加密 iCloud 備份：無需信任的雲端儲存

Vaultaire 的 iCloud 備份會先在裝置上以 AES-256-GCM 加密保險庫資料，再把固定大小的填充記錄上傳到使用者的私人 CloudKit 資料庫。Apple 儲存密文，但不會收到可讀形式的備份金鑰。

什麼是加密 iCloud 備份？

手機會壞掉。手機會遺失。手機會被盜。如果您最私密的檔案只存在於單一裝置上，那它們距離永遠消失只差一場意外。備份解決了這個問題，但傳統的雲端備份帶來了另一個問題：現在一家您無法控制的公司擁有了您檔案的可讀副本。

Vaultaire 走的是第三條路。它預設會把您的保險庫備份到 iCloud，您可以在設定中關閉；而且資料在離開手機之前，就已在本機加密。Vaultaire 從您的圖形推導出一把可攜的備份金鑰，用來保護固定大小的區塊、加密的記錄標籤、版本目錄與復原資料。上傳到 Apple 的是密文，而不是可讀的照片、檔名或結構標籤。CloudKit 仍可能透露帳號與服務中繼資料、記錄數量、填充後的大小與存取時間。

加密發生在上傳之前，而不是上傳期間或之後。這是關鍵的區別。許多雲端服務會在資料傳輸途中做「傳輸中加密」，在伺服器上做「靜態加密」，但服務本身仍可能持有解密金鑰。Vaultaire 傳給 CloudKit 的是加密的備份記錄與加密的復原信封，兩者單獨都無法讓 Apple 取得可讀的備份金鑰。

運作原理，逐步說明

整個機制依照明確的順序運作：先在本機推導備份憑證，再加密並填充每個元件，最後只上傳產生的記錄與加密的復原資料。

步驟一：您的保險庫在本地加密

進行 iCloud 備份時，Vaultaire 從您的圖形推導出一把獨立、不綁定裝置的備份金鑰，使用 600,000 輪的 PBKDF2-HMAC-SHA512。它不是綁定裝置的保險庫金鑰，也不是本機檔案加密用的隨機主金鑰。應用程式以這把備份金鑰搭配 AES-256-GCM，保護重建保險庫所需的元件。

步驟二：加密後的資料塊上傳至 iCloud

應用程式把備份切成固定大小的區塊，將每個加密區塊填充到 10 MB，加密結構標籤，並加入誘餌記錄。這些無法解讀的記錄會上傳到您私人 CloudKit 資料庫中的專用區域，並占用您的 iCloud 儲存空間。記錄的配置方式，避免讓 CloudKit 看到可讀的檔名、檔案類型、內容雜湊值或邏輯角色。

步驟三：復原存取另外包裝

可讀的備份金鑰不會以 CloudKit 欄位上傳，也不會嵌在密文旁邊。以圖形還原時，新裝置會重新推導出這把金鑰。以片語還原時，則使用從復原片語推導出的另一把復原金鑰，開啟內含保險庫金鑰與備份金鑰的加密清單。這層包裝讓復原得以進行，而不必把明文解密金鑰交給 Apple 或 Vaultaire。

為什麼 Apple 無法直接解密 Vaultaire 備份記錄

這條界線來自用戶端加密與金鑰保管，而不只是政策上的承諾。Vaultaire 上傳的是密文，解密保險庫內容所需的憑證與金鑰則留在用戶端及其復原資料中。

只要金鑰與 nonce 處理正確，AES-256-GCM 產生的密文不會洩漏受保護的明文，而對隨機 256 位元金鑰直接暴力破解，在運算上不可行。但這不代表整個系統牢不可破：憑證的熵、復原資料、端點、軟體完整性與實作缺陷，仍然是威脅模型的一部分。AES 標準提供的是基本元件，金鑰受到多好的保護，取決於周邊的設計。

Apple 不會收到可讀的備份金鑰。以圖形還原時，應用程式從您的圖形推導出這把金鑰；以片語還原時，則從由片語加密的清單中取回它。CloudKit 儲存的是加密輸出與取回資料所需的作業記錄，但不儲存可讀的保險庫內容。

即使面對法院命令

Apple 收到調取 iCloud 資料的有效法律要求時，可以提供在適用的 iCloud 保護模式下所能取得的記錄與中繼資料。Vaultaire 上傳的是在用戶端加密的 CloudKit 記錄，而不是可讀的保險庫檔案或明文備份金鑰。Apple 可以交出這些密文記錄與相關的服務中繼資料，但它並不持有把受保護的保險庫內容還原成明文所需的備份金鑰。

這是用戶端加密在架構上的結果。Apple 可以交出它所保存的 CloudKit 記錄，但要讀取其中的保險庫內容，仍需要由圖形推導出的備份金鑰，或能開啟加密復原清單的復原片語。

信任模型：信任數學，而非公司

傳統雲端儲存要求您信任服務提供者。您相信他們正確地加密您的資料，您相信他們不會窺探您的檔案，您相信他們能抵制政府壓力，您相信他們的員工不會濫用存取權限。對一個您從未見過的組織投入如此多的信任，是很大的賭注。

