Morse Messenger 新增紧急擦除功能，可两击清空聊天记录

简短回答：只有 GrapheneOS 内置了胁迫 PIN。iPhone、三星手机以及搭载 Google 自家软件的 Pixel 都没有。Morse Messenger 无法保护你手机的其余部分，但它确实能保护你的 Morse 聊天：开启紧急擦除后，两次点击即可抹掉 Morse 中的所有内容，甚至无需解锁，直接在锁屏上就能操作。你的一对一聊天也会从联系人手机上消失。Morse 真正的胁迫 PIN 即将推出。

下面说说什么是胁迫 PIN、为什么你的手机大概率没有、以及我们如何构建紧急擦除：它会擦除什么、你联系人的手机上会发生什么，以及它的局限在哪里。

每条聊天、群组和通话均端到端加密。无需手机号。

胁迫 PIN 是第二个解锁码。你可以在正常解锁码之外另行设置。如果有人胁迫你解锁手机，你输入胁迫 PIN，手机就会自我擦除，而不是打开。

其背后的理念很简单。端到端加密保护传输中的消息，锁定的手机保护存放在手机上的消息。但一旦有人强迫你解锁，这两者都帮不上忙。那一刻，擦除是仅剩的保护手段。

而且这不仅仅关乎你。你的聊天里也存着别人的话：私下向你倾诉的朋友、你的家人、与你共事的人。擦除同样保护他们。

几乎可以肯定没有。GrapheneOS 是面向 Pixel 手机的替代 Android 系统，于 2024 年加入了这一功能。在手机要求输入 PIN 的任何地方输入它，用 GrapheneOS 自己的话说，就会“不可逆地擦除设备”。

iPhone、三星手机以及搭载 Google 自家软件的 Pixel 都没有类似功能。iPhone 上最接近的是一个在连续 10 次输错密码后擦除手机的设置，但当有人强迫你输入正确密码时，这毫无用处。而且擦除整部手机意味着带走一切：你的照片、其他应用，所有东西。

大多数通讯应用也填补不了这个空白。多数只允许你在应用内删除账户或清空聊天，而你聊过天的人通常会保留他们的副本。

所以我们把它内置到了 Morse 中。紧急擦除默认关闭，因为一个能擦除一切的按钮不应是你能误触的。要开启它：

从那时起，应用内和 Morse 锁屏上都会显示一个擦除按钮。两次点击即可擦除一切：先点按钮，再点 Erase Everything。你无需先解锁 Morse。

Morse 已在 iPhone 上架。紧急擦除也在 Android 应用中，Android 版即将推出。

密钥被销毁：数据库化为噪声 文件、通知和剪贴板被删除 你的聊天从联系人手机上消失 直接在 Morse 锁屏上操作，无需解锁。一旦密钥消失，芯片上残留的任何东西都无法读取。

然后 Morse 回到欢迎屏幕，就像刚安装一样。也没有什么可以恢复的：打开 Morse 数据的密钥仅存储在你这台手机上，所以即使是它的备份，也无法在其他设备上读取。

为什么销毁密钥而不是删除文件？在手机的闪存上，删除文件并不能可靠地移除它。芯片会把写入分散到各处以均匀磨损，所以旧数据可能残留在应用无法触及的地方。因此 Morse 不依赖删除。它的数据库在你的手机上加密，密钥保存在手机受保护的密钥存储中。销毁那个密钥，芯片上残留的任何东西就只是噪声。这被称为加密擦除，处理一万条消息与十条消息耗时相同。

但那个密钥不也只是同一芯片上的更多数据吗？问得好，PIN 锁就是答案。开启 Morse 的 PIN 锁后，数据库密钥本身被双重锁定：在你的 PIN 之下，以及在 iPhone 上由 Secure Enclave 或 Android 上由 Android Keystore 持有的密钥之下，后者永远无法被复制出手机。擦除也会删除那个硬件密钥。所以即使数据库密钥的加密副本残留在芯片某处，也不再有任何东西能打开它。

Secure Enclave 或 Android Keystore。永不离开手机。 双重锁定 加密副本可能残留在芯片上。已没有任何东西能打开它。

为什么它能在锁屏上运行？因为销毁密钥不需要密钥。擦除从不打开数据库，所以 Morse 无需你的 PIN 就能执行。Morse 处于锁定状态时，擦除唯一需要的是在我们服务器上删除你账户的权限。Morse 为此保留了一个删除令牌，锁定状态下可读。它只能用于删除账户：无法读取或发送任何内容。

为什么服务器优先：你联系人的手机只有通过我们的服务器才能得知你已离开。所以 Morse 先询问服务器，趁你的手机仍联网时，并且只短暂等待。网络缓慢绝不会耽误你手机上的擦除：如果没有应答，你的手机照样会被擦除。

在此之前，Morse 会停止它在后台运行的一切，这样擦除过程中不会有新数据写入。然后账户被删除，接着是密钥，然后是文件，最后是检查。

已保存的照片是最棘手的部分。iPhone 无法列出“此应用保存的照片”，所以 Morse 在保存每张照片时维护自己的列表，并用该列表来删除它们。iOS 会要求你确认删除照片，这是 Apple 的规定，所以 Morse 先擦除你的聊天，那个问题就无法耽误任何事。在 Android 10 及更新版本上，Morse 会删除它保存在自己文件夹中的照片和视频。

如果你想全面了解 Morse 如何存储和保护你的数据，请看我们的安全白皮书。

擦除听起来很简单：删除一切。大部分工作都花在了“一切”藏身的地方，以及可能碍事的东西上：

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）