محافظ الأجهزة المعزولة هوائياً مقابل USB مقابل البلوتوث: أيّها أكثر أماناً فعلياً؟

طريقة اتصال محفظة الأجهزة بالعالم الخارجي تثير جدالاً حاداً بين حاملي العملات المشفّرة، ومع ذلك لم يسبق لمهاجم أن سرق أموالاً باعتراض إشارة USB أو البلوتوث. كل استغلال موثَّق استهدف البرامج الثابتة، أو الشرائح المادية، أو البنية التحتية المحيطة. السؤال الحقيقي ليس أي كابل يجب قطعه، بل أي نموذج تهديد يجب الاستعداد له.

الخلاصة السريعة (TL;DR)

المحافظ المعزولة هوائياً تُزيل بعض نواقل الهجوم عن بُعد لكنها تُدخل أخرى جديدة من خلال تحليل رموز QR ووحدات التحكم الدقيقة في بطاقات microSD، ولا يمكنها دعم بروتوكولات التوقيع المضادة لـ klepto.

محافظ USB المزودة بعناصر أمان معتمَدة لم تُخترق قط عبر قناة البيانات الخاصة بها؛ بروتوكول anti-klepto المتاح فقط عبر القنوات الدائمة يمثل تقدماً حقيقياً في الأمان.

لم يُستغل البلوتوث في أي محفظة أجهزة رغم سنوات من قلق المجتمع؛ عزل عنصر الأمان يجعل اعتراض BLE عديم الفائدة عملياً للمهاجمين.

ليست كل محافظ الأجهزة متشابهة

تشترك محافظ الأجهزة في مبدأ أساسي واحد: تبقى المفاتيح الخاصة على الجهاز بينما تتم عملية توقيع المعاملات بمعزل عن الحاسوب المضيف. بعد هذا الأساس المشترك، تختلف الأجهزة بشكل حاد. طريقة الاتصال، بنية الشرائح، شفافية البرامج الثابتة، والتصميم الفيزيائي كلها تختلف بين المصنِّعين والطرازات.

ينقسم السوق إلى ثلاثة معسكرات من حيث الاتصال. الأجهزة المعتمدة على USB فقط مثل Trezor Safe 3 و BitBox02 تُوصَل مباشرة بالحاسوب. المحافظ المزوَّدة بالبلوتوث مثل Ledger Nano X و Ledger Stax تُقترَن لاسلكياً مع الهواتف. الموقّعات المعزولة هوائياً مثل Coldcard و Foundation Passport و Keystone 3 Pro و NGRAVE ZERO و Ellipal Titan لا تتصل بأي شبكة على الإطلاق.

يقدّم كل نهج مجموعة من المقايضات.

يوفّر USB اتصالاً ثنائي الاتجاه منخفض الكمون لكنه ينشئ قناة بيانات فيزيائية.

يضيف البلوتوث سهولة الاستخدام عبر الهاتف المحمول لكنه يفتح واجهة لاسلكية. العزل الهوائي يلغي قنوات البيانات الإلكترونية تماماً لكنه يقيّد بروتوكولات الأمان التي يمكن للجهاز دعمها.

يختلف السعر والفلسفة كذلك بشكل واسع. تبلغ تكلفة Trezor Safe 3 أو Ledger Nano S Plus نحو 79 دولاراً. يعمل Coldcard Mk4 بسعر 148 دولاراً و Foundation Passport بـ 199 دولاراً. يقف NGRAVE ZERO عند 398 دولاراً. الخيار المجاني هو AirGap Vault، الذي يحوّل أي هاتف ذكي احتياطي إلى موقّع غير متصل بالإنترنت.

Also Read: Ethereum Eyed For Euro Stablecoin Settlement Layer

ماذا يعني «العزل الهوائي» فعلياً؟

يعرّف NIST العزل الهوائي بأنه فصل فيزيائي بين الأنظمة يمنع نقل البيانات غير المصرَّح به. في محافظ الأجهزة، يعني هذا عدم وجود بيانات عبر USB، ولا واي فاي، ولا بلوتوث، ولا NFC، ولا اتصال خلوي. الجسر الوحيد بين الجهاز والعالم الخارجي هو الضوء أو وسيط تخزين قابل للإزالة.

