Security

安全设计

主机密钥验证

• 默认维护应用自有的 known_hosts。
• 首次连接要求用户确认服务器指纹。
• 密钥变化会拒绝连接。
• 合法轮换后，用户必须在服务器详情页清除旧记录并重新确认。

配置加密

• 使用 CryptoKit AES.GCM 和 256 位主密钥。
• SealedBox 保存 nonce、ciphertext 和 authentication tag。
• AAD 绑定记录 ID、类型、schema 版本和存储域。
• Profile 与 Secret 分文件保存。
• 解密或认证失败时不覆盖现有数据。

密钥隔离

存储	主密钥
本地	Keychain，ThisDeviceOnly
iCloud	Synchronizable Keychain，独立 account

本地和 iCloud 主密钥不能复用。迁移时由目标 Provider 重新加密，不复制原密文。

数据最小化

• 日志不写入 iCloud。
• 不提供明文配置导入导出。
• 运行状态和临时 Shell 不进入云同步。
• 同步冲突无法安全判断时保留副本，不静默覆盖。

报告安全问题

发现安全问题时，请提供影响范围、复现条件和建议修复方向。不要附带真实私钥、密码或生产主机凭据。

正式安全邮箱将在发布前公布。