机场、修订，以及领事馆不得不说的那句话
2026 年 3 月 23 日香港时间下午 4 点，香港保安局在宪报刊登了一份对《国安法》第 43 条实施细则的三页修订。文本写得很平淡。它授权侦办“specified offence endangering national security”（危害国家安全的指明罪行）的警方，向"any person reasonably suspected to be capable of"（任何被合理怀疑有能力解锁的人）送达通知，并强制该人提供设备密码、解密方法或"other necessary assistance"（其他必要协助）。拒绝可被判处最高一年监禁及 10 万港元罚款。提供虚假或误导性密码则可判三年及 50 万港元。因职业关系而知悉设备密码的记者、医生和律师不在豁免之列。
三天后的 3 月 26 日，美国驻香港及澳门总领事馆依 STEP 计划发布安全警报，警告该法适用于 "everyone in Hong Kong, including arrivals and people merely transiting Hong Kong International Airport"（在香港的每一个人，包括入境者以及仅仅经香港国际机场过境的人）。一次三小时的转机，在管辖权意义上与居住无从区分。北京于 3 月 29 日召见总领事史墨客（Julie Eadeh），谴责该警报是干涉中国内政。香港保安局局长邓炳强表示，裁判官发出手令的要求可防止警方“在街头”索要密码。香港美国商会实际上是在告诉会员：请据此作出安排。
这份修订使香港成为全世界第一个其强制解密法律——按其本国政府自己的承认——可对身处机场围界内任何人执行的主要司法管辖区。而这段宪报文字，与别处可见的一股更安静的趋势是一致的——那股趋势是说：你留在脑子里的那串密码，已经成为每一桩调查中最有价值的一份证据。
以读你的手机为业的 4.75 亿美元产业
2026 年 3 月 31 日，一家名为 Cellebrite 的以色列—美国公司在华盛顿特区举行了年度 C2C 用户峰会，并宣布了其 2026 年春季版本。这次更新补上了 Cellebrite 能力矩阵中仅存的一个空洞：iOS 26 与 iPhone 17 系列现在可以被同一台通用取证提取设备提取，而使用这台设备的，是 Cellebrite 在 100 多个国家所拥有的 7,000 家执法、情报与国防客户。Cellebrite 自己于 2 月 11 日公布的 2025 年第四季度财报显示，该季度营收 1.288 亿美元，全年 4.757 亿美元——增长 19%。年度经常性收入突破 4.808 亿美元。公司于 2025 年 12 月 1 日完成了对佛罗里达 iPhone 虚拟化公司 Corellium 的 2 亿美元收购——这是一项从设备端漏洞利用转向被扣押手机虚拟克隆体的战略布局的一部分。
我们之所以知道 Cellebrite 有多厉害，是因为 2025 年 2 月，一名代表在与潜在客户的一次 Microsoft Teams 销售演示中，不慎分享了 7.73.1 版本的支持矩阵。那位客户把它保存了下来。Privacy Guides 做了镜像。GrapheneOS 论坛做了缓存。这份文件是数字取证市场有史以来所产出的、最接近一份对手能力披露的东西。几乎所有非 Pixel、非三星的安卓设备都被列为可解锁。处于首次解锁前状态（BFU——任何自开机以来未被解锁过的手机）的原生 Pixel 9："no access"（无法访问）。iOS 17.4 及之后："no access"——正是 Cellebrite 现在用 2026 年春季版本补上的那个空洞。而有一行，在每一种状态、每一个版本时期都出现在 "no access" 那一栏里：2022 年年底以后的 GrapheneOS Pixel 设备。
