O OneDrive Personal Vault é a pasta que a Microsoft coloca à disposição de qualquer pessoa que já paga pelo OneDrive ou simplesmente o utiliza. Encontra-se dentro do seu OneDrive, solicita uma segunda verificação antes de abrir e volta a bloquear-se automaticamente assim que se afasta. A questão seguinte que os utilizadores pesquisam é se está verdadeiramente encriptado e se isso equivale a uma privacidade autêntica. Eis o que a Microsoft declara e o que isso representa na prática.

O que faz o Personal Vault

A Microsoft descreve o Personal Vault como uma área protegida no OneDrive para os seus ficheiros e fotografias mais importantes ou confidenciais. Em comparação com o resto do seu OneDrive, acrescenta alguns elementos:

  1. Uma segunda verificação para abrir. Iniciar sessão na sua conta Microsoft não é suficiente. Confirma igualmente através de impressão digital, rosto, PIN, um código enviado por e-mail ou SMS, ou com a aplicação Microsoft Authenticator.
  2. Bloqueio automático. A Microsoft afirma que se bloqueia após 20 minutos de inatividade na web e 3 minutos em dispositivos móveis. Num PC Windows, define o tempo de espera pessoalmente.
  3. Sem partilha. Os ficheiros no seu interior não podem ser partilhados. Terá de mover o ficheiro para fora primeiro.
  4. Menos vestígios. Os itens do cofre não surgem na pesquisa do OneDrive e as miniaturas ficam ocultas no seu computador.

Para manter uma declaração de impostos ou a cópia digitalizada de um passaporte atrás de mais uma porta em relação ao resto dos seus ficheiros na nuvem, trata-se de uma conceção sensata.

É encriptado?

Sim, da mesma forma que o restante OneDrive. A página de suporte da Microsoft sobre como o OneDrive protege os seus dados indica que cada ficheiro é encriptado em repouso com uma chave AES-256 exclusiva e que os ficheiros são protegidos em trânsito com TLS. Num PC Windows, os ficheiros do Personal Vault são sincronizados para uma área da unidade encriptada com BitLocker, e a Microsoft assegura que estes não são guardados em cache desprotegidos no seu PC, dispositivo ou navegador.

O que a Microsoft não afirma é que seja encriptado ponto a ponto. A mesma página explica que a chave de cada ficheiro é, por sua vez, encriptada com chaves mestras guardadas no Azure Key Vault, o serviço de chaves da própria Microsoft. Deste modo, as chaves são geridas do lado da Microsoft e não derivam de uma palavra-passe que apenas você conhece. É essa a distinção detalhada em O que é a encriptação zero-knowledge: um guia em linguagem simples: uma encriptação que protege os seus ficheiros de terceiros não é o mesmo que uma encriptação que mantém o próprio fornecedor de fora.

O que o desbloqueia

O ponto forte do Personal Vault reside neste passo suplementar. Quem obtiver a sua palavra-passe da Microsoft continua a necessitar da sua impressão digital, rosto, PIN ou de um código para conseguir entrar. Isso constitui uma proteção real contra palavras-passe comprometidas.

Importa, no entanto, ter clareza sobre aquilo contra o qual este passo adicional protege. Trata-se de um controlo de acesso colocado à frente de ficheiros que residem na sua conta Microsoft. Qualquer pessoa que ultrapasse a verificação, ou que esteja sentada em frente ao seu PC desbloqueado antes de o cofre trancar, visualiza os ficheiros. E como as chaves permanecem na posse da Microsoft, o cofre está protegido pelas políticas da Microsoft, e não por um segredo que apenas você guarda.

