第9章
离线保管加密密钥与硬件U盘
9.1 学习目标
- 理解加密的悖论：越安全，丢了密钥就越容易全部丢失。
- 建立密钥登记簿（key register）：哪把密钥、存放在哪、谁能打开、何时更换。
- 正确使用带PIN键盘的硬件加密U盘作为离线"保险箱"。
9.2 概念
加密悖论
加密NAS卷、加密备份、加密U盘都能防小偷。但如果密码和恢复密钥文件都丢了，你自己也打不开。对于强加密，没有"忘记密码"，也没有任何客服能救你。
个人系统中常见的密钥
| 密钥 | 打开什么 | 丢失后果 |
|---|---|---|
| NAS密钥库（key vault）密码 | 手动解锁卷，将硬盘迁移到新设备 | 需用恢复密钥文件代替 |
| 卷恢复密钥文件 | 在密钥库不可用时打开卷 | 如果两者都丢：卷上的数据丢失 |
| 备份加密密码/密钥 | 打开备份 | 备份变成废物 |
| 加密U盘PIN | 打开U盘 | 输错超过上限：U盘自动擦除 |
| SSH私钥 | 登录服务器、NAS | 通过其他途径登录，生成新密钥 |
保管密钥的原则
- 两个地方，两种形式： 一份在密码管理器（CORE）中，一份离线（硬件加密U盘或纸质）。
- 绝不把密钥放在它所打开的东西上。 卷恢复密钥文件不放在该卷上。
- 分条目存放： 加密密钥和登录信息（管理员账户、厂商账户）分成两个独立条目。
- 清理痕迹： 浏览器下载的密钥文件位于"下载"文件夹；在存好两处并比对哈希值后，从"下载"和回收站中删除。
- 演练： 在有备份的情况下，至少手动解锁一次。
- 换密钥就换所有副本： 生成新密钥后须同时更新密码管理器和U盘；旧副本标记为"已替换"。
带键盘的硬件加密U盘
- 由U盘内的芯片加密，用U盘自身键盘输入的PIN解锁，因此电脑上的键盘记录软件无法截获。
- 具备防暴力破解机制：连续输错达到上限（通常可设置）后，U盘会自动擦除密钥，数据永久丢失。
- 内置电池：需按厂商说明定期充电（通常每隔几个月一次）。
- 由于可能自动擦除，U盘绝不能是任何东西的唯一副本。
"保险箱"U盘的建议目录结构
| 文件夹 | 内容 |
|---|---|
| 00. 先读我.txt | 这个U盘是什么，恢复顺序ROOT → CORE → BRANCH；不含任何秘密 |
| 01. 基础设施 – NAS与服务器 | 卷恢复密钥文件，手动解锁说明 |
| 02. 密码管理器 | 应急包，恢复指南 |
| 03. 邮箱与身份 | 邮箱恢复码，恢复地图 |
| 04. 开发与域名 | 域名清单，备用SSH密钥 |
| 05. 安全手册 | 个人手册，本教程的电子版 |
| 99. 旧存档 – 待清理 | 已被替换的副本；核对新副本后才删除 |
9.3 示例
A先生加密了NAS卷。系统把一个恢复密钥文件下载到笔记本电脑的"下载"文件夹中。A先生：
- 在密码管理器中新建条目"NAS – 加密密钥库（卷1）"，保存密钥库密码并附上恢复密钥文件。
- 把密钥文件复制到加密U盘的"01. 基础设施 – NAS与服务器"文件夹。
- 计算U盘上文件与附件的SHA-256；一致。
- 从"下载"和回收站中删除该文件。
- 为NAS管理员账户单独建立条目，不与密钥条目合并。
- 记入密钥登记簿：密钥名称、打开什么、存放位置（2处）、创建日期、最近一次演练。
A先生的密钥登记簿示例（不含任何秘密值）：
| 密钥 | 打开什么 | 位置1 | 位置2 | 创建日期 | 最近演练 |
|---|---|---|---|---|---|
| NAS密钥库密码 | 卷1 | 密码管理器 | U盘文件夹01 | ***/2026 | 尚未 |
| 卷1恢复密钥文件 | 卷1 | 密码管理器 | U盘文件夹01 | ***/2026 | 尚未 |
| 备份加密密钥 | SSD和异地备份 | 密码管理器 | U盘文件夹01 | 创建任务时 | 测试恢复时 |
| U盘PIN | U盘 | 在脑子里 | 密封信封 *** | ***/2026 | 每次充电时 |
9.4 常见错误
- 把恢复密钥文件留在NAS本身上，或只放在"下载"文件夹里。
- 把加密密钥和登录密码合并在一个条目里。
- 开启了备份加密，却忘了保存备份密钥。
- 把PIN贴在U盘上，或把PIN与U盘放在一起。
- 忘记PIN时反复猜测，触发自动擦除。
- 让U盘几个月不充电。
9.5 检查清单
9.6 练习
- 为你的系统建立密钥登记簿（只写位置，不写值）。
- 在"下载"文件夹中查找遗留的密钥文件、恢复码、应急包。
- 为你的U盘编写"00. 先读我.txt"的内容，让家人足以理解恢复顺序。
9.7 小结
- 强加密不留情面：丢了密钥就丢了数据。
- 两个地方，两种形式，绝不放在它所打开的东西上。
- 硬件U盘是好保险箱，但可能自动擦除：绝不能是唯一副本。