提取生意并非纸上谈兵。2025 年 1 月至 6 月间，公民实验室在取证上确认了 Cellebrite 被用于三部 iPhone 和一部安卓设备，其机主是在声援加沙的抗议中被捕的约旦公民社会成员；2026 年 1 月 22 日的报告《From Protest to Peril》称该实验室知悉“数十起”更多案例，且约旦至少自 2020 年起就是 Cellebrite 的客户。2026 年 2 月，公民实验室发表《Not Safe for Politics》，在取证上确认 Cellebrite 曾在肯尼亚反对派政治人物博尼费斯·姆万吉 2025 年 7 月被拘期间用于其三星手机。在国际特赦组织安全实验室于 2025 年 2 月记录的塞尔维亚案例中，Cellebrite 操作员使用了一条包含三个 CVE 的零日 USB 攻击链——CVE-2024-53104、CVE-2024-53197 与 CVE-2024-50302——攻击 USB 视频类、USB 音频和 HID 设备的 Linux 内核驱动。这条利用链于 2024 年 12 月 25 日被部署在一名学生活动人士的三星 Galaxy A32 上。国际特赦组织的后续调查显示，它是在 Cellebrite 已被告知塞尔维亚的滥用行为之后被使用的。Cellebrite 于 2025 年 2 月 25 日在塞尔维亚暂停了其产品。它没有在任何其他国家暂停过。
这三个零日漏洞在 2025 年 2 月的《安卓安全公告》中被修补。截至 2025 年 3 月，由于厂商更新周期碎片化，仍有超过 40% 的安卓设备未打补丁。补丁发布与补丁真正抵达手机之间的那段落差，就是提取产业的运营利润空间。
一道贯穿第五修正案的全球分歧
在一个围绕强制解密重组了将近十年的全球格局中，香港是最新的强制型司法管辖区。英国自 2007 年起就有《调查权力规范法》的第三部分第 49 条。在收到通知后拒绝提供加密密钥，最高可判两年监禁——若属国家安全或儿童保护案件则为五年。英国确实用过它——在露西·麦克休谋杀案调查中拒绝交出 Facebook 密码的斯蒂芬·尼科尔森于 2018 年被判 14 个月；一名叫奥利弗·德雷奇的少年因拒绝交出一串 50 个字符的密码，于 2010 年被判 16 周。在法国，经 2016 年 6 月 3 日法律强化的《刑法典》第 434-15-2 条，对拒绝披露“解密约定”者处以三年监禁及 27 万欧元罚金——若配合本可阻止一项罪行，则升至五年及 45 万欧元。法国最高法院于 2022 年 11 月 7 日裁定，手机锁屏密码确实构成"decryption key"（解密密钥），终结了多年来下级法院的冲突。一项名为 Minteh v. France 的挑战正在欧洲人权法院待审。
澳大利亚 2018 年的《电信及其他立法修正（协助与准入）法》（“TOLA”）把强制的矛头对准运营商和设备厂商，而非个体嫌疑人，但它以最高 1000 万澳元的不合规罚款相威胁，而澳大利亚安全情报组织年报所附的使用数据被涂黑。泰国《计算机犯罪法》第 18(7) 条允许法院对服务提供商发出解密命令，并与第 112 条冒犯君主罪条文搭配使用；2024 年 1 月清莱的一起判决是五十年。比利时允许对第三方施加强制，但不允许对嫌疑人或其家属施加，从而保留了一项“任何人不得被迫自证其罪”的例外。荷兰取消了一项 2015 年拟议的强制法案，因为它被认定与同一原则不相容。
在保护性的一侧，欧洲人权法院于 2024 年 2 月 13 日在 Podchasov v. Russia 一案中确立了欧洲的基准。第五庭一致认定，要求解密端到端加密通信的法定义务——本案争议的是俄罗斯 2017 年 7 月针对 Telegram 用户的要求——依《公约》第 8 条属不成比例，且 "cannot be regarded as necessary in a democratic society"（不能被视为民主社会所必需）。该判决对 46 个欧洲委员会成员国具有拘束力，包括脱欧后的英国。隐私国际与 Liberty 正在他们针对英国向苹果发出的秘密技术能力通知、于调查权力法庭提起的待审挑战中援引它——正是那道命令迫使苹果于 2025 年 2 月 21 日对英国用户撤下高级数据保护。据报道，英国于 2025 年 8 月放弃了全球范围的后门要求，随后在 2025 年 10 月送达了一份范围更窄的命令，并且从未为新的英国用户恢复高级数据保护。
