Mørk teknisk illustration af en iPhone med et iCloud-ikon og en hængelås delt i to for at vise to forskellige tilstande for nøgleopbevaring

Er iCloud-fotos ende-til-ende-krypterede?

Som standard er iCloud-fotos ikke ende-til-ende-krypterede. Apple lagrer dem ved hjælp af krypteringsnøgler, det kontrollerer, og kan dekryptere dem, når det kræves ved lov. Aktivering af Avanceret databeskyttelse ændrer det: dine betroede enheder har nøglerne, Apple har dem ikke. ADP er valgfrit, slået fra som standard, og kræver opsætning af gendannelse, inden du kan slå det til.

iCloud-fotos er krypterede - men med standarddatabeskyttelse opbevarer Apple krypteringsnøglerne og kan tilgå dine billeder som svar på en retskendelse eller ved kontogendannelse. Med Avanceret databeskyttelse aktiveret bliver iCloud-fotos ægte ende-til-ende-krypterede: dine enheder har nøglerne, Apple har intet. ADP skal slås til manuelt. Det er ikke standard, og det blev fjernet for britiske brugere i februar 2025 efter et regeringskrav, Apple ikke lovligt kunne afvise.

Hvad 'krypteret' betyder, når Apple opbevarer nøglerne

iCloud krypterer faktisk dine billeder. Den erklæring er sand og også vildledende, hvis du stopper der.

Med standarddatabeskyttelse - standard for enhver Apple-konto - er dine billeder krypterede under transport og lagret i et krypteret format på Apples servere. Krypteringen er reel. Hvad det med småt siger, er at Apple opbevarer krypteringsnøglerne i hardwaresikkerhedsmoduler i sine egne datacentre. Apples supportdokumentation siger det klart: nøglerne kan tilgås af Apples servere, og Apple kan hjælpe dig med at gendanne dine data, hvis du mister adgang til din konto.

Den arkitektur har et navn: serversidekryptering. Leverandøren krypterer dataene, og leverandøren har nøglen. Det beskytter dine billeder mod nogen, der bryder lagerlaget uden legitimationsoplysninger. Det beskytter dem ikke mod Apple selv, mod en retskendelse til Apple eller mod et brud på nøglehåndteringssystemerne. Når journalister og forskere beskriver iCloud som et mål for anmodninger fra retshåndhævende myndigheder, er dette den mekanisme, de beskriver. Dataene kan hentes, fordi Apple kan hente dem.

Dette er ikke en skjult fejl. Apple offentliggør det i sin iCloud-datasikkerhedsoversigt. Det er den bevidste udveksling for kontogendannelse: du kan få dine billeder tilbage efter at have mistet din enhed præcis fordi Apple kan dekryptere dem på dine vegne.

Femten iCloud-datakategorier er ende-til-ende-krypterede med standardbeskyttelse, herunder Adgangskoder og Nøglering, Sundhedsdata og nogle få andre. iCloud-fotos, iCloud-sikkerhedskopi, Notater og det meste af resten er ikke.

Avanceret databeskyttelse: når iCloud-fotos bliver ægte ende-til-ende-krypterede

Avanceret databeskyttelse til iCloud, som Apple annoncerede den 7. december 2022, ændrer nøgleopbevaringsmodellen for det meste af dine iCloud-data. Når ADP er slået til, har dine betroede enheder krypteringsnøglerne, ikke Apple. Antallet af datakategorier beskyttet med ende-til-ende-kryptering stiger fra 15 til 25, og iCloud-fotos er en af tilføjelserne.

En bemærkning til det antal kategorier: Apples oprindelige meddelelse fra december 2022 angav, at dækningen udvidede sig fra 14 til 23 kategorier. Nuværende Apple Support-sider angiver 25. Apple har udvidet ADP-dækningen siden lanceringen. Denne artikel bruger 25 som det nuværende tal fra live Apple Support-dokumentation og bemærker uoverensstemmelsen for nøjagtigheds skyld.

Ivan Krstić, Apples chef for Security Engineering and Architecture, beskrev det ved lanceringen: Avanceret databeskyttelse er Apples højeste niveau af cloud-datasikkerhed og giver brugerne mulighed for at beskytte langt størstedelen af deres mest følsomme iCloud-data med ende-til-ende-kryptering, så det kun kan dekrypteres på deres betroede enheder.

