CardanoWall Desktop: un client di posta locale per le tue Proof of Existence

CardanoWall Desktop è un client desktop open source per Label 309 — un modo per tenere i tuoi record di Proof of Existence, le tue identità e la tua inbox sigillata sulla tua macchina, anziché in una scheda del browser. Si comporta come un client di posta: una Inbox di record sigillati indirizzati a te, una vista Sent di tutto ciò che hai pubblicato, un flusso di composizione per le nuove prove, un Explorer locale sull'insieme pubblico dei record on-chain, una rubrica di contatti con gli indirizzi di ricezione e la gestione locale delle identità.

Questo articolo spiega come funziona, così puoi decidere se si adatta al tuo modo di lavorare.

Il punto non è semplicemente «un'app desktop». Il punto sono tre proprietà che un browser non può darti del tutto: è offline-first, è neutrale rispetto al fornitore ed è costruita in modo che le tue chiavi private non lascino mai il dispositivo.

Quale problema risolve l'app desktop?

L'app web è il punto di partenza più semplice. L'app desktop è per chi vuole la proprietà locale.

Il browser è perfetto per creare una prova al volo, pubblicare un record o seguire un flusso di lavoro basato su account. Alcune persone e aziende, però, hanno bisogno di qualcosa in più:

• un vault dell'identità locale e cifrato;
• l'accesso offline ai record già sincronizzati;
• file cifrati conservati in cache localmente;
• una inbox privata, scoperta tramite decifratura locale e non tramite instradamento lato server;
• un mirror locale e ricercabile dell'insieme pubblico dei record;
• flussi di lavoro per file di grandi dimensioni che usano lo streaming invece di caricare i file interi in memoria;
• la possibilità di puntare a un gateway self-hosted;
• meno presupposti incorporati attorno a un singolo fornitore in hosting.

CardanoWall Desktop è pensato proprio per queste persone. Porta il modello Label 309 sulla tua macchina e tratta lo stato «offline» come una condizione normale, non come un errore.

CardanoWall Desktop è un wallet Cardano?

No. Non è un wallet, ed è progettato in modo che tu non confonda mai le due cose.

Non custodisce ADA. Non conserva una frase di recupero del wallet. Non costruisce né invia transazioni Cardano e non detiene chiavi di catena o di storage.

La pubblicazione passa comunque attraverso un gateway Label 309, che possiede l'intera pipeline di pubblicazione: pricing, upload, costruzione e invio della transazione Cardano, conferma, gestione dei reorg, indicizzazione e contabilità del saldo. L'app desktop è un client. Conserva le tue identità Label 309 in locale, prepara i record, firma quando scegli di firmare, cifra i payload sigillati, decifra i record sigillati in arrivo, verifica le prove e dialoga con qualunque gateway tu configuri. Se vuoi la stessa separazione da uno script o da un terminale, lo strumento a riga di comando open source fa lo stesso lavoro senza interfaccia.

Perché l'app desktop è open source?

Perché un software che gestisce identità, firme, file cifrati e prove di lunga durata dovrebbe essere ispezionabile.

Se uno strumento tocca le tue chiavi e le tue prove, devi poter leggere come funziona, un team di sicurezza deve poterlo sottoporre ad audit, gli sviluppatori devono poterci costruire sopra e gli operatori devono poterlo puntare verso la propria infrastruttura. Il formato di prova è aperto, il gateway è aperto e anche il client desktop è aperto — sotto la stessa licenza Apache-2.0 del resto del codice Label 309. Uno standard è utilizzabile solo quanto lo sono gli strumenti che lo circondano, e quegli strumenti non dovrebbero trasformarti in un cliente prigioniero.

Cosa significa qui «offline-first»?

Offline-first significa che l'app locale resta utile quando la rete non è disponibile, perché la fonte di verità di ciò che vedi è un database locale, non la rete.

L'app conserva uno stato locale: record sincronizzati, corrispondenze della inbox, record inviati, contatti, identità, testo cifrato in cache e — solo se scegli di attivarla — file decifrati in cache. Quando sei offline puoi comunque:

• sfogliare i record già sincronizzati;
• leggere la tua inbox;
• decifrare i file sigillati in cache;
• verificare i record in cache;
• cercare tra i tuoi dati locali;
• preparare la bozza di una prova da pubblicare in seguito.

Offline non significa che ogni azione si completi. Pubblicare una nuova prova richiede comunque un gateway e una connessione di rete. Recuperare un testo cifrato che non hai mai messo in cache richiede comunque l'accesso allo storage. Ma i dati che hai già sincronizzato non spariscono perché è caduto il Wi-Fi. (Per i casi in cui l'offline è il punto centrale — hashing e firma in ambiente air-gapped — vedi prove offline.)

Come funziona la Inbox desktop?

La Inbox è una vista locale dei record sigillati che le tue identità possono aprire — e il server non viene mai a sapere quali record sono tuoi.

