相簿鎖定和照片鎖 App：真的能保護你的照片嗎？

Q: 我應該使用什麼替代相簿鎖定？

要真正保護照片，請使用具有 AES-256-GCM 或同等加密、用戶端金鑰衍生（PBKDF2、Argon2）、開發者無法存取檔案的零知識架構以及最少資料收集的加密保險庫 App。

大多數相簿鎖定和照片鎖 App 只在未加密的檔案前面設定 PIN。

相簿鎖定和照片鎖 App 在你的照片前面設定 PIN 或密碼畫面。行銷語言暗示了安全感：「鎖定」、「保險庫」、「安全」、「受保護」。但在大多數這些 App 中，PIN 畫面就是全部的保護。在它背後，你的照片以未加密的形式存放在標準資料夾中。

玻璃門上的鎖能阻止尊重鎖的人。它阻止不了透過玻璃看的人。

本指南從技術層面審查相簿鎖定和照片鎖 App 的實際作用，解釋「鎖定」和「加密」之間的差距，並定義真正的照片保護需要什麼。

相簿鎖定 App 實際上做了什麼

相簿鎖定 App（也稱為照片鎖、相簿保險庫或私人相簿 App）遵循一致的架構：

匯入。照片從裝置相機膠卷複製或移動到 App 的私人儲存目錄。
設定閘門。PIN、密碼、圖形或生物辨識檢查放置在 App 的入口處。
顯示。輸入正確的憑證後，App 在相簿介面中顯示儲存的照片。

這就是大多數相簿鎖定 App 的完整機制。憑證解鎖 App 的使用者介面，不會加密、轉換或以密碼方式保護底層檔案。

「鎖定」在實際中意味著什麼

當相簿鎖定 App 說你的照片被「鎖定」時，通常意味著：

「照片」App 不再顯示它們（它們已移到 App 的目錄）
打開相簿鎖定 App 需要 PIN
App 內的照片只能透過 App 的介面查看

「鎖定」不意味著：

檔案已加密
沒有 PIN 就無法讀取檔案
檔案受到檔案系統存取的保護
檢查者繞過應用程式介面後，檔案將無法提取

這個區別很重要，因為「鎖定」和「加密」描述的是根本不同的操作。鎖定控制誰可以走過一扇門。加密將內容轉換為沒有數學金鑰就無法讀取的形式。

「鎖定」與「加密」的差距

這是相簿鎖定類別的核心技術問題。

操作	對檔案發生了什麼	保護等級
鎖定（存取控制）	檔案保持原始格式（JPEG、HEIC、PNG）。UI 障礙阻止透過 App 查看。	僅防範應用程式層級的存取
加密（密碼保護）	檔案內容經 AES-256-GCM 等加密演算法轉換成經過驗證的密文。	沒有金鑰就無法直接讀取複製出來的密文；但裝置狀態、憑證、中繼資料與實作方式仍然有影響

在鎖定的相簿 App 中，你的照片以標準圖片檔案形式存在。它們有 EXIF 中繼資料，有正常的副檔名，任何圖片檢視器都可以讀取。PIN 阻止 App 顯示它們，但檔案本身未改變。

在設計正確的加密保險庫 App 中，儲存的檔案內容是密文，不是一般的圖片。用圖片檢視器打開這些密文，看不到任何有用的資訊。EXIF 欄位、檔案大小、記錄數量、縮圖或其他中繼資料是否仍然可見，取決於 App 的格式，所以光是加密圖片的位元組，並不能證明每個細節都藏起來了。

具體範例

假設你把同一張照片分別存進這兩種 App：

相簿鎖定 App：檔案 IMG_4521.heic 被移到 /AppData/GalleryLock/photos/IMG_4521.heic。任何能存取檔案系統的人打開它，就能看到照片。PIN 只是阻止 App 顯示它，檔案本身完整無缺，隨時可讀。

加密保險庫 App：檔案 IMG_4521.heic 被加密成類似 a8f3b2c1... 的資料區塊，以隨機檔名儲存，沒有副檔名。用任何檢視器打開，看到的都是亂碼。裝置上已不存在任何可讀形式的原始檔案。

