数据密钥与敏感信息

数据密钥（DK）是 Desktop 生成的 256 位随机密钥，与账号密码相互独立，用 AES-256-GCM 加密连接敏感信息和已支持的私密同步 payload。

它保护什么

• 工作中保存的连接密码、SSH 私钥口令等敏感字段
• 已支持的加密同步 payload

它不是整盘加密。为管理设备与资源，名称、主机等非敏感列表元数据可能保持可读。

备份 78 位码

Desktop 可把 32 字节密钥导出为固定 78 位十进制码。像保管密码保险柜恢复种子一样离线保存；不要通过聊天、邮件、公开 Issue 或共享网盘传递。

转移到另一台 Desktop

优先从已有密钥的 Desktop 发起一次性设备转移。云端只中转它无法打开的密文。接收端使用一次性转移码；目标机已有密钥时，替换前必须确认。导入 78 位备份码是恢复路径。

App 只做光学中转

App 可以把扫描到的转移二维码短暂展示给另一台 Desktop 扫描，但不会导入、保存或解密 DK。

存放位置

Windows 上，Desktop 优先使用 Credential Manager，并保留本地兜底文件；macOS 与 Linux 使用权限收紧的本地文件，不调用 Keychain 或 Secret Service。需要时，进程内也会缓存密钥。

谨慎轮换

轮换会先重加密本机受保护数据，再把新密钥逐台分发给其它设备。已有密钥的设备必须确认替换，不存在静默全设备覆盖。