OneDrive Personal Vault is de map die Microsoft aanbiedt aan iedereen die al voor OneDrive betaalt of het eenvoudigweg gebruikt. De map bevindt zich in uw OneDrive, vraagt om een tweede controle voordat hij opent en vergrendelt zichzelf weer zodra u wegloopt. De vraag die mensen vervolgens zoeken, is of de map daadwerkelijk versleuteld is en of dat gelijkstaat aan echte privacy. Dit is wat Microsoft erover zegt en wat het in de praktijk betekent.

Wat Personal Vault doet

Microsoft omschrijft Personal Vault als een beschermd gebied binnen OneDrive voor uw belangrijkste of meest gevoelige bestanden en foto’s. Vergeleken met de rest van uw OneDrive voegt het enkele functies toe:

  1. Een tweede controle om te openen. Inloggen op uw Microsoft-account is niet voldoende. U bevestigt uw identiteit tevens via een vingerafdruk, gezichtsherkenning, een pincode, een per e-mail of sms verzonden code, of met de Microsoft Authenticator-app.
  2. Automatische vergrendeling. Microsoft geeft aan dat de map vergrendelt na 20 minuten inactiviteit op het web en na 3 minuten op mobiele apparaten. Op een Windows-pc stelt u de wachttijd zelf in.
  3. Geen optie tot delen. Bestanden in de kluis kunnen niet worden gedeeld. U moet een bestand eerst naar buiten verplaatsen.
  4. Minder sporen. Kluisitems verschijnen niet in de zoekresultaten van OneDrive en miniaturen worden op uw computer verborgen.

Om een belastingaangifte of paspoortscan achter één extra deur te bewaren ten opzichte van uw overige cloudbestanden, is dat een doordacht ontwerp.

Is het versleuteld?

Ja, op dezelfde manier als de rest van OneDrive. De ondersteuningspagina van Microsoft over gegevensbescherming in OneDrive vermeldt dat elk bestand in rust wordt versleuteld met een unieke AES-256-sleutel en dat bestanden tijdens overdracht worden beschermd via TLS. Op een Windows-pc synchroniseren Personal Vault-bestanden naar een met BitLocker versleuteld gedeelte van uw schijf, en Microsoft stelt dat ze niet onbeschermd worden gecachet op uw pc, apparaat of browser.

Wat Microsoft niet vermeldt, is dat er sprake is van end-to-end versleuteling. Dezelfde pagina legt uit dat de sleutel van elk afzonderlijk bestand op zijn beurt is versleuteld met hoofdsleutels die worden bewaard in Azure Key Vault, de eigen sleuteldienst van Microsoft. De sleutels worden dus aan de kant van Microsoft beheerd en zijn niet afgeleid van een wachtwoord dat alleen u bezit. Dat is het verschil dat Zero-knowledge versleuteling uitgelegd behandelt: versleuteling die uw bestanden beschermt tegen buitenstaanders is niet hetzelfde als versleuteling die ook de provider zelf buiten de deur houdt.

Wat de kluis ontgrendelt

De kracht van Personal Vault schuilt in deze extra stap. Iemand die uw Microsoft-wachtwoord achterhaalt, heeft nog steeds uw vingerafdruk, gezicht, pincode of code nodig om binnen te komen. Dat biedt daadwerkelijke bescherming tegen een uitgelekt wachtwoord.

Het is echter verstandig om helder voor ogen te houden waartegen die extra stap beschermt. Het is een toegangscontrole vóór bestanden die op uw Microsoft-account staan. Iedereen die de controle passeert, of plaatsneemt achter uw ontgrendelde pc voordat de kluis sluit, kan de bestanden inzien. En omdat de sleutels bij Microsoft liggen, wordt de kluis beschermd door het beleid van Microsoft, niet door een geheim dat uitsluitend in uw handen ligt.

