这套系统是零知识的：服务器只有密文，解密靠你的主口令。所以两步验证保护的是 服务器账号 —— 谁能拉取密文、删除数据、看到「你有多少条联系人、 什么时候同步的」这类元数据。

它不是加密本身。拿到你主口令的人仍然能解开他已经拿到手的密文， 只是没法再从服务器拉新的。真正保护数据内容的只有主口令。