在记者的 iPhone 上保护消息来源的照片和文件

消息来源托付给你的不只是信息。一张文件的照片、一张聊天截图，或一张在工作场所内拍下的图片，都可能暴露提供者的身份。在记者的 iPhone 上，这些素材常常和午餐照片、新闻发布会现场照混在一起——而那个图库的设计初衷就是同步、搜索和主动推送内容。

本页注重实用，并非面面俱到。新闻自由组织和记者协会发布了详细的数字安全指南；如果你的编辑部有安全团队，请先从那里开始。

从威胁模型开始

威胁模型是对几个问题的系统性回答：你在保护什么、防范谁、对方能做什么、万一失守会怎样？对于一篇地方议会报道，主要风险可能只是手机丢失；而对于调查有权势的机构或国家的报道，风险可能是定向黑客攻击、法律命令或在边境被扣押设备。

答案决定了你的工具。对低风险报道过度设防是浪费时间；对高风险报道保护不足则可能伤害到别人。

来源素材在 iPhone 上会从哪里泄露

• 相机胶卷和 iCloud 照片。 图像会同步到你 Apple 账户下的每台设备以及 Apple 的服务器。如果没有开启高级数据保护，iCloud 照片的密钥由 Apple 持有。
• 设备备份。 iCloud 和电脑备份可能包含消息和附件。
• 聊天 App。 在聊天中收到的素材会留在该 App 中，往往还在其备份里，而且双方都有。
• 元数据。 EXIF 数据可能暴露 GPS 坐标、时间和设备型号。请参阅删除照片元数据。
• 可见内容。 即使去除了元数据，人脸、倒影、窗外景色、文件水印和打印机追踪点仍可能暴露人物或地点。
• 已解锁的手机。 如果有人知道你的密码，或用你的脸、手指解锁，密码能解锁的一切都会暴露。

实用习惯

1. 最小化。 只保留需要的内容，只保留必要的时间。删除不再需要的素材——包括「最近删除」和聊天中的副本——比任何加密都更能保护消息来源。
2. 分开存放。 让来源素材远离「照片」图库。文件扫描件可以直接存入受保护的地方，而不进入相机胶卷；请参阅私密地扫描文档。
3. 发布前去除元数据，并检查图像中是否有可识别身份的视觉细节。
4. 使用强密码，并学会快速停用生物识别。
5. 为出行做计划。 边境检查是已知的风险；过境时的手机隐私介绍了可选方案及其局限。
6. 与消息来源约定沟通渠道，并坦诚告诉对方你能保护什么、不能保护什么。

Velcrypt 的定位

Velcrypt 是这套方案中的一层。它把照片、视频和文档存放在你 iPhone 上的加密保险箱中，使用 AES-256-GCM 加密，密钥由你的图案派生。没有账户、没有服务器、不同步，也不分析保险箱内容，所以服务器上没有任何东西可供他人调取。

保险箱通过 5×5 网格上的图案打开。Velcrypt 刻意不支持 Face ID 或 Touch ID，因为生物识别可能在未经你同意的情况下被使用；而图案只存在于你的记忆中。其中的考量详见图案锁、PIN 码与 Face ID 对比。每个图案打开各自的保险箱，陌生图案会打开一个空保险箱且不报错，这为合理推诿提供了支撑。可移除其他保险箱访问权限的胁迫图案是计划中的高级版功能，即将推出。

坦诚说明局限

保险箱本身并不构成一套来源保护策略：

• 设备扣押与被迫解锁。 各地法律不同。拒绝解锁可能让你面临法律压力或处罚。保险箱改变不了法律。
• 其他地方的副本。 仍在 iCloud、聊天 App、电子邮件或线人自己手机中的照片，不受你的保险箱保护。
• 被入侵的设备。 越狱或被定向攻击的手机上的恶意软件可以看到屏幕上的内容。
• 旁观。 有人看着你画图案，或房间里有摄像头，都会让它失效。
• App 可见。 除非你使用 iOS 18 的隐藏 App 功能，否则 Velcrypt 图标会显示在主屏幕上。
• 无法恢复。 在第一个版本中，保险箱数据不会备份。手机丢失或忘记图案，内容就没了——这对于最小化原则可能是一种优点，但对于必须保留的素材则是一种风险。完整情况请参阅安全页面。

保护消息来源主要靠习惯。好的工具有帮助，但真正起作用的，是少保留、少分享、提前规划的决心。