概述
arkPass 是一款将您的隐私置于一切之上的密码管理器。本隐私政策解释了 arkPass 如何处理和保护您的数据 — 包括应用建立网络连接的少数几种情况。
arkPass 采用零知识架构（E2EE） — 您的数据在发送到服务器之前就在您的设备上加密。我们作为运营方无法读取您保险库的内容。
数据收集与处理
arkPass 不收集、不跟踪、不共享任何个人数据给第三方。
- 无分析 — 我们不使用 Google Analytics、Firebase 或其他分析 SDK
- 无遥测 — 应用不发送任何诊断数据
- 无广告 — 我们不显示广告，不使用广告 SDK
- 无第三方跟踪 — 我们不与任何跟踪服务集成
- 不出售数据 — 您的数据永远不会出售或共享给第三方
- 无需账户 — 您无需注册即可使用 arkPass；我们不知道您是谁
数据存储
您的数据 — 密码、支付卡、笔记、身份信息和自定义字段 — 本地存储在您设备的加密数据库中。
您的主密码永远不会被传输或存储 — 既不在服务器上，也不在设备磁盘上。它仅用于派生加密密钥，该密钥仅在保险库解锁期间存在于 RAM 中。
如果您启用同步，您的加密条目将被传输并存储在服务器上。服务器仅存储密文 — 用仅存在于您设备上的密钥加密的不透明数据。服务器运营方没有解密密钥，无法读取您保险库的内容。
| 方面 | 描述 |
|---|---|
| 条目加密 | XChaCha20-Poly1305 (IETF) — 每个条目单独加密 |
| 密钥派生 | Argon2id — 3 次迭代，64 MB 内存，在设备上 |
| 本地数据库加密 | SQLCipher (AES-256) — 磁盘上的额外层 |
| 数据密钥 (dataKey) | 仅在设备 RAM 中 — 从不在服务器上，从不在磁盘上以明文形式 |
| 密钥管理 | Android Keystore（硬件 enclave，当设备支持时） |
| 传输 | HTTPS；未加密流量在系统级别被阻止 |
| 自动锁定 | 在可配置的不活动时间后 |
| 尝试限制 | 5 次失败尝试后，时间锁定 5、10、20、40、80 秒 |
加密
arkPass 采用零知识架构（端到端加密）。我们精确描述它，而非用口号，因为在密码管理器中细节至关重要：
- Argon2id — 数据密钥由您的主密码通过抗硬件攻击的函数派生（3 次迭代，64 MB 内存）。整个操作在您的设备上进行。
- XChaCha20-Poly1305 (IETF) — 每个条目用数据密钥单独加密，并验证内容真实性。
- SQLCipher (AES-256) — 本地数据库文件额外加密，作为第二层。
- Android Keystore — 需要在会话之间保留的密钥（生物识别解锁、PIN、自动填充）存储在系统 keystore 中，在设备支持的硬件中。
- 自动锁定 — 保险库在可配置的不活动时间后自动锁定，密钥从内存中清除。
- 尝试限制 — 5 次主密码输入失败后，激活时间锁定，延迟递增（5、10、20、40、80 秒）。
在应用早期版本中创建的旧保险库可能使用 PBKDF2 和 AES-256-GCM。arkPass 仍可打开它们，但所有新保险库均使用 Argon2id 和 XChaCha20-Poly1305 创建。
数据密钥 (dataKey) 仅存在于您设备的 RAM 中。它永远不会被传输到服务器，也永远不会以明文形式写入磁盘。服务器运营方无法读取您保险库的内容。
arkPass 何时连接网络
arkPass 完全离线运行。它建立连接的情况恰好有三种 — 全部在您的控制之下。
1. 服务器同步（可选，默认关闭）
如果您配置了服务器 — arkDisk 或您自己的 Nextcloud 配合 arkPass 服务器应用 — 应用将发送和接收加密的保险库数据。
- 条目在传输前在设备上加密 — 服务器仅接收密文
- 应用仅连接到您提供的地址 — 没有中间人、中继或桥接服务器
- 服务器存储：条目标识符、密文、修改日期和删除状态 — 仅此而已
- 同步是增量的 — 仅传输已更改的条目
服务器登录凭据（地址、用户名、应用密码）存储在您设备上由 Android Keystore 保护的保险库中。
