加密iCloud备份：不信任的云存储

Vaultaire 的 iCloud 备份会先在设备上用 AES-256-GCM 加密保险库数据，再把固定大小的填充记录上传到用户的私有 CloudKit 数据库。Apple 存储的是密文，不会收到可读形式的备份密钥。

什么是加密 iCloud 备份？

电话损坏。手机丢失。手机被偷。如果您最私密的文件仅存在于一台设备上，那么它们很可能会永远消失。备份解决了这个问题，但传统的云备份会产生不同的问题：现在您无法控制的公司拥有您文件的可读副本。

Vaultaire 选择了第三条路。它默认把您的保险库备份到 iCloud，您可以关闭此功能，而数据在离开手机之前就已在本地加密。Vaultaire 从您的图案派生出一个可跨设备使用的备份密钥，用它保护固定大小的数据块、加密的记录标签、版本目录和恢复数据。上传到 Apple 的是密文，而不是可读的照片、文件名或结构标签。CloudKit 仍可能暴露账户和服务元数据、记录数量、填充后的大小和访问时间。

加密发生在上传之前，而不是上传过程中或上传之后。这是关键区别。许多云服务会在传输中和服务器上静态存储时加密数据，但服务本身仍持有解密密钥。Vaultaire 发送给 CloudKit 的是加密的备份记录和加密的恢复信封。两者都不会单独向 Apple 提供可读的备份密钥。

工作原理，一步一步

这套机制遵循明确的操作顺序：先在本地派生备份凭证，再加密并填充每个组件，最后只上传生成的记录和加密的恢复材料。

第 1 步：您的保险库已本地加密

对于 iCloud 备份，Vaultaire 用 600,000 轮 PBKDF2-HMAC-SHA512 从您的图案派生出一个独立的、不依赖设备的备份密钥。它既不是绑定设备的保险库密钥，也不是用于本地文件加密的随机主密钥。App 用该备份密钥和 AES-256-GCM 保护重建保险库所需的组件。

步骤 2：加密的 Blob 转到 iCloud

App 把备份切分成固定大小的数据块，将每个加密块填充到 10 MB，加密结构标签，并添加诱饵记录。这些不透明的记录会上传到您私有 CloudKit 数据库中的专用区域，并占用您的 iCloud 存储空间。这种记录布局避免向 CloudKit 暴露可读的文件名、文件类型、内容哈希或逻辑角色。

步骤 3：恢复访问权限单独包装

可读的备份密钥不会作为 CloudKit 字段存储，也不会嵌在密文旁边。凭图案恢复时，新设备会重新派生该密钥。凭短语恢复时，App 用恢复短语派生出另一个恢复密钥，打开存有保险库密钥和备份密钥的加密清单。这种包装方式让恢复无需向 Apple 或 Vaultaire 提供明文解密密钥。

为什么 Apple 无法直接解密 Vaultaire 备份记录

这条边界来自客户端加密和密钥保管，而不只是政策承诺。Vaultaire 上传的是密文，解密保险库内容所需的凭证和密钥则留在客户端及其恢复材料中。

在正确处理密钥和随机数的前提下，AES-256-GCM 生成的密文不会泄露所保护的明文，直接暴力破解随机 256 位密钥在计算上不可行。但这并不意味着整个系统牢不可破：凭证熵、恢复材料、终端设备、软件完整性和实现缺陷仍属于威胁模型的一部分。AES 标准提供的是密码原语；密钥能否得到保护，取决于周围的设计。

Apple 收不到可读的备份密钥。凭图案恢复时，App 从您的图案派生该密钥；凭短语恢复时，App 从短语加密的清单中取回该密钥。CloudKit 存储的是取回密钥所需的加密输出和运行记录，而不是可读的保险库内容。

即使有法院命令

当 Apple 收到调取 iCloud 数据的有效法律要求时，它可以提供适用的 iCloud 保护模式下可获得的记录和元数据。Vaultaire 上传的是客户端加密的 CloudKit 记录，而不是可读的保险库文件或明文备份密钥。Apple 可以提供这些密文记录和相关服务元数据，但它不持有把受保护的保险库内容还原为明文所需的备份密钥。

这是客户端加密在架构上的结果。Apple 可以交出它保存的 CloudKit 记录。要读取其中的保险库内容，仍需要由图案派生的备份密钥，或能打开加密恢复清单的恢复短语。

信任模型：信任数学，而不是公司

传统云存储需要您信任提供商。您相信他们会正确加密您的数据。您相信他们不会偷看您的文件。你相信他们会顶住政府的压力。您相信他们的员工不会滥用他们的访问权限。这是对一个你从未见过的组织的巨大信任。