Den beskrivelse er præcis. Med ADP aktiveret har Apple ikke de nøgler, der er nødvendige for at dekryptere billederne i dit personlige bibliotek. Apple er muligvis stadig i stand til at levere krypterede data og tilhørende konto- eller tjenestemetadata som svar på et gyldigt juridisk krav; pointen er, at Apple ikke kan omdanne den beskyttede chiffertekst til læsbare billeder. Delte album og andre ekskluderede kategorier bruger en anden beskyttelsesmodel.

ADP er en reel privatlivsforbedring. Med det slået til bliver iCloud ægte ende-til-ende-krypteret billedlagring. Hvis du bruger iCloud til billeder, du vil have holdt private, og du ikke er i UK, er aktivering af ADP besværet værd.

Hvad ADP stadig ikke beskytter

Dækningen er bred, men ikke total. Tre kategorier forbliver uden for ende-til-ende-kryptering selv med ADP slået til.

Mail, Kontakter og Kalender. Apples begrundelse er interoperabilitet: disse tjenester udveksler data med eksterne systemer - e-mailservere, CalDAV-udbydere, CardDAV-tjenester - og standardkryptering er nødvendig for at den udveksling kan fungere. Apple krypterer disse data, men opbevarer nøglerne.

Delte album i Fotos. Et album delt med andre personer eller offentliggjort med en 'alle med linket'-URL er tilgængeligt på nettet. Den adgang kræver, at Apple kan levere indholdet, hvilket kræver serversidekrypteringsnøgler. Billederne i dit personlige bibliotek er ende-til-ende-krypterede med ADP slået til; de samme billeder i et delt album er ikke.

iWork-samarbejde. Redigering i realtid af delte Keynote-, Numbers- og Pages-dokumenter går gennem Apples servere til mægling. Den koordinering kræver serveradgang til indholdet.

Dette er ikke Apple, der er uagtsom. Det er de arkitektoniske omkostninger ved funktioner, der kræver en server i midten. Hvis du vil have ende-til-ende-krypterede billeder, skal du holde dem ude af Delte album.

Sådan kontrollerer du om ADP er slået til, og hvordan du aktiverer det

ADP er ikke slået til som standard. For at kontrollere: åbn Indstillinger på din iPhone, tryk på dit navn øverst, tryk på iCloud, rul ned og tryk på Avanceret databeskyttelse. Hvis du ser 'Avanceret databeskyttelse er slået til', er det aktiveret. Hvis du ser en prompt om at slå det til, er det ikke.

Aktivering kræver to ting, som Apple vil bede om, inden knappen gør noget: tofaktorgodkendelse på din Apple-konto og mindst én gendannelsesmetode - enten en gendannelseskontakt (en anden person med en Apple-enhed) eller en gendannelsesnøgle (en streng på 28 tegn, som du opbevarer et sikkert sted). Dette er obligatorisk, ikke valgfrit. Apple kan ikke hjælpe dig med at gendanne ende-til-ende-krypterede data, hvis du mister adgang, så du skal have din egen gendannelsesvej på plads, inden ADP kan slås til.

Aktivering af ADP på én enhed aktiverer det for hele din Apple-konto på alle kompatible enheder. Det gælder for hele kontoen. Enheder skal køre iOS 16.2, iPadOS 16.2, macOS 13.1 eller nyere.

Holdbarhedsspørgsmålet: hvad der skete i UK

I februar 2025 fjernede Apple Avanceret databeskyttelse fra britiske brugere. Den umiddelbare årsag var en Technical Capability Notice udstedt af det britiske indenrigsministerium under Investigatory Powers Act, der krævede, at Apple gav adgang til krypterede brugerdata lagret i iCloud.

I stedet for at bygge en bagdør trak Apple ADP tilbage for UK. Britiske brugere, der allerede havde aktiveret ADP, modtog advarsler den 21. februar 2025 med instruktion om at slå det fra eller risikere at miste adgang til deres iCloud-konti. Nye britiske brugere kan slet ikke aktivere ADP. De 15 kategorier, der er krypterede som standard, forbliver beskyttede; alt andet - billeder, sikkerhedskopier, Notater og resten af de 25 ADP-kategorier - vendte tilbage til standard (Apple-opbevarer-nøglerne) kryptering for britiske konti.

Den oprindelige meddelelse krævede angiveligt adgang til iCloud-data for alle globale brugere. Efter betydeligt pres fra amerikanske lovgivere og, ifølge rapportering i august 2025, en erklæring fra den amerikanske director of national intelligence om, at UK havde trukket det bredere krav tilbage, ændrede indenrigsministeriet ordren til kun at dække britiske brugere. Apple trak derefter sin retlige anfægtelse af den reviderede ordre tilbage. Investigatory Powers Tribunal afviste anken den 14. oktober 2025 med henvisning til 'ændrede omstændigheder'.

