Logo

安全与隐私白皮书（总览）第 6 章

第 6 章 数据生命周期与删除

本章定义加密数据（密文分片与 manifest）的生命周期：创建、保留、过期与删除。 目标是在保持零知识边界的同时，让用户和审计人员都能获得可预期的行为。

6.1 数据分类

  • 密文分片：存储在对象存储中的加密文件片段。
  • Manifest：下载 / 组装所需的公开参数（不含 CEK）。
  • 状态：授权、进度、TTL、撤销标记，以及最少量的交付证据。

6.2 删除语义

  • 发送方发起的删除 / 撤销 MUST 使后续访问失败（令牌失效 / 状态拒绝访问）。
  • 删除 SHOULD 在可行时触发对相关对象（分片 / manifest）的清理。
  • 系统对收件人的行为 MUST 保持一致：已撤销 / 已过期的传输应显示明确的原因。

6.3 过期策略与自动清理

6.3.1 过期触发条件

  • 传输 SHOULD 具有 expiresAt 策略（基于方案的保留期或用户选择的 TTL）。
  • 过期后，即使密文暂时仍然存在，访问也 MUST 被拒绝。

6.3.2 自动清理

  • 后台清理 SHOULD 在合理的时间窗口内删除已过期的分片 / manifest。
  • 清理应能容忍重试和部分失败（幂等删除）。

6.3.3 过期后的用户体验约束

  • 收件人 MUST 看到明确的“已过期”状态以及下一步操作（联系发送方）。
  • 发送方 SHOULD 能在管理界面中区分“已过期”与“已撤销”。

6.4 用户可见的保证

  • 删除 / 撤销 MUST 立即在访问控制层面生效（失败关闭）。
  • 从存储中物理删除 MAY 是最终一致的；但访问必须保持被拒绝，且不得被重新启用。
  • 日志和证据必须保持最小化，且不得包含任何机密（fragment / CEK）。

6.5 相关 Claim IDs