OneDrive Personal Vault 是微軟向所有已經付費購買或單純使用 OneDrive 的使用者提供的受保護資料夾。它位於你的 OneDrive 內部，在開啟前需要進行第二道驗證，並在你離開時自動重新鎖定。使用者接下來最常搜尋的問題是它是否真正加密，以及這是否等同於真正的隱私。以下是微軟的官方說法及其在實際使用中的真實意涵。

Personal Vault 的功能

微軟將 Personal Vault 描述為 OneDrive 中用於存放最重要且敏感之檔案與相片的受保護區域。與 OneDrive 的其他部分相比，它增加了幾項特性：

  1. 開啟時的二次驗證。 僅登入微軟帳戶是不夠的。你還需要透過指紋、臉部、PIN 碼、透過郵件或簡訊發送的驗證碼，或者 Microsoft Authenticator 應用程式進行二次確認。
  2. 自動鎖定。 微軟表示，在網頁端閒置 20 分鐘、行動裝置閒置 3 分鐘後會自動鎖定。在 Windows 電腦上，你可以自行設定等待時間。
  3. 禁止共用。 保存庫內的檔案無法共用。必須先將檔案移至外部。
  4. 減少系統痕跡。 保存庫中的項目不會出現在 OneDrive 的搜尋結果中，電腦上的檔案縮圖也會被隱藏。

對於將報稅單或護照掃描檔存放在比普通雲端檔案多一層防護的門後而言，這是一個合理的設計。

它是否加密？

是的，與 OneDrive 的其他部分加密方式相同。微軟關於 OneDrive 如何保護資料的技術支援頁面指出，每個檔案在靜態儲存時均使用唯一的 AES-256 金鑰加密，並在傳輸過程中受到 TLS 保護。在 Windows 電腦上，Personal Vault 檔案會同步到硬碟上經過 BitLocker 加密的區域，且微軟說明這些檔案不會在未受保護的情況下快取到你的電腦、裝置或瀏覽器中。

但微軟並未說明它是端對端加密的。同一支援頁面解釋稱，每個檔案的金鑰本身又由保存在 Azure Key Vault 中的主要金鑰加密，而那是微軟自己的金鑰服務。因此，金鑰是在微軟端進行管理的，並非由唯獨你知道的密碼衍生而來。這正是zero-knowledge 加密解析所闡述的區別：防範外部人員竊取檔案的加密，與將雲端服務供應商自身也阻擋在外的加密並不相同。

解鎖驗證方式

Personal Vault 的優勢在於這道額外的步驟。即便有人拿到了你的微軟帳戶密碼，要進入保存庫仍然需要你的指紋、臉部、PIN 碼或驗證碼。這對於憑證外洩提供了實質的防護。

不過，明確這一額外步驟究竟在防範什麼非常重要。它是放在駐留在你微軟帳戶中的檔案前面的一道存取檢查。任何能夠通過驗證的人，或者在保存庫鎖定前坐在你已解鎖電腦前的人，都可以瀏覽這些檔案。而且由於金鑰保存在微軟手中，保護保存庫安全的是微軟的政策，而不是唯有你掌握的秘密。

大多數人忽略的限制

微軟官方的常見問題列出了幾項在依賴該功能前值得了解的限制：

  • 免費版僅限三個檔案。 如果沒有 Microsoft 365 家用版或個人版訂閱，你最多只能新增三個檔案。
  • 沒有 Mac 客戶端。 Personal Vault 僅能透過網頁、行動端 App 或 Windows 電腦存取。macOS 不在受支援的系統列表中，因此在 Mac 上必須透過網頁瀏覽器使用。
  • Windows 10 上的檔案名稱風險。 微軟指出，在 Windows 10 上，當保存庫處於鎖定狀態時，Personal Vault 不會保護檔案的名稱或雜湊值（hashes）。
  • 在電腦上刪除。 從電腦上的 Personal Vault 中刪除的檔案屬於永久刪除，不會進入 Windows 資源回收筒。
  • 行動端編輯限制。 你可以在手機上檢視 Office 文件，但如果要編輯它們，必須先將檔案移出保存庫。
  • 最近開啟列表。 從保存庫中開啟過的檔案，仍可能出現在對應應用程式的「最近使用」列表中。

這些算不上軟體缺陷，而是該功能固有的產品形態：主要是為 Windows 設計的雲端硬碟中上鎖的一角。

鎖具還是大門測試

在如何在 Mac 和 Windows 上為資料夾設定密碼保護中，我們提出了三個問題來評估任何受保護的資料夾。以下是 Personal Vault 給出的答案：

  1. 檔案加密了嗎？ 是的：靜態儲存 AES-256，傳輸中 TLS，Windows 本機複本採用 BitLocker。但不是端對端加密。
  2. 金鑰是否與帳戶分離？ 僅部分分離。你確實需要二次驗證，但保存庫仍是你微軟帳戶的一部分，金鑰由微軟管理。
  3. 忘記密碼會發生什麼？ 你可以透過微軟帳戶及其關聯的安全驗證方式找回存取權限。這很方便，但也是金鑰並非完全屬於你個人的明證。

這使得 Personal Vault 更像是雲端儲存空間前設立的一道堅固鐵門，而不是只有你才能開啟的安全鎖。如果你真正需要的是完整替代方案，Windows 與 Mac 最佳安全資料夾替代方案對各項選擇進行了橫向對比。

何時需要專用的獨立保存庫

像 Vaultine 這樣的獨立保存庫應用程式對這些問題給出了不同的答案。檔案在你的裝置本地使用 AES-256 進行加密，並且只能透過 Vaultine 專屬的獨立圖案或 PIN 碼開啟，完全獨立於你的微軟帳戶、Mac 密碼或手機螢幕鎖定密碼。

它還涵蓋了 Personal Vault 根本未曾涉及的安全需求：

  • 真正的 Mac 原生應用程式。 Vaultine 在 macOS 和 Windows 上原生運行，同一個保存庫在 iPhone 和 Android 上也能使用。適用於所有裝置的加密保存庫展示了具體實現。
  • 被要求解鎖時。 Decoy Vault 與 Duress Vault 可應對有人堅持要你打開保存庫的時刻。
  • 忘記圖案或 PIN 碼。 12 個單字組成的復原短語可幫你恢復存取。沒有任何其他人持有你的金鑰，因此其他人也做不到。

你的檔案在預設情況下保留在本機裝置上。Dropbox 同步（Pro）是可選的；如果啟用，檔案在離開裝置之前就會完成加密。如果你希望繼續使用 OneDrive，在上傳到 Dropbox 之前加密檔案介紹了適用於任何雲端硬碟的核心原則：先加密，後上傳。

核心總結

OneDrive Personal Vault 是加密的：靜態儲存 AES-256、傳輸中 TLS，並在 Windows 電腦上使用 BitLocker。它增加了二次驗證，支援自動鎖定，並禁止外部共用。但它並非端對端加密，金鑰由微軟管理，免費帳戶僅能儲存三個檔案，且沒有 Mac 應用程式。如果你希望擁有一把帶有獨立鑰匙、在 Mac 和 PC 上體驗完全一致的數位鎖，這正是獨立保存庫的用武之地。

可在 vaultine.app 免費試用，支援最多 10 個檔案。