Apples erklæring på det tidspunkt: 'Vi er dybt skuffede over, at de beskyttelser, som ADP giver, ikke er tilgængelige for vores kunder i UK, givet den fortsatte stigning i databrud og andre trusler mod kundens privatliv.'

Pr. juni 2026 er ADP fortsat utilgængeligt for britiske brugere ifølge Apples egen supportside på support.apple.com/en-gb/122234. Privacy International og Liberty har aktive retssager mod indenrigsministeriets overvågningsordrer planlagt ind i 2026, men disse sager søger at anfægte ordrerne, ikke at genoprette ADP som et nærliggende resultat. Om ADP vil vende tilbage til UK er et åbent spørgsmål uden bekræftet svar på tidspunktet for denne skrivelse.

UK-sagen er relevant for brugere overalt af én grund: det er et dokumenteret proof of concept. En regering kan tvinge en platformsniveauknap fra for et helt lands brugere uden at disse brugere individuelt målrettes eller underrettes. Mekanismen - en hemmelig meddelelse under en national sikkerhedslov - er ikke unik for UK. Investigatory Powers Act har tilsvarende i andre jurisdiktioner. Pointen er ikke at alarmere; pointen er, at 'platformen lover ende-til-ende-kryptering' er forskelligt fra 'platformens evne til at levere ende-til-ende-kryptering er juridisk holdbar'. Det er to separate påstande.

Hvor Vaultaire passer ind: en anden arkitektur

Vaultaire er en anden arkitektur, ikke en erstatning for alt, hvad ADP gør.

ADP er på platformsniveau, kontobundet og cloud-koblet. Dataene lever stadig i iCloud; innovationen er, at Apple ikke længere har nøglen. Du får iClouds synkronisering, adgang fra flere enheder og sikkerhedskopi, med nøgleopbevaringen flyttet til dine enheder. Det er en god handel for de fleste.

Vaultaire er lokalt først. Dine boksfiler forlader kun iPhone som kopier, der er krypteret på klientsiden, via den backup, synkronisering og deling, der beskrives nedenfor. Et mønster tegnet på 5x5-gitteret og et enhedsdækkende salt køres gennem PBKDF2-HMAC-SHA512 for at udlede den lokale boksnøgle. Denne nøgle autentificerer det krypterede indeks og udpakker en separat tilfældig hovednøgle, der bruges til AES-256-GCM-filkryptering. Gendannelsesfelter opbevares i en AES-GCM-krypteret Keychain-database; de er altså ikke fraværende fra enhedens lager.

Til krypteret iCloud-sikkerhedskopi, der er slået til som standard og kan slås fra, udleder Vaultaire en separat enhedsuafhængig backupnøgle fra mønsteret og krypterer polstrede CloudKit-poster på enheden. Apple modtager chiffertekst, post- og overførselsmetadata og et krypteret gendannelsesmanifest, ikke en backupnøgle i klartekst. Gendannelsessætningen, en genereret sætning på ni ord eller en selvvalgt på mindst seks ord, udleder en anden nøgle, der kan åbne det manifest, når de matchende krypterede poster forbliver tilgængelige.

Udbydergrænsen er specifik: Vaultaire driver ikke en tjeneste, der har boksindhold eller en backupnøgle i klartekst. Et brud hos udbyderen kan stadig afsløre chiffertekst og servicemetadata, mens klienten, iOS, Keychain, gendannelsesoplysninger og en ulåst enhed forbliver en del af tillidsmodellen.

Forskellen fra ADP er, hvor kontrollen ligger. Med ADP og iCloud-fotos synkroniseres dit bibliotek på tværs af enheder og kan gendannes gennem Apples konfigurerede gendannelsesmodel. Vaultaires krypterede CloudKit-sikkerhedskopi er slået til som standard og kan slås fra, synkronisering og deling kører kun, når du sætter dem op, og gendannelse fra CloudKit afhænger af den brugerdefinerede gendannelsessætning plus de tilsvarende krypterede poster. Separate backups af iOS-enheder eller via computer styres på styresystemniveau. Vaultaire har ingen reservenøgle hos Wraxle.