تتبع المحافظ المعزولة هوائياً سير عمل متسقاً. يقوم تطبيق مرافق على هاتف أو حاسوب بإنشاء معاملة غير موقَّعة، تكون عادة على شكل PSBT (معاملة Bitcoin (BTC) موقَّعة جزئياً وفق BIP‑174).

يُشفّر هذا التطبيق المعاملة في رمز QR أو يحفظها على بطاقة microSD. يقوم الجهاز المعزول هوائياً بمسح رمز QR أو قراءة الملف، ويعرض تفاصيل المعاملة على شاشته الموثوقة، ويوقّع باستخدام المفتاح الخاص المخزَّن في عنصر الأمان، ثم ينتج رمز QR موقّعاً أو ملفاً موقَّعاً.

يعتمد التوقيع عبر QR على تسلسلات QR متحركة للمعاملات الأكبر حجماً. معايير مثل مواصفة Uniform Resource من Blockchain Commons مع fountain codes، أو بروتوكول BBQr من Coinkite، تقسّم البيانات عبر عشرات الإطارات. إطار QR واحد يصل أقصاه إلى نحو 3 إلى 5 كيلوبايت قبل أن يصبح غير قابل للقراءة، لذا تتطلب معاملات multisig أو CoinJoin المعقدة بعض الصبر.

يتجنب التوقيع عبر microSD هذا القيد في الحجم تماماً. تستخدم Coldcard هذا كأسلوبها الأساسي. لكن بطاقات microSD تحتوي على وحدات تحكم دقيقة مدمجة ببرامج ثابتة قابلة للاختراق، كما وثّق الباحث Bunnie Huang ذلك. لذا يبقى التساؤل مطروحاً حول ما إذا كان توصيل «حاسوب صغير» بمحفظتك يحافظ حقاً على «العزل الهوائي».

يتضمن مشهد الأجهزة المعزولة هوائياً عدة مقاربات متميزة:

Coldcard Mk4 (148 دولاراً) تدعم Bitcoin فقط مع عنصري أمان من موردين مختلفين، وبرامج ثابتة مفتوحة المصدر بالكامل وقابلة لإعادة البناء، وميزات مثل أرقام PIN خداعية يمكنها تدمير الجهاز تحت الإكراه
NGRAVE ZERO (398 دولاراً) تزعم الحصول على شهادة EAL7 لبيئة التنفيذ الموثوقة ProvenCore تحديداً، وليس للجهاز بالكامل، وتبقى برامجها الثابتة مغلقة المصدر إلى حد كبير
Foundation Passport (199 دولاراً) تجمع بين بنية أمان على نمط Coldcard وتصميم مناسب للمستخدم مع عتاد وبرمجيات مفتوحة المصدر كلياً
Keystone 3 Pro (من 149 إلى 169 دولاراً) تعمل على نظام Android 8.1 مُخصَّص مع ثلاث شرائح لعناصر الأمان، وكانت أول محفظة تفتح مصدر البرامج الثابتة لعنصر الأمان
Ellipal Titan 2.0 (169 دولاراً) تستخدم هيكلاً معدنياً مغلقاً بالكامل مع آلية تدمير ذاتي مضادة للعبث

Also Read: Bitcoin Hits $72.7K High On Iran Peace Optimism

محافظ USB والبلوتوث تعتمد على عناصر الأمان لا على العزل

تتواصل المحافظ الموصولة بـ USB عبر بروتوكول USB HID مع طبقات تطبيقية خاصة فوقه. تستخدم Ledger بروتوكول APDU، وهو معيار البطاقات الذكية. تستخدم Trezor protobuf فوق HID مع Trezor Bridge كخدمة خلفية. تستخدم BitBox02 رسائل protobuf مشفَّرة عبر إطار عمل Noise Protocol، لتأسيس قناة مشفَّرة من طرف إلى طرف يتم التحقق منها برمز اقتران خارج النطاق. هذا التشفير فريد بين محافظ USB؛ فحتى لو كان الحاسوب المضيف مخترقاً بالكامل لا يمكنه قراءة البيانات المنقولة أو التلاعب بها.

العمود الفقري لأمان هذه المحافظ هو عنصر الأمان، وهو شريحة مقاومة للعبث معتمدة لتحمل الفحص الفيزيائي، والعبث في الجهد، وتحليل القنوات الجانبية. تستخدم أجهزة Ledger الأحدث شرائح ST33K1M5 المصنَّفة EAL6+، حيث يعمل نظام التشغيل المخصص BOLOS مباشرة على عنصر الأمان، فيتحكم بالشاشة والأزرار من داخل الحدود الآمنة.

