可離線使用、不需帳號的照片保險箱

1. 「不需帳號」實際上代表什麼

帳號是伺服器上一筆知道你是誰的紀錄。雲端保險箱能為你做的每一件事，都來自這筆紀錄。它可能對你造成的每一件事，也一樣。拿掉它，就會同時成立四件事：

• 沒有任何伺服器認得你。沒有電子郵件地址、沒有使用者 ID，也沒有你何時打開 App 的紀錄。
• 沒有東西可以重設。忘記密碼就是永久的，因為沒有人持有金鑰的第二份副本。
• 沒有東西可以外洩。沒有可以外流的使用者名單，也沒有可以被釣魚或盜用的帳號。
• 沒有東西可以交出。沒有你的資料副本、也沒有金鑰的開發者，不論誰來要求，都沒有東西可以給。

這四點是同一個設計選擇，從四個面向來看。第二點是代價，另外三點是好處。少了那一個代價，就不會有這三個好處。

2. 飛航模式測試

關於保險箱 App 的大多數說法，你都只能閱讀。這一項則可以實際測試。

1. 安裝 App 並完成設定。
2. 開啟飛航模式，並確認 Wi-Fi 也已關閉。
3. 建立一個保險箱、加入照片、鎖定、解鎖、查看、輸出。

在沒有連線的情況下能做到以上所有事情的 App，在你離線時並沒有上傳任何東西。這是你親眼看到的，不是別人告訴你的。它也排除了一整類設計：需要伺服器才能運作的 App，會在第 3 步失敗。

3. 你要放棄什麼

只列出好處的頁面就是行銷。以下這些代價是真實的，對某些人來說，它們就是決定因素。

• 無法同步。保險箱只在一支手機上。除非你輸出再輸入，否則 iPad 或第二支手機看不到它。
• 不會自動把副本存到手機以外。在沒有輸出檔案的情況下弄丟手機，保險箱就沒了。能避免這件事的習慣要靠你自己維持，而不是靠 App。
• 無法救回。忘記密碼，就沒有人能把內容找回來。這是人們在加密保險箱中失去照片最常見的方式，而且遠比任何攻擊更可能發生。在依賴它之前，值得先讀一讀這在實際上代表什麼。
• 沒有人可以求助。客服可以說明 App 怎麼用，但無法打開你的保險箱，因為這種能力根本不存在。

有帳號的保險箱，則是把這四點反過來取捨。兩者都不是錯誤的選擇。四種 App 都整理好了，讓你在了解之後再做選擇。

4. Obscura Photo Vault 的做法

這是我們自己的 App，所以請把以下內容當作利害關係人的說法來讀。這些事實可以用上面描述的方式，以及安全性白皮書來檢驗。

• 不需帳號。設定只需要一組密碼。沒有註冊畫面，因為根本沒有東西需要註冊。
• 不需網路。沒有任何保險箱功能需要連線。購買或回復購買 Pro 會透過 App Store 進行，和每個 App 的購買一樣。
• 沒有伺服器。照片、影片和資料庫在手機上以 AES-256-GCM 加密，使用的金鑰由你的密碼經過 600,000 次 PBKDF2 運算產生，而且它們都留在手機上。
• App Store 隱私權標籤上寫著「未收集資料」。沒有分析工具，沒有使用情況回報。這是我們針對自己的軟體填寫的表單，不是任何人核發的證明。它和其他人的標籤一樣，值得同樣的懷疑。
• 輸出作為備份。保險箱可以輸出成一個已加密的檔案，受到和保險箱本身相同的加密與相同的密碼處理保護。所以把它存放在雲端或電腦上也沒問題。在新手機上輸入它，保險箱就會回來。它如何搭配裝置備份運作，請見刪除保險箱 App，或把它搬到新 iPhone。

附帶一提，我們並不宣稱自己是唯一這樣設計的 App。這個類別裡也有其他 App 採用同樣的設計。排名比較整理了每一款 App 公開的資訊。

5. 離線無法防範的事

沒有伺服器，可以去除一整類風險。其他風險則完全維持原樣。

• 在保險箱打開時遭到入侵的手機。金鑰和可讀取的照片會在記憶體中，才能顯示出來。這跟伺服器無關，也不需要伺服器。
• 知道你密碼的人。離線對這一點沒有任何影響。
• 裝置備份。手機的 iCloud 或電腦備份包含 App 資料。對加密保險箱來說，這些資料是一團亂碼，需要密碼才能打開。但它確實存在，而且在一個你可能不會把它當成保險箱的地方。
• 原始照片。你輸入的照片仍然在「照片」裡，接著在「最近刪除」裡，然後在「iCloud 照片」中，直到刪除同步完成為止。保險箱的離線設計管不到這些地方。
• App 本身看得到。已安裝的 App 會出現在「設定」和購買記錄中，不論它們怎麼使用網路。

這就是為什麼「離線」只是多項特性之一，而不是最終結論。照片保險箱 App 安全嗎一文涵蓋了其餘部分。

6. 常見問題

有不需要帳號的照片保險箱 App 嗎？

有。Obscura Photo Vault 不需註冊，也沒有伺服器。你設定一組密碼，之後 App 就能在沒有網路連線的情況下運作。這個類別裡也有其他 App 採用同樣的設計。可以在 App Store 的介紹頁確認，因為需要帳號的 App 一定會註明。任何在飛航模式下仍能完整使用的 App，在離線時都沒有在上傳東西。

離線的照片保險箱 App 會上傳你的照片嗎？

沒有伺服器的 App 沒有地方可以上傳，而這正是你可以親自測試的說法：開啟飛航模式，然後使用它。這項測試無法證明的，是 App 連上網路時會做什麼，也無法證明它的隱私權標籤寫了什麼，那是開發者自己的說法。除了做測試，也請閱讀標籤。

使用離線保險箱，你要放棄什麼？

裝置之間的同步。手機遺失後仍然存在的副本，除非你自己輸出一份。還有任何形式的密碼重設，因為沒有帳號可以寄送重設連結。這些和「沒有伺服器、不收集資料」是同一件事，只是從另一面來看。

Obscura Photo Vault 會收集任何資料嗎？

它在 App Store 的隱私權標籤寫的是「未收集資料」。App 沒有分析工具、沒有使用情況回報，也沒有伺服器。這個標籤是我們自己的說法，沒有人稽核，和每個開發者的標籤一樣。你可以自己確認的部分，是 App 在完全沒有連線時也能運作。

離線保險箱還能備份嗎？

可以，有兩種方式。加密的輸出檔案可以存放在任何地方，包括雲端，因為沒有密碼就無法讀取。另外，手機的 iCloud 或電腦備份會把 App 的資料以已加密檔案的形式帶過去。在新手機上，它們仍然需要保險箱密碼。