大多数手机都没有胁迫密码，所以我们给 Morse Messenger 做了紧急抹除

胁迫密码（英文叫 duress PIN）是第二个解锁密码，和你平时用的那个一起设置。如果有人逼你解锁手机，你就改为输入胁迫密码，手机不会打开，而是把自己抹掉。

背后的道理很简单。端到端加密在消息传送途中保护它们，锁住的手机则在消息存放在手机上时保护它们。可一旦有人逼你解锁，这两样都帮不上忙。到了那一刻，唯一剩下的保护就是抹掉。

而且这不只关乎你自己。你的聊天里还有别人的话：向你吐露心事的朋友、你的家人、和你一起工作的人。抹掉聊天，也是在保护他们。

下面这些时候，它就很重要：

• 有人趁你手机解锁时一把抢走，或者逼你解锁。
• 会查你手机的伴侣。对身处控制型关系的人来说，手机上留着和朋友或求助对象的聊天，就可能很危险。
• 记者、活动人士，以及任何被人托付敏感信息的人。如果你和消息来源打交道，其余的内容可以看我们的记者专用通讯指南。

几乎可以肯定没有。GrapheneOS 是一款面向 Pixel 手机的替代 Android 系统，它在 2024 年加入了胁迫密码。在手机要求输入 PIN 的任何地方输入它，用 GrapheneOS 自己的话说，就会“不可逆地抹除设备”。

iPhone、Samsung 手机和运行 Google 原装系统的 Pixel 都没有类似的功能。iPhone 上最接近的是一项设置：密码输错 10 次后抹掉手机。可如果有人逼你输入正确的密码，它就帮不上忙。而且抹掉整部手机会把所有东西一起带走：你的照片、你的其他应用，统统没了。

通讯应用大多也没能补上这个空缺。大多数只能让你在应用里删除账户或清空聊天，而和你聊过天的人通常还保留着他们那一份。

所以我们把它做进了 Morse。紧急抹除默认是关闭的，因为一个能抹掉一切的按钮，不应该是你会不小心按到的。开启方法：

1. 1打开“你”标签页，再进入“隐私 & 安全”。
2. 2点按“紧急按钮”。在我们的下一次更新中，它会改用新名字“紧急抹除”。
3. 3打开“显示紧急按钮”。如果你愿意，也可以打开“同时抹掉已保存的照片和视频”。

从那以后，应用里和 Morse 的锁屏界面上都会出现一个抹除按钮。点两下就能抹掉一切：先点这个按钮，再点“抹掉所有内容”。不需要先解锁 Morse。

Morse 目前提供 iPhone 版。即将推出的 Android 应用也带有紧急抹除。

几秒钟之内：

1. 1趁你的手机还连着网，Morse 会请求我们的服务器删除你的账户。
2. 2它会销毁打开 Morse 数据库的密钥。数据库里的每条消息、每个联系人都会立刻变得无法读取。
3. 3它会删除数据库文件，以及密钥覆盖不到的所有东西：你打开过的照片和视频、语音和相机录制的内容、临时文件、屏幕上的通知、应用图标上的标记，还有剪贴板（如果里面还存着你在 Morse 里复制的内容）。
4. 4它会检查是否还有残留，并把任何幸存的东西再处理一遍。
5. 5联系人的手机会删除你和他们的一对一聊天，并把你从他们的联系人中移除。

然后 Morse 会回到欢迎界面，就像刚装好一样。也没有任何东西能恢复：打开 Morse 数据的密钥只为你这部手机保存，所以即使有手机备份，也无法在其他设备上读取。

为什么要销毁密钥，而不是删除文件？在手机的闪存里，删除文件并不能可靠地把它清除。为了均匀磨损，芯片会把写入分散到各处，所以旧数据可能残留在应用够不到的地方。因此 Morse 不依赖删除。它的数据库用一把存放在手机受保护密钥存储区里的密钥在你的手机上加密。销毁这把密钥，芯片上剩下的就只是一堆噪声。这叫作加密擦除（crypto-erase），一万条消息和十条消息花的时间一样。

可这把密钥难道不也只是同一块芯片上的又一份数据吗？问得好，答案就是 PIN 锁。开启 Morse 的 PIN 锁后，数据库密钥本身会被锁上两道：一道是你的 PIN，另一道是一把由 iPhone 上的 Secure Enclave 或 Android 上的 Android Keystore 保管的密钥，这把密钥永远无法被复制到手机之外。抹除时，这把硬件密钥也会被删除。所以，即使数据库密钥的某份加锁副本还残留在芯片的某个角落，也已经不存在任何能打开它的东西了。

