Это немного не о том, ИМХО. Но в целом да, все локальные истории так или иначе вытаскиваются. Теорему что-ли про это доказать 😄
Да, но там рекомендации вида: "рассмотрите второй слой шифрования поверх системного" и т.п. Может помочь для оценки стоимости разных подходов.
Отправлять пин на бекенд тоже не всегда бесплатно / возможно.