说到“加密云存储”，很多人以为只要写了 AES-256 就够安全。其实更关键的问题只有一个：密钥在谁手里。Google Drive、Dropbox、OneDrive、Box 这类服务会在服务器上加密你的文件，但密钥由公司保管，理论上公司有能力读取内容；而 Internxt、Tresorit、Sync.com、Filen 等则在你的设备上先加密再上传，密钥只有你自己有，服务商拿到的只是读不懂的数据。
这篇文章按这条主线，把 11 款常见服务放在一起聊聊，方便你按用途挑选。选购时如果还不确定自己该看哪些指标，建议先盘点自己要存的资料量和敏感程度。
速览：加密云存储对比表
下表最重要的一列是“服务商能否读取你的文件”。免费额度和价格经常调整，请以官网为准。
| 服务 | 服务商能否读取文件 | 适合谁 |
|---|---|---|
| Internxt | 否（客户端加密） | 想要默认零知识加密的个人用户 |
| Tresorit | 否（付费计划） | 律所、医疗、金融等合规团队 |
| Sync.com | 否 | 简单私密的备份 |
| pCloud | 默认可以；加购 Crypto 后不可以 | 喜欢买断套餐、需要媒体播放 |
| MEGA | 否 | 想要较大免费空间 |
| Filen | 否 | 预算有限、偏好欧盟服务商 |
| Icedrive | 仅加密文件夹内（付费） | 要性价比和挂载盘体验 |
| Nextcloud | 取决于你自己的配置 | 愿意自建服务器、追求数据主权 |
| Box | 是（企业版可选客户管理密钥） | 企业内容管理 |
| Google Drive | 是 | 多人协作、Google 生态 |
| Koofr | 仅 Vault 功能内 | 统一管理多个网盘账号 |
什么是加密云存储
文件上传到云端后，会被转换成没有密钥就无法读懂的密文。就算服务器被入侵，攻击者拿到的也只是一堆乱码。但前提是：谁掌握解密的钥匙。
标准加密 vs 零知识加密
| 标准加密 | 零知识加密 | |
|---|---|---|
| 在哪里加密 | 上传后，在公司服务器上 | 上传前，在你的设备上 |
| 密钥由谁保管 | 公司 | 只有你 |
| 公司能否读取文件 | 技术上可以 | 不可以 |
| 被要求交出数据时 | 能交出可读内容 | 只能交出密文 |
| 网页在线预览 | 支持 | 通常受限 |
| 代表 | Google Drive、Dropbox、OneDrive | Internxt、Tresorit、Sync.com、Filen |
对大多数人来说，标准加密已经足以防住服务器被攻破的风险。零知识则更进一步，连服务商本身也看不到内容，适合病历、法律文件、合同等不希望任何第三方接触的资料。另一条路是用 Cryptomator 之类的第三方工具，先在本地加密，再放进 Google Drive 或 OneDrive。
常见加密标准简介
AES-256 是目前政府、银行和绝大多数云盘采用的标准，以现有硬件几乎无法暴力破解（MEGA 部分场景使用 AES-128）。TLS 负责保护传输途中的数据。后量子加密则是为应对未来量子计算机而设计，目前只有少数服务（如 Internxt）宣称提供，实际效果请以官方文档和第三方审计为准。
11 款加密云存储逐一看
1. Internxt
Internxt 是总部位于西班牙瓦伦西亚的隐私向云盘，数据中心在欧洲，文件在设备端先加密再上传，免费账户同样适用。官方称其采用 AES-256 与 Kyber-512 后量子加密、传输使用 TLS 1.3，代码开源，并公布过 Securitum 的第三方安全审计。除存储外，付费计划还捆绑杀毒、备份、VPN、邮箱等功能，支持 Windows、macOS、Linux、iOS 与 Android，也可配合 WebDAV、Rclone、NAS 使用。
适合：希望默认就是零知识加密、并想要一套隐私工具的个人用户。注意：套餐价格与功能会调整，请以官网为准；不同文章对其合规认证的表述不一，若你有 HIPAA 等合规要求，请向官方索取书面证明。
2. Google Drive
