端到端加密保护终端之间受支持的内容，但不会让终端及其用户变得绝对可靠。
端到端加密（E2EE）保护受支持的消息内容，使参与设备而非投递服务掌握读取内容的手段。它不会自动隐藏谁在通信、保护已感染的手机，也不能阻止接收者复制消息。
本指南跟随一条消息从发送者到接收者的旅程，比较 E2EE 与 HTTPS，并解释评估消息应用加密声称时应做的实际检查。
什么是端到端加密？
端到端加密是一种信息保护方法：信息在发送者设备上加密，且仅在参与通信的接收者设备上解密。
在设计正确的 E2EE 对话中，消息离开发送设备时不是可读的明文，而是密文：经过变换的信息，没有正确的密码学密钥，就应当无法使用。
消息服务可以协助投递和同步加密数据，而不需要可读形式的受保护内容。根据协议，同样的原理可用于一对一通信或群组通信。
这里的“端”指参与设备，不一定只是两部手机。群组或某人关联的笔记本电脑，都可能增加获授权的终端。
这就是端到端加密与普通传输加密的核心区别。
E2EE 如何运作？
其中的数学可能很复杂，但消息经历的基本过程不难理解。
1. 每位参与者都有密码学密钥
安全消息客户端会在用户设备上创建或存储密码学密钥材料。
某些密钥可以公开共享。私钥必须受到保护，因为它们帮助设备建立或恢复解密消息所需的秘密信息。
2. 设备建立共享的消息秘密
参与者交换用于推导相匹配秘密值的公开信息。
秘密本身不应需要以可读数据传输。每台设备独立执行所需的密码运算。
3. 消息在本地加密
发送者点击发送时，应用会在发送设备上加密消息。
可读句子在上传或转发之前就变成密文。
4. 服务器投递密文
消息基础设施将加密消息路由到接收者，并可能保留密文，以支持同步、投递和多台获授权设备。
服务器仍承担重要的运行工作。E2EE 改变的是服务器所处理的消息内容的形式。
5. 接收者解密
获授权的接收设备使用自己的密码学材料，对密文进行认证并解密。
可读消息会出现在获授权的终端上。之后，本地历史、通知、备份和导出内容都需要各自的保护。
端到端加密保护什么？
E2EE 的主要设计目标是保护对话的内容。
根据应用及其实现，内容可能包括：
- 私聊文本消息
- 照片和视频
- 语音消息
- 文档和附件
- 音频或视频通话
- 消息编辑和回复
这些内容在客户端被正确加密后，截获网络流量的攻击者看到的应是加密数据，而非原始消息。
这也减少了服务基础设施能够获得的可读对话内容。
但绝不能把“已加密”当成万能词。用户有权明确知道，究竟覆盖了哪些对话类型和内容处理路径。
E2EE 不会自动保护什么
端到端加密很强大，但其边界经常被误解。
消息元数据
系统可能需要运行信息来路由和同步消息。
根据服务，这些信息可能包括：
- 哪个账户发送了消息
- 哪个对话接收了消息
- 消息何时发送
- 送达和已读状态
- 对话成员关系
- 加密消息的大小
- 设备或会话信息
消息正文可能不可读，但消息周边的某些信息仍可被系统获取。
因此，“消息内容已加密”和“服务不收集任何元数据”是两项不同的声称。
已被攻陷的设备
端到端加密无法保护明文免受恶意软件，或拥有足够终端访问权限的其他攻击者侵害。这类访问不一定要求屏幕已解锁：仅凭锁屏状态，不能证明被攻陷的操作系统无法访问消息数据。
消息最终必须在获授权设备上变得可读。能访问应用解密后的数据、内存或显示内容的攻击者，可能获取这些内容；具体暴露程度取决于设备、软件和入侵情况。
设备安全仍然至关重要：
- 安装操作系统更新
- 使用强设备解锁密码
- 检查浏览器扩展
- 保护账户恢复信息
- 避免未知应用和下载
接收者的行为
消息解密后，E2EE 无法阻止参与者复制、转发、拍照或截图。
加密保护终端之间的投递过程，却无法控制另一端的人。
账户恢复中的错误
恢复系统必须平衡安全性和易用性。
薄弱的恢复流程可能削弱强加密。另一方面，完全不允许恢复的系统，可能在密钥丢失后让加密历史永久无法访问。
可信的应用应解释恢复如何运作、备份哪些信息，以及恢复凭据丢失后会怎样。
E2EE 与 TLS 不是一回事
多数现代网站使用 HTTPS 和 TLS 保护浏览器与服务器之间的流量。
这很重要，有助于防止同一网络或传输路径其他位置的人轻易读取或修改连接中的数据。
TLS 保护的是其两端之间的连接；对于普通网页消息服务，其中一端就是服务本身。除非另有内容加密层保护，否则该服务可以读取应用数据。TLS 规范描述了如何防范该连接上的窃听、篡改和伪造。
在标准的、服务器可读的消息服务中：
- 你的设备加密网络连接。
- 服务器接收并处理可读的消息内容。
- 服务器另行建立一条通往接收者的受保护连接。
采用端到端加密时，消息本身先针对参与者加密，然后才放入受保护的网络连接中。
简单比较如下：
| 保护项目 | 仅使用 TLS 的消息服务 | 端到端加密 |
|---|---|---|
| 保护网络传输中的数据 | 是 | 是 |
