设备同步：一个保管库，iPhone和iPad都能用

设备同步让同一个Vaultaire保管库在登录同一个iCloud账户的所有Apple设备上都能使用。它把加密iCloud备份当作传输通道，把全部同步账目留在已加密的保管库里，并且从不把你的图案变成账户密码。

这和用iCloud同步照片有什么不同

iCloud照片同步的是你的图库。它快，也确实好用，代价在于被搬运的单位：一台设备上有的东西，该账户的每台设备上都会有，而保存文件的服务能读到它们。

设备同步搬运的是保管库，不是图库。单位是保管库，而且由你决定哪些参与。经过网络的是已加密的记录，没有从你图案派生出的密钥，它们什么也不是。已同步保管库里的照片不会出现在任何设备的照片App里，不在回忆里，不在共享相簿里，也不在能用你Mac的人可以随手翻的图库里。

两套系统各走各的。为某个保管库打开同步不会改变iCloud照片的任何设置，关掉iCloud照片也不会停掉任何保管库。

如何在iPhone和iPad之间同步照片保管库

1. 为该保管库打开加密iCloud备份

设备同步建立在加密iCloud备份之上，所以那个开关必须对你要用的保管库打开。这个设置按保管库生效，不是全局的。你从不外发的保管库会留在一台设备上，一条云端记录也不产生。

2. 在第二台设备上打开同一个保管库

让第二台设备登录同一个iCloud账户，装上Vaultaire，画出同一个图案。图案在本机生成同一把密钥，只有这把密钥能解开第一台设备写下的记录。没有任何东西发给我们，也不会创建任何账户。

3. 让两台设备碰上面

同步在App回到前台时运行，也在iCloud告知有改动时运行。每台设备取回新的加密记录，合并改动历史，然后把保管库状态写到本地。在一台设备上添加的文件，会在这样一轮之后出现在另一台上。

两台设备同时改动时，合并会怎么做

同步系统的裂口，出在两台设备同时动手的那一刻。Vaultaire把这个裂口封在已加密的保管库内部，用的是专门为照片保管库挑的规则。

一次添加，胜过一次从未见过该文件的删除。如果iPad删掉一个文件，而离线的iPhone同时在添加另一个，两边的意图都活下来：删除只作用于iPad真正见过的东西，iPhone上的新文件不会被一并卷走。只有当另一台设备的历史显示它见过某个文件时，删除才会把该文件从那台设备上拿掉。

完全相同的文件会合成一份。在两台设备上保存同一张照片，合并看到的是一条记录，而不是两份需要你事后清理的副本。重复的加密数据块会走清理旧备份状态的同一条路径被回收。

合并不在乎顺序。跑两遍，或者按不同顺序应用改动，得到的仍是同一个保管库。正因如此，两台设备无需任何服务器来裁定谁赢，就能收敛到同一个状态。

iCloud实际存了什么

每条同步记录，都是你私有iCloud数据库中单一区域里的一条记录。每条记录名为随机UUID，类型与Vaultaire写入的其他一切相同，尺寸经过填充。哪个文件属于哪个保管库、哪台设备加了什么、改动计数和删除标记，全都在已加密的数据部分里。

这个形状是刻意选的。如果同步记录按内容命名，如果每个保管库各占一个区域，或者设备标识渗进了结构定义，那么存储层本身就会说出你有几个保管库、用了几台设备，一次解密都不需要。Vaultaire把这层结构关在信封里面。从云端看过去，一个有两台设备和若干保管库的人，更像一台备份比较勤快的设备。

Apple仍能看到的是普通的运行数据：有记录被写入、填充之后的大致尺寸，以及发生的时间。这是诚实的边界。Vaultaire藏不住网络流量存在这件事，也不会反着说。

iPhone和iPad之间照片不同步时

同步卡住不动，原因几乎总在一份很短的清单里。按顺序排查。

该保管库的备份是关着的。设备同步需要该保管库的加密iCloud备份，两台设备上都要有。为一个保管库打开，帮不到其余的保管库。

保管库还没打开。一个保管库的同步任务需要一个经图案确认、正在进行的会话。锁着的设备不会同步该保管库，这是有意为之。

账户不是同一个。两台设备必须在同一个iCloud账户下，并且能用iCloud Drive。第二个Apple账户会得到两个永不相遇的独立保管库，哪怕图案一模一样。

iOS还没给App时间。同步在前台运行，也靠推送触发。如果接收端设备上的App是关着的，把它打开，给它一点时间和一条可用的连接。

设备已断开连接。如果你用过“断开此设备”，这台设备会保留本地副本，并停止交换改动，直到你重新打开同步。

设备在胁迫模式下被清除过。一次紧急解锁之后，Vaultaire会刻意把这台设备移出同步，好让这次清除永远不会像一次普通删除那样蔓延到你的其他设备。回到同步是一个明确的动作，需要恢复短语。

控制、隔离与恢复

“断开此设备”只在本机生效。它停掉你手上这台设备的发送和拉取，把保管库留在机器上，不吊销伙伴设备的权限，也不删除云端副本。清掉本地数据是另一个需要你有意去做的步骤。

紧急隔离保护你其余的设备。胁迫模式只在本机生效：它清除这台设备上的东西，保持加密iCloud备份原样，并把这台设备移出同步。此后它不会自行把隐藏保管库的状态拉回来。你用各自的恢复短语，一个一个有意识地恢复。

在一个已打开的保管库里，设置页显示的是“此设备 + 另外1台设备”这样的数字。它从不显示设备名称、标识，或任何关于你其他保管库的信息；在保管库打开之前，它什么也不显示。参与设备的数量对你有用；一份设备名单则是等着发生的泄露。

把恢复短语和设备分开保存。如果图案和短语都丢了，这套系统里没有任何一部分能把密钥找回来，我们也不能。

设备同步不做什么

这不是实时协作。两个人在同一秒改同一个保管库，不是它要解的题；合并是按轮次跑的，不是按每一次点击。

它不跨Apple账户同步，也不去Android、Windows或网页端。传输通道是你的私有iCloud数据库，所以设备同步止步于你的账户止步的地方。

它不替代你自己掌管的备份。加密iCloud备份应对的是设备丢失，设备同步应对的是在两台设备上干活。两者有重叠，但剩下的事情都要靠恢复短语。