编辑部新闻编辑室
记者带着不可泄露的素材跨越边境。编辑需要在数秒内吊销一台被扣押的设备，而不至于殃及整个分社。
- 每台设备都配有硬件断路开关
- 编辑控制台 — 在三签名法定人数下一键吊销
- 被扣押设备归还时的取证导出
为组织而设
为那些不容出错的机构
而打造。
新闻编辑室、NGO、医院和政府机构需要批量部署、签名的生命周期管理，以及一份他们能够捍卫的合规态势。下面是它在规模化时的样子。
这是为谁而设
驱动设计的四类画像。
Press Edition 和机构级 Sovereign 层级并非诞生于焦点小组。它们诞生于与那些丢失过设备的编辑、以及那些失去过网络的临床医生的交谈。
人权 NGO
外勤工作者在蜂窝网络即监控网络之处作业。消息仍需抵达总部。
- 紧急网格后备（LoRa、蓝牙、卫星）
- 内建于操作系统的家庭联络重聚流程
- 不会污染真实审计历史的演练模式
医院和野战诊所
患者数据敏感。网络在灾难中失效。分诊和追踪必须离线运行。
- 面向临床应用的逐应用权限配置
- HL7 FHIR 客户端与离线分诊支持
- 用于事件指挥的灾区网格路由
政府机构
采购要求可追溯的供应链、签名的更新，以及透明的合规态势。
- 带公共清单的可复现构建
- Common Criteria EAL5+ 筹备中
- 分司法辖区的联邦节点部署
你将获得什么
能力模块。
批量供应
用组织自有的根证书在一次会话中刷写 100+ 台设备。配置、允许列表和签名默认值随镜像一同传送。
生命周期管理
接入、轮换、证明刷新和报废吊销 — 全部经由一个带三签名关卡的私有运营控制台。
合规态势
可复现构建证据、签名的 SBOM、审计链导出，以及分司法辖区的数据驻留。为采购评审准备好材料。
支持层级
标准（社区 + 72 小时响应）、关键（24×7 配具名升级），以及主权（本地部署联邦节点和编辑控制台）。
试点备忘录
一份简短、可预期的试点协议。我们不要求独家、不要求把你锁死的保密协议，也没有追回条款。
共同设计
若你有某项小众需求 — 语言包、诱饵配置、区域警报源 — 我们会公开评估它，并将结果写入公共路线图。
安全问卷
采购级别的回答。
能经受住安全评审的简短回答。我们应请求提供更长的书面版本 — 但这些已足够诚实，可以开启对话。
设备的私钥存放在哪里？+
在安全元件内部（参考硬件上为 Titan M2、StrongBox 或 OpenTitan）。它不离开芯片 — 在我们的任何流程下都不，在远程攻击下都不，在短于破坏性芯片级提取的物理攻陷下也都不。
谁能签署一次更新？+
在设备接受一次更新之前，三个独立角色必须签名 — 发布、安全和运营。每个角色的密钥在一场 M-of-N 官员仪式下保存于一个硬件安全模块中。
什么数据会离开设备？+
用于联邦免疫的哈希模式和宽泛的区域分桶。除非用户明确同意，否则别无其他。一旦原始数据抵达线路，操作系统层的隐私关卡就会让构建失败 — 这是一项自动化测试，而非一句政策承诺。
我们能自行运行联邦节点吗？+
可以。Sovereign 层级包含联邦节点软件、编辑控制台和签名对等注册表。你的设备可以优先使用你的节点 — 并在无法触及它们时失败关闭。
我们的数据能托管在哪里？+
你的司法辖区要求的任何地方。联邦在设计上即为多节点，不需要任何中心化的数据平面。许多机构部署选择一个境内节点以满足数据驻留。
正在进行哪些独立评审？+
Citizen Lab、Amnesty Tech 和 EFF 已确定范围。Open Crypto Audit Project 和 Trail of Bits 已在规划中。发现会在我们修补的同一天发布 — 即便它令人难堪。