Obscura Photo Vault 安全嗎？

1. 它能讓哪些人看不到你的照片

這款 App 是我們做的，閱讀本頁時請記住這一點。我們盡量把它寫成你不需要信任我們也能判斷。每一項說法都附上連結，指向你可以閱讀或測試的東西。

「安全」只有在說清楚「防誰」之後才有意義。以下是淺白的版本，逐一說明。

前四列是這款 App 的設計目標。第五列取決於第二個保險箱，第 5 節會說明它的極限。最後兩列發生在保險箱開啟時，所以光靠加密幫不上什麼忙。大多數保險箱 App 都有這些限制，我們的「保險箱 App 安全嗎」指南解釋了原因。

2. 照片在 App 裡會經歷什麼

以下說明適用於 1.14 及以後的版本。完整細節請見我們的安全性白皮書。

先上鎖，再儲存

你加入照片時，App 會先在記憶體中把它加密，只有上鎖後的版本會寫入手機。小的預覽圖也會上鎖，資料夾清單、名稱和標籤也一樣。唯一的例外是影片：影片輸入時，iOS 會短暫把一份可讀取的副本放在暫存檔中。上鎖的副本一寫好，App 就會刪除它。

你的密碼解開一把金鑰，金鑰再鎖住照片

每個保險箱都有自己的主金鑰。它是一個很長的隨機數，在你建立保險箱時產生一次。你的密碼並不是直接鎖住照片，而是用來解開那把主金鑰。

把密碼轉成金鑰的過程是刻意放慢的。在 iPhone 上大約需要一秒，因為 App 會把同一個步驟重複 600,000 次。一秒對你來說不算什麼，但對嘗試幾百萬次猜測的人來說，累積起來就是非常久的時間。我們的加密名詞淺白說明解釋了這些數字。

每個檔案都有防竄改封條

每個上鎖的檔案都帶有一道封條。只要有一個位元組被改動，檔案就會拒絕打開。它的設計就是不讓你看到被悄悄改過的東西。

播放影片時，手機上不會留下可讀取的副本

播放影片時，App 只會在記憶體中解開正在顯示的那一段。不會有可讀取的影片副本寫入手機的儲存空間。

保險箱鎖定時，金鑰會被清除

鎖定保險箱會把主金鑰從記憶體中清除。要再看到任何內容，你需要密碼或 Face ID。

你的照片可能會去哪裡

只有三個地方：手機、你的 iPhone 備份，以及你自己製作的任何輸出檔。在備份和輸出檔中，檔案仍然是上鎖的。App 不會傳送任何東西給我們，因為根本沒有地方可以傳。

3. 為什麼你不必只聽我們的說法

大多數保險箱 App 都說會保護你的照片，但很少說明怎麼做。2026 年 8 月，我們閱讀了評分數量最多的五款保險箱 App 的 App Store 頁面。沒有一款寫出它的加密方法和設定，其中一款寫的是「軍事等級」。你可以在我們的照片保險箱 App 比較中看到這些引文。

這樣的說法要你相信它。我們試著給你的不只是一句話，而是三個步驟，每一步都讓你少依賴一點對我們的信任。

第 1 步：寫成文字的設計，連同它的限制

安全性白皮書說明了 App 如何鎖住你的照片，還有一整節專門說明 App 無法防範什麼。寫成文字的說法，讓你可以要求我們負責。但它終究只是文字。

第 2 步：程式碼本身

負責上鎖的程式碼是公開的。它叫做 ObscuraCrypto，任何人都能在 GitHub 上閱讀。它涵蓋你的密碼如何變成金鑰，以及每一張照片、每一部影片、每一張預覽圖、每一個受保護的資料夾和每一個備份檔如何上鎖。

困難的部分只使用 Apple 自己的基礎元件，沒有使用其他公司的程式碼。它附有測試，其中一些測試會打開由 App 本身寫出的範例檔案。這證明公開的程式碼讀得懂 App 寫出的東西。

