SafeW加密容器如何启用硬件绑定防复制？

功能定位：为什么 SafeW 把“硬件绑定”做成默认可选项

SafeW 的加密容器（Encrypted Container，EC）把整个标签页沙箱连同 Cookie、IndexedDB、本地缓存一起打包成 AES-256-EME 加密卷。早期版本（v6.2 之前）只要知道容器解锁口令，就能在任意设备挂载，于是多账号运营者把容器文件放进网盘共享，合规团队无法追溯真实操作终端。v6.3 起加入硬件绑定（Hardware Binding，HB）开关，把容器主密钥与受信平台模块（TPM 2.0 / Secure Enclave / T2）的签名公钥做密钥派生，实现“容器不离机”。

从审计视角看，HB 补全了“谁在哪台设备上、在什么时间、打开了哪个业务账号”这一留存链条。没有 HB，容器文件可被离线复制，日志里只剩“口令正确”事件，失去设备维度；开启 HB 后，容器一旦离开原设备，即使口令泄露也无法挂载，日志会记录“DeviceIdentityMismatch”并自动上链到 SafeW 零知识审计通道（AuditNet），方便 GDPR 30 日问责。

决策树：什么时候必须开，什么时候可以不开

必须开启的场景

• 远程团队共用 SaaS 后台，需要向客户证明“账号只在公司资产上登录过”。
• 加密货币交易所 API Key 放在容器里，满足“私钥不落地、不离机”合规条款。
• 调查记者把匿名信源资料存在本地容器，防止电脑丢失后被整盘镜像。

以上场景的共同点是“一旦容器被复制，后果不可接受”，HB 的零知识审计链正好提供可验证的“不离机”证据。

可以暂缓的场景

• 个人用户仅做电商比价，容器内无敏感支付凭证，且经常换电脑。
• Linux 桌面未启用 TPM 模拟（trousers 服务未运行），强行绑定会导致容器无法创建。
• 团队内部已用 MDM 做全盘 FileVault 或 BitLocker，设备级加密重复，HB 收益边际递减。

此时不开 HB 可换取灵活性，但需确保已有替代控制措施，例如策略绑定或加密导出。

操作路径：三平台最短入口与回退方案

Windows 11 24H2（要求 TPM 2.0 已激活）

1. 右上角「≡」→「设置」→「隐私与安全」→「加密容器」→「创建新容器」。
2. 在「高级选项」折叠面板里勾选「绑定到此设备硬件（HB）」；此时 SafeW 会调用 tbs.dll 检测 TPM，若返回空，按钮置灰并提示“TPM not ready”。
3. 设置容器大小（建议 ≤70 % 系统剩余空间）与解锁口令，点击「创建」；进度条走完后会弹出 12 位「硬件恢复号（HRN）」，抄写并离线保存——这是回退唯一凭证。

回退场景：主板更换或 TPM 清空。启动 SafeW 时按住 Shift 点击「挂载容器」，输入 HRN+原口令，即可重新注册新 TPM 签名。HRN 只能用一次，用完即失效，日志里会记录「ReBinding」事件。

macOS 15.4（要求 Apple T2 或 Apple Silicon Secure Enclave）

1. 菜单栏 SafeW →「Preferences」→「Security」→「Encrypted Container」→「＋」。
2. 勾选「Lock to Hardware」后，系统会弹出 Touch ID 扫描框，用于签名 seKey；若设备无 Touch ID，则回落到 Secure Enclave 设备唯一密钥。
3. 创建完成后，钥匙串里会写入一条 kSecAttrAccessibleWhenUnlocked 条目，名为「SafeW-HB-{UUID}」。切勿手动删除，否则容器将永久丢失。

经验性观察：macOS 升级 15.5 Beta 后，Secure Enclave 签名算法可能从 secp384r1 改为 P-521，导致旧容器挂载延迟约 3–5 秒，属正常重试逻辑，不影响数据。

Android 15（要求 StrongBox Keymaster 或 TEE）

1. 底栏「≡」→「Settings」→「Privacy」→「Encrypted Container」→「Create」。
2. 勾选「Hardware Binding」后，SafeW 调用 Android Keystore 的「HW-backed」标签；若系统返回 false，按钮置灰并提示“No StrongBox found”。
3. 创建后，容器文件默认存于 /Android/data/com.safew.secure/files/containers/，文件名带 HB 后缀。卸载 App 会连同容器一起消失，务必提前导出备份。

