排程中
閱讀時間 7 分鐘 作者 NT²
威脅模型，2026：瀏覽器與擴充功能
技術文章
威脅模型會隨瀏覽器老化。這份 2026 更新繼續點名殘餘風險——XSS、已解鎖遭竊、敵意擴充功能、 來源供應鏈——並檢查客戶端世界移動時，哪些防線仍然站得住。
標籤: web-crypto
6 篇文章
排程中
閱讀時間 7 分鐘 作者 NT²
別處 XSS 偷工作階段；這裡金鑰不可匯出
技術文章
宣稱無敵的保管箱是在賣戲碼。NT² 點名殘餘風險——已解鎖時的 XSS、遭竊且仍解鎖的裝置、 敵意擴充功能——並把設計收斂成：那些失敗不會同時變成密碼神諭或可匯出的金鑰傾倒。
排程中
閱讀時間 7 分鐘 作者 NT²
錯誤密碼必須以關閉方式失敗
技術文章
解鎖不是對你所有資料的盡力解密。NT² 先檢查一小段本機驗證碼。錯誤密碼會以關閉方式失敗：保管箱維持鎖定，介面也保持誠實。
排程中
閱讀時間 7 分鐘 作者 NT²
自動鎖定是記憶體衛生問題
技術文章
若解密後的金鑰控制代碼活得比已解鎖工作階段還久，靜止加密就不完整。NT² 把自動鎖定 當成記憶體衛生：不可匯出的 CryptoKey、只存在記憶體、在閒置、重新整理與關閉分頁時清除。
閱讀時間 8 分鐘 作者 NT²
KDF 鹽值留在你的裝置上
技術文章
鹽值不是祕密，但它存放的位置，決定了誰能組成一套密碼猜測系統。NT² 將 KDF 鹽值與密碼驗證資料留在本機保管箱內，讓解鎖從頭到尾都在裝置上完成。
閱讀時間 5 分鐘 作者 NT²
為什麼選擇 PWA 本地優先、零伺服器的 Vault
技術文章
在雲端優先應用當道的時代，我們往往忽略了一個強大的替代方案：漸進式網頁應用（PWA）。當現代瀏覽器已經能在使用者裝置上完整執行高效、安全、高效能的應用時，為什麼還要維運一套沉重、昂貴且可能成為攻擊面的伺服器基礎設施？