Un gateway espone un flusso pubblico di ogni record Label 309. L'app desktop sincronizza quel flusso in un mirror locale. Per ciascuna delle tue identità, prova in locale ad aprire gli slot di chiave sigillati usando le chiavi di ricezione di quell'identità. Se uno slot si apre, il record compare nella Inbox di quell'identità.

Questa non è, deliberatamente, una mailbox lato server. Il feed del gateway è cieco rispetto al destinatario: non contiene alcun campo per destinatario, quindi non può sapere a chi è destinato un record sigillato. È il tuo client a scoprirlo da solo, decifrando a tentativi. È proprio per questo che un client locale si sposa così bene con la Proof of Existence sigillata — la stessa macchina che conserva le chiavi della tua identità è l'unico posto in cui la inbox può essere assemblata.

Cosa traccia la vista Sent?

La vista Sent traccia i record che pubblichi lungo tutto il loro ciclo di vita — e ne verifica il risultato invece di darlo per buono.

Una prova non è finita nel momento in cui fai clic su invia. Attraversa diverse fasi: in bozza, con preventivo, in caricamento, in pubblicazione, inviata, in conferma, confermata — oppure fallita e rimborsata automaticamente se la pubblicazione non può completarsi. L'app desktop tiene visibile questo ciclo di vita in locale. Può mostrare quale gateway è stato usato, quale identità ha firmato il record, se il record era sigillato, quali destinatari sono stati selezionati, quando la transazione è stata confermata e se il verificatore locale conferma che il record on-chain corrisponde a ciò che l'app aveva preparato.

Quest'ultima parte è quella importante. «Confermata» non dovrebbe voler dire «lo ha detto il gateway». Il gateway costruisce e invia la transazione, quindi non è qualcosa da prendere per fede — un gateway difettoso od ostile potrebbe riportare una transazione diversa o dichiarare in modo errato la conferma. Per questo, una volta che esiste un hash della transazione, l'app recupera il record on-chain e lo confronta byte per byte con il record esatto che ha pubblicato, prima di marcare alcunché come confermato. È la verifica autonoma applicata alla tua stessa cartella di posta inviata.

Come vengono conservate le identità sul desktop?

Ogni identità è conservata in un vault locale e cifrato, e il seed segreto non lascia mai il core Rust che sta al cuore dell'app.

Ogni identità Label 309 affonda le radici in un singolo Identity Seed da 32 byte. Da quel seed l'app deriva la chiave di firma dell'identità e le sue chiavi di ricezione. Il seed stesso resta all'interno del core locale: non viene mai inviato alla webview che disegna l'interfaccia, né a un qualsiasi gateway. L'interfaccia vede soltanto proiezioni pubbliche — label, fingerprint, chiavi pubbliche, indirizzi di ricezione e stato. Mentre il vault è sbloccato, il seed risiede in una memoria che si azzera automaticamente e viene cancellato quando blocchi l'app o quando questa si blocca da sé per inattività.

Questa separazione è l'intero progetto: il seed è il backup portatile e la cosa che vale la pena proteggere, perciò è trattato come il gioiello della corona. Se vuoi capire perché un seed — e non un account o una password — è la vera identità, vedi la tua identità è un seed; e per il principio che sta dietro il tenerlo sul dispositivo, perché le chiavi non lasciano mai il dispositivo.

Un limite, detto con onestà: tenere i segreti nel core locale ti difende da un'interfaccia malevola o difettosa e dal furto di un file di vault bloccato. Non sconfigge un sistema operativo completamente compromesso. Mentre l'app è sbloccata, del malware sulla stessa macchina potrebbe in linea di principio leggere i segreti in memoria — finestre di sblocco brevi, blocco automatico e dipendenze ridotte al minimo riducono questa esposizione ma non possono cancellarla, la stessa avvertenza che vale per qualunque wallet desktop.

Posso usare il mio gateway?

Sì — ed è una delle ragioni principali per cui l'app desktop esiste.

Funziona con qualsiasi gateway Label 309 compatibile. Puntalo verso il gateway ufficiale CardanoWall per comodità, verso un gateway self-hosted gestito dalla tua azienda, oppure verso un gateway che sta dietro al prodotto di qualcun altro. Quello ufficiale è al massimo un punto di accesso comodo con un clic; non è mai un valore predefinito che non hai scelto tu. Fornisci l'URL di base del gateway e una chiave di account, e l'app sonda l'endpoint per verificare che parli lo standard prima che tu ci faccia affidamento.

La divisione è netta: il gateway possiede la pipeline di pubblicazione, il desktop possiede l'esperienza di client locale. È questa separazione a evitare il lock-in. La tua app locale, le tue identità locali, la tua cache locale e i tuoi record standard non dovrebbero dipendere da un'unica interfaccia in hosting.

