为什么亲密应用的数据泄露比其他泄露更严重？

因为这种泄露无法撤销。密码和银行卡可以更换，但账号存在的事实以及其中发送过的文字却无法抹去。

端到端加密能防止数据泄露吗？

它能保护内容本身，因为服务运营方并不持有可读形式的数据。但元数据（例如账号的存在和活动时间）依然可能泄露。

从未被收集、或者运营方无法读取的数据。其他所有措施都只能降低发生的概率，而无法改变泄露发生时暴露的内容。

大多数数据泄露只是一种麻烦。你更换密码，监控几个月的信用卡账单，一年内这事就不再重要了。

涉及亲密数据的泄露表现完全不同，这种差异不在于通常意义上的数据量或严重程度，而在于什么东西是无法撤销的。

密码可以更改，银行卡可以重发。但某人写给伴侣的内容无法撤回，特定人员在某个地方拥有账号的事实也无法撤销。

“存在过”本身往往就是全部的伤害载体。在几次记录详尽的私密服务泄露事件中，早在有人读取任何一条信息之前，仅凭电子邮件地址就足以造成严重伤害。2015年的 Ashley Madison 就是典型例子，对个人造成的后果十分严重，在某些情况下甚至是不可逆的。

第二个特征是永久性。泄露的数据集不会被删除。它们在网络上流传、被检索归档、与其他数据集合并，并在数年后重新浮出水面。

你可以更改手中的每一项凭证，但你无法改变记录曾经存在的事实。

单次数据泄露往往看起来无害，不过是一个邮箱地址和一个时间戳。

风险源于组合。来自某次泄露的邮箱地址，加上另一次泄露的手机号码，再加上第三次的定位历史，就会拼凑出一个三者单独都不包含的完整画像。

这就是为什么“泄漏的只是邮箱地址”这种宽慰比听起来要软弱无力，也是为什么数据最小化比泄露响应更为重要。

只有一件事具有实质意义：数据从一开始就不以可读形式存在。

其他一切都只是事后缓解。良好的安全措施能降低泄露概率，但不会改变泄露后所展现的内容。数据保留期限限制了泄露的规模。由运营方持有密钥的加密可以抵御某些形式的攻击，但无法抵御直接入侵运行系统的攻击者。

端到端加密是唯一一种即使服务器被完全攻破也不会泄露内容的机制，因为内容本身就不以可读形式保存在那里。

它并不保护元数据。攻击者仍能获知两个账号的存在、它们相互配对以及在特定日期活跃的信息。这确实是一种泄露，但范围要小得多。

如果攻击者完全攻破了你们的服务器，他们能读取什么？

账号注销后，你们会将数据保留多久？

有哪些第三方会接收到这些数据？

是否公布了安全联系方式，是否有响应报告的历史记录？

第一个问题划分了系统架构的本质区别。其他问题都属于运营实践，而实践会随管理层的变动而改变。

内容（包括问题、回答、信息和通话）均在设备本地加密，密钥在本地生成且绝不发送给我们。即使我们的基础设施被彻底攻破，这些内容也不会泄露，因为我们手头根本没有可读形式的数据。

泄露的只会是账号的存在、账号间的配对关系，以及订阅和活动信息。我们不会把这些轻描淡写地称为无足轻重。

此外，我们的收集量远低于能力所及，这是最不起眼但也最有效的隐私保护措施。从未被收集的数据，绝不会发生泄露。

使用非主邮箱来注册此类服务。彻底注销不使用的账号，而不是简单地卸载应用。对于输入到任何服务中的内容，都要做好十年后某处仍留有副本的心理准备，因为对于大多数服务来说，事实就是如此。