密钥短语：您的保险库的恢复生命线

Vaultaire 生成的是一个由九个词组成的自定义恢复句子，而不是 12 或 24 个词的 BIP-39 助记词。PBKDF2-HMAC-SHA512 对规范化后的短语运行 800,000 次迭代，派生出恢复密钥。该密钥可打开装有本地保险库密钥的 AES-GCM 加密信封，或在从加密的 iCloud 备份恢复时取回保险库密钥和备份密钥。

什么是密钥短语？

每个 Vaultaire 保险库都有分层的密钥结构。您的图案派生出保险库密钥，保险库密钥解锁加密索引，索引中存有经过包装、用于文件加密的随机主密钥。可如果您忘了图案怎么办？如果几个月过去，肌肉记忆淡了呢？没有另一条恢复路径，保险库密钥就再也拿不到。

这正是秘密短语的用处。您创建新保险库时，Vaultaire 会生成一个由九个常见英文单词组成的合乎语法的句子，这些词用密码学安全的随机数从多个按词性划分的词表中选出。这是一种自定义恢复格式，而不是 BIP-39。这些单词并不编码由图案派生的保险库密钥。规范化后的句子会作为 PBKDF2 的输入，由此得到的恢复密钥再解密装有保险库密钥的信封。

可以这样理解：图案和恢复短语是两种凭证，分别打开同一份保险库访问材料的不同包装。图案是您每天使用的凭证；恢复短语则打开您备着的应急信封，留到肌肉记忆失灵、或新设备需要找到加密备份的那一天使用。

密钥短语的工作原理

秘密短语是一个独立的凭证，因此也是恢复保险库或攻击保险库的另一条途径。它不是图案派生密钥的另一种写法。短语会派生出自己的 256 位恢复密钥，由该密钥认证并解密装有保险库密钥的小信封。这样的分离让短语可以跨设备使用，而日常使用的本地保险库密钥仍绑定在设备的 Keychain 盐值上。

一代

您创建保险库时，Vaultaire 用密码学安全的随机数选词，并把它们填入多个语法模板之一。生成的句子通常由九个词组成，并经过 App 的短语强度评估。您也可以提供至少六个词的自定义短语，只要它通过校验。短语经规范化后，由 PBKDF2-HMAC-SHA512 运行 800,000 次迭代处理，用来加密可跨设备使用的恢复信封。

显示屏

Vaultaire 在创建保险库时显示该短语，并要求您确认已经保存。它还把短语存放在 iOS Keychain 中一个经 AES-GCM 加密的恢复数据库里，以便日后在该保险库的设置中显示，并在开启 iCloud 备份时用于发布加密的恢复清单。Vaultaire 的公司服务器不会收到该短语，分析数据中也不包含它。

恢复

如果您忘记了图案，请打开 Vaultaire 并选择恢复选项。在原设备上，加密的恢复数据库会把短语对应到它的信封。从加密的 iCloud 备份恢复时，确定性定位符会找到该短语对应的恢复清单。无论哪种情况，AES-GCM 认证解密都会先验证短语派生的密钥，再交出保险库访问材料。之后您就可以打开保险库并设置新图案。

密钥短语为何存在

Vaultaire 没有会接收您的图案、恢复短语、保险库密钥、备份密钥或可读保险库内容的账户服务。加密备份保存在您的私有 CloudKit 数据库中，Vaultaire 也不另外持有服务商恢复密钥。因此不存在由公司运营的密码重置途径：客服无法用账户凭证替换您丢失的图案或短语。

秘密短语是 Vaultaire 对这一取舍的回答。它给您一个人类可读的凭证，用来取回保险库访问材料的加密副本，而 Vaultaire 无需持有服务商解密密钥。短语在本地存放于受保护的 Keychain 数据中，您也应该把它保存在自己掌控的地方。如果您的图案和该短语都没有留下可用的副本，Vaultaire 无法通过公司账户重置加密。

图案强大且直观，但它们依赖于肌肉记忆。生活会阻碍你。您可能六个月内不会打开保险库。您可能会更换手机并失去对手势的物理熟悉度。您的健康状况可能会影响您的精细运动控制。秘密短语可确保这些情况都不会永久丢失您的数据。