同步完全是可选的。没有它，arkPass 完全离线运行，所有数据仅保留在您的设备上。
2. 通过您服务器的代理获取网站图标（可选）
为了在每个条目旁显示可识别的图标，arkPass 可以通过您自己的服务器获取它，由服务器代表您发起请求。在这种模式下，任何外部方都不会知道您为哪些服务有条目。
3. 直接下载图标（可选，默认关闭）
如果您的服务器上的代理不可用，arkPass 可以直接从条目所属的网站下载 favicon.ico。
这有隐私代价，因此默认关闭。启用此选项后，您有条目的每个网站都会看到来自您 IP 地址的请求 — 揭示该地址有人在那个网站有账户。您可以随时开启和关闭它：设置 → 安全 → "直接下载网站图标"。
arkPass 从不使用外部图标服务（如 Google API），因为那意味着将您的整个服务列表泄露给一家公司。
自动填充
当您将 arkPass 用作自动填充服务时，Android 系统会将待填充表单的结构传递给应用。arkPass 将其与您的保险库在本地、设备上进行匹配。表单结构、应用名称和网站地址都不会被传输到任何地方。
匹配区分子域名 — example.com 的条目不会在 login.example.com 上被建议，除非您有单独的条目。
填充支付卡数据需要重新输入 CVC 代码。
剪贴板
当您复制密码、一次性代码或卡号时，arkPass 将其放入系统剪贴板，标记为敏感内容，这样 Android 就不会在剪贴板预览中显示它。剪贴板在可配置的时间后自动清除（默认 30 秒），除非您在此期间复制了其他内容 — 在这种情况下 arkPass 不会覆盖您的内容。
然而，剪贴板是系统级机制。arkPass 限制了暴露，但无法完全消除。
数据导出
您可以将保险库导出为 CSV 或 JSON 文件。
导出文件未加密 — 这正是导出的意义。应用在执行操作前会就此警告您，并要求您的主密码。
文件保存在应用的私有缓存目录中，并在两分钟后自动删除。从您分享或将其保存到其他地方的那一刻起，它就脱离了 arkPass 的控制，您对其安全负责。
备份
保险库数据库和整个凭据存储被排除在 Android 云备份和设备间数据传输之外。
这是有意的决定：恢复的备份无论如何都不会有相应的 Android Keystore 密钥，而云备份中的加密保险库是不必要的风险。
如果您想在另一台设备上拥有数据，请使用同步或导出。
应用权限
arkPass 请求最小集合：
| 权限 | 用途 |
|---|---|
| INTERNET | 与您的服务器可选同步和可选图标下载。没有它，应用完全离线运行 |
| USE_BIOMETRIC | 保险库的生物识别解锁 |
| BIND_AUTOFILL_SERVICE | 自动填充服务权限，以便系统可以连接到它。您通过选择 arkPass 作为您的填充提供方来授予它 |
| com.arkpass.android.permission.WIDGET | 由应用自身定义的权限，在签名级别，以便没有其他应用可以调用主屏幕小部件 |
arkPass 不请求访问联系人、位置、相机、设备存储、电话或已安装应用列表。
生物识别解锁和 PIN 是可选的 — 保险库始终可以仅用主密码打开。
我们不收集什么
- 我们不要求账户或注册 — 我们不知道您是谁
- 我们不收集崩溃报告、使用统计或设备标识符
- 我们不使用广告标识符，不向广告商传输数据
- 我们不出售、不出租、不向第三方转让任何东西，在任何情况下
儿童隐私
arkPass 是通用工具，不针对儿童。我们不会有意处理儿童数据。由于应用完全不收集个人数据，我们不应用依赖年龄的处理。
您的权利
根据 GDPR，您有权访问、更正、删除和移植您的数据。
在 arkPass 中您直接行使它们：您的数据位于您的设备和您的服务器上，因此您可以随时查看、修改、导出或删除它们 — 无需请求我们的许可。卸载应用会删除本地保险库。我们不保留任何副本，因此无法恢复、检索或披露任何内容。
本隐私政策的变更
重大变更将在此页面上发布，并附上更新日期，在应用的发布说明中提及。
联系
MB „ARKDISK"，公司代码 307515162，维尔纽斯，立陶宛
隐私问题：info@arkdisk.com
Linux