事实与判断
逐项理解
- 01设备端先加密
内容在进入 CloudKit 前转换为带认证标签的密文。
- 02云端不是钥匙仓库
恢复助记词由用户保存，产品说明不把它写入 CloudKit。
- 03账户权限仍重要
Apple 账户决定谁能访问 CloudKit 记录；应用层加密决定取得记录后能否读懂内容。
- 04完整性需要验证
AES-GCM 的认证标签可用于发现密文或关联数据被篡改，但验证必须在持有正确密钥时执行。
验证方法
如何自行核对
在安全中心核对最近一次 CloudKit 直接回读记录、密文数量和本机认证标签验证结果；同时确认助记词未写入云端。仅显示“已同步”文字不构成充分证据。
查看完整验证协议 →适用边界
不能忽略的失败条件
如果攻击者同时获得完整密文与正确助记词，应用层加密不能继续保护内容。CloudKit 服务可用性、账户状态和网络状况也会影响同步，但不应改变本机密文的密码学格式。
FAQ
直接回答
Apple 能直接看到 Vault 明文吗？
公开架构下，CloudKit 接收的是应用先行加密后的密文和必要元数据；具体保证以实际版本和可验证实现为准。
iCloud 被入侵就能解密吗？
单独取得密文不等于取得钥匙；但同时取得正确助记词会改变结论。
为什么还要保护 Apple 账户？
账户权限控制记录访问、同步和共享，是应用层加密之外的另一层安全边界。
一手来源
本文引用
继续了解