德国《刑事诉讼法》保护嫌疑人不被强迫交出加密密钥。但在 2024 年 4 月 8 日，联邦最高法院裁定警方可以强行把嫌疑人的手指按在智能手机传感器上，理由是把手指用作“天然钥匙”属于对一项侦查措施的“单纯容忍”，而非主动自证其罪。印度德里高等法院在 Sanket Bhadresh Modi v. CBI 一案中走向了相反方向——绍拉布·班纳吉法官认定侦查机关不能强迫被告人披露设备密码，因为这样做会违反宪法第 20(3) 条和《刑事诉讼法典》第 161(2) 条。该法院有一句名言：检方不能指望被告人 "sing in a tune which is music to their ears"（唱出在他们听来悦耳的调子）。卡纳塔克邦高等法院在 2021 年走向了相反的方向。印度最高法院尚未解决这一分歧。
在美国，答案取决于你住在哪里。宾夕法尼亚州最高法院在 Commonwealth v. Davis（2019）中认定，强制披露计算机密码违反第五修正案，因为那要求人揭示其心智的内容，并驳回了政府提出的 "foregone conclusion"（必然结论）这一变通说法。犹他州最高法院在 2023 年 State v. Valdez 一案中一致作出了相同裁决，犹他州于 2024 年向最高法院提出的调卷申请至今未被受理。新泽西州在 State v. Andrews（2020）中走向另一边，接受了 "foregone conclusion" 例外，因为检方已证明密码存在且被告人操作过该手机。巡回法院之间的分歧悬而未决，而最高法院拒绝了每一次审理它的机会。
约翰·保罗·史蒂文斯大法官在 Doe v. United States（1988）中的异议意见——那个 "safe combination versus key"（保险箱密码与钥匙）的区分——仍是每一桩现代密码案件的核心框架。钥匙存在于物理世界；密码组合只存在于心智之中。2026 年的问题是，在又一年的生物识别解锁、人脸扫描，以及那些假装两者都不在乎的取证工具之后，这个区分还能不能活下来。
五万五千次搜查，没有一张搜查令
在美国境内，海关与边境保护局 2025 财年的数字是搜查旅客电子设备 55,318 次，比前一年增长 17.6%。其中 92% 是"basic"（基础）搜查——一名官员在二次检查室里用手翻看手机。8% 是"advanced"（高级）搜查——手机被接入 Cellebrite 或 Graykey 提取终端并被完整镜像。高级搜查翻了一倍。依据现行机构政策，海关与边境保护局会把提取到的一切保留十五年。这些搜查没有一次需要搜查令；也没有一次需要合理怀疑，除非旅客是美国公民，而即便那样也只在第九和第四巡回区适用。
那个 55,318 背后的人的质地才是重点。拉莎·阿拉维，布朗大学的一名肾移植专科医生，持 H-1B 签证，2025 年 3 月在波士顿洛根机场被拒绝入境——海关与边境保护局在把她送回贝鲁特之前删除了她手机里的照片。阿利斯泰尔·基钦，一名持 ESTA 旅行的澳大利亚回忆录作者，2025 年 8 月在洛杉矶国际机场被标记，被递上一张要他写下手机密码的纸条，并被扣留数小时，其间官员搜查了他的设备，寻找他关于哥伦比亚大学抗议营地的报道。“据我所知，我曾是最早一批在没有事先通知的情况下 ESTA 被取消的人之一”，基钦后来这样告诉《卫报》，原因是他在互联网上写的东西。一年前，加拿大安大略省上诉法院曾在 R. v. Pike 中认定，加拿大《海关法》第 99(1)(a) 条在适用于无令状设备搜查时违宪，并设定了一条 "reasonable grounds to suspect"（有合理理由怀疑）的下限。美国没有对等的裁决。一名芝加哥申请人曾在 2024 年 12 月请求最高法院解决这一问题。没有获准。
2026 年 4 月 10 日，欧盟的入境／出境系统投入运行——这是一个生物识别数据库，从今年秋天开始，它将在六岁的寻求庇护者首次接触申根区时采集其指纹。那枚指纹会成为此后一切的钥匙。很难想象还有比这更没有摩擦的强制解密制度：解密密钥就是一个你没法留在家里的身体部位。
通知数据库这一招
2026 年 4 月 9 日，美国联邦调查局特别探员克拉克·维索恩在对莱内特·夏普等人就 2025 年 7 月 4 日得克萨斯州阿尔瓦拉多市 Prairieland 移民与海关执法拘留设施袭击案的联邦起诉中出庭作证。在证人席上，维索恩描述了他的团队对从一名被告处扣押的一部 iPhone 所做的取证分析。据 9to5Mac 的报道，维索恩作证称，即便 Signal 已被卸载，他的团队仍能从该设备上恢复出 Signal 消息的片段。
