OneDrive Personal Vault — це папка, яку Microsoft надає кожному, хто вже оплачує OneDrive або просто ним користується. Вона розташована всередині вашого OneDrive, вимагає додаткової перевірки перед відкриттям і автоматично блокується знову, щойно ви відходите. Наступне питання, яке користувачі найчастіше шукають, — чи справді ця папка зашифрована і чи означає це справжню приватність. Ось що повідомляє Microsoft і що це означає на практиці.

Що робить Personal Vault

Microsoft описує Personal Vault як захищену область у OneDrive для ваших найважливіших або найчутливіших файлів та фотографій. Порівняно з рештою простору OneDrive вона додає кілька речей:

  1. Додаткову перевірку для відкриття. Самого входу в обліковий запис Microsoft недостатньо. Ви також підтверджуєте особу відбитком пальця, обличчям, PIN-кодом, кодом з електронної пошти чи SMS, або через застосунок Microsoft Authenticator.
  2. Автоматичне блокування. Microsoft зазначає, що блокування спрацьовує після 20 хвилин бездіяльності у веб-версії та після 3 хвилин на мобільних пристроях. На ПК з Windows час очікування ви налаштовуєте самостійно.
  3. Заборону спільного доступу. Файлами всередині не можна ділитися. Спочатку файл потрібно перемістити назовні.
  4. Менше слідів. Об'єкти зі сховища не з'являються в результатах пошуку OneDrive, а мініатюри приховані на вашому комп'ютері.

Для зберігання податкової декларації або скан-копії паспорта за ще одними додатковими дверима порівняно з рештою хмарних файлів це цілком розумна конструкція.

Чи воно зашифроване?

Так, у той самий спосіб, що й решта OneDrive. Сторінка підтримки Microsoft про захист даних у OneDrive стверджує, що кожен файл у стані спокою шифрується унікальним ключем AES-256, а під час передавання дані захищено за допомогою TLS. На ПК з Windows файли Personal Vault синхронізуються в область диска, зашифровану BitLocker, і Microsoft заявляє, що вони не кешуються без захисту на комп'ютері, мобільному пристрої чи у браузері.

Про що Microsoft не говорить, то це про наскрізне (end-to-end) шифрування. На тій самій сторінці пояснюється, що ключ кожного файлу зашифровано майстер-ключами, які зберігаються в Azure Key Vault — власній службі керування ключами Microsoft. Отже, ключі адмініструються на боці Microsoft і не створюються на основі пароля, відомого лише вам. Саме цю відмінність докладно розбирає матеріал Zero-knowledge шифрування: пояснення: шифрування, що захищає файли від сторонніх осіб, — це не те саме, що шифрування, яке не дає доступу й самому провайдеру сервісу.

Що його відкриває

Сила Personal Vault полягає саме в цьому додатковому кроці. Той, хто дізнається ваш пароль Microsoft, усе одно потребує вашого відбитка пальця, обличчя, PIN-коду або перевірочного коду, щоб потрапити всередину. Це реальний захист на випадок витоку пароля.

Втім, варто чітко розуміти, від чого саме цей крок захищає. Це контроль доступу перед файлами, які зберігаються у вашому обліковому записі Microsoft. Будь-хто, хто пройде перевірку або сяде за ваш розблокований комп'ютер до закриття сейфа, побачить файли. І оскільки ключі залишаються у Microsoft, сейф захищено правилами й політиками Microsoft, а не таємницею, якою володієте виключно ви.

