私密相册 App 安全吗？
“保险箱”听起来很让人安心，但这个词并不能说明 App 实际如何存储你的文件。有些保险箱 App 用从你的“秘密”派生出的密钥加密所有内容。另一些只是把照片放在普通文件夹里，前面加一个数字键盘。你没法检查代码，但从 App 告诉你的信息和它请求的权限中，可以看出很多东西。
请用下面的清单检查你在考虑的任何保险箱，包括我们的。
检查清单
1. 它是否说明了加密方式？
存储加密是指文件以打乱的形式存储，只有用正确的密钥才能读取。一款安全的保险箱会用通俗的语言告诉你：它使用哪种算法（例如 AES-256）、密钥如何从你的 PIN 码、密码或图案派生，以及密钥存放在哪里。
只有“银行级安全”这类空泛说法、却没有具体细节，是一个警示信号。只谈锁屏界面的描述也一样。好的答案是什么样的，请看 AES-256 加密详解。
2. “秘密”是否独立于设备密码？
如果保险箱用 Face ID 打开，并退回到你的 iPhone 密码，那么任何知道这个密码的人都能进去，这和系统内置的 “已隐藏”相簿 是同样的局限。独立的 PIN 码、密码或图案才是有意义的一层保护。
3. 隐私标签怎么说？
在 App 的 App Store 页面上，滚动到 “App 隐私”。Apple 把开发者的声明分为用于跟踪你的数据、与你关联的数据，以及不与你关联的数据。对于保险箱，理想情况下你会看到 “未收集数据”，或者一份简短、说得通的清单。标签是自行申报的，但如果一款隐私 App 列出了一长串标识符、使用数据和位置信息，就该让你停下来想想了。
4. 它是否要求注册账户？
基于邮箱的账户本身并不一定不安全，而且往往能实现备份。但这意味着这家公司知道你是谁、知道你在用保险箱，还多了一个可能被攻破或被钓鱼的账户。如果你不需要云功能，无需账户的保险箱 就能避免这些。
5. 有没有东西会上传到云端？
弄清楚你的照片是否会离开手机。如果有云备份，请确认它是端到端加密的（只有你持有密钥），还是仅仅在公司服务器上加密。我们的无需账户指南中介绍了一个简单实用的测试：在飞行模式下使用这个 App，看看哪些功能失效了。
6. 它是否靠广告盈利？
靠广告盈利的 App 通常嵌入了第三方广告 SDK，这些 SDK 会收集设备级数据，并发出你无法控制的网络请求。这并不意味着你的照片会泄露，但它扩大了参与其中的第三方范围。隐私标签通常会在“跟踪”部分体现这一点。
7. 卸载后会怎样？
iOS 上的 App 把文件存放在自己的私有容器中。当你删除一个 App 时，iOS 会删除这个容器，随之删除所有只存在设备上的保险箱内容。这对隐私有利，对你的数据却很危险。卸载任何保险箱之前，请导出你想保留的内容，并确认这个 App 是否还有需要你一并删除的云端副本。
8. 恢复机制是怎样的？
问问自己：如果忘了“秘密”或丢了手机，会发生什么。可能的答案有：
- 邮箱或账户恢复： 方便，但这意味着除你之外还有人能授予访问权限。
- 由你掌控的恢复密钥或备份： 很可靠，前提是你妥善保管。
- 无法恢复： 最私密的选择，也最不留余地。
没有哪一种适合所有人。重要的是 App 要坦诚地告诉你。我们如何处理这个问题，请看 忘记保险箱图案怎么办？
9. 它如何处理原图？
大多数保险箱在导入时会复制照片。原图会留在“照片”中，也可能留在 iCloud 中，直到你删除它；删除后，它还会在 “最近删除” 中保留大约 30 天。好的 App 会提醒你这一点；粗心的 App 会让你以为照片已经被移走了。我们的 导入后删除原图 指南介绍了如何清理。
危险信号一览
| 信号 | 为什么重要 |
|---|---|
| 完全没提文件如何加密 | 可能只是一个锁屏界面 |
| 以设备密码作为备用解锁方式 | 知道你密码的人都能进去 |
| 隐私标签很长且包含跟踪 | 一款隐私 App 却牵涉第三方 |
| 基本使用也要求注册账户 | 你的身份与保险箱绑定 |
| 云备份没有端到端加密 | 公司可能访问副本 |
| 承诺绝对、牢不可破的安全 | 诚实的安全产品不会这样承诺 |
任何保险箱都防不住的事
即使是做得很好的保险箱也有局限，诚实的 App 会说出来。它无法阻止有人看着你输入“秘密”、越狱手机上的恶意软件、你在保险箱打开时把手机交给的人，或者有人拍下你的屏幕。它也够不着存在于其他地方的副本：“照片”里、iCloud 里、聊天中，或者你把照片发给的那个人的手机上。
Velcrypt 对照清单的表现
为了透明，下面是我们自己的 App 的表现：
- 加密： 通过 Apple CryptoKit 使用 AES-256-GCM。密钥由你的图案经 PBKDF2-HMAC-SHA512（至少 600,000 次迭代）派生，每个保险箱都有自己的随机主密钥，并在此之上应用 iOS 数据保护。详见我们的 安全页面 和 加密功能页面。
- “秘密”： 在 5×5 点阵上画出的图案，独立于你的设备密码；有意不支持 Face ID。
- 账户与云端： 都没有。无需注册、没有服务器、不上传（离线、无需账户）。
- 恢复： 第一个版本中没有。保险箱内容不包含在 iCloud 和电脑备份中，所以丢失手机或忘记图案意味着内容无法恢复。加密备份选项正在计划中。
- 原图： 导入是复制项目；原图需要你自己删除。
如果你考虑的保险箱也能把这些问题回答得同样清楚，那是个好迹象。想更全面地比较各种方案，请看 iPhone 私密相册 App 推荐。
常见问题
私密相册 App 的开发者能看到我的照片吗？
如果 App 把你的照片上传到它的服务器、且没有端到端加密，开发者在技术上就能访问。如果 App 只把文件留在你的设备上，或者用只有你持有的密钥加密，开发者就看不到。
私密相册 App 会被破解吗？
多年来，人们在保险箱 App 中发现过一些漏洞，通常是文件未加密存储，或者只靠一个 PIN 码界面保护。选择有真正加密文档说明、尽量少存储数据的 App，可以降低这种风险。
删除保险箱 App 后，我的照片会怎样？
对于设备端保险箱，删除 App 通常会连同保险箱文件一起删除。对于有云备份的保险箱，你的文件可能仍留在你的账户中。卸载前请查看 App 的说明，并先导出你想保留的任何内容。
保险箱 App 比 iPhone“已隐藏”相簿更安全吗？
如果它使用独立的“秘密”和真正的加密，就可能更安全，因为“已隐藏”相簿用设备密码就能打开。只加了一个 PIN 码界面、或者以不安全方式上传文件的保险箱，未必更好。
照片保险箱 App 应该请求完全照片图库访问权限吗？
导入照片并不需要；系统照片选择器可以只交出你选中的项目。有些保险箱会请求更广的权限，以便替你删除原图。只授予你所用功能真正需要的权限。