سلكت Trezor طريقاً مختلفاً لسنوات.

لم تحتوِ طرازاتها الأقدم على عنصر أمان على الإطلاق. أضافت Safe 3 و Safe 5 شرائح Infineon OPTIGA Trust M المصنَّفة EAL6+ لفرض PIN والتحقق من الجهاز. لكن التوقيع التشفيري ما زال يتم على المتحكم الدقيق متعدد الأغراض، لا على عنصر الأمان. يُدخل جهاز Trezor Safe 7 القادم شريحة TROPIC01، أول عنصر أمان مفتوح المصدر وقابل للتدقيق بالكامل، طوّرته Tropic Square، وهي شركة تابعة لـ SatoshiLabs.

تستخدم المحافظ المزوّدة بالبلوتوث معيار Bluetooth Low Energy كطبقة نقل فقط. يعتبر تنفيذ Ledger اتصال BLE مخترقاً افتراضياً. يعمل متحكم STM32WB55 المزود براديو BLE كمرحّل. يتحكم عنصر الأمان بشكل مستقل بالشاشة والأزرار. لا تغادر المفاتيح الخاصة حدود عنصر الأمان مطلقاً.

تشمل ميزات الأمان الأساسية لتطبيق BLE على أجهزة Ledger ما يلي:

يستخدم الاقتران طريقة Numeric Comparison، وهي أقوى طرق BLE القياسية، مع مصادقة AES‑CMAC لمنع هجمات الرجل‑في‑المنتصف
تمر البيانات العامة فقط (المعاملات غير الموقَّعة والموقَّعة) عبر القناة اللاسلكية، ولا تُنقل البذور أو المفاتيح الخاصة مطلقاً
يمكن للمستخدمين تعطيل البلوتوث بالكامل والعودة إلى USB في أي وقت
يتحقق عنصر الأمان من تفاصيل المعاملة ويعرضها بشكل مستقل عن طبقة BLE

إن إضافة Trezor للبلوتوث في Safe 7 بعد سنوات من تجنب الاتصال اللاسلكي تشير إلى إجماع صناعي: BLE مقبول عندما يتوفر عزل صحيح لعنصر الأمان.

Also Read: Why Central Banks May Struggle To Control Inflation This Time

كل هجوم حقيقي استهدف البرامج والفيزياء لا الكابل

الحقيقة الأكثر دلالة في أمان محافظ الأجهزة هي: عبر كل استغلال موثَّق منذ بداية هذه الصناعة، لم يعتمد أي هجوم ناجح على اعتراض أو التلاعب بقناة نقل البيانات. لا USB. ولا بلوتوث. ولا رموز QR.

قام Douglas Bakkum، الشريك المؤسس لـ Shift Crypto (BitBox)، بإحصاء منهجي لجميع الثغرات المعروفة وخلص إلى أن الاتصال المعزول هوائياً يضيف القليل من الأمان الإضافي بينما يضعف تجربة المستخدم.

أظهرت مختبرات الأمان في Kraken في يناير 2020 أنه يمكن استخراج البذور من كل من Trezor One و Trezor Model T في حوالي 15 دقيقة باستخدام معدات تكلف نحو 75 دولاراً. استخدم الهجوم تقنية العبث بالجهد لخفض مستوى حماية القراءة في متحكم STM32 من RDP2 إلى RDP1، ثم استخرج البذرة المشفَّرة عبر واجهة ARM SWD وقام بكسر PIN بالقوة الغاشمة.

هذه الثغرة متأصلة في عائلة شرائح STM32 ولا يمكن تصحيحها بتحديثات البرامج الثابتة. كانت نصيحة Trezor للتخفيف هي استخدام عبارة مرور BIP39، التي لا تُخزَّن على الجهاز.

تسبّب خرق قاعدة بيانات Ledger في يونيو 2020 بأضرار واقعية أكبر من كل ثغرات العتاد مجتمعة. أدّى مفتاح API مكوَّن بشكل خاطئ إلى كشف 1.1 مليون عنوان بريد إلكتروني ونحو 272 ألف سجل عملاء كامل يتضمن الأسماء والعناوين المنزلية العناوين وأرقام الهاتف.