第 3 步：你自己的手機

這一步完全不必依賴我們。專案附有一份逐步說明，教你在自己的 iPhone 上檢查檔案。你需要一台 Mac 和大約二十分鐘。你在 Mac 上備份手機，從備份中複製出保險箱檔案，再執行幾項檢查：

• 這些檔案不是可讀取的照片。它們的開頭和照片或影片檔不同，而且壓縮後不會變小，上鎖的資料就是這樣。
• 只有你的密碼能打開你的保險箱。它剛好打開一個保險箱檔案。其他每個檔案都給出同樣的回應：密碼錯誤。
• 更改密碼不會重寫任何東西。改了密碼後再檢查一次，每個照片檔都和之前完全一樣。改變的只有主金鑰上的鎖。
• 竄改會被發現。改動檔案中的一個位元組，它就會拒絕打開。

這些都不需要我們的任何協助。簡單來說，你是拿自己手機上的檔案，來對照我們對這款 App 的說法。

如果這款 App 有一天消失了

同一個公開專案附有一個 Mac 用的小工具。它能用你的密碼打開 Obscura 備份檔，把你的照片和影片輸出成一般檔案。所以你保存的備份檔不依賴這款 App，也不依賴我們。設有獨立密碼的資料夾中的照片是例外，因為它們的第二把金鑰存在 App 內。

4. 公開的程式碼無法證明什麼

公開程式碼是很大的一步，但它有極限。以下是重要的幾項。

• 你手機上的 App 是由這份程式碼建置的。每個 App Store App 在送到你手上之前，Apple 都會重新簽署並加密。所以 Apple 以外的人都無法證明下載的 App 來自哪份程式碼。上面那些檢查能證明的是：你的檔案和公開的程式碼完全吻合。這不可能是巧合。
• App 的其他部分。畫面、資料庫、十個保險箱位置如何運作，以及從記憶體中清除金鑰，都不在公開的程式碼裡。安全性白皮書有說明這些，但你無法閱讀那部分的程式碼。
• 已經有專家審查過。目前沒有任何外部資安公司稽核過這款 App 或這份程式碼。公開程式碼讓審查成為可能，但不代表已經有人審查過。

5. 仍然存在的風險，以及各自的可能性

以下依可能性由高到低排列。每一項都說明發生的可能性，以及後果有多嚴重。

• 忘記密碼
• 留在「照片」裡的原始檔
• 密碼太弱，而有人拿到你的資料副本
• 保險箱開啟時有人看到螢幕
• 在你身邊的人使用 Face ID
• 「獨立保險箱」，以及它的極限
• 大型影片庫中一個罕見的小風險
• 手機上的惡意軟體
• 別人看得到你手機上有這款 App

忘記密碼

可能性：最可能讓你失去照片的情況，遠比任何攻擊更可能發生。嚴重程度：永久性的。沒有人能重設它，包括我們。

這和「別人都打不開」是同一件事，只是從另一面來看。請把密碼存在密碼管理工具裡，並把一份輸出檔放在安全的地方。我們的忘記保險箱密碼指南兩者都有說明。

留在「照片」裡的原始檔

可能性：非常常見。嚴重程度：任何知道你 iPhone 密碼的人都能看到那張照片。

把照片加入保險箱是複製一份。原始檔會留在你的圖庫中，直到你刪除它。刪除後，它會在「最近刪除」裡待 30 天，並留在「iCloud 照片」中直到刪除同步完成。保險箱 App 無法自己清除所有這些地方，所以刪除原始檔得靠你自己。我們的照片會留在 iPhone 哪些地方指南列出了每一個位置。

密碼太弱，而有人拿到你的資料副本

可能性：低。對方需要你手機資料的副本，例如電腦上的備份，還要花時間和力氣。嚴重程度：對方可能打開那個保險箱。

有了副本，對方就能在電腦上以最快速度嘗試密碼。緩慢的金鑰步驟讓每次猜測的成本更高，但救不了弱密碼。公開專案針對一張高效能顯示卡提供了以下的大略時間：

這些只是範例，請不要使用。印在網頁上的密碼，正是攻擊者最先嘗試的那一批。「隨機」在這裡很重要：名字加上年份，或一句歌詞，就算很長也還是一種模式。讓密碼管理工具幫你挑選單字或字元。

