OneDrive Personal Vault 是微软向所有已经付费购买或单纯使用 OneDrive 的用户提供的受保护文件夹。它位于你的 OneDrive 内部，在打开前需要进行第二道验证，并在你离开时自动重新锁定。用户接下来最常搜索的问题是它是否真正加密，以及这是否等同于真正的隐私。以下是微软的官方说法及其在实际使用中的真实含义。

Personal Vault 的功能

微软将 Personal Vault 描述为 OneDrive 中用于存放最重要的敏感文件与照片的受保护区域。与 OneDrive 的其他部分相比，它增加了几项特性：

  1. 开启时的二次验证。 仅登录微软账户是不够的。你还需要通过指纹、面容、PIN 码、通过邮件或短信发送的代码，或者 Microsoft Authenticator 应用进行二次确认。
  2. 自动锁定。 微软表示，在网页端闲置 20 分钟、移动设备闲置 3 分钟后会自动锁定。在 Windows 电脑上，你可以自行设定等待时间。
  3. 禁止共享。 保险库内的文件无法共享。必须先将文件移至外部。
  4. 减少系统痕迹。 保险库中的项目不会出现在 OneDrive 的搜索结果中，电脑上的文件缩略图也会被隐藏。

对于将纳税申报单或护照扫描件存放在比普通云端文件多一层防护的门后而言，这是一个合理的设计。

它是否加密？

是的，与 OneDrive 的其他部分加密方式相同。微软关于 OneDrive 如何保护数据的技术支持页面指出，每个文件在静态存储时均使用唯一的 AES-256 密钥加密，并在传输过程中受到 TLS 保护。在 Windows 电脑上，Personal Vault 文件会同步到硬盘上经过 BitLocker 加密的区域，且微软说明这些文件不会在未受保护的情况下缓存到你的电脑、设备或浏览器中。

但微软并未说明它是端到端加密的。同一支持页面解释称，每个文件的密钥本身又由保存在 Azure Key Vault 中的主密钥加密，而那是微软自己的密钥服务。因此，密钥是在微软端进行管理的，并非由唯独你知道的密码衍生而来。这正是zero-knowledge 加密解析所阐述的区别：防范外部人员窃取文件的加密，与将云服务商自身也阻挡在外的加密并不相同。

解锁验证方式

Personal Vault 的优势在于这道额外的步骤。即便有人拿到了你的微软账户密码，要进入保险库仍然需要你的指纹、面容、PIN 码或验证码。这对于凭据泄露提供了实实在在的防护。

不过，明确这一额外步骤究竟在防范什么非常重要。它是放在驻留在你微软账户中的文件前面的一道访问检查。任何能够通过验证的人，或者在保险库锁定前坐在你已解锁电脑前的人，都可以浏览这些文件。而且由于密钥保存在微软手中，保护保险库安全的是微软的策略，而不是唯有你掌握的秘密。

大多数人忽略的限制

微软官方的常见问题列出了几项在依赖该功能前值得了解的限制：

  • 免费版仅限三个文件。 如果没有 Microsoft 365 家庭版或个人版订阅，你最多只能添加三个文件。
  • 没有 Mac 客户端。 Personal Vault 仅能通过网页、移动端 App 或 Windows 电脑访问。macOS 不在受支持的系统列表中，因此在 Mac 上必须通过网页浏览器使用。
  • Windows 10 上的文件名风险。 微软指出，在 Windows 10 上，当保险库处于锁定状态时，Personal Vault 不会保护文件的名称或哈希值。
  • 在电脑上删除。 从电脑上的 Personal Vault 中删除的文件属于永久删除，不会进入 Windows 回收站。
  • 移动端编辑限制。 你可以在手机上查看 Office 文档，但如果要编辑它们，必须先将文件移出保险库。
  • 最近打开列表。 从保险库中打开过的文件，仍可能出现在对应应用程序的“最近使用”列表中。

这些算不上软件缺陷，而是该功能固有的产品形态：主要是为 Windows 设计的云端硬盘中上锁的一角。

锁具还是大门测试

在如何在 Mac 和 Windows 上为文件夹设置密码保护中，我们提出了三个问题来评估任何受保护的文件夹。以下是 Personal Vault 给出的答案：

  1. 文件加密了吗？ 是的：静态存储 AES-256，传输中 TLS，Windows 本地副本采用 BitLocker。但不是端到端加密。
  2. 密钥是否与账户分离？ 仅部分分离。你确实需要二次验证，但保险库仍是你微软账户的一部分，密钥由微软管理。
  3. 忘记密码会发生什么？ 你可以通过微软账户及其关联的安全验证方式找回访问权限。这很方便，但也是密钥并非完全属于你个人的明证。

这使得 Personal Vault 更像是云存储空间前设立的一道坚固铁门，而不是只有你才能开启的安全锁。如果你真正需要的是完整替代方案，Windows 与 Mac 最佳安全文件夹替代方案对各项选择进行了横向对比。

何时需要专用的独立保险库

像 Vaultine 这样的独立保险库应用对这些问题给出了不同的答案。文件在你的设备本地使用 AES-256 进行加密，并且只能通过 Vaultine 专属的独立图案或 PIN 码开启，完全独立于你的微软账户、Mac 密码或手机锁屏密码。

它还涵盖了 Personal Vault 根本未曾涉及的安全需求：

  • 真正的 Mac 原生应用。 Vaultine 在 macOS 和 Windows 上原生运行，同一个保险库在 iPhone 和 Android 上也能使用。适用于所有设备的加密保险库展示了具体实现。
  • 被要求解锁时。 Decoy Vault 与 Duress Vault 可应对有人坚持要你打开保险库的时刻。
  • 忘记图案或 PIN 码。 12 个单词组成的恢复短语可帮你恢复访问。没有任何其他人持有你的密钥，因此其他人也做不到。

你的文件在默认情况下保留在本地设备上。Dropbox 同步（Pro）是可选的；如果启用，文件在离开设备之前就会完成加密。如果你希望继续使用 OneDrive，在上传到 Dropbox 之前加密文件介绍了适用于任何云端网盘的核心原则：先加密，后上传。

核心总结

OneDrive Personal Vault 是加密的：静态存储 AES-256、传输中 TLS，并在 Windows 电脑上使用 BitLocker。它增加了二次验证，支持自动锁定，并禁止外部共享。但它并非端到端加密，密钥由微软管理，免费账户仅能保存三个文件，且没有 Mac 应用。如果你希望拥有一把带有独立钥匙、在 Mac 和 PC 上体验完全一致的数字锁，这正是独立保险库的用武之地。

可在 vaultine.app 免费试用，支持最多 10 个文件。