Vaultaire 的加密 iCloud 備份，減少了您必須仰賴 Apple 保密的內容。內容能否受到保護，取決於應用程式能否推導出正確的金鑰、正確使用 AES-GCM，以及您的圖形與復原片語不落入提供者手中。您仍然需要信任 Vaultaire 用戶端、iOS、您已解鎖的裝置，也需要信任 Apple 會讓儲存的記錄保持可用。

如果 Apple 的伺服器被入侵，您的資料是安全的，因為攻擊者得到的是加密雜訊。如果有不肖的 Apple 員工存取您的檔案，您的資料是安全的，因為他們看到的是加密雜訊。如果 Apple 明天更改其隱私政策，您的資料是安全的，因為政策無法凌駕於數學之上。無論誰儲存資料、如何儲存，或如何使用存取權，加密都會保護您。

沒有任何加密應用程式能讓信任完全消失。Vaultaire 的設計把 Apple 的角色縮小為儲存與傳輸加密記錄；正確的加密仍由用戶端負責，使用期間保護金鑰與明文，則仍由您的裝置負責。

在新裝置上復原您的保險庫

這正是加密備份發揮價值的地方。您的手機不見了，遺失、損壞、被盜或升級了。您的保險庫已備份至 iCloud。接下來是這樣的。

步驟一：在新裝置上安裝 Vaultaire

在您的新 iPhone 或 iPad 上從 App Store 下載 Vaultaire。應用程式偵測到您的 iCloud 帳號中存在加密備份。

步驟二：畫您的圖形

Vaultaire 會顯示熟悉的 5×5 格線。畫出您建立備份時使用的同一個圖形。由於備份金鑰的推導不綁定裝置，相同的圖形與格線大小會在新裝置上產生相同的備份金鑰。本機裝置的 salt 不參與這個雲端備份的推導。

步驟三：您的保險庫解密

加密備份從 iCloud 下載，並在您的新裝置上本地解密。您的照片、影片與文件會原封不動地重新出現。整個過程對小型保險庫只需幾秒鐘，對大型保險庫需要幾分鐘。在整個過程中，Apple 或其他任何人都沒有存取您未加密資料的機會。

您也可以改用復原片語。它不會直接重新產生同一把金鑰：Vaultaire 先從片語推導出復原金鑰，取得以片語定位的加密復原清單，解開其中儲存的保險庫金鑰與備份金鑰，再還原加密區塊。兩條路徑經由不同的金鑰階層，抵達同一份備份。

預設開啟，由您選擇關閉

加密 iCloud 備份在免費版和專業版中都預設開啟。它每 24 小時執行一次，除非您更改網路設定，否則只透過 Wi-Fi 進行。手機遺失或損壞的機會，遠高於加密備份被破解，因此新的保險庫一開始就有一份可供還原的副本。您可以在「設定」中關閉它。

有些人不希望 Vaultaire 透過 CloudKit 上傳保險庫記錄。如果您關閉 Vaultaire 備份，也不使用同步與分享，應用程式就不會啟動這些保險庫資料傳輸。這和 Apple 作業系統層級的備份是兩回事：視您的 iOS 與 Apple 帳號設定而定，iCloud 或電腦上的裝置備份可能包含應用程式容器資料。如果您的威脅模型要求手機是唯一的副本，請檢查並管理這些系統備份。

保持備份開啟，代表 Apple 的伺服器上會有一份您資料的加密副本，換來的是裝置遺失時仍能復原保險庫。這份副本是加密的，可讀的解密憑證仍由您掌控，Apple 也不會收到可讀的保險庫內容。但副本確實存在，取得 CloudKit 資料的人可以離線嘗試猜測圖形。如果您的威脅模型要求手機作為唯一副本，請關閉備份。

您可以隨時停用 Vaultaire 的 CloudKit 備份。停用後，Vaultaire 會從它的私人 CloudKit 資料庫移除這份加密備份。這不會檢查或清除另外存在的 iOS 裝置備份、電腦備份、匯出的檔案、分享出去的副本或其他裝置上的資料。

備份，而非同步

了解加密 iCloud 備份不是什麼很重要。它不是裝置間的即時同步，不是在您每次新增照片時都會更新的保險庫即時鏡像。

加密 iCloud 備份保存的是可還原的版本。當您手動開始備份，或解鎖後 Vaultaire 的 24 小時檢查啟動一次備份時，應用程式會暫存保險庫目前的狀態，並上傳加密記錄。未變更的元件可以與近期版本去除重複，中斷的上傳也能接續。之後新增的檔案，要等下一個版本完成才會出現在備份中。

這樣的區分是刻意的。備份保存的是供復原使用的版本；裝置之間的持續同步，則交給 Vaultaire 的裝置同步功能。備份流程仍需處理暫存、去除重複、區塊上傳、重試、版本目錄與還原交易，因此它的安全性不只取決於加密演算法，也取決於這些機制。

把它想像成一個保管箱。您不會一直把文件搬來搬去。您把重要文件的副本放進保管箱，萬一房子燒了，就去銀行取回。原件在您身邊。備份安靜地等待，直到您需要它。