档案库 · 开发与企业工具 · 产品决策 · 2022–2023
Portable Secret 押注纯浏览器解密能帮普通人战胜 PGP；HN 1290 分
一个加密 HTML 文件，任何浏览器都能解密——为作者的母亲打造；其 2022-12-21 的 Show HN 获得 1290 分。
Portable Secret (mprimi/portable-secret)
做的是什么生意
Portable Secret is a free, open-source hack: an HTML file that carries an AES-GCM-encrypted payload plus Web Crypto JavaScript, so secrets, files and images can be emailed or stored on cloud drives and decrypted in any browser with a password.
起因
The creator made Portable Secret to securely exchange documents by email with his mother, 'who can't be expected to learn PGP, age, or similar.' He also uses it to store top-level secrets — private keys, 2FA recovery codes — and encrypted copies of documents like a passport picture that he can reach from anywhere, even if all his trusted devices are stolen or lost.
经过
A Portable Secret is generated by a web tool that wraps the payload in HTML and JavaScript calling the browser's Web Cryptography API: AES-GCM for authenticated symmetric encryption and PBKDF2 for password key derivation, with the page noting that Web Crypto does not support stronger KDFs such as scrypt, bcrypt or Argon2. The project also published a 'Crack me if you can' bounty — an example secret holding the recovery key for a Bitcoin wallet — and a list of similar prior art, while keeping the whole thing deliberately small: 'Portable Secret is not a product and it is barely a project. It is just a neat trick, a hack.'
结果
The author kept it a hack, but the idea was validated externally: a January 2023 update on the page says Rocky W. 'took this idea and ran with it, creating a beautiful full-fledged product: PrivacyProtect.dev' — a commercial product sharing the same no-special-software, browser-only encrypted-HTML approach.
背景
Portable Secret 是一个自称无需特殊软件即可改善隐私的小把戏：一个 Portable Secret 就是一个 HTML 文件，包含加密载荷和调用浏览器 Web 加密 API 的 JavaScript，因此任何现代浏览器都能打开它——即使离线——并提供密码后显示秘密。作者为了让母亲无需学习 PGP、age 等工具就能安全地通过电子邮件交换文件而创建了它。
该设计把一切都押在通用性上：文件自包含，没有外部依赖，可以放在 U 盘中，任何有浏览器的设备都能解密。AES-GCM 提供认证加密，PBKDF2 减缓密码暴力破解，页面坦率地指出 Web 加密支持中没有 scrypt、bcrypt 和 Argon2。同样的技术也被用来将私钥和双重认证恢复码存放在云端，并保留一份加密的护照副本，即使所有设备都丢失也能从任何设备访问。
2022-12-21 的 Show HN 获得 1290 分和 376 条评论，作者在评论中回应了“不要自己发明加密”的怀疑，并提供了“能破解就来”赏金——一个持有比特币钱包恢复密钥的示例秘密。作者明确表示其范围：“Portable Secret 不是产品，甚至算不上项目。它只是一个巧妙的小把戏。”
这个想法最终超越了小把戏：页面 2023 年 1 月的更新记录道，Rocky W. 采纳了这个想法，并构建了 PrivacyProtect.dev，一个“漂亮的全功能产品”，用于在没有特殊软件或账户的情况下分享密码和文件。Portable Secret 本身仍是一个展示品——免费、开源，并在 2026-09-05 抓取时仍然可用。
这件事要成立，得有什么
- 一个具体的痛点起源：作者需要与母亲通过电子邮件进行 PGP 级别的安全通信，但母亲不可能学会 PGP——因此限制因素是接收方，而不是发送方。
- 一个可证伪的设计赌注：无需特殊软件，没有外部依赖，任何浏览器都能解密，甚至离线——整个方案的成功全赖于此。
- 有明确时间的用户反响：2022-12-21 的 Show HN 获得 1290 分和 376 条评论（编号 34083366），页面记录了 2023 年 1 月前 PrivacyProtect.dev 从该想法中推出。
- 诚实的范围界定是案例的一部分：作者故意拒绝将这个技巧变成产品，这也是后来他人将其产品化成为值得记录的结果的原因。
可借鉴之处
让接收方的成本为零：PGP 对非技术用户太难，而一个能在任何浏览器中打开的 HTML 文件却让加密变得可用——正是这种简洁性被其他人产品化了。
后续进展
截至 2026-09-05，Portable Secret 仍然是一个活跃的展示品，而非一家公司：项目页面、创建工具、示例秘密和赏金页面仍然可以访问，GitHub 仓库（mprimi/portable-secret）仍然是公开的。作者在 2023 年 1 月的更新中指出，Rocky W. 围绕同一种纯浏览器加密 HTML 方法构建了全功能产品 PrivacyProtect.dev，而页面仍然将 Portable Secret 本身描述为一个小把戏，而非产品。材料中没有记录任何公司、融资或收入。
资料来源
- Show HN: Portable Secret – How I store my secrets and communicate privately
- mprimi/portable-secret — Better privacy without special software
发现哪里写错了？告诉我们。
轮到你了
你刚读完一家。说说你在做什么，看看谁在赌同一件事。
免费账号 · 3 次免费提问 · 不用绑卡