三条独立的信任链
本地文件、同步传输与 Web-PWA 不共享一条模糊的“安全”承诺。Novara 分别说明每一步的密钥、鉴权和明文边界。
DATA AT REST锁密码 → KEK → SpaceKey → 本地容器
锁密码派生的 KEK 只封装 SpaceKey；改变锁密码不需要重写远端历史。
SYNC TRANSPORT版本密钥 → 密文 → HMAC → 中转
服务器保存密文与必要元数据，不持有 SpaceKey，也不能生成合法的新信封。
WEB ACCESS设备 token → keywrap → 内存解密 → 自动锁定
明文只在授权浏览器运行时存在，不写入浏览器持久化存储。
同步加密与 keywrap
每个同步库拥有随机 32 字节 SpaceKey。锁密码派生 KEK，用于封装 SpaceKey；服务端只取得版本化加密信封。密码变更只需重新封装 keywrap。
SPACE KEY32 BYTES
PAYLOADAES-256-GCM
ENVELOPEHMAC
没有密码找回后门。丢失必要密钥材料后，Novara 服务端也无法替你解密。
篡改、回滚和冲突都不能静默发生
01认证加密
AES-GCM 与信封 HMAC 检测 payload 或元数据被更改。
02单调版本
客户端维护 lastSeenVersion，拒绝把旧版本伪装成最新结果。
03If-Match 冲突
落后版本提交返回 409，服务端绝不执行盲目的后写覆盖。
04双版本可导出
本地与远端版本都可保留、检查和导出，再由用户决定。
Agent 没有一把万能钥匙
AI 的本地 MCP 权限与同步设备身份相互独立。同步数据不会携带 MCP token、客户端批准状态或本机安全设置。
- 01MCP 总开关必须由用户开启
- 02数据库必须处于解锁状态
- 03Token 与客户端进程必须获批
- 04权限矩阵逐项决定读、建、改、删
- 05结果与拒绝尝试写入本地审计
云端 AI 客户端可能把用户明确授权的内容发送给其模型服务商；Novara 无法替外部服务改变其隐私行为。
真实的边界
密码学不能替代一台可信设备，也不能替代正确的自托管运维。
已解锁会话
控制设备的人可以看到当前客户端已经解密的内容。
本机恶意软件
键盘记录、屏幕录制或受损账户仍可能窃取资料。
自托管环境
HTTPS、服务器补丁、备份、访问日志和公网暴露由部署者负责。
可用性攻击
泄漏的编辑 token 可能制造垃圾提交或拒绝服务，但没有 SpaceKey 不能生成合法 MAC。
私下报告漏洞
请不要在公开 Issue 中披露漏洞细节。首选 GitHub Security 的私密漏洞报告，也可以发送邮件。项目目标是在五个工作日内确认收到。
阅读完整安全说明与版本支持表 ↗