這就是差別。不是理論上的，也不是細微的，而是本質上的不同。

相簿鎖定 App 如何被繞過

理解繞過方法，可以說明為什麼「鎖定」這個比喻是誤導性的。

1. 電腦連接

當 iPhone 透過 iTunes 或 Finder（或 Android 透過 ADB）備份時，備份可以包含 App 的沙盒資料。在相簿鎖定 App 中，這個備份包含原始的、未加密的照片檔案。提取它們只需要免費的、廣泛可用的軟體。

2. 鑑識工具

執法機構和鑑識檢查人員使用 Cellebrite UFED 和 GrayKey 等工具，在檔案系統層面從行動裝置提取資料。這些工具不與 App 的 UI 互動，直接讀取儲存介質。相簿鎖目錄中的未加密檔案完全可以存取。

根據公開的 Cellebrite 文件，他們的工具支援從 iOS 裝置提取 App 沙盒資料，包括第三方保險庫和相簿鎖定應用程式。PIN 是無關緊要的，因為提取發生在應用程式層以下。

3. 雲端備份曝光

如果裝置備份到 iCloud 或 Google Cloud，相簿鎖定 App 的資料可能包含在備份中。Apple 和 Google 在法律強制下可以存取這些備份。由於相簿鎖定中的檔案未加密，從備份提取後完全可讀取。

4. App 刪除

如果相簿鎖定 App 被刪除（意外地、在 OS 更新問題期間，或被第三方），App 沙盒中的未加密檔案也會被刪除。與具有獨立備份機制的加密保險庫不同，相簿鎖定 App 通常不提供 App 本身之外的恢復選項。

5. App 漏洞

不加密檔案的相簿鎖定 App，有更簡單的安全周邊可以突破。App 中的任何漏洞（生產環境中留下的除錯後門、不安全的本地 API，或被繞過的驗證畫面）都會直接暴露檔案，因為沒有加密層作為第二道防線。

資料收集問題

大多數相簿鎖定和照片鎖 App 是免費含廣告的。廣告支援模式需要追蹤 SDK 收集裝置識別碼、使用模式和行為資料。

在 2023 年對 iOS App Store 上熱門相簿鎖定 App 的審查中，發現了廣泛資料收集的模式：

多個廣告 SDK（Facebook Audience Network、Google AdMob、Unity Ads）
追蹤螢幕檢視、工作階段時間和功能使用情況的分析框架
廣告定向的裝置指紋識別
某些情況下，存取位置資料

這個諷刺很明顯。使用者下載這些 App 正是為了隱私，但 App 卻向廣告網路收集和傳輸行為資料。照片可能對隨意觀看者「鎖定」了，但使用者的行為卻廣播給資料仲介。

為真正的加密支付合理費用的 App，往往追蹤最少或沒有追蹤，因為它們的商業模式是產品，不是使用者的資料。

真正的照片保護是什麼樣子

如果相簿鎖定 App 代表「鎖定」端，以下是「加密」端的樣子：

加密標準

AES-256-GCM（高級加密標準，256 位元金鑰，伽羅瓦/計數器模式）。這是 NIST（SP 800-38D）推薦用於高安全性應用的認證加密演算法。它同時提供保密性（沒有金鑰資料無法讀取）和完整性（任何對加密資料的篡改都會被偵測到）。

金鑰衍生

PBKDF2 這類金鑰衍生函數，會把使用者的憑證與鹽值和工作係數結合。設計健全的金鑰階層，可以用這個結果解開另一把隨機的檔案加密金鑰。KDF 會提高每次猜測的成本，但無法替弱憑證增加熵，所以估算破解時間時，必須依據實測的單次猜測成本、硬體、平行運算能力，以及使用者實際的密碼或圖形空間。

每個檔案隔離

每個檔案都有唯一的、隨機生成的初始化向量（IV）。相同的照片會產生不同的加密輸出。攻擊者沒有可以跨檔案利用的模式。

中繼資料加密

檔案名稱、建立日期和保險庫結構以單獨的密碼加密。即使有人知道檔案存在，中繼資料也不透露任何關於內容的資訊。

零知識架構

App 開發者拿不到加密金鑰，也拿不到可讀的保險庫內容。因此，法律命令無法要求開發者解密它本來就打不開的密文。不過，依產品架構與命令範圍而定，開發者或雲端平台仍可能持有其掌控範圍內的營運中繼資料、帳號記錄或加密記錄。

