Hidlet 是一款 iPhone 应用

用 iPhone 相机对准二维码即可安装,无需账户。

或把链接发给我

你正在比较几款照片保险箱 App，每一份介绍说的都一样：AES-256、银行级、军用级。如果它们用的是同一种加密，应该一样安全才对。事实并非如此，原因在于“AES-256”指的恰恰是整个系统里几乎从不出问题的那一部分。

本指南用通俗的话说明 AES-256 是什么、保险箱如何把你的密码变成密钥、为什么这一步比加密算法本身更重要，以及五个比宣传标签更能说明问题的提问。

AES-256 是什么

AES（高级加密标准，Advanced Encryption Standard）是美国标准机构 NIST 以 FIPS 197 发布的加密算法。它把数据按 128 位一块读入，用一个秘密密钥打乱每一块，只有拥有同一个密钥的人才能还原。

数字指的是密钥长度。AES 有三个版本：

256 位密钥有 2²⁵⁶ 种可能的取值，是一个 78 位的数字。把它们全部试一遍并不是换一台更快的电脑就能解决的事，而是根本不现实的攻击方式。NIST 的密钥管理指南给 AES-256 的安全强度是 256 位，它 2026 年的后量子报告把 AES-256 归入最高的量子安全类别，并表示预计不需要放弃 AES 这类对称加密标准。

所以加密算法本身是安全的。真正值得关注的事都发生在它周围。

模式：能发现篡改吗？

AES 本身只会打乱一个数据块。要加密一整张照片，App 需要在某种模式下运行它，而模式决定了你还能得到什么。

GCM（Galois/Counter Mode，伽罗瓦/计数器模式）是文件加密的常见选择。NIST 把它描述为认证加密：除了让数据保密，它还能检测数据是否被改动，无论是意外还是蓄意。如果有人改动了加密的照片，App 会发现，而不是显示一个损坏的文件。

GCM 有一条硬性规则。每次加密都需要一个全新的值，叫作 nonce（NIST 称之为 IV），NIST 警告说，同一个密钥下只要重复过一次，保护几乎会完全失效。NIST 把这条规则看得几乎和保守密钥秘密同样重要。写着“AES-256-GCM”的保险箱告诉了你有用的信息；只写“AES-256”的，则没说用的是哪种模式。

密钥：它从哪里来？

这个问题决定了一个保险箱到底有多安全。

没有人会手动输入 256 位的密钥。你输入的是 PIN、密码或图案，由 App 把它变成密钥。NIST 关于基于密码的密钥的指南把问题说得很直白：密码的熵很低，不适合直接用作密钥。而且，如果有人复制了加密文件，就可以在自己选择的硬件上离线猜解，所以密码的强度至关重要。

有两样工具能增加猜解的难度：

• 盐值（salt）。 混入的一个随机值，使每个保险箱都必须单独攻击。NIST 指出它至少应有 128 位。
• 大量迭代。 密码要经过 PBKDF2（定义在 RFC 8018）这类函数处理成千上万甚至上百万次，让攻击者每猜一次都要付出同样多的工作量。NIST 2010 年的指南指出，迭代次数应在可行范围内尽量大，建议至少 1,000 次，并指出对特别关键的密钥，10,000,000 次也许合适。

但再多的轮数也救不了一个很短的口令。4 位数的 PIN 只有 10,000 种可能。就算每次猜解都很慢，这个清单也很短。NIST 的密钥管理指南讲了一个普遍的道理：密钥的强度会降到保护它的最薄弱环节的强度。用 4 位数 PIN 生成的 256 位密钥，实际上就是一个 4 位数 PIN。

你的 iPhone 在这方面比任何单独运行的 App 都做得更好。Apple 表示，密码绑定了设备内部的一个硬件密钥，所以猜解只能在这台 iPhone 上进行，每次大约 80 毫秒，并由安全隔区（Secure Enclave）强制施加延迟。手机也会加密你存储的文件：Apple 表示每个文件都有各自全新的 256 位密钥，在 A14 到 A18 以及 M1 或更新的设备上，加密采用 XTS 模式的 AES-256（A9–A13 机型使用 AES-128）。iPhone 的“已隐藏”相簿加密了吗？解释了这涵盖哪些内容。

常见误解

“军用级”意味着更强一些。 我们没有找到任何标准机构对它下过定义。它是一个营销说法，通常指的就是普通的 AES-256。RFC 9151 是 NSA 编写的、面向国家安全系统的 CNSA 套件规范，里面列出的是 GCM 模式下 256 位密钥的 AES，这也正是许多普通 App 用的。

“AES-256”意味着公司看不到我的照片。 光凭这一点不行。加密只能挡住没有密钥的人。如果公司持有密钥，它就能解密。Apple 对 iCloud 的说法很坦率：在标准保护下，Apple 持有包括“照片”在内的大部分数据的密钥，并且可以代你解密；开启高级数据保护后，你的 iCloud 数据大部分的密钥只存放在你信任的设备上。Apple 能看到你隐藏的照片吗？有详细说明。

“在手机上加密”就等于云端也加密。 备份要单独检查。保险箱可能在 iPhone 上认真加密了文件，然后把它们备份到一个用公司保管的密钥加密的地方。

越大越好。 AES-128 同样远超猜解所能触及的范围。128 位和 256 位之间的差别，远不如 4 位数 PIN 和一句长口令之间的差别重要。

该问的五个问题

1. 用哪种模式？ AES-256-GCM 或其他认证模式，意味着文件被改动时 App 一定会发现。
2. 密钥由什么生成？ 密码、PIN，还是图案？它可以设多长，App 会不会拖慢猜解的速度？
3. 还有谁持有密钥？ 如果可以通过电子邮件重置密码，就说明你以外的人也能进去。
4. 云端副本怎么处理？ 它是否先在手机上用公司永远看不到的密钥加密？
5. 它防的是谁？ 复制文件的陌生人、借用你已解锁手机的人，以及知道你密码的人，是三个不同的问题。

关于最后一点，请看图案锁、PIN 与面容 ID：哪种能保护照片。

Hidlet 如何回答这些问题

Hidlet 在保存之前，会在你的 iPhone 上用 AES-256-GCM 加密每一张照片、视频、文件名和缩略图。每个保险箱都有自己的随机密钥，你在 5×5 网格上画出的图案用来打开它。这个图案从不保存：Hidlet 把它用 PBKDF2-HMAC-SHA512 处理 600,000 次，并混入保存在你钥匙串里的一个随机秘密值，该值与备份分开存放。只拿到备份副本的人，没有这个秘密值就无法开始猜解。输错图案会增加越来越长的等待时间，每次最多 15 分钟。

这些密钥没有任何人持有副本，包括我们自己。可选的加密备份会先在手机上加密，再存入你自己的 iCloud。

它做不到的事：短而简单的图案比长图案更容易被猜到；如果有人逼你打开保险箱，加密也帮不上忙。Pro 的胁迫保险库就是为此准备的。Hidlet 已在 App Store 上架。