Тёмная техническая иллюстрация iPhone с иконкой iCloud и замком, разделённым для отображения двух разных режимов хранения ключей

Шифруются ли фотографии iCloud методом end-to-end?

По умолчанию фотографии iCloud не зашифрованы методом end-to-end. Apple хранит их с использованием ключей шифрования, которые сама контролирует, и может расшифровать их при наличии законных оснований. Включение функции «Расширенная защита данных» меняет это: ключи хранят ваши доверенные устройства, а не Apple. ADP требует явного включения, отключено по умолчанию и перед активацией требует настройки способа восстановления.

Фотографии iCloud зашифрованы - но при стандартной защите данных Apple хранит ключи шифрования и может получить доступ к вашим фотографиям по судебному решению или для восстановления аккаунта. После включения функции «Расширенная защита данных» фотографии iCloud становятся по-настоящему зашифрованными методом end-to-end: ключи хранятся на ваших устройствах, у Apple ничего нет. ADP необходимо включить вручную. Это не настройка по умолчанию, и в феврале 2025 года она была отключена для пользователей из Великобритании по требованию правительства, которое Apple не могло юридически отклонить.

Что означает «зашифровано», когда ключи хранит Apple

iCloud действительно шифрует ваши фотографии. Это утверждение верно, но оно может ввести в заблуждение, если остановиться на нём.

При стандартной защите данных - настройке по умолчанию для каждого Аккаунта Apple - ваши фотографии шифруются при передаче и хранятся в зашифрованном формате на серверах Apple. Шифрование реально. Но в мелком шрифте написано, что Apple хранит ключи шифрования в аппаратных модулях безопасности в собственных центрах обработки данных. В документации поддержки Apple это сформулировано прямо: ключи доступны серверам Apple, и Apple может помочь вам восстановить данные, если вы потеряете доступ к своему аккаунту.

Эта архитектура имеет название: шифрование на стороне сервера. Поставщик шифрует данные, и поставщик хранит ключ. Это защищает ваши фотографии от взлома уровня хранения без учётных данных. Но не защищает от самой Apple, от судебного решения в адрес Apple или от взлома систем управления ключами. Когда журналисты и исследователи описывают iCloud как объект запросов правоохранительных органов, именно этот механизм они и описывают. Данные доступны, потому что Apple может их извлечь.

Это не скрытый недостаток. Apple публикует эту информацию в обзоре безопасности данных iCloud. Это намеренный компромисс ради восстановления аккаунта: вы можете вернуть свои фотографии после потери устройства именно потому, что Apple может расшифровать их от вашего имени.

Пятнадцать категорий данных iCloud зашифрованы методом end-to-end при стандартной защите, в том числе Пароли и Связка ключей, данные о здоровье и ещё несколько. Фотографии iCloud, резервные копии iCloud, Заметки и большинство остальных - нет.

«Расширенная защита данных»: когда фотографии iCloud становятся по-настоящему зашифрованными end-to-end

«Расширенная защита данных» для iCloud, анонсированная Apple 7 декабря 2022 года, меняет модель хранения ключей для большинства данных iCloud. При включённом ADP ключи шифрования хранятся на ваших доверенных устройствах, а не у Apple. Количество категорий данных, защищённых шифрованием end-to-end, возрастает с 15 до 25, и Фотографии iCloud входят в число дополнений.

Примечание по числу категорий: в исходном объявлении Apple в декабре 2022 года говорилось о расширении с 14 до 23 категорий. На текущих страницах поддержки Apple указано 25. Apple расширила охват ADP после запуска. В этой статье используется число 25 как актуальная цифра из актуальной документации поддержки Apple; несоответствие отмечается для точности.

Иван Крстич, руководитель Apple Security Engineering and Architecture, описал это при запуске: «Расширенная защита данных» - это высочайший уровень безопасности облачных данных Apple, дающий пользователям возможность защитить подавляющее большинство наиболее конфиденциальных данных iCloud сквозным шифрованием, чтобы их можно было расшифровать только на доверенных устройствах.

Это описание точное. При включённом ADP Apple не хранит ключи, нужные для расшифровки фото в вашей личной медиатеке. Apple по-прежнему может выдать зашифрованные данные и связанные метаданные учётной записи или службы по законному требованию; суть в том, что она не может превратить защищённый шифртекст фото в открытый текст. Общие альбомы и другие исключённые категории используют другую модель защиты.

