mcpField
V
vault

vault

github.com/glebis安全40170 次安装1 天前更新
代码仓库

关于 vault

vault 是用于检查敏感 RED 记录是否受到三层独立存储保护的安全技能。它只报告状态和修复建议，不会自行更改数据；设置辅助操作须显式调用。

主要功能

  1. 01只读检查三层锁状态
  2. 02输出 JSON 状态
  3. 03检测云同步存储位置
  4. 04显式调用非破坏性设置辅助操作

适用场景

  1. 01审查设备、存储和文件加密状态
  2. 02确认 RED 存储不在云同步目录中
  3. 03配置保护措施前查看建议命令

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/glebis/claude-skills --skill vault

安装后在 Claude Code 中输入/vault确认已加载。

附带文件scripts/vault.py

详细介绍

confide:vault — 存储 RED 数据的三重锁

将 confide/docs/THREE-LOCKS.md 中的纵深防御存储策略付诸实践：真实（RED）转录内容由三把相互独立的锁保护，因此攻破一把锁不会暴露客户信息。要读取真实转录内容，攻击者需要设备密码、加密存储密码和 age 密钥——三个独立的机密，最好分别存放在不同位置。

锁内容防范对象
1 — 设备FileVault 全盘加密 + 强登录密码 + 短自动锁定时间丢失、被盗或通过 USB 启动的机器
2 — 存储将 RED 存放在专用的加密存储中（加密 APFS 卷 / AES-256 .dmg），而非 Documents，且绝不放在 iCloud/Dropbox 中其他应用、其他用户、静默云同步
3 — 单个文件每个 RED 文件在静止状态下均使用 sops/age 加密，age 密钥单独存放；在无网络的 VM/容器中处理单个文件均经过密封；密钥不与数据放在一起

非破坏性操作 — 运行前请阅读

  • --check（默认选项）只运行只读探测：fdesetup status、 shutil.which(sops/age) 和 os.path.exists(...)。它绝不会移动、删除或 加密数据，也绝不会运行 fdesetup enable、hdiutil、age-keygen 或 rm。
  • 它会报告每把锁的状态 ✓/✗，并打印修复每个 ✗ 的确切命令，供用户 自行检查和运行。
  • 只有明确指定 --init-age 时才会生成 age 密钥，并且绝不会 覆盖已有密钥。
  • --init-store PATH 只会打印创建加密存储的命令；不会 执行磁盘映像创建。检测到路径与云同步目录重叠时会拒绝操作。
  • 未经明确确认，绝不代替用户移动、加密或删除其 RED 数据。默认操作不会造成破坏。

运行

# default = read-only status check + checklist with fix commands
python3 skills/vault/scripts/vault.py --check
python3 skills/vault/scripts/vault.py --json            # structured status dict

# point at your own RED store to verify it's not cloud-synced
python3 skills/vault/scripts/vault.py --store-path ~/CONFIDE-RED.dmg

# optional, GUARDED helpers (explicit flags only)
python3 skills/vault/scripts/vault.py --init-age        # make an age key (never overwrites)
python3 skills/vault/scripts/vault.py --init-store ~/CONFIDE-RED.dmg   # prints the hdiutil command

lock_status() 可导入，并会返回：

{
  "device":  {"filevault": bool},
  "store":   {"present": bool, "path": str|None, "cloud_synced": bool, "safe": bool},
  "perfile": {"sops": bool, "age": bool, "key": bool, "key_path": str|None}
}

如何帮助用户

  1. 运行 --check，并向用户说明 ✓/✗ 检查清单。
  2. 对于每个 ✗，展示打印出的修复命令（例如 sudo fdesetup enable、 age-keygen -o ~/.config/confide/age.key、 hdiutil create -encryption AES-256 … ~/CONFIDE-RED.dmg），并让用户自行运行。
  3. 确认 RED 存储不在 iCloud/Dropbox 中（store.safe）。
  4. 展示 sops/age 加密和解密操作方法（检查清单中会打印），确保 RED 在静止状态下 始终为密文，并且仅在隔离流水线中于内存中解密 （confide/docs/ISOLATION.md）。只有 GREEN（已脱敏）输出会离开机器。

请参阅 confide/docs/THREE-LOCKS.md（模型 + 检查清单）和 confide/docs/ISOLATION.md （red/green 流程、无网络 VM/容器）。

评论

支持 Markdown