كانت العواقب مدمِّرة. أُرسلت محافظ ليدجر مزيفة تحتوي على برمجيات ثابتة (firmware) مُعبث بها إلى الضحايا. طالبت رسائل الابتزاز بدفع ما بين 700 و1,000 دولار بعملة البيتكوين. تبع ذلك نمط من الهجمات الجسدية على حاملي العملات المشفرة ولا يزال مستمرًا حتى اليوم. في يناير 2025، اختُطِف المؤسس المشارك لـ Ledger ديفيد بالاند في فرنسا وتم بتر أحد أصابعه.

جدل Ledger Recover في مايو 2023 حطّم افتراضًا أساسيًا كان يؤمن به كثير من المستخدمين. خدمة Ledger الاختيارية مقابل 9.99 دولارات شهريًا تقوم بتشفير عبارة البذرة الخاصة بالمستخدم، تقسيمها إلى ثلاثة أجزاء، وتوزيعها على Ledger وCoincover ووصي ثالث، مع اشتراط التحقق من الهوية (KYC).

تركّز غضب المجتمع على حقيقة جوهرية: أن برمجيات ليدجر الثابتة كانت تمتلك دائمًا القدرة التقنية على استخراج عبارات البذرة من العنصر الآمن. أوضح المدير التقني تشارلز غيوميه أن هذا أمر ملازم لأي بنية لمحفظة عتادية. وأكد المؤسس المشارك إيريك لارشفيك على Reddit أن استخدام Recover يعني أن من الممكن تجميد الأصول من قبل حكومة ما.

Also Read: Cardano Whale Wallets Reach 4-Month Peak Amid 42% Drop

مشكلة Anti-Klepto تمنح منفذ USB أفضلية أمنية حقيقية

هجوم Dark Skippy، الذي تم الكشف عنه في أغسطس 2024 من قِبل مؤسسي Frostsnap لويد فورنييه ونيك فارو إلى جانب مطوّر BitVM روبن لينوس، أظهر أن برمجيات ثابتة خبيثة يمكنها تهريب عبارة البذرة كاملة للمستخدم من خلال توقيعَيْ معاملة فقط.

يقوم الهجوم بدمج بيانات البذرة في أعداد الـ nonce الخاصة بالتوقيع. يمكن لمهاجم يراقب سلسلة الكتل العامة أن يعيد بناء البذرة باستخدام خوارزمية Pollard's Kangaroo. يؤثر هذا الهجوم على كل محافظ العتاد بغض النظر عن طريقة الاتصال.

الدفاع ضد Dark Skippy هو بروتوكول anti-klepto. في توقيع ECDSA القياسي، تولّد المحفظة العتادية عدد nonce عشوائيًا داخليًا.

إذا كانت البرمجيات الثابتة خبيثة، فيمكنها اختيار أعداد nonce تُشفِّر مادة المفتاح الخاص. ولا يملك المستخدم أي وسيلة لاكتشاف ذلك.

يتطلّب توقيع anti-klepto، الذي تم تنفيذه لأول مرة في BitBox02 أوائل 2021، من برنامج الاستضافة (على الحاسوب أو الهاتف) أن يساهم بعدد nonce عشوائي إضافي. يجب على المحفظة العتادية إدماج هذا الـ nonce الخارجي في عملية التوقيع. إذا لم تدمجه بشكل صحيح، يفشل التحقّق من التوقيع. هذا يجعل تهريب المفاتيح بشكل خفي أمرًا قابلًا للاكتشاف.

يتطلّب البروتوكول قناة اتصال مستمرة، منخفضة الكمون، ثنائية الاتجاه. وهذا بالضبط ما يوفّره USB وBluetooth. أما الاعتماد على رموز QR فيجعله غير عملي، لأن كل جولة إضافية من تحقق anti-klepto ستتطلب دورة جديدة من مسح تسلسلات QR متحركة. حاليًا لا يطبّق توقيع anti-klepto إلا BitBox02 وBlockstream Jade. المحافظ المعزولة هوائيًا (air-gapped) لا يمكنها دعم هذا البروتوكول عمليًا.

