硬碟上了鎖，鑰匙卻在微軟手上？

大概每隔幾個月，PTT 的筆電板或 Dcard 的 3C 板就會出現同一種求助文。

「筆電重灌系統，開機要我輸入 BitLocker 復原金鑰，48 碼……有人遇過嗎？」

底下回文總是複製貼上般的一致：「去微軟帳號那頁找」、「登入 account.microsoft.com，裝置那邊就有」。求助的人恍然大悟，問題順利解決，串文結案。

這一切看起來溫馨又便民。但如果你願意多想十秒，會發現一個值得細品的事實：你從來沒有要求微軟保管你的鑰匙，它自己把鑰匙拿走了，而且你一直沒發現。

你的保險箱配了第二把鑰匙，放在別人家抽屜裡。你只是剛好今天需要用到，才第一次知道這把鑰匙的存在。

便民設計，還是設計好的默許

把話說清楚：這不是漏洞，也不是醜聞。Windows 的裝置加密（BitLocker）在你登入微軟帳號的那一刻，就會自動把復原金鑰備份到你的微軟帳號裡。微軟官方支援文件寫得明明白白，這是為「忘記密碼」準備的便民設計。

但「公開透明」跟「你有注意到」是兩回事。大多數人第一次聽說這件事，是在上面那種求助文裡——也就是說，這個設計的運作前提，正是使用者不會注意到它。

換個說法：你買了一個號稱「只有你打得開」的保險箱。配鑰匙的師傅順手留了一把備份，放在他自己店裡的抽屜，理由是「怕你弄丟」。他有在店門口貼公告。你沒看過公告。

你會安心嗎？

我們先把「微軟會不會偷看」這種八卦放一邊。那不是重點，也永遠討論不出結論。重點是一個更樸素的結構問題：

一把鎖有幾把鑰匙，就有幾個人能打開它。

鑰匙放在微軟帳號裡，意味著任何能觸及那個帳號的力量，都間接觸及了你的硬碟：帳號被盜、帳號被鎖定走申訴流程、或是法律程序要求調取。這些都不是科幻情節，是任何一個雲端帳號都自帶的攻擊面。你以為你面對的是一道門，其實你面對的是兩道門——其中一道，你連門在哪都不知道。

斯多葛學派的塞內卡說過一句很實用的話：「我們受苦，多半不是因為事情本身，而是因為我們對事情的想像。」在資安這件事上剛好相反：人們受害，多半不是因為想像太多，而是因為想像太少——以為上鎖就等於只有自己能開。

如果你在台灣的公司上班，這件事還有一個更近的版本：公司配發的筆電。

多數企業的 IT 政策會集中保管員工電腦的 BitLocker 復原金鑰。這完全合理——員工離職、忘記密碼，IT 總要能處理。但這也意味著，你以為「防外人」的鎖，防不住「有鑰匙的人」。

有些東西你刪不下手，又不能被任何人看見。你存在公司配的筆電裡，上了 BitLocker，心裡踏實。但那把鎖從第一天起就有兩把鑰匙：一把在你手上，一把在 IT 的系統裡。「沒有人能看見」這句話，從來沒有真正成立過——它成立的前提，是你沒去想第二把鑰匙的事。

這不是要你懷疑你的 IT 同事。人性本善，但結構不該建立在「希望沒人動歪腦筋」上面。好的安全設計，應該讓「動歪腦筋」這個選項根本不存在。

回頭看看我們熟悉的那些「防丟」手段，每一個都在回答同一個問題：「弄丟了怎麼辦？」

寫在便利貼上的密碼，貼在螢幕邊框——回答的是「忘記怎麼辦」。綁了微軟帳號的裝置加密——回答的是「重灌鎖死怎麼辦」。IT 部門手裡的復原金鑰——回答的是「員工搞丟怎麼辦」。

卻沒有一個設計回答另一個問題：「多一個人能開，怎麼辦？」

這就是「方便」與「只有我能開」之間那條看不見的裂縫。VeraCrypt 這類純本機加密工具的存在，恰好證明了託管不是加密的必需品：它不設帳號、不提供「忘記密碼」按鈕，丟了就是丟了。少了方便，多了確定性。這是一個取捨，而多數人在不知情的情況下，被預設選了「方便」那一邊。

講到這裡，結論其實很簡單，而且有點反直覺：

「我們幫你保管鑰匙」這種服務本身，就是漏洞所在。

任何一個自稱替你保管「不能被看見的東西」的服務，如果同時經手你的鑰匙——無論是幫你記密碼、幫你託管復原金鑰、還是「貼心」地自動備份——那它保管的就不是你的秘密，而是「打開你秘密的方法」。鑰匙跟鎖放在同一雙手裡，鎖就只是裝飾。

真正的擁有只有一種定義：這把鎖全世界只有一把鑰匙，而且在你手裡。方便和「只有我能開」，在這件事上是互斥的。你不可能同時擁有「忘記也沒關係」和「除了我沒人能開」——前者要求有人幫你記得，後者要求除了你沒人記得。

所以我們做了一個在業界看起來有點固執的決定：我們連「幫你保管鑰匙」都不做。不是做不到，是不該做。你自己加密，鑰匙只在你手裡；我們保管的，永遠只是一塊誰也讀不懂的硬碟——編上號、貼上封條、兩個人核驗、專人看著。它進了我們手裡，就是一塊沉默的、打不開的金屬。

你不需要相信我們不會看。你只需要知道：我們根本打不開。

這才是「不想被任何人發現的資料」的保存方式——不是把鑰匙藏得更深，而是從一開始，就不讓第二把鑰匙存在。