什么是零知识加密？

一句话版本

你的数据在任何内容被传出之前，就已经在你的设备上用一个 只有你知道的秘密所派生的密钥完成加密，因此服务保存的是它无从解密的密文。

这个名字借自密码学中的“零知识证明”，但在存储领域，它的含义更简单也更实际：厂商对你明文的知情程度为零。

它实际上是怎么运作的

1. 你选一个主密码。它绝不离开你的设备。登录时不会被发送，服务端不会保存，客服也无法恢复。
2. 一个密钥派生函数把它拉伸成密钥。现代系统使用 Argon2id，它刻意消耗大量内存（Keyvaci 每次猜测使用 64 MiB），使得暴力尝试上十亿次在经济上荒谬。
3. 你的设备用这把密钥加密一切（或者用受它保护的其他密钥），采用 XChaCha20-Poly1305 这类认证加密，既隐藏数据，也能发现被篡改。
4. 上路的只有密文。服务器保存它、复制它、备份它，除此之外什么也做不了。

它能保护你免于什么

• 厂商被攻破。拿走整个数据库的攻击者，得到的是密文，没有密钥。相比之下，那些厂商本来就能读到数据的泄露事件，攻击者自然也能读到。
• 厂商的内部人员。一个心怀不轨的员工对你明文的访问权限，与外部攻击者一样：没有。
• 法律强制。厂商只能交出它手上有的东西。密文就是诚实的上限。
• 以扣押数据实现的厂商锁定。如果厂商读不到你的数据，“不付钱就没了”这句话就失去了牙齿，前提是厂商同时承诺导出权限，任何正经厂商都该如此。

它保护不了什么

诚实的厂商会把这部分说出来：

• 你自己设备被攻陷。解密发生在你所在的地方，那里的恶意软件看得到你看到的东西。
• 弱主密码。密钥派生能拖慢猜测，但没法让“password123”变安全。长度胜过花招。
• 把密钥弄丢。厂商无法重置它从未持有过的东西。正经的企业级产品用由组织持有的恢复密钥来解决这个问题，从而在不给厂商任何权力的前提下让恢复成为可能。Keyvaci 的恢复机制正是这样运作的。

能戳穿虚假说法的几个问题

1.“你们的客服能重置我的主密码吗？”如果能，说明他们手上握着某样可以解密你数据的东西。

2.“究竟哪些字段是在客户端加密的？”有些产品加密了条目的密码，却把标题、网址和结构留成可读的。Keyvaci 加密条目以及保管库名称；我们保存内容的完整清单是公开的。

3.“如果我用单点登录，加密密钥从哪里来？”好的回答会指出一套让密钥派生留在你设备上的机制。在 Keyvaci 中，单点登录回答的是你是谁；密钥依然只来自你的主密码。

4.“我不付费之后，我的数据会怎样？”零知识加上永久只读，是可信的。零知识加上删除威胁，在精神上就是自相矛盾。

团队场景下的零知识

多人保管库带来一个真实的复杂点：共享意味着用同事的公钥加密保管库密钥，而这只有在这把公钥确实属于你的同事时才安全。Keyvaci 用组织副署签名解决它：由管理员通过带外渠道核对每位成员的密钥校验码并为其副署，每台设备在共享任何东西之前都会检查这个签名。攻击者若想进入你的保管库，就得在系统之外的渠道上，骗过一个活生生的管理员为他的密钥签名。

想看看这一切在实际中如何运转，包括服务器收到什么的实时视图？试试我们首页上的交互演示，或者阅读完整的安全架构。