照片保險箱 App 安全嗎？

1. 「安全」應該代表什麼

防範什麼？防範誰？大家期待保險箱 App 做兩件不同的事。「它安全嗎」的誠實答案，取決於你指的是哪一件。

• 讓照片不被看見：例如有人拿著你的手機，或小工具、「回憶」把照片翻出來的時候。幾乎所有這類 App 都做得到，內建的「已隱藏」相簿也一樣。
• 讓檔案無法被讀取：即使有人拿到手機和 iPhone 密碼，或取得儲存空間的副本也一樣。只有用另一組獨立於 iPhone 密碼的密碼為檔案加密的 App 才做得到。這才是照片保險箱 App 這個名稱所暗示的意思。

這類 App 以第二件事為賣點，實際上卻常常只做到第一件。這不一定是欺騙，因為對很多人來說，第一件事就是全部的問題。問題出在有人為了第二件事挑選 App，拿到的卻只有第一件。本頁接下來說明如何分辨，以及第二種 App 仍然做不到什麼。

2. 五個可以查證的跡象

這些都能從 App Store 頁面和開發者網站看出來，不必先安裝任何東西。我們的排名比較把這些標準套用在六款具名的 App 上，並附上資料來源。這裡是通用版本。

它說明加密了什麼，以及如何加密

包括加密方法、把密碼轉換成金鑰的方式和運算次數，以及涵蓋的範圍：照片、影片、縮圖，還有記錄名稱和相簿的資料庫。這是四樣不同的東西。「AES-256-GCM、PBKDF2 運算 600,000 次」是一項你可以查證、也可以要求開發者負責的聲明。「銀行等級」或「軍事等級」則什麼都沒承諾，一個只加密設定的 App 也能理直氣壯地這樣說。這些術語的意思另有一篇指南說明。

它說明開發者能不能把你的照片找回來

這是最能說明問題的一個問題。如果答案是「能」，就表示開發者握有某樣東西，不需要你的密碼就能解鎖你的檔案。這種保護針對的是外人，而不是開發者。如果答案是「不能」，忘記密碼就無法挽回。兩種做法都合理，有問題的是不肯清楚回答的開發者。

它的隱私權標籤和宣傳相符

「App 隱私權」區塊是開發者說明 App 會收集哪些資料的地方。讀的時候看它是否合理。一個提供雲端備份的 App 列出「使用者內容」是說得通的。一個主打「什麼都不會離開你的手機」，卻列出大量追蹤項目的 App，就值得仔細讀讀它的隱私權政策。這個標籤是開發者自己填的答案，沒有人會核對，我們的也一樣。

它在飛航模式下也能使用

這是唯一一個可以實際測試、而不只是閱讀的跡象。安裝 App，開啟飛航模式，照常使用。完全能離線運作的 App，在離線時不會上傳任何東西。這無法證明它連線時做了什麼，但這是你親眼看到的，而不是別人告訴你的，在這類 App 中這樣的事並不多。

它寫出自己的限制

這是最強的跡象。每一種真正的設計都有限制。仔細想過的開發者能說出這些限制，因為打造 App 時必須把它們想清楚。找找看有沒有一個寫著「無法防範」的安全性頁面。只列出優點的頁面，代表不是沒有人去檢視，就是有人檢視了卻選擇不說。

3. 適用於所有保險箱 App 的風險，包括我們的

這些風險不會因為加密更好而消失。Obscura Photo Vault 同樣面臨這四種風險，安全性白皮書也寫明了這點。

忘記密碼

對於無法重設的加密保險箱，這是你最可能失去照片的方式，遠比任何攻擊更可能發生。它和「沒有其他人打得開」其實是同一件事，只是從另一面來看。能防範這點的兩個習慣（使用密碼管理工具，以及保留一份測試過的輸出備份）寫在忘記保險箱密碼會怎樣這篇指南裡。

原始照片

保險箱開啟時手機遭到入侵

為了顯示照片，App 必須先把它解密。所以金鑰和可讀取的照片都會在記憶體中。那一刻在 App 內執行的任何東西都可能接觸到兩者。沒有任何 App 層級的加密能修補一支已被入侵的手機，也不應該有開發者聲稱可以。

App 看得見，手機也是

保險箱圖示本身就表示裡面有東西。偽裝能改變圖示，但改變不了 App Store 的購買記錄或「設定」中的 App 列表。截圖、螢幕錄影，以及有人從你背後偷看，都發生在照片解密之後。加密能隱藏內容，卻無法隱藏「有東西要藏」這件事。