其机制是一个名为通知数据库的 iOS 系统组件。iOS 显示的每一条推送通知——包括 Signal 消息的锁屏预览——都会被记入一个持久化的系统数据库。该数据库不属于 Signal 的沙盒。卸载 Signal 不会动它。只有收到的消息可被恢复；只有那些启用了锁屏预览的；也只有实际出现在通知文本中的那部分。但这个数据库在取证上的分析威力相当可观：它熬过了用户以为已经清理干净的那次删除，而且任何具备 AFU 访问权限的 Cellebrite 级工具都能读取它。
关于通知数据库的这份证词，恰好干净利落地说明了更深的那个问题。你可以加密线路。你可以加密云端备份。你可以装一个服务器根本没有消息内容可交的安全通信软件。然后，你自己手机上的一个系统服务，出于与安全毫无关系、与产品设计完全有关的理由，留下了一份预览文本的明文副本。唯一的防御是为每一个敏感应用关闭锁屏预览——一个多数用户永远找不到的设置。
取证提取产业唯一碰不了的操作系统
2025 年 2 月泄露的 Cellebrite 矩阵一点也不含蓄。“supported”（支持）栏里几乎是所有安卓设备。几乎所有 iOS 17.3 及以下的 iPhone 都可被提取。2026 年春季版本之后的一切现在也都可被提取。而在 "no access" 栏里，与少数几种特定的 Pixel BFU 配置并列的，是整个 GrapheneOS 家族。原因，由 GrapheneOS 自己给出，是一套精确针对提取工具所依赖的那些漏洞的分层加固。一个封堵基于堆的利用链的加固内存分配器。锁定状态下的 USB 外设限制，封堵了塞尔维亚案中被使用的 UVC／音频／HID 攻击途径。一个自动重启计时器，在可配置的闲置时长后把设备强制送回首次解锁前状态——在 BFU 状态下，解密密钥不在内存中，全盘加密完好无损。
该项目于 2026 年 3 月 20 日发布了 2026032000 版本，带有实验性的 Pixel 10a 支持。其用户规模估计约为 40 万台设备，约合每 25 个 Pixel 用户中有一个。在 2 月下旬的 2026 年世界移动通信大会上，GrapheneOS 确认与摩托罗拉移动达成合作——这是该项目历史上第一批非 Pixel 硬件，预计在 2026 年第四季度或 2027 年年初出货。CalyxOS 处于停摆状态。隐私手机市场，就其存在的程度而言，正在集中。
GrapheneOS 提供的最优雅的功能是 Duress PIN（胁迫密码）。设置第二个解锁码。当它在系统接受身份验证的任何地方被输入——锁屏、开发者选项提示、任何单应用验证挑战——它会静默触发一次不可逆的恢复出厂设置，抹除所有加密密钥以及 eSIM 分区。不需要重启。无法中断。无法撤销。公民自由律师相信，2025 年 11 月 19 日的一起法国案件——Bilel——正是涉及这一功能，尽管没有任何法院就此作出裁决。嫌疑人的手机在被镜像过程中莫名其妙地自行重置了。国际特赦组织的技术团队把这一重置模式追溯到了 GrapheneOS。Duress PIN 是全世界针对强制解密法律最干净的技术回应。而依据《调查权力规范法》第 49 条、香港 3 月 23 日的规则、法国的 434-15-2 条，以及每一部 TOLA 式的法律，它也可能构成一项妨害司法的犯罪。
Tails 7.6 于 2026 年 3 月 26 日发布——它是 Tor 项目那套失忆型 live 操作系统的 Debian 13／GNOME 48 分支。旗舰功能是通过带域名前置的 Moat API 自动获取 Tor 网桥，因而被审查的网络看到的是一次指向热门 CDN 的普通 HTTPS 握手，而不是一次明确的网桥请求。Qubes OS 4.3.0 于 2025 年 12 月 21 日发布，搭载 Whonix 18、用于更快启动虚拟机的预载一次性虚拟机，以及一套新的设备 API。VeraCrypt 1.26.18（2025 年 1 月）继续提供具备可否认性的隐藏卷——不过没有任何司法管辖区的任何法院在强制解密的压力下检验过 VeraCrypt 的可否认性，而学术界最好的攻击手法确实证明了隐藏操作系统的存在可以被揭示出来。这些都不是消费级产品。它们全都是任何真正想清楚“密码就是搜查令”意味着什么的人的实用工具箱。