ADP — реальное улучшение приватности. С этой функцией iCloud становится настоящим хранилищем фото со сквозным шифрованием. Если вы храните в iCloud фото, которые хотите сохранить в тайне, и находитесь не в Великобритании, включить ADP стоит.

Что ADP по-прежнему не защищает

Охват широкий, но не полный. Три категории остаются за пределами шифрования end-to-end даже при включённом ADP.

Почта, Контакты и Календарь. Обоснование Apple - совместимость: эти службы обмениваются данными с внешними системами - почтовыми серверами, CalDAV-провайдерами, CardDAV-службами - и для этого обмена требуется стандартное шифрование. Apple шифрует эти данные, но хранит ключи.

Общие альбомы в Фотографиях. Альбом, открытый другим людям или опубликованный по URL «для всех, у кого есть ссылка», доступен в сети. Этот доступ требует, чтобы Apple могла передавать контент, а для этого нужны серверные ключи. Фотографии в вашей личной библиотеке зашифрованы end-to-end при включённом ADP, а те же фотографии в общем альбоме - нет.

Совместная работа в iWork. Редактирование в режиме реального времени общих документов Keynote, Numbers и Pages осуществляется через серверы Apple. Эта координация требует серверного доступа к контенту.

Это не небрежность Apple. Это архитектурная цена функций, которым нужен сервер посередине. Если вы хотите, чтобы фотографии были зашифрованы end-to-end, не добавляйте их в Общие альбомы.

Как проверить, включён ли ADP, и как его включить

ADP не включён по умолчанию. Чтобы проверить: откройте Настройки на iPhone, нажмите на своё имя вверху, нажмите iCloud, прокрутите вниз и нажмите «Расширенная защита данных». Если рядом с пунктом «Расширенная защита данных» указано «Вкл.», функция активна. Если вы видите предложение включить её, значит она не активна.

Для включения Apple потребует два условия до того, как переключатель сработает: двухфакторная аутентификация для Аккаунта Apple и хотя бы один метод восстановления - контакт для восстановления (другой человек с устройством Apple) или ключ восстановления (строка из 28 символов, хранящаяся в надёжном месте). Это обязательно, а не опционально. Apple не может помочь вам восстановить зашифрованные end-to-end данные при потере доступа, поэтому вы должны обеспечить собственный путь восстановления до включения ADP.

Включение ADP на одном устройстве активирует его для всего Аккаунта Apple на всех совместимых устройствах. Функция действует на уровне аккаунта. Устройства должны работать под управлением iOS 16.2, iPadOS 16.2, macOS 13.1 или более поздних версий.

Вопрос устойчивости: что произошло в Великобритании

В феврале 2025 года Apple отключила функцию «Расширенная защита данных» для пользователей из Великобритании. Непосредственной причиной стало Уведомление о технических возможностях, выданное Министерством внутренних дел Великобритании в соответствии с Законом о следственных полномочиях, с требованием предоставить Apple доступ к зашифрованным пользовательским данным, хранящимся в iCloud.

Вместо создания бэкдора Apple отозвала ADP для Великобритании. Пользователи из Великобритании, уже включившие ADP, 21 февраля 2025 года получили уведомления с требованием отключить функцию под угрозой потери доступа к аккаунтам iCloud. Новые пользователи из Великобритании не могут включить ADP вообще. 15 категорий, зашифрованных по умолчанию, остаются защищёнными; всё остальное - Фотографии, Резервные копии, Заметки и остальные 25 категорий ADP - вернулось к стандартному шифрованию (при котором Apple хранит ключи) для аккаунтов из Великобритании.

По имеющимся данным, исходное уведомление требовало доступа к данным iCloud всех глобальных пользователей. После значительного давления со стороны американских законодателей и, по данным репортажей в августе 2025 года, заявления директора национальной разведки США о том, что Великобритания отозвала более широкое требование, Министерство внутренних дел изменило постановление, распространив его только на пользователей из Великобритании. После этого Apple отозвала свою правовую апелляцию на скорректированное уведомление. Трибунал по следственным полномочиям отклонил апелляцию 14 октября 2025 года, сославшись на «изменение обстоятельств».

