登录 注册

关于数据同步提供内置密钥的讨论

本贴最后更新于 544 天前，其中的信息可能已经物是人非

提供内置密钥不是取代自定义密钥，而是两种密钥生成方式用户自己选择。

  • 内置密钥：通过不可变的用户账号信息（比如用户 ID 等）在云端自动生成并保存密钥
  • 自定义密钥：现有的密钥生成方式，在本地生成并保存密钥

内置密钥的优点：对于新用户友好，用户无需记住密钥，只要登录账号就可以使用内置密钥加解密数据快照

内置密钥的缺点：安全性没有自定义密钥高，技术上开发者是可以解密云端数据的

总得来说，内置密钥是降低一些安全性而提升便利性。

你是否赞同提供内置密钥？

单选 • 公开 • 已于 2023-05-18 17:45:00 结束 135 票
赞同
33% • 45 票
反对
66% • 90 票

如果你投了反对票，方便的话请在评论区描述一下反对的理由，也欢迎在评论区补充其他观点，谢谢。

  • 思源笔记

    思源笔记是一款隐私优先的个人知识管理系统，支持完全离线使用，同时也支持端到端加密同步。

    融合块、大纲和双向链接，重构你的思维。

    22026 引用 • 87851 回帖 • 4 关注
2 引用
关于思源笔记隐私性的再思考 • PiChou
更新到最新版，同步 webdav 需要登陆账号？ • qiancang
5 操作
88250 管理员在 2023-05-18 09:08:01 取消置顶了该帖
88250 管理员在 2023-05-11 22:29:16 置顶了该帖
88250 在 2023-05-11 19:09:06 更新了该帖
88250 在 2023-05-11 18:54:39 更新了该帖 88250 在 2023-05-11 17:57:25 置顶了该帖
昆明 位置
1 感谢
1 关注
2 收藏
2 引用
5 操作
85 回帖
4
6.6k 1.1k 224 3.4k 93 92 1.7k

相关帖子

优质回帖
  • zuoez02 • • 7 赞同
    订阅者 付费者 先知

    内置方案有悖思源隐私性的特点，主打的安全性将被破坏。托管客户的密钥也将置官方于不利境地，相当于是沦落为跟 Notion、FlowUs、Wolai 同流了。客户无法相信审查是不是就是下一步。

    思源作为一家非常注重云端数据隐私性的笔记厂商，建议借鉴 1Password 在密钥管理方面的经验。在生成密钥时生成“急救包”，告诫用户做好保存。

    SASHUZ63WOFBKF.png

  • bug320 • • 5 赞同
    订阅者 付费者

    内置密钥会让人“敏感”起来。而且，忘记密码这种事情，本地都是明文加密，重置密钥上传即可。这个功能，我觉得还是不要加为好。如果要加，第一，不能设置成“默认”的密钥选项；第二，请务必保留自定义密钥功能。

    如果是对小白，可以考虑把这块的帮助说明写的详细点。

    像我这种把个人账号、日记啥的写到笔记软件的人，还是比较在意这块的。从“某来”软件迁出的原因，就是因为知乎上帖子，虽然无法对帖子真假性判断，但还是本着“万一是真的呢”的想法，开始比对市面主要的几款软件，最后选了 siyuan。我当时选择 siyuan，最开始还是冲着“完全本地 ”、“端到端加密”、“国内的软件”去的。

  • yawei • • 1 • 4 赞同
    订阅者

    我投了反对票。

    原因：对于我这样的普通用户，不要给我介绍太多技术细节，我需要的只是一个简单粗暴的结论。你就告诉我，如果使用自定义密钥，除了你自己谁也看不到你写的东西。哪怕你写了一些不正确的，不能见光的，ZZ 敏感的东西，只要你保管好自己的电脑，就不用担心这些文字被别人截获。如果是这样，哪怕我同时还在用 workflowy, remnote 等一堆云端笔记，我也不会抛弃思源。

    但如果你告诉我，你的云端数据是会被解谜的哦。哪怕可能性只有 0.00000001%，我打字的时候心里也会有些膈应...我从来没看过 WX，WB 这些 app 的隐私政策，但是有些话我绝对不会在上面说...

