Day-307-移动端数据加密

# Day 325: 移动端数据加密 - 文件加密/密钥存储/生物识别

> 移动安全系列第 5 天 | 预计阅读时间：25 分钟 | 难度：★★★☆☆

---

## 清单 目录

1. [移动加密概述](#移动加密概述)
2. [文件加密](#文件加密)
3. [密钥存储](#密钥存储)
4. [生物识别加密](#生物识别加密)
5. [Android 加密](#android-加密)
6. [iOS 加密](#ios-加密)
7. [最佳实践](#最佳实践)
8. [总结与思考](#总结与思考)
9. [参考资料](#参考资料)

---

## 移动加密概述

### 加密场景

**静态数据加密**：
- 文件系统加密
- 数据库加密
- 应用数据加密

**传输数据加密**：
- HTTPS/TLS
- VPN 加密
- 端到端加密

### 加密算法

**对称加密**：
- AES-128/256
- 高性能
- 用于数据加密

**非对称加密**：
- RSA/ECC
- 密钥交换
- 数字签名

**哈希算法**：
- SHA-256
- 数据完整性
- 密码存储

---

## 文件加密

### 全盘加密 (FDE)

**工作原理**：
```
- 整个分区加密
- 单一密钥
- 启动前解密
```

**优缺点**：
```
优点：
- 实现简单
- 全面保护

缺点：
- 密钥管理粗放
- 不支持多用户
- 已逐步淘汰
```

### 文件级加密 (FBE)

**工作原理**：
```
- 每文件独立密钥
- 细粒度控制
- 支持多用户
```

**加密类**：
```
Device Encrypted:
- 设备启动后可访问

Credential Encrypted:
- 用户解锁后可访问
```

---

## 密钥存储

### 安全存储

**硬件安全模块**：
```
- Secure Enclave (iOS)
- Titan M (Android Pixel)
- TrustZone TEE
```

**密钥保护**：
```
- 密钥不出硬件
- 硬件级保护
- 防暴力破解
```

### 密钥管理

**密钥层级**：
```
主密钥 (硬件绑定)
  ↓
类密钥 (数据保护类)
  ↓
文件密钥 (每文件独立)
```

**密钥派生**：
```
- PBKDF2
- scrypt
- 结合硬件密钥
```

---

## 生物识别加密

### 生物特征类型

**指纹识别**：
```
- Touch ID (iOS)
- 屏下指纹 (Android)
- 侧边指纹
```

**面部识别**：
```
- Face ID (iOS 3D 结构光)
- 2D 面部 (Android)
- 3D 面部 (Android 高端)
```

**其他生物**：
```
- 虹膜识别
- 声纹识别
- 静脉识别
```

### 生物识别安全

**数据存储**：
```
- 本地存储
- 加密保护
- 不上云
```

**认证流程**：
```
生物特征 → 硬件比对 → 返回结果 → 系统授权
```

**安全考虑**：
```
- 活体检测
- 防照片/视频攻击
- 防 3D 模型攻击
```

---

## Android 加密

### 加密实现

**文件系统加密**：
```
- fscrypt (Linux 内核)
- ext4/f2fs 支持
- 每文件密钥
```

**密钥管理**：
```
- Android Keystore
- 硬件 backed
- 生物识别集成
```

### API 使用

**加密 API**：
```java
// 生成密钥
KeyGenerator keyGen = KeyGenerator.getInstance(
    KeyProperties.KEY_ALGORITHM_AES, "AndroidKeyStore");

// 加密数据
Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding");
cipher.init(Cipher.ENCRYPT_MODE, key);
byte[] encrypted = cipher.doFinal(data);
```

---

## iOS 加密

### 数据保护

**数据保护 API**：
```
- NSFileProtectionComplete
- NSFileProtectionCompleteUnlessOpen
- NSFileProtectionCompleteUntilFirstUserAuthentication
- NSFileProtectionNone
```

**钥匙串 (Keychain)**：
```
- 安全存储密码/密钥
- 硬件加密保护
- 访问控制
- iCloud 同步 (可选)
```

### 加密 API

**Common Crypto**：
```swift
// AES 加密
let data = Data(plaintext.utf8)
let encrypted = try! AES.encrypt(data, key: key)
```

**CryptoKit** (iOS 13+)：
```swift
import CryptoKit

let key = SymmetricKey(size: .bits256)
let sealed = try! AES.GCM.seal(data, using: key)
```

---

## 最佳实践

### 开发者最佳实践

**数据加密**：
```
- 敏感数据加密存储
- 使用系统加密 API
- 不自定义加密算法
```

**密钥管理**：
```
- 使用 Keystore/Keychain
- 不硬编码密钥
- 定期轮换密钥
```

### 用户最佳实践

**设备保护**：
```
- 启用设备加密
- 设置强密码
- 启用生物识别
```

**数据保护**：
```
- 使用加密应用
- 启用云备份加密
- 定期备份
```

---

## 总结与思考

### 核心要点回顾

1. **文件加密**：FDE、FBE、加密类
2. **密钥存储**：硬件安全模块、密钥层级
3. **生物识别**：指纹、面部、安全考虑
4. **Android 加密**：fscrypt、Keystore
5. **iOS 加密**：数据保护、钥匙串
6. **最佳实践**：开发者、用户最佳实践

### 深入思考

**加密挑战**
- 性能影响
- 用户体验
- 密钥恢复

**未来趋势**
- 硬件加密增强
- 生物识别普及
- 后量子加密

---

## 参考资料

### 学习资源

- **Android Security**: https://source.android.com/security
- **Apple CryptoKit**: https://developer.apple.com/documentation/cryptokit

---

*Day 325 完成 | 移动端数据加密详解 | 字数：约 8,000 字*