OneDrive Personal Vault je složka, kterou Microsoft staví před každého, kdo si už platí OneDrive nebo jej jednoduše používá. Nachází se uvnitř vašeho OneDrivu, před otevřením vyžaduje druhou kontrolu a znovu se uzamkne, když odejdete. Další otázka, kterou lidé vyhledávají, je, zda je skutečně šifrovaný a zda to znamená totéž jako mít soukromí. Tady je přehled toho, co říká Microsoft a co to znamená v praxi.

Co Personal Vault dělá

Microsoft popisuje Personal Vault jako chráněnou oblast na OneDrivu pro vaše nejdůležitější nebo citlivé soubory a fotografie. Ve srovnání se zbytkem OneDrivu přidává několik věcí:

  1. Druhou kontrolu pro otevření. Přihlášení k účtu Microsoft nestačí. Potvrzujete také otiskem prstu, obličejem, PINem, kódem zaslaným e-mailem nebo SMS, nebo aplikací Microsoft Authenticator.
  2. Automatické zamykání. Microsoft uvádí, že se uzamkne po 20 minutách nečinnosti na webu a po 3 minutách na mobilu. Na počítači s Windows si dobu čekání nastavíte sami.
  3. Žádné sdílení. Soubory uvnitř nelze sdílet. Soubor musíte nejprve přesunout ven.
  4. Méně stop. Položky v trezoru se nezobrazují ve vyhledávání OneDrivu a náhledy jsou na vašem počítači skryté.

Pro uložení daňového přiznání nebo skenu pasu za další dveře navíc oproti zbytku vašich cloudových souborů je to rozumný návrh.

Je šifrovaný?

Ano, stejným způsobem jako zbytek OneDrivu. Stránka podpory Microsoftu o tom, jak OneDrive chrání vaše data, uvádí, že každý soubor je v klidovém stavu šifrován jedinečným klíčem AES-256 a že soubory jsou při přenosu chráněny protokolem TLS. Na počítači s Windows se soubory z Personal Vaultu synchronizují do oblasti disku šifrované nástrojem BitLocker a Microsoft uvádí, že se neukládají nechráněné do mezipaměti v počítači, zařízení ani prohlížeči.

Co Microsoft neříká, je to, že by byl šifrovaný end-to-end. Stejná stránka vysvětluje, že klíč každého souboru je sám zašifrován hlavními klíči uloženými ve službě Azure Key Vault, což je vlastní služba pro správu klíčů od Microsoftu. Klíče jsou tedy spravovány na straně Microsoftu, nikoli odvozeny z hesla, které znáte pouze vy. To je rozdíl, který rozebírá článek Zero-knowledge šifrování vysvětleno: šifrování, které chrání vaše soubory před cizími lidmi, není totéž jako šifrování, které k nim nepustí ani samotného poskytovatele.

Co ho otevírá

Síla Personal Vaultu spočívá v tomto dodatečném kroku. Někdo, kdo získá vaše heslo k účtu Microsoft, stále potřebuje váš otisk prstu, obličej, PIN nebo kód, aby se dostal dovnitř. To je skutečná ochrana proti uniklému heslu.

Je však dobré mít jasno v tom, před čím tento krok navíc chrání. Jde o kontrolu přístupu k souborům, které jsou uloženy ve vašem účtu Microsoft. Každý, kdo tuto kontrolu projde, nebo kdo sedí u vašeho odemčeného počítače dříve, než se trezor uzamkne, tyto soubory uvidí. A protože klíče zůstávají u Microsoftu, je trezor chráněn zásadami Microsoftu, nikoli tajemstvím, které držíte pouze vy.