为什么它能在锁屏界面上运行？因为销毁密钥并不需要密钥。抹除过程从不打开数据库，所以 Morse 不需要你的 PIN 就能完成。Morse 锁定时，抹除唯一需要的，是在我们服务器上删除你账户的权限。为此，Morse 保存了一个删除令牌，锁定时也能读取。它只能用来删除账户：既不能读取，也不能发送任何东西。

为什么服务器排在第一步：你的联系人的手机只能从我们的服务器得知你已经离开。所以 Morse 会趁手机还连着网，先请求服务器，而且只等很短的时间。网络慢也绝不会拖住你手机上的抹除：如果没有收到回应，手机照样会被抹掉。

在这一切之前，Morse 会先停掉它在后台运行的所有任务，这样在抹除过程中就不会有东西写入新数据。然后依次是账户、密钥、文件，最后是检查。

已保存的照片是最棘手的部分。iPhone 无法列出“这个应用保存的照片”，所以 Morse 每保存一张，就记到自己的列表里，再用这份列表来删除它们。删除照片时 iOS 会要求你确认，这是 Apple 的规定，所以 Morse 会先抹掉你的聊天，这个确认就耽误不了任何事。在 Android 10 及更新版本上，Morse 会删除它保存在自己文件夹里的照片和视频。

如果你想全面了解 Morse 如何存储和保护你的数据，可以看我们的安全白皮书（英文）。

抹除听起来很简单：把一切都删掉。大部分功夫都花在了“一切”藏身的那些地方，以及可能碍事的那些东西上：

• 抹除进行到一半时，可能会有消息进来。在 iPhone 上，通知由一个单独的小进程处理，它随时可能被唤醒；数据库正在被销毁时，它保存下来的消息就可能幸存。所以在删除任何东西之前，抹除会先让这个进程停止写入。
• 有些清理工作要经过手机自己的服务：清除应用图标上的标记、屏幕上的通知，以及手机从你的聊天中学到的建议。这些服务可能回应得很慢。但它们都拖不住抹除：每一项都只有很短的时限，时间一到，抹除就继续往下走。
• 只要还有东西指向一个文件，它就没有真正消失。为了播放视频，应用会给解密后的文件额外建立链接，所以如果只删除媒体文件夹，这些视频就会留在手机上。因此，抹除不只删除媒体文件夹，而是清空整个临时文件夹，不管里面有什么。
• 在 iPhone 上，抹掉 Morse 保存的照片需要你照片图库的完全访问权限，而 Morse 在其他情况下从不请求这个权限。所以它是一个单独的开关：只有当你也想抹掉那些照片时，才需要给出这个权限。

抹除好不好，取决于它的清单。通讯应用存放东西的地方比你想的要多：数据库、手机的密钥存储区、设置、缓存、临时文件，以及应用在后台运行的那些部分。它们每一项都列在同一份清单上，iPhone 和 Android 都是如此，而且都有测试。

这份清单只有在应用变大时才可能落后，所以我们让它很难被忘记：我们的代码库里有一条规则，任何新的数据存放位置，如果没有在同一次改动中连同测试一起加进抹除，就不能发布。

而且抹除从不假定自己成功了。完成后，它会检查清单上的每一项，并把任何还在的东西再处理一遍。

在我们这边，抹除会删除你的账户以及与它相关的一切：你的密钥、仍在等待投递给你的消息、你的推送注册信息、你加密的个人资料和头像、你待处理的联系人请求，以及你在群组里的个人资料。然后，服务器会告诉你的联系人的手机，你已经离开。

你的 App Store 订阅记录会保留，但会被标记为已使用，并且不再与你的 Morse ID 关联，所以无法转移到新账户。你的消息本来就从未能在我们的服务器上被读取：服务器只负责传递加密后的消息。

与其在最糟糕的时刻才发现，不如现在就了解它的局限：

无法撤销。账户没了，你需要重新注册一个。

紧急抹除应对的是那一刻之前。胁迫密码应对的是那一刻本身：它是 Morse 锁屏界面的第二个 PIN，当有人逼你打开应用时，你可以输入它，它不会打开应用，而是抹掉一切。它会在以后的更新中推出。

在那之前，有两件事能让你的风险变小。为重要的聊天开启阅后即焚消息，这样手机上本来就会少很多东西。另外，Morse 没有关联设备，所以没人能趁拿着你的手机时悄悄加一台设备，在另一部手机上看你的消息。