OneDrive企业版数据安全遭质疑：OCR内容明文存储，或致敏感信息泄露

土耳鸡烤鸡

苹果与微软在macOS和Windows系统中运用光学字符识别（OCR）与图像识别技术处理本地图片并非秘密，此举旨在优化搜索体验并扩展功能。但安全专家Brian Maloney（博客"Malware Malone"作者）近日披露，微软OneDrive企业版对云端存储图片实施相同操作后，竟将OCR提取的文本数据以未加密形式存储在本地数据库中，此举存在双重安全隐患。

对云存储服务而言，本地存储数据并非全无益处——它支持离线功能调用、减少跨国数据漫游时的云端传输成本。问题核心在于，这些通过OCR获取的文本数据以明文形式存储于本地SQLite数据库文件（路径通常为%LocalAppData%\Microsoft\OneDrive\settings\Business1\Datastore）。这意味着：

物理接触风险：若设备未启用BitLocker等全盘加密，攻击者可通过拆卸硬盘接入其他设备直接读取OCR数据

权限绕过漏洞：即便无管理员权限，恶意软件仍可访问该数据库文件（因存储位置属用户可写目录）

网络安全组织vx-underground在社交媒体X发起调查："若微软对所有OneDrive图片执行OCR并将结果明文存储本地，且无需管理员权限即可访问，您是否接受？"结果显示，73%参与者对此表示反对。该组织随后警示："投'同意'的用户请注意：微软已为OneDrive企业版实现此功能！任何通过该服务存储的图片，其OCR数据均以明文形式保存在本地SQLite文件中（或为离线模式设计）"。

尽管存储敏感数据未加密绝非最佳实践（尤其针对标榜安全的企业级服务），但实际风险需结合企业IT环境评估：

设备加密普及率：商用PC普遍配备硬件级加密SSD（如Intel vPro平台的TPM模块）

生物识别防护：高端商务机型搭载防欺骗指纹识别系统（如Windows Hello企业版）

物理安防措施：企业桌面设备通常固定于受控办公环境，外带需审批

微软官方尚未就此作出回应。安全专家建议企业用户采取以下缓解措施：

强制启用BitLocker设备加密策略

通过组策略限制本地SQLite数据库访问权限

定期审计OCR数据存储路径的异常访问日志