例外与取舍：共享、备份、CI/CD 如何兼顾

HB 开启后，容器无法通过网盘直接共享，但 SafeW 提供「加密导出（Encrypted Export）」折中：在原设备上生成一次性导出包（.swx），内部用导出密钥（EK）重新加密，EK 通过 SafeW 零知识中继加密推送给指定邮箱。接收方必须在一台同样开启 HB 的新设备上导入，且导入后自动与原设备解绑，实现“一次移交、链上留痕”。

对于 CI/CD 场景（如自动测试 200 个电商账号），HB 会阻碍容器在云端 Mac mini 农场之间漂移。此时可在「策略文件」里关闭 HB，改用「策略绑定」——只允许特定 SafeW 实例 UUID 挂载容器，UUID 通过 MDM 统一下发，既保留漂移能力，又把设备范围缩到“受信农场”。

与第三方 Bot/脚本协同的最小权限原则

部分团队用 Selenium 脚本驱动 SafeW 做自动化测试。HB 开启后，脚本无需改动，因为 WebDriver 端口仍走 127.0.0.1:9222；但容器挂载需提前完成，脚本无法自动输入 HRN。建议做法：在 CI 启动脚本里调用 safew --mount-container=file.hb.swc --hrn=$HRN_ENV，其中 HRN_ENV 通过受信密钥管理服务（如 GitHub Secret）注入，日志里只打印「MountSuccess」而不落盘 HRN。

警告：不要把 HRN 写进代码仓库或 Slack 频道，一旦泄露，任何人都能把容器重新绑定到新机，审计链失效。

故障排查：DeviceIdentityMismatch 的四种常见根因

现象	可能原因	验证动作	处置
挂载瞬间提示 DeviceIdentityMismatch	TPM PCR 值因 BIOS 升级变动	Windows 事件查看器→TPM-Operational 里查看 PCR 变动记录	用 HRN 重新绑定
macOS 更新后首次挂载延迟 5 秒	Secure Enclave 签名算法轮换	控制台过滤「secd」日志，看是否出现「alg mismatch, retry」	属正常重试，无需操作
Android 容器文件消失	卸载 App 时连同数据目录被删	检查 /Android/data/com.safew.secure 是否存在	提前用「加密导出」备份
Linux 无法开启 HB	trousers 服务未启动或模拟 TPM 未初始化	运行 tpm_selftest 看返回码	systemctl start trousers；或改用「策略绑定」

适用/不适用场景清单

• ≥10 人远程团队：必须开 HB，否则 SOC2 Type II 审计无法通过“logical access control”项。
• 个人日更 200 条电商比价脚本：若频繁换云手机，不开 HB，改用「策略绑定」到固定农场 UUID。
• 高校课题组共享数据库账号：若电脑为公用工作站，无 TPM，建议不开 HB，改用 SafeW「零信任工作区」一次性容器。
• 加密货币 OTC 商家：API Key 容器必须开 HB，且 HRN 抄写在纸质密码本，防火箱存放。

最佳实践 6 条（检查表可直接打印）

1. 创建容器前先确认 TPM/Secure Enclave 状态，避免走到 99 % 才报错。
2. HRN 一式两份：纸质＋密码管理器，禁止放网盘。
3. 主板更换前，主动用 HRN 解绑旧机，再在新机重新绑定，可保持审计链连续。
4. 团队内用 MDM 统一下发「HB 强制策略」，防止员工图方便关闭。
5. CI 环境若无法开 HB，把容器存于受信加密磁盘，并定期轮换策略 UUID。
6. 每季度跑一次「容器健康度」脚本（SafeW 内置），检查挂载耗时是否异常增长，>10 秒需排查 PCR 漂移。

FAQ：硬件绑定防复制

收尾：下一步行动清单

读完本文，你只需 5 分钟就能完成首次硬件绑定：先确认设备具备 TPM 2.0 / Secure Enclave / StrongBox，再按平台最短路径创建容器、抄写 HRN，最后把「HB 强制策略」推送给团队。今后任何审计询问“容器是否曾被复制”，你只需导出 AuditNet 链上记录，即可用「DeviceIdentityMismatch」零知识证明“从未离机”。若环境暂不满足，也请记住「加密导出」与「策略绑定」两条退路，避免为了合规而牺牲业务连续性。

下一步，打开 SafeW 设置页，对照上文检查表逐项打钩；若已开启 HB，把本文收藏到「零知识书签」，下次主板升级前提前用 HRN 解绑，让加密容器真正“一机一世界、离机即失效”。