OneDrive Personal Vaultは、OneDriveの有料プランを契約している人や、単にOneDriveを利用している人に向けてMicrosoftが提供しているフォルダです。OneDriveの内部に配置され、開く前に追加の確認を求め、離席すると自動的に再びロックされます。利用者が次に調べるのは、それが実際に暗号化されているのか、そしてそれが真のプライバシーを意味するのかという点です。Microsoftの公式見解と、それが実際に何を意味するのかを整理します。

Personal Vaultの仕組み

MicrosoftはPersonal Vaultを、最も重要または機密性の高いファイルや写真のための「OneDrive内の保護された領域」と説明しています。通常のOneDrive領域と比較して、いくつかの特徴が加わっています：

  1. 開く際の2段階目の確認。 Microsoftアカウントへのサインインだけでは開けません。指紋、顔認証、PIN、メールやSMSで届く確認コード、あるいはMicrosoft Authenticatorアプリによる追加の認証が必要です。
  2. 自動ロック。 Microsoftによると、ウェブでは20分、モバイル端末では3分間操作がないと自動的にロックされます。Windows PCでは待機時間を自分で設定できます。
  3. 共有の禁止。 内部のファイルは共有できません。共有するには、いったん外部に移動する必要があります。
  4. 痕跡の削減。 金庫内のアイテムはOneDriveの検索結果に表示されず、PC上ではサムネイルも非表示になります。

納税申告書やパスポートのスキャンデータを、他のクラウドファイルよりも1枚多い扉の奥に保管するという点において、これは理にかなった設計です。

暗号化されているか？

はい、通常のOneDriveと同じ方式で暗号化されています。OneDriveのデータ保護に関するMicrosoftのサポートページによると、保存されている各ファイルは一意のAES-256キーで暗号化され、転送中のファイルはTLSで保護されます。Windows PCでは、Personal VaultのファイルはBitLockerで暗号化されたドライブ領域に同期され、PC、端末、ブラウザ上に無保護のままキャッシュされることはないとされています。

一方でMicrosoftが明言していないのは、これがエンドツーエンド暗号化であるかどうかです。同サポートページの説明によれば、各ファイルの暗号化キー自体が、Microsoft自社のキー管理サービスであるAzure Key Vaultに保管されたマスターキーによって暗号化されています。つまり、キーはMicrosoft側で管理されており、あなただけが知るパスワードから生成されているわけではありません。これこそがzero-knowledge暗号化の解説で取り上げている違いです。外部の攻撃者からファイルを保護する暗号化と、サービス提供者自身すら立ち入れなくする暗号化は別物です。

何によってロックが解除されるか

Personal Vaultの強みは、この追加ステップにあります。誰かがあなたのMicrosoftパスワードを入手したとしても、中に入るにはあなたの指紋、顔、PIN、あるいは確認コードが必要です。これはパスワード流出に対する実質的な保護となります。

ただし、この追加ステップが何から保護しているのかを明確にしておく必要があります。これはMicrosoftアカウント上に存在するファイルの手前に置かれたアクセス確認です。その確認を通過できる人物や、金庫が自動ロックされる前にロック解除済みのPCの前に座った人物は、誰でもファイルを閲覧できます。そしてキーはMicrosoft側にあるため、金庫はあなただけが保持する秘密ではなく、Microsoftの社内ポリシーによって保護されています。

見落とされがちな制限事項

Microsoft公式のFAQには、依存する前に把握しておくべきいくつかの制限が記載されています：

  • 無料プランでは3ファイルまで。 Microsoft 365 FamilyまたはPersonalのサブスクリプションがない場合、追加できるファイルは最大3つまでです。
  • Mac向けアプリがない。 Personal Vaultはウェブ、モバイルアプリ、またはWindows PCから利用できます。macOSはサポート対象リストに含まれていないため、Macではブラウザ経由で使用することになります。
  • Windows 10でのファイル名。 Microsoftによると、Windows 10のPersonal Vaultでは、金庫がロックされている状態でもファイル名やハッシュ値は保護されません。
  • PCでの削除動作。 PC上のPersonal Vaultから削除されたファイルは完全に消去され、PCのごみ箱には入りません。
  • モバイル端末での編集。 スマートフォン上でOffice文書を閲覧することはできますが、編集するには金庫の外へ移動させる必要があります。
  • 最近使ったファイル一覧。 金庫から開いたファイルであっても、該当アプリの「最近使ったファイル」一覧に表示される場合があります。

これらは欠陥というよりも、主にWindows向けに設計された「クラウドドライブ内のロック付き区画」という機能の性質そのものです。

鍵か門かの判断基準

MacおよびWindowsでフォルダをパスワード保護する方法では、ロックされたフォルダを評価するために3つの問いを用いています。Personal Vaultの回答は次のとおりです：

  1. ファイルは暗号化されているか？ はい：保存時はAES-256、転送時はTLS、WindowsのローカルコピーにはBitLocker。ただしエンドツーエンドではありません。
  2. キーはアカウントから分離されているか？ 部分的です。追加の確認は必要ですが、金庫はMicrosoftアカウントの一部であり、キーはMicrosoftが管理しています。
  3. 忘れた場合はどうなるか？ Microsoftアカウントとその確認手段を通じてアクセスを復旧します。便利である反面、キーがあなただけのものではない証拠でもあります。

これにより、Personal Vaultは「あなただけが開けられる鍵」というよりも、「クラウドストレージの手前に設置された堅牢な門」という位置づけになります。完全な代替手段を検討している場合は、WindowsとMacに最適な安全なフォルダの選択肢で各オプションを比較しています。

専用の金庫アプリを選ぶべきとき

Vaultineのような金庫アプリは、これらの問いに対して異なるアプローチを取ります。ファイルはお手元の端末上でAES-256により暗号化され、Microsoftアカウント、Macのパスワード、スマートフォンのパスコードとは完全に独立した、Vaultine独自のパターンまたはPINでのみ開きます。

さらに、Personal Vaultがカバーしていない領域にも対応しています：

  • 本格的なMac向けアプリ。 VaultineはmacOSおよびWindowsでネイティブに動作し、iPhoneやAndroidでも同じ金庫を利用できます。全端末対応の暗号化保管庫でその仕組みを解説しています。
  • ロック解除を求められたとき。 誰かに金庫を開けるよう求められた場面には、Decoy VaultとDuress Vaultが対応します。
  • パターンやPINを忘れた場合。 12単語のリカバリーフレーズでアクセスを復旧できます。あなた以外の誰もキーを保持していないため、他の誰にも開けることはできません。

ファイルは初期設定で端末内に留まります。Dropbox同期（Pro）は任意であり、有効にした場合でもファイルは端末から送信される前に暗号化されます。OneDriveの利用を続けたい場合でも、Dropboxへのアップロード前にファイルを暗号化する方法で解説している「暗号化してからアップロードする」という共通の原則をそのまま適用できます。

要点まとめ

OneDrive Personal Vaultは暗号化されています（保存時AES-256、転送時TLS、Windows PCでのBitLocker）。追加の認証チェックを備え、自動ロックや共有防止機能も備わっています。一方でエンドツーエンド暗号化ではなく、キーはMicrosoftが管理しており、無料アカウントでは3ファイルまでに制限され、Mac向けアプリはありません。MacとPCの双方でまったく同じように動作する、自分だけのキーを備えたロックを求めるなら、専用の金庫アプリが適しています。

vaultine.appにて最大10ファイルまで無料でお試しいただけます。