هذا لا يعني أن العزل الهوائي مجرّد استعراض. فهو يلغي عدة نواقل هجوم حقيقية:

هجمات BadUSB التي يُقدِّم فيها الجهاز المُعبث به نفسه كلوحة مفاتيح للنظام المستضيف
بصمة تعداد أجهزة USB (USB device enumeration) التي تسرّب معلومات عن النظام المتصل
هجوم القناة الجانبية لاستهلاك طاقة شاشة OLED الذي اكتشفه كريستيان رايتر في 2019، حيث يمكن لقياسات طاقة منفذ USB أن تستعيد جزئيًا رقم PIN أو معلومات البذرة المعروضة
هجمات تصحيح الأخطاء عبر JTAG على وحدات MCU غير الآمنة، مثل التي اكتشفتها Kraken Security Labs على Ledger Nano X، حيث كان من الممكن تعديل البرمجيات الثابتة قبل تثبيت التطبيقات

هذه نواقل هجوم حقيقية يلغيها العزل الهوائي، لكنها أيضًا نواقل تخفّف منها إلى حد كبير بنية العنصر الآمن السليمة، وبروتوكولات USB المشفّرة، وعمليات الإقلاع الموثّق (verified boot).

Also Read: Billions Vanished In Crypto Fraud Last Year, Here's What The FBI Found

لم يتم استغلال Bluetooth أبدًا في محفظة عتادية

رغم القلق الواسع في المجتمع حول Bluetooth، فإن السجل العملي واضح. لم تُخترق أي محفظة عملات مشفرة عتادية عبر اتصال Bluetooth الخاص بها. يشمل ذلك الاختبار ضد كل فئات ثغرات BLE الرئيسية.

هجوم BlueBorne، وهو مجموعة من ثماني ثغرات CVE تم الكشف عنها في 2017، أتاح تنفيذ تعليمات برمجية عن بُعد دون اقتران على أكثر من 5 مليارات جهاز يدعم Bluetooth.

لكنّه استغل عيوبًا في تطبيقات حزم Bluetooth في أنظمة التشغيل، وليس في عتاد BLE نفسه.

هجوم KNOB ‏(CVE-2019-9506) خفّض عشوائية مفتاح التشفير إلى بايت واحد خلال عملية الاقتران في Bluetooth Classic، لكنه لا يؤثر على BLE، وهي التقنية التي تستخدمها محافظ العتاد.

هجوم BIAS ‏(CVE-2020-10135) أتاح انتحال هوية أجهزة مقترنة، لكنه أيضًا استهدف Bluetooth Classic فقط. مجموعة ثغرات BrakTooth، وعددها 16 ثغرة أثّرت على أكثر من 1,400 منتج في 2021، أصابت حزم Bluetooth Classic وليس BLE. هجوم SweynTooth في 2020 استهدف BLE تحديدًا، مسببًا أعطالًا وتجاوزات أمنية، لكن لم يتم إثبات نجاحه ضد أي محفظة عتادية.

السبب المعماري بسيط. حتى لو سيطر مهاجم بالكامل على اتصال BLE، فلن يحصل إلا على بيانات المعاملة قبل التوقيع وبعده، وهي نفس البيانات التي تُبث على سلسلة الكتل على أي حال.

لا يمكنه استخراج المفاتيح الخاصة، لأنها معزولة داخل العنصر الآمن. ولا يمكنه تزوير موافقات المعاملات، إذ تتطلب ضغطة زر مادية. ولا يمكنه تعديل المعاملات دون اكتشاف، لأن الشاشة الموثوقة تعرض التفاصيل القادمة من العنصر الآمن، لا من قناة BLE.

ثمة مسألة مرتبطة بـ Bluetooth تستحق الذكر. في 2025، وجد باحثون ثغرات في شريحة ESP32 من شركة Espressif، المستخدمة في محافظ مثل Blockstream Jade. يمكن نظريًا أن تتيح هذه الثغرة حقن برمجيات ثابتة خبيثة عبر واجهات الاتصال اللاسلكية للشريحة. هذه مشكلة خاصة بتنفيذ الشريحة، وليست ثغرة في بروتوكول Bluetooth ذاته.

Also Read: Main Quantum Risk For Bitcoin Is Consensus, Not Code, Grayscale Warns

من يحتاج فعليًا إلى أي مستوى من العزل؟

بلغ سوق محافظ العتاد ما بين 350 إلى 680 مليون دولار في 2025 وفقًا لتقديرات متباينة تعكس اختلاف منهجيات البحث، وهو ينمو بمعدل 20 إلى 30 بالمئة سنويًا. تهيمن Ledger بأكثر من 6 ملايين وحدة مباعة تراكميًا. شحنت SatoshiLabs عدد 2.4 مليون وحدة Trezor في 2024 وحده. لا يزال اتصال USB يستحوذ على نحو 47 بالمئة من السوق، لكنه في تراجع مع نمو Bluetooth.