De beperkingen die de meesten over het hoofd zien

De eigen veelgestelde vragen van Microsoft vermelden diverse beperkingen die u vooraf moet weten:

  • Drie bestanden in het gratis abonnement. Zonder een Microsoft 365 Family- of Personal-abonnement kunt u maximaal drie bestanden toevoegen.
  • Geen Mac-app. Personal Vault is beschikbaar via het web, de mobiele app of een Windows-pc. macOS staat niet op de lijst van ondersteunde systemen, dus op een Mac bent u aangewezen op de browser.
  • Bestandsnamen onder Windows 10. Microsoft meldt dat Personal Vault onder Windows 10 de namen en hashes van bestanden niet beschermt wanneer de kluis vergrendeld is.
  • Verwijderen op een pc. Bestanden die op een pc uit Personal Vault worden verwijderd, worden definitief gewist en belanden niet in de Prullenbak van Windows.
  • Bewerken op mobiel. U kunt Office-documenten op uw telefoon bekijken, maar u moet ze buiten de kluis plaatsen om ze te bewerken.
  • Lijsten met recente bestanden. Een bestand dat u vanuit de kluis opent, kan alsnog opduiken in de lijst met recente bestanden van de betreffende app.

Dit zijn niet zozeer gebreken als wel de aard van de functionaliteit zelf: een afgesloten hoek van een clouddrive, voornamelijk gebouwd voor Windows.

De slot-of-poort-test

In Hoe een map met wachtwoord beveiligen op Mac en Windows hanteren we drie vragen om elke beveiligde map te beoordelen. Dit is hoe Personal Vault daarop antwoordt:

  1. Zijn de bestanden versleuteld? Ja: AES-256 in rust, TLS tijdens overdracht, BitLocker voor lokale kopieën op Windows. Niet end-to-end.
  2. Staat de sleutel los van uw account? Gedeeltelijk. Er is een tweede controle vereist, maar de kluis blijft onderdeel van uw Microsoft-account en de sleutels worden beheerd door Microsoft.
  3. Wat gebeurt er als u de toegangscode vergeet? U herstelt de toegang via uw Microsoft-account en de bijbehorende verificatiemethoden. Handig, maar tevens een teken dat de sleutel niet exclusief van u is.

Dat maakt Personal Vault eerder tot een stevige poort voor cloudopslag dan tot een slot dat uitsluitend door u kan worden geopend. Zoekt u een volwaardige vervanger, dan vergelijkt Beste beveiligde map voor Windows en Mac de beschikbare opties naast elkaar.

Wanneer een speciale kluis zinvol is

Een kluis-app zoals Vaultine beantwoordt deze vragen anders. Bestanden worden lokaal op uw apparaat versleuteld met AES-256 en openen alleen met het eigen patroon of de eigen pincode van Vaultine, los van uw Microsoft-account, uw Mac-wachtwoord of de ontgrendelcode van uw telefoon.

Het dekt tevens situaties af die Personal Vault niet eens probeert op te lossen:

  • Een volwaardige Mac-app. Vaultine draait native op macOS en Windows, en dezelfde kluis werkt evengoed op iPhone en Android. Versleutelde kluis voor al uw apparaten laat zien hoe dat werkt.
  • Gevraagd worden om te ontgrendelen. Een Decoy Vault en een Duress Vault vangen het moment op waarop iemand eist dat u de kluis opent.
  • Een vergeten patroon of pincode. Een uit 12 woorden bestaande herstelzin geeft u opnieuw toegang. Niemand anders bezit uw sleutel, dus niemand anders kan erbij.

Uw bestanden blijven standaard op uw apparaat staan. Dropbox-synchronisatie (Pro) is optioneel en als u het gebruikt, worden bestanden versleuteld voordat ze uw apparaat verlaten. Blijft u liever OneDrive gebruiken, dan legt Versleutel bestanden voor Dropbox hetzelfde uitgangspunt uit voor elke clouddrive: eerst versleutelen, pas daarna uploaden.

De korte versie

OneDrive Personal Vault is versleuteld: AES-256 in rust, TLS tijdens transport en BitLocker op Windows-pc’s. Het voegt een tweede controle toe, vergrendelt automatisch en blokkeert delen. Het is niet end-to-end versleuteld, de sleutels worden door Microsoft beheerd, gratis accounts zijn beperkt tot drie bestanden en er is geen Mac-app. Als u een slot zoekt met een eigen sleutel die op uw Mac exact hetzelfde werkt als op uw pc, dan is een speciale kluis precies daarvoor bedoeld.

Probeer het gratis met maximaal 10 bestanden op vaultine.app.