    与其说是个技术问题，不如说是个心理问题，或者刻板影响。

85 回帖
关于数据同步提供内置密钥的讨论

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
  • xiaozhu1337 •
    订阅者 先知

    反对，考虑国际市场，保持现在的加密方式是大卖点

  • 其他回帖
  • Ocean0117 • • 1 赞同 • 1 评论
    订阅者

    我投了赞成，是建议提供这个功能，但不改变原有的密钥设置。

    我认为许多低技术用户几乎是不可能区分账户密码与密钥的，在他们看来，一道密码就已经足够保险，他们既不理解再设一遍「密码」的意义，也不会试图去弄清这些云服务上的逻辑。所以，我认为针对这些用户（我个人观点，这部分用户绝不在少数，至少一半以上），启用一个内置密钥是有必要的。

    我认为如果推出这个功能，最好是在安装后第一次打开时和工作空间相同的方式提示，比方，提供三个安全等级选项：

    • 低安全级：内置密钥，保存在服务器上，与账号绑定，配上相关声明，不会主动泄露密钥；
    • 中安全级：由字符串生成密钥，基本不会泄露，但某些特定密码或许有泄露风险；
    • 高安全级：随机生成，安全性高，但最好自己保存；

    把选择权优先交给用户，如果点进去则是各个选项的详细说明，这样或许更能满足普通用户的需要。

    1 回复
    哈，你这个也是一个很好的选择。支持
    dd798922110 •
  • yawei • • 1 • 2 赞同 • 1 评论
    订阅者

    我看到很多支持内置密钥的人不理解为什么有人要反对。毕竟是在保持原有自定义密钥不变的条件下，增加一个新的选择，你们想要的隐私性，安全性又不会被损害。内置密钥的危险性在哪里?

    我认为很多反对的人，其实并不是从自身利益出发，而是在给开发者出谋划策，站在思源的角度去讨论。在我看来可能的坏处有两点：

    1. 削弱思源的独特性
      从用户数量来看，思源还是一个小众软件。由于传播渠道有限，许多小白用户在知道思源，了解思源，试用思源，到将思源作为主力工具这一过程中，肯定也会对某来，Ob 等其他笔记软件有一些或多或少的了解，并和思源进行比较。经过几轮筛选，能被思源黏住的小白用户，大概都会有“其实 A，B，C 都能满足我的日常需求，但如果考虑到安全性，还是思源最合适”这种想法吧。增强“思源笔记”与“隐私”，“安全”等关键词的关联性，对思源推广很有利。
      如果增加了内置密钥选项，“思源笔记”本身与“隐私”，“安全”的关联性会被削弱和模糊，转而必须强调“自定义密钥”这一概念。如果是因为安全性而选择思源，记得一定要使用“自定义密钥”哦。如果选择了“内置密钥”，也就是选择了“虽然我知道开发者能看到我的笔记内容，但我相信他是一个正直的人，他绝对不会看的”。

    2. 增加由误解产生的争论
      在围绕安全性的争论中，以前只有两个大组：“我觉得思源安全”组和“我觉得思源不安全”组。现在又细分成了：

      1. “我觉得两种密钥都安全”组
      2. “我觉得两种密钥都不安全”组
      3. “我觉得自定义密钥安全，内置密钥不安全”组
      4. “我觉得内置密钥安全，自定义密钥不安全”组（说不定真有人这样认为，因为如果不记得自定义密钥会丢数据）

      所以之后再讨论时，大家嘴上说的都是思源怎样怎样，但在没有明确前提的条件下，有人心里默认的可能是使用自定义密钥下的思源，有人想的是内置密钥。这还是建立在所有人都能正确认识概念的前提下。增加一个新的概念，在某种意义上就将用户又分为了两组，正确认知组和错误认知组。可能还有人自以为搞清楚了（但实际上没有）就加入了讨论。这些都容易让用户之间产生误解，进而引发争论。

