Hidlet 是一款 iPhone App

用 iPhone 相機對準 QR 碼即可安裝,無需帳號。

或把連結傳給我

你正在比較幾款照片保險箱 App，每一份介紹說的都一樣：AES-256、銀行級、軍用級。如果它們用的是同一種加密，應該一樣安全才對。事實並非如此，原因在於「AES-256」指的恰恰是整個系統裡幾乎從不出問題的那一部分。

本指南用淺顯的話說明 AES-256 是什麼、保險箱如何把你的密碼變成金鑰、為什麼這一步比加密演算法本身更重要，以及五個比宣傳標籤更能說明問題的提問。

AES-256 是什麼

AES（進階加密標準，Advanced Encryption Standard）是美國標準機構 NIST 以 FIPS 197 發布的加密演算法。它把資料按 128 位元一塊讀入，用一把祕密金鑰打亂每一塊，只有擁有同一把金鑰的人才能還原。

數字指的是金鑰長度。AES 有三個版本：

256 位元金鑰有 2²⁵⁶ 種可能的取值，是一個 78 位數的數字。把它們全部試一遍並不是換一台更快的電腦就能解決的事，而是根本不切實際的攻擊方式。NIST 的金鑰管理指南給 AES-256 的安全強度是 256 位元，它 2026 年的後量子報告把 AES-256 歸入最高的量子安全類別，並表示預期不需要放棄 AES 這類對稱式加密標準。

所以加密演算法本身是安全的。真正值得關注的事都發生在它周圍。

模式：能發現竄改嗎？

AES 本身只會打亂一個資料區塊。要加密一整張照片，App 需要在某種模式下執行它，而模式決定了你還能得到什麼。

GCM（Galois/Counter Mode，伽羅瓦/計數器模式）是檔案加密的常見選擇。NIST 把它描述為認證加密：除了讓資料保密，它還能偵測資料是否被更動，無論是意外還是蓄意。如果有人更動了加密的照片，App 會發現，而不是顯示一個損壞的檔案。

GCM 有一條硬性規則。每次加密都需要一個全新的值，叫作 nonce（NIST 稱之為 IV），NIST 警告說，同一把金鑰下只要重複過一次，保護就可能幾乎完全失效。NIST 把這條規則看得幾乎和保守金鑰祕密同樣重要。寫著「AES-256-GCM」的保險箱告訴了你有用的資訊；只寫「AES-256」的，則沒說用的是哪種模式。

金鑰：它從哪裡來？

這個問題決定了一個保險箱到底有多安全。

沒有人會手動輸入 256 位元的金鑰。你輸入的是 PIN、密碼或圖形，由 App 把它變成金鑰。NIST 關於以密碼為基礎的金鑰的指南把問題說得很直白：密碼的熵很低，不適合直接用作金鑰。而且，如果有人複製了加密檔案，就可以在自己選擇的硬體上離線猜解，所以密碼的強度至關重要。

有兩樣工具能增加猜解的難度：

• 鹽值（salt）。 混入的一個隨機值，使每個保險箱都必須單獨攻擊。NIST 指出它至少應有 128 位元。
• 大量迭代。 密碼要經過 PBKDF2（定義在 RFC 8018）這類函式處理成千上萬甚至上百萬次，讓攻擊者每猜一次都要付出同樣多的工作量。NIST 2010 年的指南指出，迭代次數應在可行範圍內盡量大，建議至少 1,000 次，並指出對特別關鍵的金鑰，10,000,000 次也許合適。

但再多的輪數也救不了一個很短的密碼。4 位數的 PIN 只有 10,000 種可能。就算每次猜解都很慢，這份清單也很短。NIST 的金鑰管理指南講了一個普遍的道理：金鑰的強度會降到保護它的最薄弱環節的強度。用 4 位數 PIN 產生的 256 位元金鑰，實際上就是一個 4 位數 PIN。

你的 iPhone 在這方面比任何單獨執行的 App 都做得更好。Apple 表示，密碼綁定了裝置內部的一把硬體金鑰，所以猜解只能在這支 iPhone 上進行，每次大約 80 毫秒，並由安全隔離區（Secure Enclave）強制施加延遲。手機也會加密你儲存的檔案：Apple 表示每個檔案都有各自全新的 256 位元金鑰，在 A14 到 A18 以及 M1 或更新的裝置上，加密採用 XTS 模式的 AES-256（A9–A13 機型使用 AES-128）。iPhone 的「已隱藏」相簿有加密嗎？解釋了這涵蓋哪些內容。

常見的誤解

「軍用級」意味著更強一些。 我們沒有找到任何標準機構對它下過定義。它是一個行銷說法，通常指的就是普通的 AES-256。RFC 9151 是 NSA 編寫的、針對國家安全系統的 CNSA 套件規範，裡面列出的是 GCM 模式下 256 位元金鑰的 AES，這也正是許多一般 App 用的。

「AES-256」意味著公司看不到我的照片。 光憑這一點不行。加密只能擋住沒有金鑰的人。如果公司持有金鑰，它就能解密。Apple 對 iCloud 的說法很坦率：在標準保護下，Apple 持有包括「照片」在內的大部分資料的金鑰，並且可以代你解密；開啟進階資料保護後，你的 iCloud 資料大部分的金鑰只存放在你信任的裝置上。Apple 看得到你隱藏的照片嗎？有詳細說明。

「在手機上加密」就等於雲端也加密。 備份要單獨檢查。保險箱可能在 iPhone 上認真加密了檔案，然後把它們備份到一個用公司保管的金鑰加密的地方。

越大越好。 AES-128 同樣遠超猜解所能觸及的範圍。128 位元和 256 位元之間的差別，遠不如 4 位數 PIN 和一句長密語之間的差別重要。

該問的五個問題

1. 用哪種模式？ AES-256-GCM 或其他認證模式，意味著檔案被更動時 App 一定會發現。
2. 金鑰由什麼產生？ 密碼、PIN，還是圖形？它可以設多長，App 會不會拖慢猜解的速度？
3. 還有誰持有金鑰？ 如果可以透過電子郵件重置密碼，就說明你以外的人也能進去。
4. 雲端副本怎麼處理？ 它是否先在手機上用公司永遠看不到的金鑰加密？
5. 它防的是誰？ 複製檔案的陌生人、借用你已解鎖手機的人，以及知道你密碼的人，是三個不同的問題。

關於最後一點，請看圖形鎖、PIN 與 Face ID：哪種能保護照片。

Hidlet 如何回答這些問題

Hidlet 在儲存之前，會在你的 iPhone 上用 AES-256-GCM 加密每一張照片、影片、檔名和縮圖。每個保險箱都有自己的隨機金鑰，你在 5×5 格線上畫出的圖形用來打開它。這個圖形從不儲存：Hidlet 把它用 PBKDF2-HMAC-SHA512 處理 600,000 次，並混入存放在你鑰匙圈裡的一個隨機祕密值，該值與備份分開存放。只拿到備份副本的人，沒有這個祕密值就無法開始猜解。輸錯圖形會增加越來越長的等待時間，每次最多 15 分鐘。

這些金鑰沒有任何人持有副本，包括我們自己。選用的加密備份會先在手機上加密，再存入你自己的 iCloud。

它做不到的事：短而簡單的圖形比長圖形更容易被猜到；如果有人逼你打開保險箱，加密也幫不上忙。Pro 的脅迫保險庫就是為此準備的。Hidlet 已在 App Store 上架。