請使用四個以上的隨機單字。在手機上直接猜很慢，但 App 額外的等待時間要在連續輸錯 100 次之後才會開始，而且 App 重新啟動時計數也會歸零。我們在安全性白皮書中有寫明這一點。真正的煞車是每次猜測所需的那一秒。

保險箱開啟時有人看到螢幕

可能性：視你的生活狀況而定。嚴重程度：對方會看到螢幕上的內容。

加密只保護上鎖的檔案。App 會在 App 切換器中隱藏它的內容。預設在五分鐘沒有使用後自動鎖定。你可以設成立即鎖定，也可以關閉自動鎖定，這樣它會一直開著，直到你自己鎖定。

在你身邊的人使用 Face ID

可能性：低。需要有人和你及你的手機在一起。嚴重程度：保險箱會被打開。

臉比密碼更容易取得。如果你擔心的是身邊親近的人，請關閉保險箱的 Face ID，只使用密碼。

「獨立保險箱」，以及它的極限

可能性：低。已知的漏洞需要直接存取你手機的儲存空間，或是非常了解這款 App 的人。嚴重程度：對方可能看出你使用了不只一個保險箱。

日常情況下效果很好。有人要求看你的照片，你就打開第二個保險箱，裡面放的是你不介意給人看的照片。它是真正的保險箱，不是假的。App 裡沒有保險箱清單，也沒有數量，螢幕上也沒有任何跡象暗示還有另一個保險箱。

手機上的檔案也設計成一致。App 永遠保留十個保險箱檔案，不論有沒有使用，而且它們的產生方式都一樣。解鎖時會檢查每一個檔案，所以花費的時間不會透露是哪個保險箱被打開。要使用第二個保險箱，需要升級到 Pro。

已知的漏洞都在 App 之外：照片檔的總數、第十一個保險箱，以及 iCloud 鑰匙圈。知道這款 App 允許多個保險箱的人，也可能就是一直追問。我們的「獨立保險箱」指南逐一解釋了這些情況。

大型影片庫中一個罕見的小風險

可能性：非常低。一個保險箱裡有 500 部大型影片時約為 35,000 分之 1，有 10,000 部時約為 90 分之 1。嚴重程度：有限。

每部大型影片都會有一個簡短的隨機標記，讓它和其他影片區分開來。極少數情況下，兩部影片可能拿到同一個標記。同時擁有這兩個檔案的人，就能稍微得知兩者之間的關係。但他們仍然打不開保險箱或任何其他檔案。未來版本的檔案格式將會消除這個問題。

手機上的惡意軟體

可能性：對大多數人來說很罕見。Apple 形容入侵最新版 iPhone 的攻擊「極為罕見且高度複雜」。嚴重程度：如果發生在你使用保險箱的時候，後果嚴重。

一般 App 碰不到保險箱。iOS 會把每個 App 的檔案和記憶體彼此隔開，所以你手機上的其他 App 無法讀取保險箱檔案，也無法在 App 執行時窺看它的內部。風險在於能打破這道牆的軟體，也就是 iOS 本身的漏洞、越獄的手機，或由你不信任的人安裝的描述檔。

這類軟體能取得什麼，取決於保險箱當下的狀態：

• 保險箱鎖定時：只有上鎖的檔案。這和拿到你資料副本的人一樣，強密碼也能以同樣的方式保護你。
• 保險箱開啟時：主金鑰在 App 的記憶體中，螢幕上的照片也是。已入侵手機的軟體可以複製它們。
• 你解鎖時：它可以監看螢幕，或在你輸入時攔截密碼。

所以這類攻擊不需要破解加密，它只要等你打開保險箱。保險箱開著多久，取決於你的自動鎖定設定。預設在五分鐘沒有使用後鎖定，你也可以設得更短。如果關閉自動鎖定，保險箱和它的金鑰會一直開著，直到你自己鎖定。