Заявление Apple в тот момент: «Мы глубоко разочарованы тем, что защита, обеспечиваемая ADP, недоступна нашим клиентам в Великобритании, учитывая постоянный рост числа утечек данных и других угроз конфиденциальности клиентов».

По состоянию на июнь 2026 года ADP по-прежнему недоступна для пользователей из Великобритании согласно собственной странице поддержки Apple по адресу support.apple.com/en-gb/122234. Privacy International и Liberty ведут активные правовые споры против приказов о наблюдении Министерства внутренних дел, запланированные до 2026 года, но эти дела направлены на оспаривание приказов, а не на восстановление ADP в ближайшей перспективе. Вопрос о возвращении ADP в Великобританию остаётся открытым без подтверждённого ответа на момент написания этой статьи.

Пример Великобритании актуален для пользователей повсюду по одной причине: это задокументированное доказательство концепции. Правительство может принудительно отключить переключатель на уровне платформы для пользователей целой страны без индивидуального преследования или уведомления этих пользователей. Механизм - секретное уведомление по закону о национальной безопасности - не является уникальным для Великобритании. Закон о следственных полномочиях имеет аналоги в других юрисдикциях. Суть не в том, чтобы вызвать тревогу; суть в том, что «платформа обещает шифрование end-to-end» и «способность платформы обеспечивать шифрование end-to-end является юридически устойчивой» - это два разных утверждения.

Место Vaultaire: другая архитектура

Vaultaire - это другая архитектура, а не замена всему, что делает ADP.

ADP работает на уровне платформы, привязана к аккаунту и связана с облаком. Данные по-прежнему находятся в iCloud; инновация состоит в том, что Apple больше не хранит ключ. Вы получаете синхронизацию iCloud, доступ с нескольких устройств и резервное копирование с хранением ключей, перенесённым на ваши устройства. Это хороший компромисс для большинства людей.

Vaultaire работает прежде всего локально. По умолчанию файлы вашего сейфа не передаются на сервер. Узор, нарисованный на сетке 5x5, и общая для устройства соль проходят через PBKDF2-HMAC-SHA512, чтобы получить локальный ключ сейфа. Этот ключ аутентифицирует зашифрованный индекс и разворачивает отдельный случайный главный ключ, которым файлы шифруются AES-256-GCM. Данные восстановления хранятся в базе данных Keychain, зашифрованной AES-GCM, а не отсутствуют на устройстве.

Для зашифрованного резервного копирования в iCloud, которое включено по умолчанию и может быть отключено, Vaultaire получает из узора отдельный резервный ключ, не привязанный к устройству, и шифрует дополненные записи CloudKit на устройстве. Apple получает шифртекст, метаданные записей и передачи, а также зашифрованный манифест восстановления, но не резервный ключ в открытом виде. Фраза восстановления из 9 отдельных слов даёт ещё один ключ, который может открыть этот манифест, если соответствующие зашифрованные записи остаются доступными.

Граница поставщика здесь конкретна: у Vaultaire нет службы, которая хранила бы содержимое сейфа в открытом виде или резервный ключ. Взлом поставщика всё равно может раскрыть шифртекст и метаданные службы, а клиент, iOS, Keychain, данные для восстановления и разблокированное устройство остаются частью модели доверия.

Отличие от ADP в том, где находится контроль. С ADP и Фото iCloud ваша медиатека синхронизируется между устройствами и может быть восстановлена через настроенную модель восстановления Apple. Vaultaire передаёт данные сейфа в CloudKit только для резервного копирования (включено по умолчанию, можно отключить), синхронизации или общего доступа, а восстановление из CloudKit зависит от фразы восстановления и соответствующих зашифрованных записей. Отдельными резервными копиями iOS или копиями устройства на компьютере управляет операционная система. У Vaultaire нет запасного ключа, который хранился бы у Wraxle.

Ни одна из моделей не лучше во всём. ADP добавляет сквозную защиту поддерживаемым категориям iCloud и сохраняет синхронизацию и восстановление iCloud. Vaultaire не нужна учётная запись для идентификации, а его резервное копирование в CloudKit с шифрованием на стороне клиента включено по умолчанию, потому что одно устройство слишком ненадёжно; его можно отключить в Настройках. Ни один вариант не убирает из модели угроз конечное устройство, путь восстановления, метаданные, настройки резервного копирования ОС или реализацию клиента.