被记住的那个秘密
世界上每一套强制解密制度——无论强制型还是保护型——都必须回答同一个哲学问题：国家是否有权强迫一个人从自己的头脑中取出知识，并把它交到侦查员手里？德国联邦最高法院在 2024 年对密码说了不，对指纹说了是。宾夕法尼亚、犹他和德里的法院对密码说了不。香港的修订说了是，前提是裁判官已先行签发手令。法国和英国说了是，且没什么周折。Podchasov 裁决在欧洲说了不，绝对地不。而美国的第五修正案说了不，除了在新泽西，且只在检方愿意沿着一条美国最高法院已经六年拒绝统一的巡回路径打上去的时候。
在所有这些答案内部剩下的，是史蒂文斯大法官在将近四十年前划下的那个区分。钥匙存在于物理世界。密码组合只存在于心智之中。指纹是钥匙；你可以被强制交出它。密码是组合；国家必须伸手进你的脑袋才能拿走它。每一次生物识别解锁，都是对“生物特征即钥匙”这一理论的一次安静追认。每一串密码，都是对那个更古老论证的一次小小排练：你所知道的某些事情，在你选择说出来之前，仍是受保护的言论。
在 2026 年，这些问题的答案并不抽象。它们是机场的运行参数，是进入加拿大的驾车者的、是在香港会议上作报告的研究者的、是降落在洛杉矶国际机场的记者的、是路过波士顿洛根机场的医生的运行参数，也是任何一个在手机里留着自己所思、所爱、为谁工作之痕迹证据的人的运行参数。Cellebrite 的矩阵是一张购物清单。香港的修订是一个运行中的实例。Prairieland 案的通知数据库提醒我们：受攻击面比你卸载的那个应用要大。第五修正案及其全球对应物，是你与一份关于你自己记忆的电子表格之间那层脆弱的薄膜。
有一种版本的下一个十年是这样的：加密作为技术问题几乎被完美解决——Signal 安全备份、高级数据保护、后量子密码迁移、2025 年那一整批安全通信改进——而强制解密的法律制度绕过了这一切，把你脑袋里的那串密码当作一份你有义务提交的文件。唯一不能被强制的密码，是国家找不到的那一串。唯一不能被镜像的设备，是那种被正确加密且处于首次解锁前状态且运行着一个取证提取产业尚未买通的操作系统且只被带到那些法律不把你的沉默当作犯罪的地方去的设备。
这份清单以前很长。它正在变短。
延伸阅读
- 香港《国安法》第 43 条 2026 年实施细则修订，政府宪报与香港自由新闻报道（2026 年 3 月 23 日）。
- 美国驻香港总领事馆 STEP 安全警报，hk.usconsulate.gov/security-alert-2026032601（2026 年 3 月 26 日）。
- 公民实验室，"From Protest to Peril: Cellebrite Used Against Jordanian Civil Society"（2026 年 1 月 22 日）与 "Not Safe for Politics"（2026 年 2 月）。
- 国际特赦组织安全实验室，"Cellebrite zero-day exploit used to target phone of Serbian student activist"（2025 年 2 月）。
- Privacy Guides，"Updated Cellebrite Google Pixel Matrix Leak February 2025"。
- 欧洲人权法院，Podchasov v. Russia — EFF 摘要。
- EFF，"Forensic Extraction Tools"，Street Level Surveillance 系列。
- Commonwealth v. Davis，Pa. 2019；State v. Valdez，Utah 2023。
- GrapheneOS 功能与版本发布。
- Tails 7.6 发行说明与 Qubes OS 4.3.0 公告。
- 9to5Mac，"FBI used iPhone notification data to retrieve deleted Signal messages"（2026 年 4 月 9 日）。
URnetwork 正在你与公共网络之间构建覆盖整个互联网的加密层。ur.io。