OneDrive Personal Vault to folder, który Microsoft udostępnia każdemu, kto opłaca usługę OneDrive lub po prostu z niej korzysta. Znajduje się wewnątrz Twojego dysku OneDrive, wymaga dodatkowego potwierdzenia tożsamości przed otwarciem i automatycznie blokuje się ponownie, gdy odchodzisz od urządzenia. Kolejne pytanie, które użytkownicy często wpisują w wyszukiwarkę, brzmi: czy ten folder jest rzeczywiście zaszyfrowany i czy jest to tożsame z prawdziwą prywatnością. Oto co deklaruje Microsoft i co to oznacza w praktyce.

Co zapewnia Personal Vault

Microsoft opisuje Personal Vault jako chroniony obszar w usłudze OneDrive przeznaczony na najważniejsze lub najbardziej poufne pliki i zdjęcia. W porównaniu z pozostałą częścią usługi OneDrive dodaje on kilka elementów:

  1. Dodatkowy krok uwierzytelniania przy otwieraniu. Samo zalogowanie się na konto Microsoft nie wystarcza. Dostęp potwierdza się również odciskiem palca, rozpoznawaniem twarzy, kodem PIN, kodem przesłanym e-mailem lub SMS-em albo za pomocą aplikacji Microsoft Authenticator.
  2. Automatyczne blokowanie. Microsoft podaje, że sejf blokuje się po 20 minutach bezczynności w przeglądarce i po 3 minutach na urządzeniu mobilnym. Na komputerze z systemem Windows czas ten można skonfigurować samodzielnie.
  3. Brak możliwości udostępniania. Plików znajdujących się wewnątrz nie można udostępniać. W tym celu należy najpierw przenieść plik poza sejf.
  4. Mniej widocznych śladów. Elementy z sejfu nie pojawiają się w wynikach wyszukiwania usługi OneDrive, a ich miniatury są ukryte na komputerze.

W celu przechowania zeznania podatkowego lub skanu paszportu za jedną parą drzwi więcej niż pozostałe pliki w chmurze jest to przemyślana konstrukcja.

Czy jest szyfrowany?

Tak, w taki sam sposób jak reszta usługi OneDrive. Strona pomocy technicznej firmy Microsoft dotycząca ochrony danych w usłudze OneDrive podaje, że każdy plik jest w spoczynku szyfrowany unikatowym kluczem AES-256, a przesyłanie danych zabezpiecza protokół TLS. Na komputerze z systemem Windows pliki z usługi Personal Vault synchronizują się do obszaru dysku zabezpieczonego funkcją BitLocker, a Microsoft zapewnia, że nie są one buforowane bez ochrony na komputerze, urządzeniu ani w przeglądarce.

Microsoft nie twierdzi jednak, że jest to szyfrowanie end-to-end. Ta sama strona wyjaśnia, że klucz każdego pliku jest z kolei szyfrowany kluczami głównymi przechowywanymi w usłudze Azure Key Vault, czyli w wewnętrznej usłudze zarządzania kluczami firmy Microsoft. Kluczami zarządza więc Microsoft i nie powstają one na bazie hasła znanego wyłącznie Tobie. Na tę różnicę zwraca uwagę artykuł Szyfrowanie zero-knowledge wyjaśnione: szyfrowanie chroniące pliki przed osobami trzecimi to nie to samo co szyfrowanie, które nie pozwala na dostęp także samemu dostawcy usługi.

Co pozwala go otworzyć

Siła usługi Personal Vault tkwi w tym dodatkowym kroku. Nawet jeśli ktoś pozna Twoje hasło do konta Microsoft, wciąż potrzebuje Twojego odcisku palca, twarzy, kodu PIN lub kodu weryfikacyjnego. To realna ochrona na wypadek wycieku hasła.

Warto jednak dokładnie rozumieć, przed czym ten dodatkowy krok rzeczywiście chroni. Jest to mechanizm kontroli dostępu do plików, które spoczywają na Twoim koncie Microsoft. Każdy, kto przejdzie tę weryfikację lub usiądzie przy Twoim odblokowanym komputerze, zanim sejf się zamknie, zobaczy pliki. Ponieważ klucze spoczywają u firmy Microsoft, sejf chronią procedury i regulaminy Microsoftu, a nie sekret znany wyłącznie Tobie.

