端到端加密对情侣意味着什么，用白话说清楚

现在有太多东西都印着“端到端加密”这几个字，以至于它听起来像是一张贴纸，而不是一项声明。因此，这里用一幅画面来解释整个概念，完全不需要任何数学知识。

想象一下，你和伴侣各有一把相同钥匙的副本，可以打开同一个小盒子。你把一张纸条放入盒中，锁好，交给快递员。快递员穿过城市把它送到你伴侣手里，你的伴侣用他那把钥匙副本打开盒子。这个快递员细心又可靠，而且快递员也无法打开这个盒子。这不是因为公司规定，也不是因为他们承诺不打开，而是因为他们根本没有钥匙。

在这个场景里，我们就是那个快递员。这就是对我们所做事情的最坦白描述。

到底什么被锁住了

在 Duoheart 中，你希望保持私密的内容就是盒子里的东西：你每天的五个回答、在每个回答下展开的对话记录、你的聊天消息，以及你发送的照片。它们在离开你的设备之前就会被锁定，并在到达伴侣设备时被解锁。

我们在服务器上保留的是密文。这个词的意思是乱码数据：一长串如果不借助密钥就没有意义的字符。如果明天有人拿到了我们的数据库，他们得到的不过是一堆乱码。不是日记，不是相册，也不是可以搜索的个人生活记录。仅仅是乱码数据。

密钥来自何处

这是区分真正加密与营销版加密的关键所在。共享密钥是在你们配对时，在你们的两台设备上生成的。它不是在我们的服务器上生成然后分发给你们的，因为经过我们手中的密钥，就意味着我们可以留存副本。

因此，我们从没有一刻持有过能解密你们对话的东西。这也是为什么你不能要求我们为你读取某条消息，或者核实你的伴侣是否真的发送了什么内容，抑或是查找你丢失的旧回答。这不是一份我们可以因为一封客气的电子邮件就为你打破的客服规定。因为我们这边根本没有任何可以查看的东西。

能被客服单据破解的隐私，算不上隐私。那只是一句承诺，而承诺会随着公司的改变而改变。

我们不会隐瞒的权衡代价

每一个真正的安全决定都有代价，任何告诉你没有代价的人都在推销。以下就是这个决定所付出的代价。

如果双方都丢失了设备，并且没有任何已登录的设备留存，对话就无法恢复。你不能，我们不能，任何人都不能。密钥存在于那些设备上，并随着设备的丢失而消失。我们无法从密文中重建密钥，就像快递员无法根据盒子的形状还原里面的纸条一样。

对于一款保存情侣最私密文字的应用来说，我们认为这种权衡是正确的。但我们必须明确说出来，因为事后才发现将是一个惨痛的教训。如果你想把每天的回答保存二十年，请在一台设备上保持安装该应用，并像对待纸质相册一样对待那台设备。

加密无法保护你防范什么

明确边界是很有必要的，因为这往往是人们最容易感到意外的地方。

加密保护的是传输途中以及在我们服务器上静止的消息。它无法保护放在桌上且未解锁的手机。任何能够打开你设备并打开应用的人都可以阅读所有内容，因为在应用看来，那一刻他们就是你。屏幕锁和数字密码在日常生活中对隐私的保护，比任何密码学技术都更直接有效。

它也无法阻止你的伴侣对其手中的副本做任何事。这不是漏洞，这就是定义本身。端到端有两端，每一端都是一个人。加密是对中间传输过程的保证，而不是对另一端人的承诺。两个人之间的信任，依然要靠老方法建立。

此外，它也不会让你使用这款应用的事实变得不可见。我们知道某个账号存在，知道用于接收登录验证码的电子邮件地址，也知道有数据流动过。我们会尽可能精简这些记录，但它并非完全不存在。

为什么我们特别为情侣应用选择这种机制

大多数加密应用都是为了广义上的安全而设计的：记者、活动家，或者任何可能成为目标的人。情侣应用也有类似但更安静的需求。每天的回答是那种你只会讲一次、在黑暗中、对一个人说出口的话。有人可能会写下一个从未对任何人讲过的恐惧，或者关于想要一个孩子，或者关于不想带孩子。

这些内容不需要戏剧性的外部威胁才值得保护。它们只需要永久留在两个人之间，不需要你们任何一方去操心。默认加密就是让你不再为此操心的方式。该应用在 iOS 和 Android 平台免费提供，下载地址 duoheart.app/get。