iPhoneの写真バックアップの暗号化とは、実際に何が保護されているのか
iPhoneのすべての写真をバックアップしていても、その写真が本当にプライベートかどうかはわからないことがあります。バックアップが暗号化されているかどうか、そして鍵を持っているのが自分なのかAppleなのかは、使っているバックアップの種類と、ほとんどの人が開いたことのないいくつかの設定次第です。このガイドでは、iPhoneの写真バックアップの暗号化が実際どのように機能するのかを平易な言葉で説明し、自分のライブラリに本当に必要な保護を判断できるようにします。
iPhoneの写真バックアップは、転送中も保存時も常に暗号化されていますが、それは自分だけが読み取れるという意味ではありません。標準のiCloud設定のもとでは、AppleがiCloud写真とiCloudバックアップの鍵を保持しているため、Appleは写真を復旧したり開示したりできます。高度なデータ保護をオンにすると、これらのバックアップはエンドツーエンドで暗号化され、鍵を持つのは自分のデバイスだけになります。パソコンへのローカルバックアップは、「ローカルのバックアップを暗号化」にチェックを入れた場合のみ暗号化され、写真保管庫アプリは最も機密性の高い画像のために独立した暗号化ストレージを追加します。
iPhoneの写真がバックアップされる3つの場所
写真のバックアップがあると言うとき、多くの場合は3つの異なる仕組みのいずれかを指しており、それぞれ写真の保護方法が異なります。1つ目はiCloud写真で、ライブラリ全体の同期コピーをAppleのデータセンターに保存し、Appleアカウントにサインインしているすべてのデバイスに反映します。2つ目はiCloudバックアップで、デバイス上にしか保存されていないデータも含められる、iPhoneのスナップショットです。3つ目は、MacのFinderやWindowsの「Appleデバイス」で作成するローカルバックアップで、iPhoneのコピーをコンピューターに書き込みます。写真保管庫は独自の暗号化バックアップを4つ目の論理的な保存先として追加できますが、除外されていない限り、そのローカルのアプリコンテナもiCloudバックアップやコンピューターへのデバイスバックアップに含まれる場合があります。
これが重要な理由は、バックアップされていることと暗号化されていることは同じ意味ではないからです。これらすべての仕組みは、写真がネットワークを移動する間もディスク上に置かれている間も暗号化するため、Wi-Fiを盗聴する見知らぬ人物がそれを読み取ることはできません。本当の問題は、その暗号化を解除する鍵を誰が持っているかです。バックアップによっては鍵が自分だけのものである場合もあれば、Appleがコピーを保持していて、データの復旧を手助けしたり、法的に強制された場合に提供したりできる場合もあります。どちらがどちらなのかを知ることこそが、このガイドの目的です。
それぞれのバックアップが実際に使っている暗号化方式
iCloud写真とiCloudバックアップは、どちらも標準で保存データに対する強力な暗号化を使用していますが、標準のデータ保護のもとでは、Appleは写真ライブラリやデバイスのバックアップを含むほとんどのカテゴリーの鍵を保持しています。この設計により、ロックアウトされた場合にAppleがアクセスをリセットできるようになっていますが、同時に有効な法的要請があればAppleが写真を読み取れることも意味します。実際には、写真は無差別な攻撃者やデータセンターからドライブを盗む者からは安全ですが、Apple自身に対してはプライベートではありません。これは、絶対的な秘匿性よりも復旧可能性を優先する意図的なトレードオフです。
ローカルバックアップは自分のパソコンに保存される点で異なります。既定ではFinderやiTunesのバックアップはまったく暗号化されておらず、これは多くの人を驚かせますが、そのパソコンにアクセスできる人なら誰でもバックアップされた写真を閲覧できてしまいます。その対策が、「ローカルのバックアップを暗号化」という一つのチェックボックスです。これをオンにすると、バックアップ全体が自分で選んだパスワードに紐づくAES暗号化で包まれ、そのパスワードだけが解除できるようになります。Appleはこのパスワードを一切見ることがないため、忘れてしまうとバックアップは復旧できなくなります。これはまさに、本物の暗号化に求められる性質です。
高度なデータ保護でエンドツーエンド暗号化が有効になる
