最も安全なカードの記録は、最小限の記録です。ほとんどの人にとって、カードの発行会社名、そのサポート窓口、下 4 桁があれば、カードを特定して届け出るのに十分です。これらは暗号化ボールトに保管し、暗証番号やセキュリティコードは絶対に保存せず、実際の支払いには銀行のアプリや決済ウォレットを使いましょう。
どのカード情報なら保管しても問題ありませんか？
カードの発行会社名、サポートの電話番号、下 4 桁、そして一部を黒塗りにした利用明細。通常はこれだけで、カードを特定し、紛失時に届け出ることができます。明細を保存する前に、不要な番号は黒塗りにしてください。
絶対に保存してはいけないものは何ですか？
暗証番号。カード番号と一緒のセキュリティコード（CVV/CVC）。表面と裏面を一緒に写した、黒塗りなしの写真。
PCI DSS では、加盟店がオーソリゼーション後に認証コードを保持することは制限されています。個人の記録でも、それを保管しておく理由はありません。
カードの写真はなぜ危険なのですか？
表面と裏面を一緒に写すと、カード番号全体、有効期限、セキュリティコードが 1 枚の画像にそろってしまいます。カメラロールでは、その画像もほかの写真と同じようにさらされます。スクロールすると表示され、自動の写真バックアップでアップロードされることがあり、写真ライブラリにアクセスできるアプリに読み取られることがあり、「最近削除した項目」にも残ります。
暗号化は保存したファイルを守ります。保存する情報を減らせば、漏えいしうるものも減ります。
手順：カード情報を安全に保管するには？
1. 役に立つ最小限の記録を決めます。
2. 明細は取り込む前に番号を黒塗りにします。
3. ボールトのフォルダー（たとえば「カード」）に取り込みます。フォルダー名は暗号化されます。
4. 回復キーを別に保存し、暗号化されたバックアップを用意しておきます。
5. 元の写真とスクリーンショットを削除します。取り込んでも元のファイルは削除されません。
ボールトの役割と、銀行の役割は？
ボールトは記録のためのものです。支払いや不正利用の防止は、銀行やウォレットの役割です。Revault はカードのトークン化や支払いを行わず、カード発行会社の不正利用対策に代わるものでもありません。
スマートフォンや財布を紛失したらどうすればよいですか？
まずカード発行会社に連絡してください。そのためにこそ、ボールトにサポート番号を保存してあるのです。新しいデバイスでは、回復キーと、暗号化されたクラウドコピーまたはバックアップを使ってボールトを復元します。ボールトのキーが漏えいしたおそれがある場合は、記録を新しいボールトに移してください。
Revault はこれらの記録をどのように保護し、何ができないのですか？
記録は保存前にデバイス上で暗号化されます。ボールトには、ランダムな 256 ビットの AES-GCM マスターキーがあります。そのキーは、パターンとランダムなデバイスの秘密値を PBKDF2-HMAC-SHA-256（600,000 回反復）に通して保護されます。ファイル、ファイル名、サムネイルはすべて暗号化されます。ネイティブ iOS・Android アプリでは、プライベートな iCloud または Google Drive 同期を有効にするか、共有を作成するか、エクスポートしない限り、ボールトはデバイス上にとどまります。Web アプリはパスキーアカウントと Revault のクラウドを使います。
隠せないもの：サービスからは、特定のサイズのオブジェクトが存在すること、そしてそれがいつ保存されたかが見えます。侵害されたデバイスでは、ロックが解除されたボールトの内容を読み取られる可能性があります。Revault は独立したセキュリティ監査を受けていません。
よくある質問
Revault は PCI に準拠していますか？Revault は個人用のボールトであり、決済処理業者ではありません。PCI 準拠をうたうものではありません。
Revault に保存したカードで支払いはできますか？いいえ。銀行のアプリか、対応している決済ウォレットをお使いください。
CVV をメモアプリに保存しても安全ですか？そもそも保存しないでください。