Google Drive 是最省事的选择，协作能力很强，实时多人编辑也是同类里最成熟的。安全方面采用 AES-256 加密，但密钥由 Google 保管，不提供零知识选项；若涉及 HIPAA，需要 Workspace 订阅并签署 BAA。如果你主要在 Google 与 Gmail 生态里工作，可以参考我们对Google One 与 Google Drive 的区别的说明。涉及敏感资料时，建议换成零知识服务，或先用 Cryptomator 加密。
3. Tresorit
Tresorit 起源于瑞士，主要面向律所、医疗和金融团队，付费计划提供零知识加密，并有加密数据室、电子签名和 Outlook 加密附件等功能，通过 ISO 27001 认证。缺点是客户端闭源，难以像开源产品那样接受社区审查，价格也偏高。
4. pCloud
pCloud 默认使用服务端加密，意味着公司可以访问你的文件；想要零知识，需要另外购买 Crypto 附加服务。它有买断式套餐、内置音视频播放器和大文件传输功能，但并非开源，且运营主体位于保加利亚。想对比 pCloud 与同类产品，可以看我们的 Filen 与 pCloud 专题对比文章。
5. Icedrive
Icedrive 来自英国威尔士，主打简洁界面和“把云盘挂载为本地磁盘”。它使用 Twofish 加密，零知识只覆盖付费计划里的指定加密文件夹，免费版不含零知识，也没有公开的独立安全审计，Linux 无桌面端。适合想要实惠存储、对隐私要求不极端的用户。
6. Nextcloud
Nextcloud 与其他服务完全不同：没有保管你文件的公司，软件装在你自己的服务器上，数据、硬件和配置都归你。它支持服务端与客户端加密（需自行启用），并提供在线办公、日历、视频通话等丰富应用，完全开源。代价是安全性取决于你的维护水平，对普通用户门槛较高。
7. Box
Box 是面向企业的内容管理平台，不太适合个人。它提供 AES-256、多因素认证和细粒度权限，也通过 HIPAA、ISO 27001 等合规；默认不提供零知识，企业可加购 KeySafe 使用客户管理密钥，价格需联系销售。
8. Sync.com
Sync.com 自 2011 年起提供零知识加密，支持双重验证和长达 365 天的文件历史，能在 Windows、Mac 和移动端使用，不支持 Linux，客户端也不开源。适合想要“简单、私密、少折腾”的个人或小团队。
9. MEGA
MEGA 2013 年上线，是知名的端到端加密云盘，提供较大的免费空间，并带有加密聊天与视频通话。不过 2022 年 6 月有研究人员公开了其加密方案的多个漏洞（如 RSA 密钥恢复等），之后厂商已发布修复，但仍有用户因此持保留态度。在意安全记录的用户建议自行评估。
10. Filen
Filen 2020 年成立于德国，采用客户端加密与零知识设计，支持 Windows、macOS、Linux 与移动端，分享链接可设置密码、有效期和下载权限，并提供多种同步模式。价格相对友好，适合预算有限又想要零知识的用户。
11. Koofr
Koofr 来自斯洛文尼亚，优点是可以统一连接 Dropbox、Google Drive、OneDrive 等多个网盘，方便迁移。但它没有账户级零知识加密，只有 Vault 功能内部加密，传输速度也有用户反映偏慢，适合当“网盘管理器”而不是隐私首选。
怎么选更合适
- 想要零知识且省心：Internxt、Sync.com、Filen。
- 团队合规与电子签名：Tresorit。
- 重度协作、不涉及敏感资料：Google Drive。
- 愿意折腾、追求完全自主：Nextcloud。
打算分享私人视频时，可以参考如何安全分享私人视频。
常见问题
什么是加密云存储？
把文件在上传前或上传时转换成不可读数据，只有持有密钥的人才能还原。
标准加密和零知识加密有什么区别？
标准加密由服务商保管密钥，必要时能读取数据；零知识加密只有你自己持有密钥，服务商也无法读取。
云服务商能看到我的文件吗？
标准加密下，在政府或执法机构要求、或员工怀疑账户违规时，有可能被访问；零知识加密下则不能，因为服务商没有密钥。
加密云存储会被黑吗？
加密本身极难破解，但账号仍可能因弱密码、钓鱼或设备中毒而失守，所以请启用双重验证并使用强密码。
丢了密钥或密码会怎样？
大多数零知识服务无法替你找回数据，务必妥善备份恢复密钥。
执法机构能访问零知识云存储吗？
他们可以向服务商要数据，但如果确实是零知识，对方交出的只会是无法读取的密文。
个人用户需要加密云存储吗？
如果你存放证件、病历、合同或不想被他人看到的资料，建议使用；普通照片和公开资料用标准云盘也可以。