保險箱鎖定時，App 會從記憶體中清除金鑰。照片加入後，App 不會在儲存空間中保留任何可讀取的副本，所以鎖定的保險箱不會留下任何可讀取的東西。

你可以做的事：保持 iOS 為最新版本、不要越獄手機，也不要安裝你不信任的人提供的描述檔。保持自動鎖定開啟，並設定較短的時間。如果你認為自己是特定攻擊的目標，Apple 的「封鎖模式」（Lockdown Mode）就是為此設計的。

別人看得到你手機上有這款 App

可能性：必然。嚴重程度：對大多數人來說很輕微。

這款 App 會出現在你的主畫面和 App Store 購買項目中。加密能隱藏保險箱裡的內容，但無法隱藏保險箱的存在。

6. 我們能做和不能做的事

這款 App 沒有帳號，也沒有伺服器。這從兩個方向決定了我們能為你做什麼。

• 我們看不到你的照片。它們永遠不會傳到我們這裡。
• 我們無法重設你的密碼，也無法幫你找回保險箱。
• 我們不會因為資料外洩而弄丟你的照片。我們沒有保存任何屬於你的東西可以弄丟。
• 我們不收集關於你的資料。App Store 的隱私權標籤寫的是「未收集資料」。這個標籤是我們自己填的答案，Apple 不會查核。你可以自己測試：這款 App 在飛航模式下也能完整運作。

如果開啟了「iCloud 備份」，你的保險箱也會以上鎖檔案的形式包含在內。沒有你的密碼，Apple 也無法讀取。我們的刪除或搬移保險箱 App 指南說明了備份和換新手機的情況。

7. 適合誰，不適合誰

適合你的情況：你希望照片在別人拿到你的手機或知道你的 iPhone 密碼時仍然無法讀取，而且你會妥善保管密碼。如果你想親自查證這些說法，而不只是讀過，它也適合你。

該考慮其他選擇的情況：你需要有人能幫你重設忘記的密碼，或希望照片透過雲端帳號在多部裝置間同步。雲端保險箱是另一種取捨。我們的保險箱 App 安全性指南說明了它的得與失。

8. 常見問題

Obscura Photo Vault 安全嗎？

就它的設計用途而言，是安全的，而且你可以親自檢查。你的照片在手機上用一把金鑰鎖住，這把金鑰由只有你知道的密碼產生。沒有帳號，也沒有伺服器。負責上鎖的程式碼是公開的。它無法防範所有事情。最大的實際風險是忘記密碼，因為沒有人能重設它。

Obscura Photo Vault 的開發者看得到我的照片嗎？

看不到。這款 App 沒有伺服器也沒有帳號，所以你的照片永遠不會傳到我們這裡。我們沒有你的密碼，也沒有任何金鑰。這也是為什麼我們無法幫你重設忘記的密碼，或幫你找回保險箱。

Obscura Photo Vault 是開放原始碼嗎？

加密的部分是。把你的密碼轉成金鑰、並鎖住你的照片、影片、資料夾和備份的程式碼，以 ObscuraCrypto 的名稱公開在 GitHub 上。App 的其他部分，例如畫面和資料庫，則沒有公開。

Obscura Photo Vault 經過獨立稽核嗎？

沒有。目前沒有任何外部資安公司審查過這款 App 或它的加密程式碼。程式碼公開，是為了讓任何人都能審查，安全性白皮書也詳細說明了設計。這讓審查成為可能，但不代表已經有人審查過。

不用 App 也能拿回我的照片嗎？

可以，透過備份檔。公開的 ObscuraCrypto 專案附有一個 Mac 用的小工具，能用你的密碼打開 Obscura 備份檔，把照片和影片輸出成一般檔案。唯一的例外是設有獨立密碼的資料夾中的照片，因為它們的第二把金鑰存在 App 內。

Obscura Photo Vault 和 Obscura 相機 App 是同一個嗎？

不是。Obscura Photo Vault 是 Orlio Inc 製作的加密照片保險箱。手動相機 App Obscura 是另一款 App，由另一位開發者製作。本頁只談照片保險箱。