加密把可读信息变成只有持有密钥者能还原的形式。它既不神奇，也不万能：不同场景需要传输加密、静态加密或端到端加密中的不同组合。
三类问题，三种答案
传输中窃听由 TLS/HTTPS 缓解；设备丢失或硬盘报废由磁盘与备份加密保护；希望云服务商也读不懂聊天内容，则需 端到端加密。
密钥与恢复同等重要
丢了密钥等于丢了数据。密码管理器主密码、BitLocker 恢复密钥、2FA 备份码应像房产证复印件一样有安全存放点，而不是仅存同一台手机备忘录里。
误区纠偏
- 「公司能恢复我邮件」说明不是端到端，合规与隐私要分清。
- 全盘加密不防钓鱼；恶意软件在加密前读取明文。
- 老旧算法（如短密钥 RSA）应随系统升级淘汰。
备份三份法则
一份本地加密、一份离线介质、一份云副本，是不同的恢复路径。只加密不同步，丢硬盘同样痛苦；只同步不加密，云政策变更即成风险。
聊天记录导出
导出到明文 CSV 会破坏此前 E2EE 的保护边界。导出文件应单独加密存放，并在分享前删除临时副本。
法律与企业合规
公司有权解密办公邮箱，雇员不应把个人健康等敏感话题放在企业未 E2EE 的工具里。个人用户则自己掌控密钥材料。
硬件安全模块
TPM 或安全 enclave 把磁盘密钥与启动链绑定。二手主板出售前要在固件层撤销平台密钥。
邮件投递加密
标准 SMTP 通常无端到端；敏感附件应用独立加密再发送，别指望「已发送」即保密。
司法与监管请求
云厂商加密静态数据，仍可能在法律程序下解密移交。敏感专案应客户端加密，密钥自控，理解这与便利永远冲突。
打印保密合同后，碎纸机与数字擦除一样重要；纸面是离线泄露常被忽视的一支。
Ransomware 与备份
勒索软件加密在线同步盘里的明文备份。3-2-1 规则里至少一份离线不可变备份，才能让加密真正服务于恢复而非单点失效。
摄影记者把相机卡直接交给冲印店，相当于未加密静态数据离手。高价值素材先在笔记本加密归档，再送选片，比事后后悔删除云端预览更主动。
开源项目私钥放在未加密笔记本，一旦 CI 镜像被拖库，签名信任链崩塌。开发者硬件钥单独保管。
把 Time Machine 与云盘混成唯一备份时，勒索软件一锅端。每周拔一次离线硬盘，让加密盘真正可恢复。