بالنسبة للمستثمرين الأفراد الذين يحتفظون بأقل من 50,000 دولار في إيثريوم (ETH) أو سولانا (SOL) أو بيتكوين، فإن محفظة USB مزوّدة بعنصر آمن مُعتمد توفّر مستوى أمان كافيًا وأكثر.

التهديدات الأساسية عند هذا المستوى هي التصيّد الاحتيالي، والهندسة الاجتماعية، وسوء تخزين عبارات البذرة. لا تعالج أي طريقة اتصال هذه الأمور. كما أن سهولة الاستخدام نفسها تُعد ميزة أمنية، لأن إجراءات العمل المعقدة في المحافظ المعزولة هوائيًا تزيد من احتمال أخطاء المستخدم.

لحاملي المبالغ الكبيرة والتخزين البارد طويل الأمد، توفّر المحافظ المعزولة هوائيًا فوائد ملموسة. ليس أساسًا عبر إزالة سطح هجوم USB، بل من خلال نموذج أمن العمليات الذي تفرضه. فالمحفظة المعزولة هوائيًا والمخزّنة في مكان آمن تكون منفصلة ماديًا عن الأجهزة المستخدمة يوميًا، ما يقلّل التعرض لهجمات سلسلة التوريد والبرمجيات الخبيثة والسرقة المادية.

لمستخدمي DeFi النشطين والمتداولين عبر الهاتف المحمول أولًا، يعد Bluetooth ضرورة عملية لا تنازلًا أمنيًا. فمحفظة Ledger Nano X مع تطبيق Ledger Live، أو Trezor Safe 7 القادمة، تمكّن من توقيع المعاملات عبر الهاتف المحمول مع نفس حماية العنصر الآمن كما في USB.

تكامل رموز QR في Keystone 3 Pro مع MetaMask يقدّم بديلًا معزولًا هوائيًا لسلاسل EVM، وإن كان ذلك مع قدر أكبر بكثير من الاحتكاك في كل معاملة.

أما بالنسبة للحفظ المؤسسي (institutional custody)، فالحسابات مختلفة تمامًا. يشكّل قطاع المؤسسات نحو 69 بالمئة من عائدات محافظ العتاد رغم قلة الوحدات. إعدادات التوقيع المتعدد عبر عدة أجهزة معزولة هوائيًا، وربما من مُصنّعين مختلفين، توفّر دفاعًا متعدد الطبقات لا يمكن لأي طريقة اتصال في جهاز واحد أن تضاهيه.

Also Read: Can AI Really Run DeFi? New Findings Expose Major Risks

الخلاصة

الجدل حول العزل الهوائي مقابل USB مقابل Bluetooth يولّد ضجيجًا أكثر من الضوء. قناة نقل البيانات هي الجزء الأقل استغلالًا في كامل سطح هجوم محافظ العتاد. كل حالات السرقة المؤكدة التي شملت محافظ عتادية تعود إلى استخراج مادي، أو عبث في سلسلة التوريد، أو هندسة اجتماعية، أو بنية تحتية محيطة مخترقة. لم تُنسَب أي حالة إلى اعتراض اتصالات USB أو Bluetooth.

يوفّر العزل الهوائي قيمة حقيقية كمنهجية لأمن العمليات أكثر منه كدفاع تشفيري.

فالجهاز الذي يبقى في خزنة ويتواصل فقط عبر رموز QR يكون أصعب في الهجوم لأنه أصعب في الوصول إليه، لا لأن رموز QR أكثر أمانًا من USB.

في المقابل، تُمكّن قناة USB ثنائية الاتجاه من بروتوكولات anti-klepto التي تمثّل أهم تطور في أمان توقيع محافظ العتاد في السنوات الأخيرة، وهو دفاع لا تستطيع المحافظ المعزولة هوائيًا تبنّيَه بنيويًا. الحقائق الثلاث التي يجب أن توجه أي قرار: جودة العنصر الآمن أهم من طريقة الاتصال، والبرمجيات المفتوحة المصدر تتيح تدقيق المجتمع بغض النظر عن طبقة النقل، والتوقيع المتعدد عبر أجهزة من مُصنّعين مختلفين يقدّم حماية أقوى من أي عزل هوائي لمحفظة واحدة.