云端数据泄露已成常态
过去几年，我们见证了太多令人触目惊心的数据泄露事件：
- 2024 年，某知名云笔记服务商因服务器配置错误，导致数百万用户的笔记内容在互联网上公开暴露长达数周。
- 2023 年，一家主流密码管理器遭到攻击，攻击者获取了加密密码库的副本，虽然数据经过加密，但用户仍然被迫紧急轮换所有密码。
- 2022 年，社交媒体巨头因内部员工滥用权限，泄露了超过 5 亿用户的个人资料。
这些事件的共同特点令人不安：你的数据存放在别人的服务器上，而你对安全措施没有任何控制权。一旦服务商出问题，你能做的只有祈祷自己的数据不在泄露范围内。
零信任的核心原则
零信任（Zero Trust）并非某一款产品或技术，而是一种安全理念。它起源于企业网络安全领域，由 Forrester Research 在 2010 年提出，核心原则只有三条：
- 永不信任，始终验证：不因为请求来自内网就自动放行，每一次访问都需要身份验证。在企业网络中，这意味着即使你已经连上了公司 WiFi，访问内部系统仍然需要重新认证。
- 最小权限：每个实体只拥有完成其工作所需的最小权限，没有多余的访问能力。数据库不应该有写入权限如果它只需要读取，应用不应该能访问它不需要的资源。
- 假设已被入侵：安全模型不以"攻击者进不来"为前提，而是假设系统已经被渗透，在此假设下设计防御纵深。即使一条防线被突破，其他防线仍然有效。
这三条原则对企业有效，对个人数据同样适用。
DeepSeal 的零信任实现
DeepSeal 将零信任原则落地到个人数据保护的每一个层面：
- 无服务器 = 无攻击面：DeepSeal 不存储你的任何数据在云端。所有数据只存在于你的设备上。没有服务器意味着没有远程攻击面——攻击者无法入侵一个不存在的东西。这直接消灭了云端泄露这类最常见的威胁。
- 本地处理 = 无传输风险：加密和解密完全在你的设备上完成。你的主密码、DEK、明文笔记永远不会离开你的设备，不会经过任何网络传输。即使有人监听你的网络流量，也无法获取任何有价值的信息。
- 独立 DEK = 零信任内部隔离：即使攻击者物理接触了你的设备并提取了数据库文件，每条笔记的 DEK 都是独立加密的。攻破一条笔记的 DEK 不会帮助攻破下一条——这正是"假设已被入侵"原则的体现。攻击者必须为每一条笔记独立暴力破解，成本随笔记数量线性增长。
你的数据只属于你
零信任的终局不是建造更坚固的墙，而是消除被攻击的价值。当你的数据从未离开你的设备，当你的笔记只有你自己能解密，攻击者就没有目标可以瞄准。
DeepSeal 的零信任不是功能列表上的一行字，而是从架构层面做出的根本选择：我们选择不拥有你的数据，因为只有不属于我们的东西，才不会被我们从你身边夺走。