Limity, které většina lidí přehlédne

Vlastní časté dotazy Microsoftu uvádějí několik omezení, která stojí za to znát, než se na něj spolehnete:

  • Tři soubory v bezplatném tarifu. Bez předplatného Microsoft 365 pro rodiny nebo pro jednotlivce můžete přidat maximálně tři soubory.
  • Žádná aplikace pro Mac. Personal Vault je dostupný z webu, mobilní aplikace nebo počítače s Windows. macOS není na seznamu podporovaných systémů, takže na Macu jej používáte v prohlížeči.
  • Názvy souborů ve Windows 10. Microsoft uvádí, že Personal Vault ve Windows 10 nechrání názvy ani hashe souborů, když je trezor uzamčen.
  • Mazání na počítači. Soubory smazané z Personal Vaultu na počítači jsou trvale odstraněny a nepřesouvají se do koše v počítači.
  • Úpravy na mobilních zařízeních. Dokumenty Office si můžete v telefonu prohlížet, ale chcete-li je upravit, musíte je přesunout z trezoru ven.
  • Seznamy naposledy otevřených položek. Soubor otevřený z trezoru se může stále zobrazovat v seznamu naposledy otevřených položek dané aplikace.

Nic z toho nejsou ani tak chyby, jako spíše podoba samotné funkce: uzamčený kout cloudového disku, vytvořený převážně pro Windows.

Test zámku nebo brány

V článku Jak chránit složku heslem na Macu a ve Windows používáme tři otázky k posouzení jakékoli uzamčené složky. Tady je odpověď Personal Vaultu:

  1. Jsou soubory šifrované? Ano: AES-256 v klidovém stavu, TLS při přenosu, BitLocker pro místní kopie ve Windows. Ne end-to-end.
  2. Je klíč oddělený od vašeho účtu? Částečně. Potřebujete druhou kontrolu, ale trezor je součástí vašeho účtu Microsoft a klíče spravuje Microsoft.
  3. Co se stane, když ho zapomenete? Obnovíte přístup prostřednictvím svého účtu Microsoft a jeho způsobů ověření. Pohodlné, a zároveň znamení, že klíč nepatří výhradně vám.

Díky tomu je Personal Vault spíše pevnou bránou před cloudovým úložištěm než zámkem, který můžete otevřít pouze vy. Pokud hledáte skutečnou náhradu, článek Nejlepší zabezpečená složka pro Windows a Mac porovnává jednotlivé možnosti vedle sebe.

Kdy dává smysl vyhrazený trezor

Trezorová aplikace jako Vaultine odpovídá na tyto otázky odlišně. Soubory jsou šifrovány na vašem zařízení pomocí AES-256 a otevírají se pouze vlastním vzorem nebo PINem Vaultine, odděleným od vašeho účtu Microsoft, hesla k Macu nebo kódu telefonu.

Pokrývá také to, o co se Personal Vault ani nepokouší:

  • Skutečná aplikace pro Mac. Vaultine běží nativně v systémech macOS a Windows a stejný trezor funguje i na iPhonech a Androidu. Článek Šifrovaný trezor pro všechna vaše zařízení ukazuje, jak na to.
  • Když vás někdo žádá o odemčení. Decoy Vault a Duress Vault řeší situaci, kdy někdo trvá na tom, abyste trezor otevřeli.
  • Zapomenutý vzor nebo PIN. 12slovná fráze pro obnovení vám vrátí přístup. Nikdo jiný váš klíč nedrží, takže to nikdo jiný ani nedokáže.

Vaše soubory zůstávají ve výchozím nastavení na vašem zařízení. Synchronizace s Dropboxem (Pro) je volitelná, a pokud ji použijete, soubory se zašifrují ještě předtím, než vaše zařízení opustí. Pokud raději zůstanete u OneDrivu, článek Zašifrujte soubory před nahráním na Dropbox vysvětluje stejný princip pro jakýkoli cloudový disk: nejprve zašifrovat, pak teprve nahrát.

Stručné shrnutí

OneDrive Personal Vault je šifrovaný: AES-256 v klidovém stavu, TLS při přenosu a BitLocker na počítačích s Windows. Přidává druhou kontrolu, sám se zamyká a blokuje sdílení. Není šifrovaný end-to-end, klíče spravuje Microsoft, bezplatné účty mají tři soubory a neexistuje aplikace pro Mac. Pokud chcete zámek s vlastním klíčem, který funguje stejně na Macu i na PC, přesně k tomu slouží vyhrazený trezor.

Vyzkoušejte jej zdarma až pro 10 souborů na vaultine.app.