| 跨越网络前已受保护 | 是，针对该 TLS 连接 | 是，针对预期的消息终端 |
| 投递服务能读取受保护的消息内容 | 通常能，除非另有内容加密 | 在预期的密钥设计下，仅凭密文不能 |
| 仍需要终端安全 | 是 | 是 |
| 自动隐藏元数据 | 否 | 否 |
TLS 与 E2EE 不是竞争关系。私人消息系统通常既需要安全传输，也需要正确实现的内容加密。
将这一定义用于 Livara
根据其安全文档，Livara 在直接通信中使用结合 P-256 与 ML-KEM-768 的 LVR1 混合密钥协商。兼容的私人群组使用通过两两会话分发的 LGS1 发送者密钥。公开频道可由服务器读取，不应称为 E2EE。
这一区分针对的是实际通信场景，而非品牌名称。文档还单独说明了通话加密，包括具有不同信任边界、且状态可见的录制模式。请检查当前对话和通话状态，而不是假定每个功能都受到相同保护。
这些是产品文档中的声称，并非为本文开展的独立审计。运行元数据和被攻陷的设备仍是重要限制。后量子密钥协商针对一类密码学风险，但不会使网络钓鱼、不安全的备份或未锁定的屏幕变得无害。
为什么公钥指纹很重要
加密对话依赖于与预期密钥通信，而不是随意接受系统提供的任何密钥。
公钥指纹是参与者公钥的简短表示。两个人可以通过另一条可信渠道比较指纹，例如当面交谈或经过核实的通话。
指纹一致，可以进一步确认正在使用预期的密钥。
指纹变化并不自动证明发生了攻击。合法的密钥重置或设备恢复也可能导致变化。但这种变化应当可见、可解释，而不是被悄悄忽略。
备份和恢复与实时加密是不同的事
应用可以对实时消息进行端到端加密，而独立备份却使用不同的密钥和访问规则。明文导出也可能把可读内容带出加密对话。请询问备份包含什么、谁能解密，以及恢复材料丢失后会怎样。
Livara 文档所述的恢复备份在上传前加密封装，恢复的是身份材料，而不是聊天历史。不要据此推断，恢复账户或身份就会恢复所有旧对话。更全面的选择建议，请参阅如何安全备份加密聊天。
如何评估私人消息应用
不要只凭“已加密”或“安全”等字眼判断消息服务。
要提出具体问题。
哪些对话采用 E2EE？
检查保护是否适用于私聊、群组、频道、通话和附件。
密钥在哪里生成和保存？
寻找明确说明：密钥是否在客户端创建，以及备份如何保护。
服务器保留什么？
负责任的服务应区分消息内容与路由、时间戳、成员关系、投递信息和其他运行数据。
密钥变化时会怎样？
意外的密钥替换应当可见。无提示的密钥变化会削弱用户核验联系人的能力。
恢复如何运作？
确定服务商能否恢复密钥、是否需要恢复秘密，以及秘密丢失后会怎样。
这些声称是否经过独立核实？
安全文档、开放协议、专业评审和独立审计，提供不同程度的保障。
营销措辞本身不是审计。
隐私取决于清晰的边界
最有说服力的隐私声明不是“相信我们”。
而是对以下事项作出精确、可测试的解释：
- 什么被加密
- 在哪里加密
- 涉及哪些密钥
- 服务器收到什么
- 哪些元数据仍然存在
- 哪些对话类型不在覆盖范围内
- 恢复如何改变威胁模型
端到端加密不是隐私的全部。但当它得到审慎实现和诚实描述时，它就是私人通信的重要基础。
接下来，可以用安全消息应用的 12 问检查清单，检查你实际使用的功能：私聊、群组、附件、通话和备份。
常见问题
E2EE 是什么的缩写？
E2EE 是端到端加密的缩写，意思是受保护内容在一位参与者的终端加密，并在另一获授权终端解密。
互联网服务商能读取 E2EE 消息吗？
互联网服务商可能观察到连接的存在，并看到某些网络层信息；但正确加密的消息内容，在传输中不应呈现为可读明文。
端到端加密会隐藏元数据吗？
不会自动隐藏。消息系统仍可能处理路由、成员关系、时间戳、投递状态、密文大小，或服务运行所需的其他信息。
E2EE 能保护被盗且已解锁的手机吗？
如果攻击者控制了一台已经获授权且已解锁的设备，任何加密协议都无法完全保护消息。强设备安全仍然必要。
Livara 的所有对话都采用端到端加密吗？
Livara 当前文档说明，E2EE 适用于一对一私聊的正文和媒体，以及兼容的私人群组。这些群组使用 LGS1 端到端加密，成员变化时自动轮换发送者密钥。频道使用 TLS 和经身份验证的服务器端权限，不声称采用端到端加密。
丢失的 Livara 加密密钥可以恢复吗？
公开文档描述了使用所需恢复秘密来还原已备份身份材料的方式。这不会恢复聊天历史。删除或更换原设备前，请阅读当前恢复流程。
E2EE 与前向保密相同吗？
不同。E2EE 描述谁应能读取受保护内容。前向保密关注后来发生的密钥泄露会如何影响早期消息；攻陷后安全性则关注在特定条件下，遭攻陷后如何恢复保护。这些性质取决于协议和实现。例如，MLS 规范在其群组密钥设计中明确定义了这两项性质，但这并不意味着每款加密消息应用都会自动提供它们，或都使用 MLS。
