OneDrive Personal Vault on kansio, jonka Microsoft asettaa jokaisen eteen, joka jo maksaa OneDrivesta tai yksinkertaisesti käyttää sitä. Se sijaitsee OneDrivesi sisällä, pyytää toisen tarkistuksen ennen avautumistaan ja lukittuu automaattisesti uudelleen, kun poistut laitteen luota. Seuraava kysymys, jota ihmiset etsivät, on, onko se todella salattu ja tarkoittaako se samaa kuin aito yksityisyys. Tässä kerrotaan, mitä Microsoft sanoo ja mitä se käytännössä tarkoittaa.

Mitä Personal Vault tekee

Microsoft kuvailee Personal Vaultia suojatuksi alueeksi OneDrivessa tärkeimmille tai arkaluontoisimmille tiedostoillesi ja valokuvillesi. Muuhun OneDriveen verrattuna se tuo mukanaan muutamia asioita:

  1. Toinen tarkistus avaamiseen. Microsoft-tilille kirjautuminen ei riitä. Vahvistat pääsyn myös sormenjäljellä, kasvoilla, PIN-koodilla, sähköpostitse tai tekstiviestillä lähetetyllä koodilla tai Microsoft Authenticator -sovelluksella.
  2. Automaattinen lukitus. Microsoft kertoo sen lukittuvan 20 minuutin toimettomuuden jälkeen verkossa ja 3 minuutin jälkeen mobiililaitteella. Windows-tietokoneella määrität odotusajan itse.
  3. Ei jakamista. Sen sisällä olevia tiedostoja ei voi jakaa. Tiedosto on siirrettävä ensin ulos holvista.
  4. Vähemmän jälkiä. Holvissa olevat kohteet eivät näy OneDriven haussa, ja esikatselukuvat on piilotettu tietokoneeltasi.

Veroilmoituksen tai passikopion säilyttämiseen yhden lisäoven takana muihin pilvitiedostoihisi nähden tämä on järkevä ratkaisu.

Onko se salattu?

Kyllä, samalla tavalla kuin muukin OneDrive. Microsoftin tukisivu siitä, miten OneDrive suojaa tietojasi, kertoo, että jokainen tiedosto salataan levossa yksilöllisellä AES-256-avaimella ja että tiedostot suojataan siirron aikana TLS-yhteydellä. Windows-tietokoneessa Personal Vaultin tiedostot synkronoidaan aseman BitLocker-salatulle alueelle, ja Microsoft ilmoittaa, ettei niitä välimuistiteta suojaamattomina tietokoneelle, laitteelle tai selaimeen.

Mitä Microsoft ei sano, on se, että se olisi päästä päähän -salattu (end-to-end). Samalla sivulla selitetään, että kunkin tiedoston avain salataan vuorostaan pääavaimilla, jotka on tallennettu Azure Key Vaultiin, Microsoftin omaan avainpalveluun. Avaimia hallitaan siis Microsoftin puolella, eikä niitä johdeta vain sinun tietämästäsi salasanasta. Tämä on se ero, jota Zero-knowledge-salaus selitettynä käsittelee: salaus, joka suojaa tiedostojasi ulkopuolisilta, ei ole sama asia kuin salaus, joka pitää myös itse palveluntarjoajan ulkopuolella.

Mikä sen avaa

Personal Vaultin vahvuus on lisävaiheessa. Henkilö, jolla on Microsoft-salasanasi, tarvitsee silti sormenjälkesi, kasvosi, PIN-koodisi tai vahvistuskoodin päästäkseen sisään. Se on todellista suojaa vuotanutta salasanaa vastaan.

On kuitenkin syytä ymmärtää, miltä tämä lisävaihe tarkalleen ottaen suojaa. Se on pääsynvalvonta Microsoft-tililläsi sijaitsevien tiedostojen edessä. Kuka tahansa, joka läpäisee tarkistuksen tai istuu lukitsemattoman tietokoneesi ääressä ennen holvin sulkeutumista, näkee tiedostot. Ja koska avaimet ovat Microsoftilla, holvia suojaavat Microsoftin käytännöt eivätkä yksinomaan sinun hallussasi oleva salaisuus.