Ingen af modellerne er strengt taget overlegne. ADP tilføjer end-to-end-beskyttelse til understøttet iCloud kategorier, mens de bevarer iCloud synkronisering og gendannelse. Vaultaire behøver ingen identitetskonto og laver som standard en CloudKit-sikkerhedskopi, der er krypteret på klientsiden, fordi en enkelt enhed er for sårbar; den kan slås fra. Ingen af valgene fjerner slutpunktet, gendannelsesstien, metadataene, sikkerhedskopieringsindstillingerne for styresystemet eller klientimplementeringen fra trusselsmodellen.

Du kan bruge begge dele. De fleste, der bruger Vaultaire, bruger stadig iCloud-fotos til deres daglige bibliotek med ADP aktiveret.

Relateret læsning:

Kilder

Ofte stillede spørgsmål

Er iCloud-fotos ende-til-ende-krypterede som standard?

Nej. Med standarddatabeskyttelse lagrer Apple iCloud-fotos ved hjælp af krypteringsnøgler, det kontrollerer i sine egne datacentre. Apple kan dekryptere dine billeder, når det er nødvendigt: ved kontogendannelse og som svar på gyldige retskendelser. Kun 15 iCloud-datakategorier er ende-til-ende-krypterede som standard; billeder er ikke en af dem.

Hvad gør Avanceret databeskyttelse faktisk for mine billeder?

Med ADP aktiveret tilslutter iCloud-fotos sig de 25 iCloud-datakategorier, der bruger ende-til-ende-kryptering. Dine betroede enheder har nøglerne, ikke Apple. Apple kan ikke læse dine billeder, kan ikke aflevere dem som svar på en retskendelse om iCloud-data og kan ikke gendanne dem, hvis du mister din konto. Gendannelse er dit ansvar - det er derfor, ADP kræver opsætning af en gendannelseskontakt eller gendannelsesnøgle, inden det aktiveres.

Kan Apple se mine iCloud-fotos?

Med standarddatabeskyttelse: ja, Apple kan tilgå og dekryptere iCloud-fotos, når det er nødvendigt. Med Avanceret databeskyttelse: nej, Apple har ingen nøgle til dine ende-til-ende-krypterede data. De 15 standardkategorier - herunder sundhedsdata og Nøglering-adgangskoder - er altid utilgængelige for Apple uanset ADP-status.

Hvordan slår jeg Avanceret databeskyttelse til?

Åbn Indstillinger, tryk på dit navn, tryk på iCloud, rul ned og tryk på Avanceret databeskyttelse. Du skal have tofaktorgodkendelse aktiveret og mindst én gendannelsesmetode opsat på forhånd - enten en gendannelseskontakt eller en gendannelsesnøgle. Enheder skal køre iOS 16.2 eller nyere. Aktivering på én enhed slår det til for hele din Apple-konto.

Hvilke data er ikke dækket af Avanceret databeskyttelse?

Mail, Kontakter og Kalender er ikke ende-til-ende-krypterede selv med ADP slået til, fordi de skal udveksle data med eksterne servere. Delte album i billeder er heller ikke ende-til-ende-krypterede: de er tilgængelige på nettet. iWork-dokumenter til realtidssamarbejde er heller ikke dækket. Alt delt 'med alle med linket' er uden for ADP's beskyttelse.

Kan regeringen tilgå mine iCloud-fotos via Apple?

Med standarddatabeskyttelse, ja: en gyldig retskendelse til Apple kan resultere i, at dine billeder afleveres. Med ADP aktiveret har Apple ingen nøgle at aflevere. UK-sagen fra februar 2025 viste, at en regering også kan tvinge en platform til at deaktivere ADP for et helt land og flytte brugere fra ende-til-ende-beskyttelse tilbage til standardbeskyttelse uden deres individuelle samtykke.

Hvad er et iCloud-billedarkiv?

Udtrykket beskriver brug af iCloud-fotos som et sted til lagring af følsomme billeder. Med ADP slået til fungerer iCloud-fotos som ægte ende-til-ende-krypteret cloud-billedlagring. Den praktiske begrænsning er, at dette stadig er kontobundet: adgang kræver din Apple-konto, og krypteringens holdbarhed afhænger af Apples evne til at opretholde den under juridisk pres i din jurisdiktion.

Er der en måde at lagre billeder, som Apple ikke kan tilgå?

Ja, på to måder. For det første holder Avanceret databeskyttelse dekrypteringsnøglerne for beskyttede iCloud-fotos væk fra Apple. For det andet kan en lokal boks holde filer væk fra skylageret eller kryptere dem på enheden før enhver upload. Apple har muligvis stadig konto-, service- og chiffertekstmetadata, men ikke en indholdsnøgle i klartekst til disse beskyttede filer.

Download Vaultaire gratis