Os limites em que a maioria não repara

As próprias perguntas frequentes da Microsoft apontam vários limites convenientes de conhecer antes de nele confiar:

  • Três ficheiros no plano gratuito. Sem uma subscrição do Microsoft 365 Family ou Personal, apenas pode adicionar até três ficheiros.
  • Nenhuma aplicação para Mac. O Personal Vault está disponível na web, na aplicação móvel ou num PC Windows. O macOS não consta da lista de sistemas suportados, pelo que no Mac terá de aceder pelo navegador.
  • Nomes de ficheiros no Windows 10. A Microsoft adverte que o Personal Vault no Windows 10 não protege os nomes nem as hashes dos ficheiros quando o cofre se encontra bloqueado.
  • Eliminação num PC. Ficheiros eliminados do Personal Vault num computador são removidos permanentemente e não vão para a Reciclagem do Windows.
  • Edição em dispositivos móveis. Pode visualizar documentos do Office no telemóvel, mas necessita de os mover para fora do cofre para proceder à respetiva edição.
  • Listas de recentes. Um ficheiro aberto a partir do cofre pode ainda figurar na lista de itens recentes da aplicação em causa.

Nenhum destes aspetos configura propriamente uma falha, mas antes a própria forma da funcionalidade: um recanto trancado de uma unidade na nuvem, desenvolvido sobretudo a pensar no Windows.

O teste da fechadura ou do portão

Em Como proteger uma pasta com palavra-passe no Mac e Windows, recorremos a três perguntas para avaliar qualquer pasta bloqueada. Eis como o Personal Vault responde:

  1. Os ficheiros estão encriptados? Sim: AES-256 em repouso, TLS em trânsito, BitLocker para cópias locais no Windows. Não de ponto a ponto.
  2. A chave está separada da sua conta? Apenas em parte. Exige uma segunda verificação, mas o cofre integra a sua conta Microsoft e as chaves são geridas pela Microsoft.
  3. O que sucede caso se esqueça? Recupera o acesso através da sua conta Microsoft e dos seus métodos de validação. Cómodo, mas também sinal de que a chave não lhe pertence em exclusivo.

Isto transforma o Personal Vault num portão sólido em frente ao armazenamento na nuvem, e não num cadeado que só você consegue abrir. Caso procure uma alternativa genuína, A melhor alternativa de pasta segura para Windows e Mac compara as opções lado a lado.

Quando compensa um cofre dedicado

Uma aplicação de cofre dedicada como o Vaultine aborda estas matérias de modo diferente. Os ficheiros são encriptados diretamente no seu dispositivo com AES-256 e apenas abrem com o padrão ou PIN próprio do Vaultine, independente da sua conta Microsoft, da palavra-passe do seu Mac ou do código do seu telemóvel.

Responde ainda àquilo que o Personal Vault nem sequer tenta cobrir:

  • Uma verdadeira aplicação para Mac. O Vaultine corre nativamente no macOS e Windows, e o mesmo cofre funciona no iPhone e no Android. Cofre encriptado para todos os seus dispositivos demonstra como funciona.
  • Quando lhe pedem para desbloquear. As funções Decoy Vault e Duress Vault gerem o momento em que alguém exige que abra o cofre.
  • Um padrão ou PIN esquecido. Uma frase de recuperação de 12 palavras devolve-lhe o acesso. Ninguém mais detém a sua chave, pelo que ninguém mais tem capacidade de entrar.

Os seus ficheiros permanecem no seu dispositivo por predefinição. A sincronização com o Dropbox (Pro) é opcional e, se optar por usá-la, os ficheiros são encriptados antes de saírem do seu equipamento. Caso prefira continuar a utilizar o OneDrive, Encriptar ficheiros antes do envio para o Dropbox elucida o mesmo princípio para qualquer armazenamento na nuvem: encriptar primeiro, enviar depois.

Em resumo

O OneDrive Personal Vault é encriptado: AES-256 em repouso, TLS em trânsito e BitLocker em PC Windows. Introduz uma segunda verificação, tranca-se automaticamente e inviabiliza a partilha. Não oferece encriptação ponto a ponto, as chaves são geridas pela Microsoft, as contas gratuitas suportam até três ficheiros e inexiste aplicação para Mac. Se pretende uma fechadura com a sua própria chave que funcione exatamente da mesma forma no Mac e no PC, é precisamente para isso que existe um cofre dedicado.

Experimente gratuitamente com até 10 ficheiros em vaultine.app.