Vaultaire 以 AES-256-GCM 驗證加密保護檔案內容、標頭、中繼資料、索引和縮圖；以 PBKDF2-HMAC-SHA512 衍生圖形金鑰；每次加密都使用新的 nonce。它的圖形分隔介面不會顯示保險庫清單，但能存取 App 容器的檢查者仍看得到加密的儲存檔案。脅迫模式會刪除該裝置上的其他保險庫，並讓裝置脫離同步；它不會清除雲端備份或其他同步裝置上的資料。

在 5×5 網格上繪製的每個圖形都會開啟不同的保險庫。所有保險庫的檔案共用一個名稱隨機的資料夾，但鑑識檢查人員仍可以確認 Vaultaire 已安裝、存在加密資料，並估計有多少個保險庫存有檔案，只是沒有對應的圖形就無法讀取其內容。

如何判斷你的 App 是否真的加密

三個快速測試：

測試一：密碼重設

每個配置的在 5x5 網格上繪製的圖形衍生其指派的保險庫的金鑰，因此鎖定的介面不會顯示保險庫清單或確認是否配置了其他圖形。具有應用程式容器存取權限的檢查員看得到加密的儲存檔案，並可估計有多少個保險庫存有檔案。索引內容、保險庫名稱和檔案在沒有匹配圖形的情況下保持加密狀態。

測試二：加密規格

在 App 的網站或 App Store 描述中查找具體的加密演算法：AES-256-GCM、AES-256-CBC、ChaCha20-Poly1305。如果 App 只說「安全」或「受保護」卻沒說出加密演算法的名稱，它很可能沒有加密。

測試三：隱私標籤

查看 App Store 的隱私標籤。比較 App 收集的資料與你期望從注重隱私的 App 收集的資料。多個追蹤類別（尤其是「用於追蹤你的資料」和「與你關聯的資料」）表明廣告支援模式和廣泛的資料收集。

常見問題

相簿鎖定 App 真的能保護照片嗎？

相簿鎖定 App 可以防止照片透過裝置的「照片」App 被查看，或防止隨意使用手機的人看到它們。但它們不在檔案系統層面保護照片。大多數相簿鎖定 App 儲存的檔案未加密，可以透過電腦連接、備份提取或鑑識工具存取。PIN 阻止應用程式層級的存取，不會加密檔案。

鎖定和加密照片有什麼區別？

鎖定在仍以原始格式存在的檔案前面設定存取控制障礙（PIN、密碼、生物辨識）。加密則是用 AES-256-GCM 等加密演算法把檔案轉換為沒有正確金鑰就在數學上無法讀取的資料。鎖定的檔案可以透過繞過 UI 來存取。加密的檔案無論如何存取儲存介質，都無法在沒有加密金鑰的情況下存取。

鑑識工具可以存取相簿鎖定 App 嗎？

可以。Cellebrite UFED 和 GrayKey 等鑑識工具在檔案系統層面提取資料，完全繞過應用程式層級的驗證。由於大多數相簿鎖定 App 儲存未加密的檔案，這些工具可以在不需要 App PIN 的情況下直接存取照片。這是執法和企業鑑識的常規能力。

付費的相簿鎖定 App 比免費的更安全嗎？

不一定。付費/免費的區別不能可靠地預測加密。部分付費的相簿鎖定 App 仍然使用沒有加密的存取控制。重要的標準是：具體的加密演算法、金鑰管理模型（用戶端與伺服器端）和資料收集政策。價格不保證安全架構。

我應該使用什麼替代相簿鎖定？

要真正保護照片，請使用具有以下特點的加密保險庫 App：AES-256-GCM 或同等加密、用戶端金鑰衍生（PBKDF2、Argon2）、開發者無法存取檔案的零知識架構，以及最少的資料收集。確認 App 明確命名其加密演算法，且不提供基於伺服器的密碼重設。

結論

相簿鎖定和照片鎖 App 回答了一個真實問題：「我如何保持某些照片私密？」但大多數 App 的回答只是一個 PIN 畫面。

「鎖定」這個詞暗示安全。在實踐中，它意味著存取控制。PIN 是給軟體的建議，不是資料的障礙。

如果 PIN 畫面對你的情況已經足夠，任何相簿鎖定 App 都可以使用。很多人確實不需要更多。但如果有人可能帶著工具、知識或法律權力嘗試存取這些照片，PIN 不是保護你的東西。加密才是。

「鎖定」和「加密」之間的區別，是門和牆之間的區別。一個可以打開，另一個不能。

免費下載 Vaultaire