Ograniczenia, które większość osób pomija

Oficjalne FAQ firmy Microsoft wymienia kilka ograniczeń, o których warto wiedzieć przed zdeponowaniem danych:

  • Trzy pliki w planie bezpłatnym. Bez subskrypcji Microsoft 365 Family lub Personal można dodać maksymalnie trzy pliki.
  • Brak aplikacji na system macOS. Usługa Personal Vault jest dostępna przez przeglądarkę, aplikację mobilną lub komputer z systemem Windows. System macOS nie znajduje się na liście obsługiwanych platform, więc na Macu pozostaje wersja przeglądarkowa.
  • Nazwy plików w systemie Windows 10. Microsoft informuje, że usługa Personal Vault w systemie Windows 10 nie chroni nazw ani skrótów (haszy) plików, gdy sejf jest zablokowany.
  • Usuwanie plików na komputerze. Pliki usunięte z Personal Vault na komputerze są kasowane trwale i nie trafiają do Kosza w systemie Windows.
  • Edycja na urządzeniach mobilnych. Dokumenty pakietu Office można przeglądać na telefonie, ale aby je edytować, trzeba je najpierw przenieść poza sejf.
  • Listy ostatnio używanych plików. Plik otwarty z poziomu sejfu może nadal pojawić się na liście ostatnio używanych plików w danym programie.

Nie są to tyle wady, ile cechy samej konstrukcji: zablokowany fragment chmury, zaprojektowany z myślą głównie o systemie Windows.

Test kłódki czy bramy

W artykule Jak zabezpieczyć folder hasłem na Macu i Windowsie stosujemy trzy pytania do oceny każdego zabezpieczonego folderu. Oto jak odpowiada na nie Personal Vault:

  1. Czy pliki są szyfrowane? Tak: AES-256 w spoczynku, TLS podczas przesyłania, BitLocker dla kopii lokalnych w systemie Windows. Nie jest to szyfrowanie end-to-end.
  2. Czy klucz jest oddzielony od Twojego konta? Tylko częściowo. Wymagany jest drugi krok weryfikacji, ale sejf stanowi część konta Microsoft, a kluczami zarządza Microsoft.
  3. Co się stanie, jeśli zapomnisz danych dostępowych? Odzyskujesz dostęp za pośrednictwem konta Microsoft i powiązanych metod weryfikacji. Jest to wygodne, lecz jednocześnie dowodzi, że klucz nie należy wyłącznie do Ciebie.

To sprawia, że Personal Vault jest raczej solidną bramą postawioną przed dyskiem w chmurze niż zamkiem, do którego klucz posiadasz tylko Ty. Jeśli szukasz pełnowymiarowej alternatywy, artykuł Najlepszy bezpieczny folder na Windows i Mac zestawia dostępne opcje.

Kiedy warto wybrać dedykowany sejf

Aplikacja sejfu taka jak Vaultine odpowiada na te pytania inaczej. Pliki są szyfrowane bezpośrednio na Twoim urządzeniu za pomocą algorytmu AES-256 i otwierają się wyłącznie za pomocą dedykowanego wzoru lub kodu PIN Vaultine, niezależnego od konta Microsoft, hasła do Maca czy kodu blokady telefonu.

Obejmuje także kwestie, których Personal Vault w ogóle nie próbuje rozwiązywać:

  • Prawdziwa aplikacja na Maca. Vaultine działa natywnie w systemach macOS i Windows, a ten sam sejf działa też na urządzeniach iPhone i Android. Artykuł Zaszyfrowany sejf na wszystkie Twoje urządzenia pokazuje, jak to działa.
  • Prośba o odblokowanie. Funkcje Decoy Vault i Duress Vault pomagają w sytuacji, w której ktoś nalega na otwarcie sejfu.
  • Zapomniany wzór lub kod PIN. 12-wyrazowa fraza odzyskiwania pozwala odzyskać dostęp. Nikt inny nie ma Twojego klucza, więc nikt inny nie może tego zrobić.

Twoje pliki domyślnie pozostają na Twoim urządzeniu. Synchronizacja z usługą Dropbox (Pro) jest opcjonalna, a jeśli z niej korzystasz, pliki są szyfrowane, zanim opuszczą urządzenie. Jeśli wolisz pozostać przy usłudze OneDrive, poradnik Zaszyfruj pliki przed Dropboxem wyjaśnia tę samą zasadę dla każdego dysku w chmurze: najpierw szyfruj, dopiero potem wysyłaj.

W skrócie

OneDrive Personal Vault jest szyfrowany: AES-256 w spoczynku, TLS podczas przesyłania oraz BitLocker na komputerach z systemem Windows. Dodaje drugi krok weryfikacji, automatycznie się blokuje i wyłącza udostępnianie. Nie oferuje szyfrowania end-to-end, klucze spoczywają u firmy Microsoft, bezpłatne konta mieszczą tylko trzy pliki i brak dedykowanej aplikacji na Maca. Jeśli potrzebujesz zamka z własnym kluczem, który działa identycznie na Macu i PC, do tego właśnie służy dedykowany sejf.

Wypróbuj go bezpłatnie dla maksymalnie 10 plików na stronie vaultine.app.