Вы можете использовать оба варианта. Большинство пользователей Vaultaire по-прежнему используют «Фото iCloud» для повседневной библиотеки с включённым ADP.

Источники

Часто задаваемые вопросы

Шифруются ли фотографии iCloud методом end-to-end по умолчанию?

Нет. При стандартной защите данных Apple хранит фотографии iCloud с использованием ключей шифрования, которые она контролирует в своих центрах обработки данных. Apple может расшифровать ваши фотографии при необходимости: для восстановления аккаунта и в ответ на действительные судебные решения. По умолчанию шифрованием end-to-end защищены лишь 15 категорий данных iCloud; Фотографии в их число не входят.

Что «Расширенная защита данных» реально делает с моими фотографиями?

При включённом ADP Фотографии iCloud входят в число 25 категорий данных iCloud, защищённых шифрованием end-to-end. Ключи хранятся на ваших доверенных устройствах, а не у Apple. Apple не может читать ваши фотографии, передавать их в ответ на судебное решение о данных iCloud и не может их восстановить, если вы потеряете аккаунт. Восстановление - ваша ответственность, поэтому ADP требует настройки контакта для восстановления или ключа восстановления до активации.

Может ли Apple видеть мои фотографии iCloud?

При стандартной защите данных: да, Apple может получить доступ к фотографиям iCloud и расшифровать их при необходимости. При включённой функции «Расширенная защита данных»: нет, Apple не имеет ключа к вашим зашифрованным end-to-end данным. 15 категорий по умолчанию - включая данные о здоровье и пароли Связки ключей - всегда недоступны для Apple вне зависимости от статуса ADP.

Как включить функцию «Расширенная защита данных»?

Откройте Настройки, нажмите на своё имя, нажмите iCloud, прокрутите вниз и нажмите «Расширенная защита данных». Вам потребуются включённая двухфакторная аутентификация и хотя бы один настроенный метод восстановления - контакт для восстановления или ключ восстановления. Устройства должны работать под управлением iOS 16.2 и выше. Включение на одном устройстве активирует функцию для всего Аккаунта Apple.

Какие данные не охвачены функции «Расширенная защита данных»?

Почта, Контакты и Календарь не шифруются end-to-end даже при включённом ADP, поскольку им необходим обмен данными с внешними серверами. Общие альбомы в Фотографиях также не шифруются end-to-end: они доступны в интернете. Документы с совместной работой в iWork в режиме реального времени тоже не охвачены. Всё, что открыто «всем, у кого есть ссылка», находится вне защиты ADP.

Может ли правительство получить доступ к моим фотографиям iCloud через Apple?

При стандартной защите данных: да, действительное судебное решение, предъявленное Apple, может привести к передаче ваших фотографий. При включённом ADP у Apple нет ключа для передачи. Пример Великобритании в феврале 2025 года показал, что правительство также может заставить платформу отключить ADP для целой страны, переводя пользователей с защиты end-to-end обратно на стандартную защиту без их индивидуального согласия.

Что такое хранилище фотографий iCloud?

Это выражение описывает использование Фото iCloud как места для хранения конфиденциальных фото. При включённом ADP Фото iCloud работают как настоящее облачное хранилище фото со сквозным шифрованием. Практическое ограничение в том, что оно по-прежнему привязано к учётной записи: для доступа нужен ваш Аккаунт Apple, а стойкость шифрования зависит от того, сможет ли Apple сохранить его под юридическим давлением в вашей юрисдикции.

Есть ли способ хранить фотографии так, чтобы Apple не имела к ним доступа?

Да, есть два пути. Во-первых, «Расширенная защита данных» держит ключи расшифровки защищённых Фото iCloud вне досягаемости Apple. Во-вторых, локальный сейф может хранить файлы вне облака или шифровать их на устройстве перед необязательной загрузкой. Apple всё равно может хранить метаданные учётной записи и службы, а также шифртекст, но не ключ в открытом виде для этих защищённых файлов.

Скачать Vaultaire бесплатно