Cosa vede il gateway, e cosa non vede mai?

Un gateway vede ciò che gli serve per pubblicare e per far funzionare il servizio — e nulla che gli permetta di leggere i tuoi file sigillati o di impersonarti.

Può vedere la tua credenziale di account, i preventivi di prezzo, gli upload, il testo cifrato, il tuo saldo, lo stato delle transazioni, i byte dei record pubblici e i metadati operativi. Non vede il tuo Identity Seed, non vede le tue chiavi private di destinatario e non può decifrare i tuoi file sigillati. L'app desktop prepara e usa ogni segreto in locale; il gateway si limita a pubblicare record standard e a servire il feed pubblico.

Questo non significa che un gateway non possa mai comportarsi male. Può ritardare, fallire, trattenere un record o riportare uno stato sbagliato. È esattamente per questo che la verifica conta: una prova valida è controllabile a partire dal record pubblico on-chain e da un explorer pubblico di Cardano, non viene creduta perché lo dice l'interfaccia di un gateway.

Cosa posso fare con i file quando sono offline?

Dipende da cosa hai sincronizzato e messo in cache — e l'app è sincera su quali file sia sicuro tenere a portata di mano.

Il testo cifrato può essere messo in cache liberamente, perché è già cifrato; riaprire un file ricevuto è allora istantaneo e funziona offline. I file decifrati sono più sensibili, perciò qualsiasi cache di file decifrati è opzionale, disattivata per impostazione predefinita e a sua volta cifrata. Il comportamento predefinito è conservare il testo cifrato e decifrare su richiesta, in memoria.

Un modello mentale utile:

• i metadati dei record pubblici possono essere replicati in locale;
• il testo cifrato può essere messo in cache per l'accesso offline;
• i file decifrati vengono gestiti con cura e scritti su disco solo dove li salvi esplicitamente;
• l'Identity Seed resta protetto nel vault;
• la verifica gira in locale per i record e i file in cache.

Questo ti dà i vantaggi pratici del lavoro offline senza far finta che i file decifrati siano privi di rischi. E un file decifrato resta pur sempre un file: una volta salvato, chiunque lo riceva da te può leggerlo. Una prova sigillata mantiene il contenuto riservato a chi detiene le chiavi; non rende affidabile un destinatario.

A chi è rivolta l'app desktop?

È rivolta a persone e organizzazioni che lavorano con le prove abbastanza spesso da far sì che una scheda del browser smetta di essere lo strumento giusto.

Si adatta bene a:

• team legali e di compliance che ricevono prove sigillate;
• giornalisti e le loro fonti che gestiscono record riservati;
• aziende che pubblicano prove di compliance ricorrenti;
• sviluppatori e team di piattaforma che usano Label 309 in automazione;
• team di AI che preservano gli impegni su dataset e output;
• creativi che conservano prove firmate del proprio lavoro originale;
• revisori che hanno bisogno dell'accesso locale ai pacchetti di prove;
• chiunque preferisca un'infrastruttura self-hosted o neutrale rispetto al fornitore.

Se pubblichi solo qualche prova ogni tanto, l'app web resta la strada più semplice, e lo strumento a riga di comando open source ti permette già oggi di lavorare senza il sito. L'app desktop è per il lavoro continuativo.

Cosa ottieni

È un prodotto local-first che si comporta come un software serio per la gestione delle prove, non come un giocattolo leggero. Ecco cosa ti offre:

• richieste di backup dell'identità chiare, così non perdi mai un'identità per sbaglio;
• nessuna confusione con la seed phrase del wallet;
• stati di verifica trasparenti;
• uno stato di conferma leggibile;
• una gestione attenta degli indirizzi di ricezione, tramite un canale separato;
• ricerca locale tra i tuoi record e i file aperti;
• un'anteprima sicura dei file in linea;
• più identità in un unico posto;
• contatti con fingerprint controllabili;
• la libera scelta del gateway;
• stati di errore sinceri al posto di fallimenti silenziosi.

Lo standard ti dà il modello di prova. L'app desktop ti dà l'ambiente di lavoro che gli sta intorno. Puoi scaricarla dal codice open source.

In breve

CardanoWall Desktop è il client locale per Label 309. Sincronizza l'insieme pubblico dei record, conserva le tue identità in locale, scopre gli elementi della inbox sigillati decifrando a tentativi in locale, traccia le prove che invii (e le verifica on-chain), funziona offline con i dati che hai già sincronizzato e si collega a qualsiasi gateway compatibile.

L'app web ti dà la comodità. L'app desktop ti dà il controllo locale.

Approfondimenti

• Lo standard Label 309: label309.org
• Codice open source, SDK e strumento a riga di comando: github.com/cardanowall
• Cos'è un gateway Label 309 e cosa può vedere CardanoWall
• Come ricevere record sigillati e usare la CLI in automazione