OneDrive Personal Vault — это папка, которую Microsoft предлагает всем, кто оплачивает OneDrive или просто пользуется этим сервисом. Она находится внутри вашего OneDrive, запрашивает дополнительную проверку перед открытием и автоматически блокируется снова, стоит вам отойти. Следующий вопрос, который часто ищут пользователи: действительно ли эта папка зашифрована и означает ли это настоящую приватность. Рассказываем, о чем заявляет Microsoft и как это выглядит на практике.

Что делает Personal Vault

Microsoft описывает Personal Vault как защищенную область в OneDrive для наиболее важных или конфиденциальных файлов и фотографий. По сравнению с остальным пространством OneDrive добавляется несколько возможностей:

  1. Дополнительная проверка при открытии. Входа в учетную запись Microsoft недостаточно. Вы также подтверждаете личность отпечатком пальца, лицом, PIN-кодом, кодом из SMS или письма, либо через приложение Microsoft Authenticator.
  2. Автоматическая блокировка. Microsoft указывает, что блокировка срабатывает после 20 минут бездействия в веб-версии и после 3 минут на мобильных устройствах. На ПК с Windows время ожидания можно настроить самостоятельно.
  3. Запрет общего доступа. Файлами внутри хранилища нельзя делиться. Сначала файл необходимо переместить наружу.
  4. Меньше следов. Объекты из хранилища не отображаются в поиске OneDrive, а эскизы файлов на компьютере скрыты.

Для хранения налоговой декларации или скана паспорта за еще одной дополнительной дверью это вполне разумное решение.

Зашифровано ли хранилище?

Да, точно так же, как и остальной OneDrive. На странице поддержки Microsoft о защите данных в OneDrive указано, что каждый файл при хранении шифруется уникальным ключом AES-256, а при передаче данные защищены протоколом TLS. На ПК с Windows файлы из Personal Vault синхронизируются в область диска, зашифрованную BitLocker, и Microsoft заявляет, что они не кэшируются без защиты на вашем ПК, устройстве или в браузере.

О чем Microsoft не говорит, так это о сквозном шифровании (end-to-end). На той же странице поясняется, что ключ каждого файла сам по себе зашифрован мастер-ключами, хранящимися в Azure Key Vault — собственной службе управления ключами Microsoft. Таким образом, ключи администрируются на стороне Microsoft и не строятся на основе пароля, известного только вам. В этом и заключается принципиальная разница, разобранная в статье Что такое шифрование zero-knowledge: шифрование, защищающее файлы от посторонних лиц, не тождественно шифрованию, которое исключает доступ и самого провайдера.

Что его открывает

Сильная сторона Personal Vault — именно в этом дополнительном шаге. Тот, кто узнает ваш пароль Microsoft, все равно не сможет войти без вашего отпечатка пальца, лица, PIN-кода или проверочного кода. Это действенная защита от утечки пароля.

Однако полезно отдавать себе отчет в том, от чего именно этот шаг защищает. Это проверка доступа перед файлами, которые лежат в вашей учетной записи Microsoft. Любой, кто пройдет проверку или сядет за ваш разблокированный компьютер до закрытия сейфа, увидит файлы. И поскольку ключи остаются у Microsoft, сейф защищен внутренними правилами Microsoft, а не тайной, принадлежащей исключительно вам.

Ограничения, о которых многие забывают

В официальных вопросах и ответах Microsoft перечислен ряд ограничений, о которых стоит знать заранее:

  • Три файла на бесплатном тарифе. Без подписки Microsoft 365 для семьи или персональной можно добавить не более трех файлов.
  • Отсутствие приложения для Mac. Personal Vault доступен в веб-интерфейсе, в мобильном приложении или на ПК с Windows. macOS не входит в список поддерживаемых систем, поэтому на Mac приходится работать через браузер.
  • Имена файлов в Windows 10. Microsoft предупреждает, что в Windows 10 Personal Vault не защищает имена и хэши файлов, пока хранилище заблокировано.
  • Удаление на ПК. Файлы, удаленные из Personal Vault на компьютере, стираются безвозвратно и не попадают в Корзину Windows.
  • Редактирование на мобильных устройствах. Просматривать документы Office на телефоне можно, но чтобы их отредактировать, придется извлечь их из сейфа.
  • Списки недавних файлов. Файл, открытый из сейфа, все еще может отобразиться в списке последних документов соответствующего приложения.

Все это не столько программные ошибки, сколько особенности самой структуры: закрытый угол облачного диска, созданный с прицелом в первую очередь на Windows.

Тест «Замок или ворота»

В статье Как защитить папку паролем на Mac и Windows мы используем три вопроса для оценки любой защищенной папки. Вот как на них отвечает Personal Vault:

  1. Зашифрованы ли файлы? Да: AES-256 при хранении, TLS при передаче, BitLocker для локальных копий в Windows. Но не end-to-end.
  2. Отделен ли ключ от учетной записи? Лишь отчасти. Требуется второй шаг проверки, но сейф остается частью учетной записи Microsoft, и ключами распоряжается Microsoft.
  3. Что произойдет при утере доступа? Вы восстанавливаете доступ через свою учетную запись Microsoft и ее методы проверки. Удобно, но одновременно служит подтверждением того, что ключ не принадлежит вам единолично.

Это делает Personal Vault скорее прочными воротами перед облачным хранилищем, нежели замком, ключ от которого есть только у вас. Если вы ищете полноценную альтернативу, в материале Лучшая защищенная папка для Windows и Mac варианты сравниваются наглядно.

Когда оправдан отдельный сейф

Приложение-сейф вроде Vaultine подходит к этим вопросам совершенно иначе. Файлы шифруются прямо на вашем устройстве с помощью AES-256 и открываются исключительно собственным рисунком или PIN-кодом Vaultine, не зависящим от учетной записи Microsoft, пароля от Mac или кода разблокировки телефона.

Оно берет на себя и то, что Personal Vault даже не пытается решать:

  • Полноценное приложение для Mac. Vaultine работает нативно на macOS и Windows, а один и тот же сейф доступен на iPhone и Android. В статье Зашифрованный сейф для всех устройств показано, как это устроено.
  • Когда вас просят разблокировать. Decoy Vault и Duress Vault помогают в ситуации, когда кто-то настаивает, чтобы вы открыли сейф.
  • Забытый рисунок или PIN-код. Фраза восстановления из 12 слов возвращает доступ. Никто другой не владеет вашим ключом, поэтому никто другой не сможет этого сделать.

По умолчанию файлы не покидают ваше устройство. Синхронизация с Dropbox (Pro) опциональна: если ее включить, файлы шифруются до отправки с устройства. Если вы предпочитаете оставаться на OneDrive, статья Как зашифровать файлы перед загрузкой в Dropbox описывает единый принцип для любого облака: сначала шифруем, потом загружаем.

Коротко о главном

OneDrive Personal Vault зашифрован: AES-256 при хранении, TLS при передаче и BitLocker на ПК с Windows. Он добавляет повторную проверку, блокируется автоматически и запрещает общий доступ. При этом шифрование не является сквозным, ключами управляет Microsoft, бесплатные аккаунты ограничены тремя файлами, а приложения для Mac нет. Если вам нужен надежный замок с собственным ключом, работающий одинаково на Mac и на ПК, именно для этого создаются выделенные сейфы.

Попробуйте бесплатно до 10 файлов на vaultine.app.