Rajoitukset, jotka useimmat ohittavat

Microsoftin omat usein kysytyt kysymykset listaavat useita rajoituksia, jotka kannattaa tietää ennen siihen luottamista:

  • Kolme tiedostoa ilmaisversiossa. Ilman Microsoft 365 Family- tai Personal-tilausta voit lisätä vain enintään kolme tiedostoa.
  • Ei Mac-sovellusta. Personal Vault on käytettävissä verkosta, mobiilisovelluksesta tai Windows-tietokoneesta. macOS ei ole tuettujen järjestelmien luettelossa, joten Macilla sitä käytetään selaimessa.
  • Tiedostonimet Windows 10:ssä. Microsoft ilmoittaa, että Personal Vault Windows 10:ssä ei suojaa tiedostojen nimiä tai tiivisteitä (hashes), kun holvi on lukittu.
  • Poistaminen tietokoneella. Tiedostot, jotka poistetaan Personal Vaultista tietokoneella, poistetaan pysyvästi eivätkä ne siirry tietokoneen roskakoriin.
  • Muokkaus mobiilissa. Voit katsella Office-asiakirjoja puhelimellasi, mutta sinun on siirrettävä ne pois holvista muokataksesi niitä.
  • Viimeisimmät-luettelot. Holvista avaamasi tiedosto saattaa edelleen näkyä kyseisen sovelluksen Viimeisimmät-luettelossa.

Mikään näistä ei ole niinkään vika kuin ominaisuuden oma luonne: pilviaseman lukittu nurkka, joka on rakennettu pääasiassa Windowsille.

Lukko vai portti -testi

Artikkelissa Kuinka suojata kansio salasanalla Mac- ja Windows-koneissa käytämme kolmea kysymystä minkä tahansa lukitun kansion arvioimiseen. Näin Personal Vault vastaa niihin:

  1. Ovatko tiedostot salattuja? Kyllä: AES-256 levossa, TLS siirrossa, BitLocker paikallisille kopioille Windowsissa. Ei päästä päähän.
  2. Onko avain erillään tilistäsi? Osittain. Tarvitset toisen tarkistuksen, mutta holvi on osa Microsoft-tiliäsi ja avaimia hallitsee Microsoft.
  3. Mitä tapahtuu, jos unohdat sen? Palautat pääsyn Microsoft-tilisi ja sen vahvistusmenetelmien kautta. Kätevää, mutta samalla merkki siitä, ettei avain kuulu yksin sinulle.

Tämä tekee Personal Vaultista vahvan portin pilvitallennustilan eteen pikemminkin kuin lukon, jonka vain sinä voit avata. Jos etsit todellista vaihtoehtoa, Paras turvallinen kansio Windowsille ja Macille vertailee eri vaihtoehtoja rinnakkain.

Milloin erillinen holvi kannattaa

Vaultinen kaltainen holvisovellus vastaa näihin kysymyksiin toisin. Tiedostot salataan laitteellasi AES-256 -salauksella ja ne avautuvat vain Vaultinen omalla kuviolla tai PIN-koodilla, erillään Microsoft-tilistäsi, Mac-salasanastasi tai puhelimesi lukituskoodista.

Se kattaa myös asiat, joita Personal Vault ei edes yritä:

  • Aito Mac-sovellus. Vaultine toimii natiivisti macOS:ssä ja Windowsissa, ja sama holvi toimii myös iPhonessa ja Androidissa. Salattu holvi kaikille laitteillesi näyttää miten.
  • Kun sinua pyydetään avaamaan. Decoy Vault ja Duress Vault ratkaisevat tilanteen, jossa joku vaatii sinua avaamaan holvin.
  • Unohtunut kuvio tai PIN-koodi. 12 sanan palautuslause palauttaa pääsysi. Kukaan muu ei pidä hallussaan avaintasi, joten kukaan muu ei voi päästä käsiksi tietoihisi.

Tiedostosi pysyvät laitteellasi oletusarvoisesti. Dropbox-synkronointi (Pro) on valinnainen, ja jos käytät sitä, tiedostot salataan ennen kuin ne poistuvat laitteeltasi. Jos haluat mieluummin jatkaa OneDriven käyttöä, Salaa tiedostot ennen Dropboxiin lataamista selittää saman periaatteen mille tahansa pilvipalvelulle: salaa ensin, lataa vasta sitten.

Lyhyt versio

OneDrive Personal Vault on salattu: AES-256 levossa, TLS siirrossa ja BitLocker Windows-tietokoneissa. Se lisää toisen tarkistuksen, lukittuu automaattisesti ja estää jakamisen. Se ei ole päästä päähän -salattu, avaimia hallitsee Microsoft, ilmaisilla tileillä on kolmen tiedoston raja eikä Mac-sovellusta ole. Jos haluat lukon omalla avaimella, joka toimii samalla tavalla Macilla ja PC:llä, juuri sitä varten erillinen holvi on olemassa.

Kokeile ilmaiseksi jopa 10 tiedostolla osoitteessa vaultine.app.