    但是这些反对的人只能看到内置带来的“坏处”，看不到他的优越性，哪怕看投票，将来也会有 36% 的思源用户会选择实用内置密码。
    LeonardoDiCaprio •
  • yawei • • 1 • 4 赞同 • 1 评论
    订阅者

    我投了反对票。

    原因：对于我这样的普通用户，不要给我介绍太多技术细节，我需要的只是一个简单粗暴的结论。你就告诉我，如果使用自定义密钥，除了你自己谁也看不到你写的东西。哪怕你写了一些不正确的，不能见光的，ZZ 敏感的东西，只要你保管好自己的电脑，就不用担心这些文字被别人截获。如果是这样，哪怕我同时还在用 workflowy, remnote 等一堆云端笔记，我也不会抛弃思源。

    但如果你告诉我，你的云端数据是会被解谜的哦。哪怕可能性只有 0.00000001%，我打字的时候心里也会有些膈应...我从来没看过 WX，WB 这些 app 的隐私政策，但是有些话我绝对不会在上面说...

    与其说是个技术问题，不如说是个心理问题，或者刻板影响。

    我的想法跟你一样。
    dd798922110 •
  • 查看全部回帖
88250 MOD
但行好事莫问前程 昆明
回帖
33717
 帖子
712
 积分
168155

近期热议

推荐标签 标签

  • Gitea

    Gitea 是一个开源社区驱动的轻量级代码托管解决方案，后端采用 Go 编写，采用 MIT 许可证。

    4 引用 • 16 回帖 • 1 关注
  • Hprose

    Hprose 是一款先进的轻量级、跨语言、跨平台、无侵入式、高性能动态远程对象调用引擎库。它不仅简单易用，而且功能强大。你无需专门学习，只需看上几眼，就能用它轻松构建分布式应用系统。

    9 引用 • 17 回帖 • 615 关注
  • HHKB

    HHKB 是富士通的 Happy Hacking 系列电容键盘。电容键盘即无接点静电电容式键盘（Capacitive Keyboard）。

    5 引用 • 74 回帖 • 465 关注
  • JetBrains

    JetBrains 是一家捷克的软件开发公司，该公司位于捷克的布拉格，并在俄国的圣彼得堡及美国麻州波士顿都设有办公室，该公司最为人所熟知的产品是 Java 编程语言开发撰写时所用的集成开发环境：IntelliJ IDEA。

    18 引用 • 54 回帖
  • jQuery

    jQuery 是一套跨浏览器的 JavaScript 库，强化 HTML 与 JavaScript 之间的操作。由 John Resig 在 2006 年 1 月的 BarCamp NYC 上释出第一个版本。全球约有 28% 的网站使用 jQuery，是非常受欢迎的 JavaScript 库。

    63 引用 • 134 回帖 • 726 关注
  • 反馈

    Communication channel for makers and users.

    123 引用 • 911 回帖 • 237 关注
  • 思源笔记

    思源笔记是一款隐私优先的个人知识管理系统，支持完全离线使用，同时也支持端到端加密同步。

    融合块、大纲和双向链接，重构你的思维。

    22026 引用 • 87851 回帖 • 4 关注
  • Sym

    Sym 是一款用 Java 实现的现代化社区（论坛/BBS/社交网络/博客）系统平台。

    下一代的社区系统，为未来而构建

    524 引用 • 4600 回帖 • 701 关注
  • Jenkins

    Jenkins 是一套开源的持续集成工具。它提供了非常丰富的插件，让构建、部署、自动化集成项目变得简单易用。

    53 引用 • 37 回帖
  • Redis

    Redis 是一个开源的使用 ANSI C 语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value 数据库，并提供多种语言的 API。从 2010 年 3 月 15 日起，Redis 的开发工作由 VMware 主持。从 2013 年 5 月开始，Redis 的开发由 Pivotal 赞助。

    286 引用 • 248 回帖 • 74 关注
  • HTML

    HTML5 是 HTML 下一个的主要修订版本，现在仍处于发展阶段。广义论及 HTML5 时，实际指的是包括 HTML、CSS 和 JavaScript 在内的一套技术组合。

