适合家庭的即时通讯应用，既要明确安全边界，也要让成员能够找到并使用重要的控制功能。
适合家庭的最佳即时通讯应用，不能只凭算法名称或功能数量来判断。成员需要看懂重要设置，在更换手机时正确完成恢复，并分清私密对话与公开发布的区别。
这份「9 问清单」用于比较应用的文档和实际行为，而不是给未经独立测试的产品排名。迁移照片和敏感信息前，先与两位家人用几条无关紧要的消息试一试。
1. 哪些对话默认采用 E2EE？
端到端加密意味着对话内容可由获授权的设备读取，而不是由负责传递内容的中间方读取。与服务器之间的加密连接，并不一定具有同样的含义。
分别检查双人聊天、私密群组和公开频道。如果必须开启特定模式才能获得保护，所有成员都能找到它吗？应用会清楚显示未加密状态或重要的安全变化吗？《E2EE 及其局限指南》解释了这些区别。
2. 如何管理群组成员和密钥变更？
弄清谁能添加成员、谁持有邀请链接，以及成员变化会如何通知。由熟悉的成员组成、用于交流家庭信息的小群组，并不等同于公开社区。
根据 Livara 文档，私聊使用 LVR1，兼容的私密群组使用 LGS1。新群组在成员准备就绪前不会以加密形式创建，不兼容的旧群组则可能明确处于 E2EE 保护范围之外。发送敏感信息前，要查看该对话本身的状态；仅有“私密群组”这个名称并不够。成员管理也是与内容加密相独立的一道边界。
3. 照片、文件和语音消息经过什么路径？
要求产品文档说明，附件是否在上传前就已加密，还是只有消息正文受到保护。也不要忽略图片说明、缩略图和导出的文件。
文件的生命周期并不会在接收后结束：保存到相册、自动下载和照片备份都可能产生额外副本。对于儿童照片、家庭住址或身份证明文件，只向必要的人分享必要的信息。E2EE 无法阻止获授权的成员复制或转发内容。
4. 通话及其录制受到什么保护？
文字消息安全，并不能证明音频和视频也安全。对于双人通话、群组通话、屏幕共享和录制，要分别询问。成员应当能够判断是否正在录制，以及有哪些人加入了通话。
Livara 当前的安全页面将双人和群组通话描述为 E2EE，但把可选的服务器端录制视为另一种模式：当显示「REC」时，通话使用传输加密，不再是 E2EE。这是服务提供方文档中的声明；本文没有对通话进行独立测试。
对家庭而言，理解这一状态变化比记住协议名称更重要。谈论私事或展示照片前，先就录制和屏幕共享达成一致。
5. 更换或丢失手机后，哪些内容能恢复？
恢复账户登录、恢复加密身份和还原聊天记录是三种不同的能力。使用测试账户或非敏感数据检查文档中的步骤；不要为了测试而删除家庭的真实数据。
Livara 文档将 v7 密钥备份描述为恢复「身份」的功能，而不是恢复聊天记录。认真保管恢复短语，不要将其发到家庭群组、存成相册里的截图，或交给你未主动求助的人。关于版本区别和云端保护，请参阅加密聊天备份指南。
登录方式也应当容易理解：按照文档设置独一无二的密码、设备锁和账户安全功能。任何登录协议都无法让弱密码或钓鱼页面变得安全。
6. 消息正文之外还留下哪些信息？
将姓名、头像、账户可被发现的方式、活跃时间和传输元数据与消息正文分开检查。“内容采用 E2EE”不等于“服务不掌握任何数据”。
从隐私政策中了解，保留哪些信息、用途是什么，以及有哪些删除选项。Livara 在自己的文档中说明，会存储用于路由和同步的运行元数据。要正确理解这些数据，请阅读《即时通讯元数据指南》。
7. 家庭如何处理陌生消息和可疑请求？
找到限制请求、屏蔽和举报的功能。也要提前商定如何核实异常请求：不要仅凭熟悉的姓名和照片，就接受索要钱款、登录验证码或恢复短语的请求。
通过已知渠道打电话，或直接询问，有助于辨别请求。这与 FTC 关于冒充熟人和家人的虚假消息指南一致。对儿童和经验不足的人，求助途径应当简单，而且不应受到责备。
与成员一起设置符合年龄和需求的控制选项。为家庭做选择时，能否寻求帮助、看懂警告，与技术功能同样重要。
8. 如何检查安全声明和安装文件？
区分技术文档、已发布的代码和审计报告。如果有独立报告，要阅读其日期、版本、测试范围和未解决的问题。其中任何一项都不能保证未来的所有版本毫无缺陷。
将安装文件的 SHA-256 与「从可信来源取得的值」进行比对，可以检查两个文件是否一致。如果攻击者能够同时更换文件和哈希值，仅仅匹配并不能证明真实性。核对哈希也不是代码审计，更不保证手机本身安全。
对于敏感对话，学习比较安全号码或密钥指纹的方法。它核对的是对方的密钥，而不是对方的行为或设备的安全状况。
9. 所有成员都理解私密与公开空间的边界吗？
两个页面看起来相似，发布范围却可能相差很大。用实例说明公开频道、开放邀请链接、私密群组和双人聊天的区别。Livara 的频道用于公开广播，不具备私密聊天的 E2EE 保护。
请成员在发送测试照片前说清楚，哪些人能够看到它。如果答案不明确，就还没到迁移敏感信息的时候。即使在私密群组中，转发他人的照片或消息前也要征得同意。
最终选择前的小测试
| 操作 | 应当明确的结果 |
|---|---|
| 创建测试聊天和群组 | 保护状态和成员清晰可见 |
| 发送无关紧要的照片 | 可以控制自动保存和相册行为 |
| 进行简短通话 | 可以辨认参与者和录制状态 |
| 查看恢复指南 | 清楚恢复的是身份、记录，还是两者 |
| 接收一条测试用陌生消息 | 能找到屏蔽和举报功能 |
用户测试不是密码学审计；它只能说明家庭成员能在当前版本中找到并使用必要的控制功能。如果某项必需功能不清楚或无法使用，依赖它之前先取得有文档依据的答复。
总结
合适的选择应当将内容保密性与易于理解的恢复方式、恰当的设置和成员的安全行为结合起来。与其寻找承诺“绝对安全”的产品，不如针对家庭的真实需求，记录这 9 个问题的答案，并在版本或设备变化时重新检查。