4. 有伺服器的保險箱特有的風險

同步到帳號的保險箱確實有好處：能在多台裝置上使用、手機遺失後仍有一份副本，而且通常可以重設密碼。但它也多了第二個存放你資料的地方，帶來只存在手機上的保險箱所沒有的風險：

• 存有副本的伺服器，有它自己遭入侵的風險、自己的員工，以及自己要面對的法律問題。
• 可能遭受攻擊的帳號，可能透過網路釣魚、SIM 卡盜用，或重複使用外洩的密碼，而且獨立於保險箱密碼之外。
• 帳號救援流程，這是一條可能出錯、被欺騙或被強迫的路徑。如果它能把照片還給你，原則上它也能把照片交給一個夠有說服力的人。
• 依賴開發者持續經營。已經輸出備份、只存在手機上的保險箱，即使開發者不在了也能留存。雲端保險箱則未必。

這些都不代表雲端保險箱整體來說不安全，而是代表另一種取捨。這個取捨的結果，取決於加密金鑰存放在哪裡。我們的四種 App 類型指南把各種設計並列比較。

5. 從外部無法查證的事

有兩件事無法查證。像本頁這樣的頁面若暗示可以查證，那就是在推銷什麼。

App 是否真的做到它所描述的。沒有原始碼或獨立稽核，「AES-256-GCM」就只是一項聲明。上面所有的檢查，測試的是開發者是否具體、是否坦白。這通常代表用心，但不能證明 App 是正確的。我們的 App 也沒有經過稽核。我們公開了為檔案加密的程式碼，而這能證明什麼、不能證明什麼另有一篇指南說明。

是否有細微的錯誤。大多數真實的加密失敗，都是好的方法被稍微用錯：重複使用了一個絕不該重複的數字、金鑰產生得太草率、縮圖在快取中留下可讀取的副本。這些在產品頁面上都看不出來，往往連公司外部的人都無從得知。

所以實際的目標不是確定無疑，而是把範圍縮小到那些提出可查證的聲明、也願意說明自身限制的開發者。然後把一份經過測試的輸出備份存放在安全的地方，這樣既能防範手機出問題，也能防範開發者出問題。怎麼做，以及刪除 App 實際上會移除什麼，寫在刪除或更換保險箱 App 這篇指南裡。

6. 常見問題

照片保險箱 App 安全嗎？

有些是安全的，但只限於特定的意義。它們在手機上用一把由你專屬密碼產生的金鑰為檔案加密，並以書面說明這樣做無法防範哪些情況。另一些則只是在一般檔案前面加一個 PIN 碼畫面，只能擋住旁人瞄一眼，其他幾乎沒有作用。「保險箱」這個詞本身分辨不出是哪一種。能告訴你的，是商店頁面上的加密說明、隱私權標籤，以及開發者有沒有寫出限制。

照片保險箱 App 看得到你的照片嗎？

要看是哪一種。沒有伺服器、也沒有帳號的 App 根本無處可傳送照片，你可以開啟飛航模式自己測試。會同步到雲端帳號的 App，會在它的伺服器上保留副本。開發者能不能讀取這些副本，取決於加密金鑰在誰手上。如果開發者能重設你的密碼並把照片還給你，就表示開發者握有一把金鑰。隱私權標籤是開發者自己填寫的答案，我們的也一樣，所以請把它當成聲明來看。

使用照片保險箱 App 最大的風險是什麼？

對於無法重設密碼的加密保險箱來說，最大的風險是忘記密碼，而且無法挽回。對於所有類型的保險箱來說，則是原始照片。你移進去的照片在你刪除之前仍留在圖庫裡，刪除後會在「最近刪除」中保留 30 天，在 iCloud 中則會一直存在到刪除同步完成。保險箱的隱私程度，取決於事後清理得是否徹底。

照片保險箱會被駭嗎？

任何軟體都可能有缺陷，本網站上沒有任何 App 被描述為不會受到攻擊。加密改變的是攻擊者需要什麼：你的密碼，或是在保險箱解鎖時取得手機。會加密、並說明自身限制的保險箱，能減少入侵的途徑，但無法讓這些途徑消失。

保險箱 App 比 iPhone 的「已隱藏」相簿更安全嗎？

兩者防範的對象不同。「已隱藏」相簿用你的 iPhone 密碼就能打開，而且會同步到 iCloud。加密保險箱只能用它自己的密碼打開，而且可以把所有東西都留在手機上。如果風險只是旁人瞄一眼，兩者效果相同。如果風險是有人知道你的 iPhone 密碼或能存取你的 Apple 帳號，只有加密保險箱能應付。