裝置端加密對 SeraShield 保險庫意味著甚麼

先想想其他人實際可能看到甚麼

以租約掃描檔為例。即使檔案已加密，若縮圖或檔名出現在可讀取的快取中，敏感內容仍可能外洩。完善的設計必須涵蓋匯入檔案、列出檔案的索引、產生的縮圖，以及檢視或分享時使用的暫存副本。

iOS 已透過 Data Protection 系統保護檔案，並為不同類別的檔案設定不同的存取規則。應用程式保險庫可在將指定資料寫入永久儲存空間前先行加密，增加自身的保護層。設計時必須弄清檔案在正常使用期間何處可讀，以及使用後哪些資料仍可讀。

決定何時可以使用金鑰

候選設計會採用成熟的驗證式加密 API，例如 Apple CryptoKit 中的 AES-GCM，在隱藏內容的同時驗證加密資料的完整性。然而，仍需要經審慎評估的金鑰管理設計，包括如何產生與保護金鑰、如何防止 nonce 重複使用，以及儲存格式變更時如何處理。

Apple 的鑰匙圈（Keychain）控制可根據裝置狀態與使用者是否在場限制存取。因此可以研究一種保險庫：即使將已解鎖的手機交給別人，仍須重新驗證身分。備用解鎖方式十分重要。如果容許使用裝置密碼，知道密碼的人也可能解鎖。將金鑰緊密綁定單一裝置，則可能使轉移和復原更困難。

正式推出前需要哪些證據

我們會分別界定要抵禦隨意瀏覽、他人持有已鎖定手機，以及存取被複製備份的保護範圍。每種情況都需要獨立測試。手機由他人控制或檔案已匯出保險庫，都會增加其他風險。

1. 在匯入、鎖定、強制結束及重新開機後，檢查儲存的檔案、縮圖、日誌與應用程式預覽。
2. 竄改加密樣本，確認應用程式會拒絕讀取且不顯示任何部分內容。
3. 測試備用驗證方式、遭中斷的匯入、金鑰變更及在替代裝置上復原。
4. 記錄匯出或分享時哪些檔案會離開保險庫。