高度なデータ保護は、iCloud写真とiCloudバックアップの鍵をApple保持型からエンドツーエンド暗号化へと引き上げる設定です。オンにすると、写真を解除する鍵は信頼できる自分のデバイスにのみ存在するようになり、Appleはたとえ望んでもライブラリやバックアップを読み取れなくなります。これにより標準のデータ保護に残っていた抜け道が塞がれ、自動クラウド同期の利便性を保ちながら、iCloudを優れたローカル暗号化バックアップと同等の水準に引き上げます。設定内の自分の名前の下にあるiCloud、続いて高度なデータ保護から見つけられます。
これが防御対象とする脅威モデルは広範です。Appleのサーバーへの侵入、データベースにアクセスできる内部関係者、あるいはライブラリの開示を求める召喚状、いずれの場合でも読み取り可能な写真を得ることはできません。理解しておくべき制約もあります。デバイスを失った場合に復元する裏口がないため、まず復旧連絡先か復旧キーを少なくとも1つ設定しておく必要があります。iCloudメール、連絡先、カレンダーなどごく一部のデータは互換性のためにエンドツーエンド暗号化の対象外のままで、ファイルに関する一部のメタデータも残る場合があります。とはいえ写真そのものに関しては、これはAppleが提供する最も強力な選択肢です。
写真保管庫アプリはバックアップ計画のどこに位置づけられるか
高度なデータ保護をオンにしていても、メインのライブラリにあるすべての写真は「写真」のアクセスモデルの中に残ります。つまり、該当するアルバムのロックを解除できる人や、写真の読み取りを許可したアプリがアクセスできます。写真保管庫は、機密性の高い写真を独自の認証情報で守られた別の暗号化コンテナに保管することで、この露出を狭めます。保管庫内のコピーは、カメラロール、共有アルバム、通常の写真ピッカーには表示されません。適切な鍵の階層では、ファイルをランダムなコンテンツキーで暗号化し、そのキーを保管庫の認証情報から導出したロック解除キーでラップします。
よくできた保管庫は独自の暗号化バックアップも作成できるため、iPhoneを紛失しても、プライベートな写真を読み取り可能な形でiCloud写真に入れずに残せます。保管庫を選ぶときは、デバイス上での認証付き暗号化、文書化された鍵の階層、開発者に復号キーを渡さないリカバリー設計があるかを確認してください。Vaultaireは保管庫のデータをランダムなマスターキーで暗号化し、プライベートなCloudKitバックアップレコードを別のバックアップキーで保護します。バックアップはデフォルトでオンで、オフにもできます。同期と共有は設定したときだけ動作します。アプリ分析とクラッシュ診断はデフォルトで有効になっており、設定の「エラーを匿名で共有」でオフにできます。Vaultaireの現在のローカル保管庫ファイルはシステムのデバイスバックアップから除外する設定になっていないため、VaultaireのCloudKitオプションとは関係なく、iCloudバックアップやコンピューターへのバックアップに暗号化されたコピーが含まれる場合があります。
関連ガイド
情報源
よくある質問
iCloudバックアップは暗号化されていますか。
はい。iCloudバックアップは転送中も保存時も常に暗号化されています。標準のデータ保護のもとでは、Appleが鍵のコピーを保持しているため、バックアップの復旧を手助けしたり、有効な法的要請に応じて開示したりすることができます。高度なデータ保護をオンにすると、バックアップはエンドツーエンドで暗号化され、自分のデバイスだけが解除できるようになります。
iCloud上の写真はエンドツーエンドで暗号化されていますか。
高度なデータ保護がオンになっている場合のみです。既定ではiCloud写真は標準のデータ保護を使用しており、ライブラリは暗号化されますが、Appleが鍵を保持しています。高度なデータ保護を有効にすると、鍵は信頼できる自分のデバイスにのみ存在するようになり、Appleは写真を読み取れなくなります。
iPhoneの写真の暗号化されたローカルバックアップはどうやって作成しますか。
電話機をMacまたはPCに接続し、FinderまたはiTunesを開いて「ローカルのバックアップを暗号化」を選択し、パスワードを設定します。デバイスにのみ存在する写真も含め、バックアップ全体がパスワードだけで解除できるAES暗号化に包まれます。パスワードは大切に保管してください。それがないとバックアップを復旧する方法はありません。
写真保管庫アプリは写真をバックアップしますか。
写真保管庫は、iCloud写真とは別に、クライアント側で暗号化した独自のバックアップを提供できます。適切な設計では、ランダムなコンテンツキーを、認証情報から導出したロック解除キーまたはバックアップキーで暗号化するため、提供者が読み取り可能なコンテンツキーを受け取ることはありません。システムのiCloudバックアップやコンピューターへのバックアップは別の経路で、アプリのローカルコンテナもコピーされる場合があります。