nadie te quite la cuenta, leída desde el otro lado.
DESPUÉS
Prueba las cuatro pantallas
Lleva alrededor de un minuto, y la primera es un botón. La cartera sobre la misma frase está al lado, y qué pasa si se pierden las palabras está en las respuestas.