OneDrive مقابل نقل الملفات المشفر: أيهما أأمن

OneDrive أكثر أماناً من إرسال الملفات عبر بريد إلكتروني غير مشفر أو بروتوكول FTP، لكنها ليست مشفرة تشفيراً كاملاً بين الطرفين. تحتفظ Microsoft بالمفاتيح، مما يعني قدرتها على فك تشفير ملفاتك لأغراض فحص المحتوى وإجراءات eDiscovery والاستجابة للطلبات القانونية بموجب قانون CLOUD Act الأمريكي وقانون الاتصالات المُخزَّنة. خدمات نقل الملفات المشفرة المتخصصة كـHexaTransfer وTresorit Send وProton Drive Send تُشفّر الملفات من جانب العميل بـAES-256-GCM فلا يُخزَّن على الخادم سوى النص المشفر. للتعاون على المحتوى غير الحساس، تكسب راحة OneDrive. للبيانات الخاضعة لـHIPAA أو المادة 32 من GDPR أو PCI DSS 4.0، خدمة نقل E2EE أكثر أماناً جوهرياً.

كيف تُشفّر OneDrive فعلياً

تُشفّر OneDrive الملفات عند التخزين بمفاتيح AES-256 لكل ملف على حدة، هي بدورها مُشفَّرة بمفتاح تشفير محتوى محفوظ في مخزن مفاتيح Microsoft، تحميه مفاتيح رئيسية في Azure Key Vault. إنها سلسلة مُصمَّمة بعناية، والنقل يستخدم TLS 1.3 مع مجموعات تشفير حديثة. وثائق Microsoft شفافة بشكل غير معتاد في وصف هذه البنية.

غير أن شيئاً من هذا لا يُمثّل تشفيراً كاملاً بين الطرفين. Microsoft تمسك بالمفاتيح في كل طبقة. يُجري SharePoint (الذي يقوم عليه OneDrive for Business) فحص المحتوى وتقييم سياسات DLP واكتشاف البرمجيات الخبيثة على النص الصريح — وهذه الميزات قيّمة لكنها غير متوافقة مع E2EE بالتصميم.

تشفير Microsoft المزدوج DKE

يستطيع عملاء Microsoft 365 E5 تفعيل Double Key Encryption، الذي يُضيف مفتاحاً يحتفظ به العميل فوق مفتاح Microsoft. لفك تشفير ملف محمي بـDKE، يجب أن يتحد مفتاح Microsoft ومفتاحك المحلي (المُقدَّم من خدمة DKE تُشغّلها أنت). لا تستطيع Microsoft منفردة فك التشفير — تحتاج خدمة المفاتيح عندك لتُستجيب.

DKE تشفير كامل حقيقي للملفات التي تحميها بالتحديد. تكلفة الإعداد حقيقية: ترخيص E5 (نحو 57 دولاراً/مستخدم/شهر)، واستضافة خدمة DKE، وإدارة دوران المفاتيح، وتدريب المستخدمين على زر Protect في Office. للمؤسسات الكبيرة التي تتعامل مع عقود مصنّفة، التكلفة متناسبة. لمعظم الشركات الصغيرة، هي أكثر مما تحتاج.

ما تفعله خدمات النقل المشفر المتخصصة بشكل مختلف

HexaTransfer وTresorit Send وProton Drive Send كلها تُطبّق النمط المعماري ذاته: التشفير يحدث في متصفح المُرسِل قبل الرفع. يُولَّد المفتاح المتماثل (AES-256-GCM) من جانب العميل. الخادم لا يُخزّن سوى النص المشفر. المفتاح يصل إلى المستلم بطريق مستقل — في جزء الرابط، أو كلمة مرور، أو مفتاح عام مُتبادَل مسبقاً.

لا مفتاح Microsoft، لا Azure Key Vault، لا حاجة للمزوّد أن يشارك في فك التشفير. ينتقل نموذج التهديد: بدلاً من الثقة بالمزوّد، تثق بالأطراف فحسب وقناة نقل المفتاح. لكثير من السيناريوهات الخاضعة للتنظيم، هذا هو الوضع الذي يريد المدققون رؤيته.