    107 引用 • 295 回帖
  • Wide

    Wide 是一款基于 Web 的 Go 语言 IDE。通过浏览器就可以进行 Go 开发，并有代码自动完成、查看表达式、编译反馈、Lint、实时结果输出等功能。

    欢迎访问我们运维的实例： https://wide.b3log.org

    30 引用 • 218 回帖 • 626 关注
  • 七牛云

    七牛云是国内领先的企业级公有云服务商，致力于打造以数据为核心的场景化 PaaS 服务。围绕富媒体场景，七牛先后推出了对象存储，融合 CDN 加速，数据通用处理，内容反垃圾服务，以及直播云服务等。

    26 引用 • 222 回帖 • 165 关注
  • TGIF

    Thank God It's Friday! 感谢老天，总算到星期五啦！

    287 引用 • 4484 回帖 • 668 关注
  • OpenStack

    OpenStack 是一个云操作系统，通过数据中心可控制大型的计算、存储、网络等资源池。所有的管理通过前端界面管理员就可以完成，同样也可以通过 Web 接口让最终用户部署资源。

    10 引用 • 2 关注
  • Angular

    Angular 是 AngularJS 的新版本。

    26 引用 • 66 回帖 • 533 关注
  • SOHO

    为成为自由职业者在家办公而努力吧！

    7 引用 • 55 回帖 • 18 关注
  • Flume

    Flume 是一套分布式的、可靠的，可用于有效地收集、聚合和搬运大量日志数据的服务架构。

    9 引用 • 6 回帖 • 621 关注
  • DNSPod

    DNSPod 建立于 2006 年 3 月份，是一款免费智能 DNS 产品。 DNSPod 可以为同时有电信、网通、教育网服务器的网站提供智能的解析，让电信用户访问电信的服务器，网通的用户访问网通的服务器，教育网的用户访问教育网的服务器，达到互联互通的效果。

    6 引用 • 26 回帖 • 505 关注
  • 知乎

    知乎是网络问答社区，连接各行各业的用户。用户分享着彼此的知识、经验和见解，为中文互联网源源不断地提供多种多样的信息。

    10 引用 • 66 回帖 • 1 关注
  • Git

    Git 是 Linux Torvalds 为了帮助管理 Linux 内核开发而开发的一个开放源码的版本控制软件。

    209 引用 • 358 回帖
  • 黑曜石

    黑曜石是一款强大的知识库工具，支持本地 Markdown 文件编辑，支持双向链接和关系图。

    A second brain, for you, forever.

    14 引用 • 106 回帖 • 1 关注
  • 域名

    域名（Domain Name），简称域名、网域，是由一串用点分隔的名字组成的 Internet 上某一台计算机或计算机组的名称，用于在数据传输时标识计算机的电子方位（有时也指地理位置）。

    43 引用 • 208 回帖 • 1 关注
  • Google

    Google（Google Inc.，NASDAQ：GOOG）是一家美国上市公司（公有股份公司），于 1998 年 9 月 7 日以私有股份公司的形式创立，设计并管理一个互联网搜索引擎。Google 公司的总部称作“Googleplex”，它位于加利福尼亚山景城。Google 目前被公认为是全球规模最大的搜索引擎，它提供了简单易用的免费服务。不作恶（Don't be evil）是谷歌公司的一项非正式的公司口号。

    49 引用 • 192 回帖
  • Netty

    Netty 是一个基于 NIO 的客户端-服务器编程框架，使用 Netty 可以让你快速、简单地开发出一个可维护、高性能的网络应用，例如实现了某种协议的客户、服务端应用。

    49 引用 • 33 回帖 • 19 关注
  • 微软

    微软是一家美国跨国科技公司，也是世界 PC 软件开发的先导，由比尔·盖茨与保罗·艾伦创办于 1975 年，公司总部设立在华盛顿州的雷德蒙德（Redmond，邻近西雅图）。以研发、制造、授权和提供广泛的电脑软件服务业务为主。

    8 引用 • 44 回帖 • 1 关注
  • 脑图

    脑图又叫思维导图，是表达发散性思维的有效图形思维工具 ，它简单却又很有效，是一种实用性的思维工具。

    25 引用 • 83 回帖

最新标签