Обмеження, про які багато хто забуває

Офіційний розділ поширених запитань Microsoft наводить низку обмежень, про які варто знати заздалегідь:

  • Три файли на безкоштовному тарифі. Без передплати Microsoft 365 Family або Personal ви можете зберігати не більше трьох файлів.
  • Відсутність застосунку для Mac. Personal Vault доступний через веб-інтерфейс, у мобільному застосунку або на ПК з Windows. macOS відсутня у списку підтримуваних систем, тому на Mac доводиться користуватися браузером.
  • Імена файлів у Windows 10. Microsoft попереджає, що у Windows 10 Personal Vault не захищає імена та хеші файлів, коли сейф заблоковано.
  • Видалення на ПК. Файли, видалені з Personal Vault на комп'ютері, знищуються остаточно й не потрапляють до Кошика Windows.
  • Редагування на мобільних пристроях. Переглядати документи Office на телефоні можна, але щоб їх відредагувати, доведеться перемістити їх за межі сейфа.
  • Списки останніх файлів. Файл, відкритий із сейфа, може продовжувати відображатися у списку нещодавно відкритих документів відповідної програми.

Усе це не стільки недоліки, скільки властивості самої конструкції: заблокований куточок хмарного диска, розроблений переважно для середовища Windows.

Тест «Замок чи брама»

У статті Як захистити папку паролем на Mac та Windows ми використовуємо три критерії для оцінки будь-якої захищеної папки. Ось як на них відповідає Personal Vault:

  1. Чи зашифровані файли? Так: AES-256 у стані спокою, TLS під час передавання, BitLocker для локальних копій у Windows. Але не end-to-end.
  2. Чи відокремлений ключ від облікового запису? Лише частково. Потрібна додаткова перевірка, але сейф залишається частиною вашого облікового запису Microsoft, а ключами розпоряджається Microsoft.
  3. Що станеться в разі втрати доступу? Ви відновлюєте доступ через свій обліковий запис Microsoft та пов'язані методи підтвердження. Зручно, але водночас є свідченням того, що ключ не належить вам одноосібно.

Це робить Personal Vault радше міцною брамою перед хмарним сховищем, аніж замком, ключ від якого маєте тільки ви. Якщо ви шукаєте повноцінну заміну, стаття Найкраща безпечна папка для Windows та Mac наочно зіставляє всі варіанти.

Коли виправданий окремий сейф

Застосунок-сейф на кшталт Vaultine відповідає на ці запитання інакше. Файли шифруються безпосередньо на вашому пристрої за допомогою AES-256 і відкриваються лише власним малюнком або PIN-кодом Vaultine, незалежно від облікового запису Microsoft, пароля від Mac чи коду блокування телефону.

Він також бере на себе те, що Personal Vault навіть не намагається охопити:

  • Повноцінний застосунок для Mac. Vaultine працює нативно на macOS та Windows, і той самий сейф доступний на iPhone та Android. Стаття Зашифрований сейф для всіх ваших пристроїв демонструє, як це влаштовано.
  • Коли вас просять розблокувати. Функції Decoy Vault та Duress Vault допомагають у ситуації, коли хтось наполягає, щоб ви відкрили сейф.
  • Забутий малюнок або PIN-код. Фраза відновлення з 12 слів повертає доступ. Ніхто інший не має вашого ключа, тому ніхто інший не зможе цього зробити.

Ваші файли за замовчуванням залишаються на вашому пристрої. Синхронізація з Dropbox (Pro) є опціональною: якщо її увімкнути, файли шифруються ще до того, як залишать пристрій. Якщо ви віддаєте перевагу OneDrive, посібник Зашифруйте файли перед завантаженням у Dropbox пояснює універсальний принцип для будь-якої хмари: спочатку шифруємо, потім завантажуємо.

Коротко про головне

OneDrive Personal Vault зашифрований: AES-256 у стані спокою, TLS під час передавання та BitLocker на комп'ютерах з Windows. Він додає повторну перевірку, автоматично блокується й забороняє спільний доступ. При цьому шифрування не є наскрізним, ключами керує Microsoft, безкоштовні облікові записи обмежені трьома файлами, а застосунку для Mac немає. Якщо вам потрібен надійний замок із власним ключем, який працює однаково на Mac і на ПК, саме для цього створено виділений сейф.

Спробуйте безкоштовно до 10 файлів на vaultine.app.