密钥短语的安全性

秘密短语是与您的保险库相关的最敏感凭证之一。任何人只要拿到该短语，再加上对应的本地恢复数据或加密的 iCloud 备份，就可能恢复保险库密钥并访问您的数据。这就是 Vaultaire 把本地副本加密存放在 Keychain 中的原因，也是您应当保护好自己所做每份副本的原因。

创建时显示，之后可在设置中查看

Vaultaire 在创建保险库时显示该短语，方便您另做一份副本。App 也可以在已打开的保险库设置中加载并显示已保存的短语。这种便利改变了威胁模型：能解锁保险库并进入其设置的人可能读到这个短语，因此 iPhone 密码、Vaultaire 图案以及对设备的实际掌控依然重要。

在本地加密，不发送给 Vaultaire

该短语保存在加密恢复数据库中，该数据库存为 WhenUnlockedThisDeviceOnly 的 Keychain 项。另一个随机 Keychain 密钥用 AES-GCM 保护该数据库。加密 iCloud 备份开启时（默认开启），Vaultaire 会上传一个确定性的短语定位符和一份 AES-GCM 加密的恢复清单；该记录中不含明文短语。分析数据不包含该短语，Vaultaire 也不会收到它。

没有它就无法恢复

如果您的图案和秘密短语的所有可用副本都丢失了，Vaultaire 没有账户重置或服务商持有的密钥能为您解密保险库。本地恢复是否仍有可能，取决于设备上还留有哪些受保护的 Keychain 数据和保险库数据。加密的 iCloud 备份仍然需要它的恢复短语，或对应的由图案派生的备份密钥。

密钥短语的最佳实践

您的秘密短语是您最私密数据的终极备份。相应地对待它。

把它写在纸上

使用笔和纸。清楚地写下每个单词，按顺序，编号。Paper 无法被远程破解。它不会被恶意软件破坏。它无法从云服务中悄然渗出。安全地方的一张纸是迄今为止发明的最具弹性的备份存储形式。

切勿以数字方式存储

不要把未加保护的副本放进备忘录 App、截图相簿或电子邮件账户。每多一份数字副本，这个短语就多一个可能因恶意软件、数据泄露或账户被盗而暴露的地方。Vaultaire 已经为恢复和设置中的显示保留了一份受保护的本地副本；其他副本应按您所保护数据的风险程度来保护。

将其存放在安全的地方

将纸张存放在安全且私密的地方。家庭保险箱、保险箱或只有您可以使用的上锁抽屉。请考虑与对待重要法律文件或出生证明相同的预防措施。如果您有多个保险库，请清楚地标记每个短语，以便您知道它属于哪个保险库。

视为值得信赖的人

如果您发生了什么事，是否有人能够访问您的保险库？如果是这样，您可以将这句话的副本交给值得信赖的家庭成员，或将其与您的遗产文件一起放入密封信封中。这是个人决定，但在问题变得紧迫之前值得考虑。

恢复如何进行

恢复过程很简单，但值得了解每个步骤中发生的情况，以便您确切地知道会发生什么。

步骤 1：打开恢复屏幕

当您打开 Vaultaire 并提示您输入模式时，您将看到一个恢复选项。点击它，App 会显示一个单词输入界面，您可以在其中键入或选择秘密短语的每个单词。

第 2 步：输入您的短语

请按保存时的词序输入完整短语。Vaultaire 会统一大小写和空格，但单词本身及其顺序仍然重要，因为它们会成为 PBKDF2 的输入。生成的格式是九个词的句子，而不是 BIP-39 词表，自定义短语则可以使用不同的词数。

步骤 3：密钥重新生成

输入短语后，Vaultaire 会将其规范化，并用由短语确定性派生的盐值运行 800,000 次 PBKDF2-HMAC-SHA512 迭代。同一个规范化短语在另一台设备上会得到同一个 256 位恢复密钥。随后，AES-GCM 会先用本地恢复信封或云端恢复清单验证该密钥，再接受任何保险库密钥或备份密钥。

步骤 4：设置新模式

重新进入保险库后，Vaultaire 可以设置新的图案。随机的文件加密主密钥保持不变，但新图案会派生出新的本地保险库密钥和新的确定性备份密钥。更改图案还会生成新的恢复短语和信封，因此您必须在离开该流程前保存新短语。