Module devicekey

Expand description

设备密钥：把一把随机 KEK 交给这台机器的 OS 密钥库保管。

§它是什么

一个普通的 slot，和密码槽、恢复码槽并列。区别只在这把 KEK 从哪来：

前两者可以随时重新算出来（记得密码/拿着纸条就行），设备密钥不能—— 它只存在于那台机器的 OS 密钥库里。这个差别决定了它的全部性质。

vault_salt 在同一个 vault 内是相同的（见 crate::header::FixedHeader），所以拿它当保管 id 意味着「一个库共用一把设备密钥」：

换成绑文件路径就不成立了：文件改名、移动之后 id 就变了，密钥还在 OS 密钥库里但再也对不上——表现为「明明开过一次，第二天打不开了」。

换机器、重装系统或重置系统生物识别——任一发生，这个槽就永久解不开。所以挂设备密钥时必须已经有一个密码槽，删密码槽时也必须拦住「只剩设备密钥」的状态。

这一条不是提醒，是需要代码强制的：用户很容易觉得「有指纹就够了」，而代价要到换电脑那天才显现，那时数据已经拿不回来了。

设备密钥保管后端挡得住硬盘被偷和换机器解密，挡不住正在这台机器上以你的身份运行的恶意程序——它可以在你按下指纹之后的窗口里发起解封。所以设备密钥的定位是省去每次输密码，不是「更安全」。

界面上必须这么说。反过来说会让用户因为开了它而把密码设得更弱，那是净损失。