后量子零知识 E2EE

DNS Worker 为查询日志提供了行业领先的**后量子零知识端到端加密（E2EE）**架构，确保即便在未来量子计算机攻击下，历史 DNS 访问记录在数学上依然保持不可逆性。

默认状态与开启方式

[!NOTE] 默认停用：系统为所有新注册账户默认关闭端到端加密。在此默认模式下，DNS 查询日志以明文直接存储，具备最优的读写吞吐性能、跨设备即时可读性以及 0 前端解密开销。

如何启用 E2EE (按需开启)

若您追求数学层面的绝对零知识隐私：

1. 进入 Account & Security（账户与安全）中的 E2EE (端到端加密) 卡片。
2. 点击 通过通行密钥生成密钥对（推荐，支持生物识别秒级解锁）或 通过恢复密钥初始化。
3. 初始化成功后，所有新入库的 DNS 日志将自动在服务端使用 NIST FIPS 203 P256-MLKEM768 后量子密钥加密后再持久化。
4. 您可以随时在卡片中暂停或重启 E2EE，历史密钥与已加密日志将被完整保留。

---

核心安全支柱

1. 零知识存储保证：
   • DNS Worker 后台仅持有用户的公开公钥用于加密入库日志；
   • 服务端数据库从未保存解密私钥，杜绝服务端泄露风险。
2. NIST FIPS 203 混合格密码：
   • 结合经典椭圆曲线与 P256-MLKEM768，防范 Shor 量子分解算法破解。
3. 每小时动态轮换 KEM DEK：
   • 数据加密密钥（DEK）每小时自动轮换，收敛密钥暴露窗口。
   • 封装密文（kem_ct）与轮换生命周期安全记录于数据库中。
4. 硬件通行密钥（WebAuthn）防护：
   • 用户借助设备生物识别（Touch ID、Face ID、Windows Hello 或 YubiKey）解密主私钥，私钥解密仅在受信任客户端浏览器内完成。