مقارنة: OneDrive مقابل نقل E2EE المتخصص

| الخاصية | OneDrive for Business | OneDrive + DKE | HexaTransfer | |---|---|---|---| | التشفير عند التخزين | AES-256 (تديره Microsoft) | AES-256 (Microsoft + العميل) | AES-256-GCM (جانب العميل) | | المزوّد يرى النص الصريح | نعم | لا | لا | | تعقيد الإعداد | لا شيء | مرتفع (E5 + خدمة DKE) | لا شيء | | التكلفة لكل مستخدم | 5-22 دولار/شهر | ~57 دولار+/شهر | مجاني | | الحجم الأقصى للملف | 250 جيجابايت | 250 جيجابايت | 10 جيجابايت | | الاحتفاظ | دائم | دائم | 7 أيام | | سجل تدقيق الإدارة | نعم | نعم | محدود | | BAA متاح | نعم | نعم | حسب المزوّد |

الأمان في كل سيناريو

لمحرك مشترك يضم وثائق الإعداد الوظيفي، OneDrive مناسبة — المحتوى غير حساس والتعاون أساسي. لمكتبة أصول التسويق، OneDrive مناسبة. لإرسال ملف SOW لمستقل عبر رابط OneDrive، OneDrive مقبولة، وإن كان رابطاً محمياً بكلمة مرور أفضل من رابط مجهول.

لتقرير جنائي لاستجابة اختراق يُرسَل إلى مستشار قانوني خارجي، خدمة E2EE أكثر أماناً جوهرياً. لصور طبية (ملفات DICOM) بين عيادتين، خدمة E2EE مع HIPAA BAA هي الخيار القابل للدفاع. لوثائق العناية الواجبة في عمليات الاستحواذ، خدمة E2EE مع وصول مُقسَّم هي الممارسة المعيارية. لأعمال المحامي المُرسَلة إلى الطرف المقابل، E2EE تحمي في آنٍ واحد من الاعتراض على مستوى الشبكة والاختراق على مستوى المزوّد.

تداعيات قانون CLOUD Act

يُجيز قانون Clarifying Lawful Overseas Use of Data لعام 2018 لجهات إنفاذ القانون الأمريكية إلزام مزودي الخدمات الأمريكيين بالكشف عن البيانات بصرف النظر عن موقع تخزينها فعلياً. بيانات OneDrive المُستضافة في أيرلندا لا تزال خاضعة لإجراءات أمريكية. هذا يهم المؤسسات غير الأمريكية: شركة ألمانية تُخزّن بيانات عملاء أوروبيين في OneDrive تجد نفسها في تعارض قانوني عابر للحدود حين يصل مذكرة استدعاء أمريكية.

خدمات النقل المشفر التي لا يستطيع المزوّد فيها فك التشفير تتجاوز هذا مباشرةً. مذكرة استدعاء بموجب CLOUD Act إلى مزوّد يُخزّن نصاً مشفراً فقط ستُنتج نصاً مشفراً فحسب. بعض الخدمات (Proton وTresorit) لها مقرات خارج الولاية القضائية الأمريكية، مما يُضيف طبقة حماية إضافية.

استراتيجية هجينة عملية

لا ينبغي لمعظم المؤسسات التي تعمل بـMicrosoft 365 التخلي عن OneDrive — إنها متكاملة بعمق مع Teams وOutlook وWindows. بدلاً من ذلك، أضف خدمة نقل E2EE للإرسالات الخارجية الحساسة. سير العمل: احتفظ بالملف الجاري في OneDrive للتحرير، صدّر نسخة نهائية، وأرسلها عبر HexaTransfer أو Tresorit Send إلى المستلم الخارجي. نسخة OneDrive تبقى معك تحت إدارة مفاتيح Microsoft؛ التسليم الخارجي يكون E2EE.

يحافظ هذا على أدوات DLP وeDiscovery والاحتفاظ في Microsoft سليمة للامتثال الداخلي، بينما يُغلق الحلقة الأضعف — الإرسال الخارجي حيث الوصول إلى النص الصريح من جانب المزوّد أكثر حساسية.

أسئلة تقييم المخاطر

ثلاثة أسئلة تكشف ما إذا كانت OneDrive وحدها كافية. هل يُسبّب اطلاع موظف في Microsoft على هذا الملف ضرراً تنظيمياً أو تنافسياً؟ إن نعم، انتقل إلى DKE أو خدمة E2EE. هل ستُشكّل مذكرة استدعاء أمريكية لـMicrosoft بشأن هذا الملف مشكلة قانونية بموجب قانون غير أمريكي (GDPR أو PIPL أو LGPD)؟ إن نعم، E2EE أكثر أماناً. هل هذا إرسال لمرة واحدة أم تعاون مستمر؟ إن كان لمرة واحدة، خدمة نقل E2EE أبسط تشغيلياً من تهيئة DKE.

جرّبها على hexatransfer.com — مجاني، بدون حساب، حتى 10 جيجابايت.