Vaultaire 的加密 iCloud 备份减少了您需要托付 Apple 保密的内容。内容能否受到保护，取决于 App 是否正确派生密钥、是否正确使用 AES-GCM，以及您的图案和恢复短语是否不落入服务商手中。您仍需信任 Vaultaire 客户端、iOS、您已解锁的设备，以及 Apple 能让存储的记录保持可用。

如果 Apple 的服务器遭到破坏，您的数据是安全的，因为攻击者会获取加密噪音。如果流氓 Apple 员工访问您的文件，您的数据，是安全的，因为他们会看到加密的噪音。如果 Apple 明天更改其隐私政策，您的数据，是安全的，因为政策不会覆盖数学。无论谁存储数据、如何存储数据或者他们如何访问数据，加密都会保护您。

任何加密 App 都无法消除信任。Vaultaire 的设计把 Apple 的角色缩小为存储和传输加密记录，而客户端仍需正确实现加密，您的设备仍需在使用过程中保护密钥和明文。

在新设备上恢复您的保险库

这就是加密备份证明其价值的地方。您的手机不见了，丢失、损坏、被盗、升级。您的保险库已备份到 iCloud。接下来会发生什么。

步骤 1：在新设备上安装 Vaultaire

从新 iPhone 或 iPad 上的 App Store 下载 Vaultaire。该 App 检测到您的 iCloud 账户中存在加密备份。

第 2 步：绘制图案

Vaultaire 会显示熟悉的 5×5 网格。您绘制创建备份时用过的同一个图案。由于备份密钥的派生不依赖设备，同样的图案和网格大小会在新设备上生成同样的备份密钥。本地设备盐值不参与这次云备份派生。

第 3 步：您的保险库解密

加密备份从 iCloud 下载并在新设备上本地解密。您的照片、视频和文档将按照您离开时的原样重新显示。对于小型保险库，整个过程需要几秒钟，对于大型保险库，整个过程需要几分钟。在此过程中，Apple 或任何其他人都无法访问您的未加密数据。

您也可以用恢复短语代替图案。它不会直接重新生成同一个密钥。Vaultaire 从短语派生恢复密钥，取回该短语对应的加密恢复清单，解包其中存储的保险库密钥和备份密钥，再恢复加密的数据块。两条路径经由不同的密钥层级到达同一份备份。

默认开启，可以关闭

加密 iCloud 备份默认开启，免费版和 Pro 版都是如此。它每 24 小时运行一次，除非您更改网络设置，否则只在 Wi-Fi 下运行。手机丢失或损坏远比加密备份被破解常见，因此新保险库从一开始就有一份可用于恢复的副本。

有些人不希望 Vaultaire 通过 CloudKit 上传保险库记录。如果您关闭 Vaultaire 备份，也不使用同步和共享，App 就不会发起这些保险库数据传输。这与 Apple 的系统备份行为是两回事：根据您的 iOS 和 Apple 账户设置，iCloud 或电脑上的设备备份可能包含 App 容器数据。如果您的威胁模型要求手机是唯一的副本，请检查并控制这些系统备份。

保持备份开启，意味着您的数据会有一份加密副本存放在 Apple 的服务器上，换来的是设备丢失后仍能恢复保险库。该副本是加密的，可读的解密凭证仍由您掌握，Apple 收不到可读的保险库内容。但副本确实存在，拿到 CloudKit 数据的人可以离线尝试猜测图案。如果您的威胁模型要求手机是唯一的副本，请关闭备份。

您可以随时关闭 Vaultaire 的 CloudKit 备份。关闭后，Vaultaire 会从其私有 CloudKit 数据库中删除这份加密备份。这不会检查或清除单独的 iOS 设备备份、电脑备份、导出的文件、共享副本或对等设备上的数据。

备份，不同步

重要的是要了解加密的 iCloud 备份不是什么。它不是设备之间的实时同步。它不是您的保险库的实时镜像，每次您添加照片时都会更新。

加密的 iCloud 备份会保留可恢复的版本。当您手动触发备份，或解锁后 Vaultaire 的 24 小时条件检查通过时，App 会暂存保险库的当前状态并上传加密记录。未更改的组件可以与最新版本去重，中断的上传可以续传。之后添加的文件会在下一个版本完成后出现在备份中。

这种分工是有意为之。备份保留用于恢复的版本；Vaultaire 的设备同步功能负责让多台设备持续保持一致。备份流程仍要处理暂存、去重、分块上传、重试、版本目录和恢复事务，因此它的安全性既取决于密码学，也取决于这些机制。

把它想象成一个保险箱。您不会不断地来回传送文件。您将重要文件的副本放入盒子中，如果您的房子被烧毁，您可以去银行取回它们。原创与你同在。备份会安静地等待，直到您需要它为止。当您手动触发备份或 App 在 Wi-Fi 和电源状态下检测到您的保险库发生重大更改时，