授權(quán)與合規(guī)聲明本文全部操作對(duì)象均為自建隔離靶場(chǎng)本機(jī)容器或隔離虛擬機(jī)涉及安全測(cè)試的環(huán)節(jié)必須以取得合法授權(quán)為前提。未經(jīng)授權(quán)的滲透測(cè)試違反《中華人民共和國(guó)網(wǎng)絡(luò)安全法》與《刑法》相關(guān)條款須承擔(dān)相應(yīng)法律責(zé)任。本文只講環(huán)境配置、版本對(duì)照與靶場(chǎng)隔離不含任何攻擊步驟、利用載荷與繞過(guò)手法請(qǐng)勿將文中環(huán)境指向任何非自有系統(tǒng)。一、先把「丟了」拆成三種情形筆記本丟了第一反應(yīng)通常是同一句「沒(méi)事我開了全盤加密?！惯@句話多半是真的。但它是答案不是推理——它把一個(gè)更小的問(wèn)題的回答安到了一個(gè)更大的問(wèn)題上。全盤加密回答的是這塊盤在關(guān)機(jī)狀態(tài)下被拆走、接到另一臺(tái)電腦上里面的東西能不能被讀出來(lái)。而「丟了還安全嗎」至少藏著三種姿勢(shì)只有一種是關(guān)機(jī)拆盤。1.1 「靜態(tài)」這兩個(gè)字是整段定義的重點(diǎn)Apple 官方支持頁(yè)給文件保險(xiǎn)箱的定義是這樣一句「Mac 電腦會(huì)提供文件保險(xiǎn)箱這是一項(xiàng)內(nèi)建加密功能用于保護(hù)所有靜態(tài)數(shù)據(jù)安全。文件保險(xiǎn)箱使用 AES-XTS 數(shù)據(jù)加密算法保護(hù)內(nèi)置和可移除存儲(chǔ)設(shè)備上的完整宗卷?！谷齻€(gè)信息點(diǎn)它是內(nèi)建的不用另裝算法是 AES-XTS范圍是「內(nèi)置和可移除存儲(chǔ)設(shè)備上的完整宗卷」。真正劃定邊界的是那個(gè)詞靜態(tài)。靜態(tài)數(shù)據(jù)指躺在存儲(chǔ)介質(zhì)上、此刻沒(méi)被讀寫的那一份相對(duì)的是使用中的數(shù)據(jù)。加密保護(hù)前者只保護(hù)前者。這不是摳字眼。盤關(guān)機(jī)時(shí)數(shù)據(jù)是靜態(tài)的開機(jī)并解鎖后對(duì)這臺(tái)機(jī)器的系統(tǒng)來(lái)說(shuō)它就不是了。同一塊盤兩種狀態(tài)兩套結(jié)論。1.2 官方那句最該被逐字讀的話如果只允許從這一頁(yè)里挑一句記住挑這句「如果沒(méi)有有效的登錄憑證或加密恢復(fù)密鑰即使物理存儲(chǔ)設(shè)備被移除并連接到其他電腦內(nèi)置 APFS 宗卷仍保持加密狀態(tài)以防止未經(jīng)授權(quán)的訪問(wèn)。」這句寫得非?？酥茥l件給得很全。它要成立必須同時(shí)滿足兩件事沒(méi)有有效的登錄憑證沒(méi)有加密恢復(fù)密鑰。缺一個(gè)這句話就不適用于你眼前的情形。很多人只讀到「即使物理存儲(chǔ)設(shè)備被移除并連接到其他電腦」這半句就記成「拆盤也讀不出」。這是把條件句讀成陳述句原文說(shuō)的是「兩樣?xùn)|西都不存在時(shí)保持加密」不是「任何情況下都讀不出來(lái)」。還有一處值得停一下這句話的主語(yǔ)是「內(nèi)置 APFS 宗卷」不是「你的文件」。加密的對(duì)象是宗卷這個(gè)整體這個(gè)區(qū)別在第六章會(huì)變成一個(gè)很具體的問(wèn)題。1.3 三種情形三張不同的底牌把「筆記本丟了」拆開至少是這三種情形盤當(dāng)時(shí)的狀態(tài)全盤加密管不管用關(guān)機(jī)后丟失盤被拆走宗卷未掛載管用這是它設(shè)計(jì)的場(chǎng)景開機(jī)并已解鎖時(shí)丟失宗卷已掛載不管用憑證此前已交出去盤被拆走但里面有加密前寫過(guò)又刪掉的舊數(shù)據(jù)宗卷未掛載只有一部分管用見(jiàn)第六章這張表是本文的骨架。你可以先拿它核自己的情況你擔(dān)心的那次「丟」落在哪一行。第三行最容易被當(dāng)成挑刺。它不是「加密沒(méi)做好」是「加密有起點(diǎn)」——起點(diǎn)前后的寫入在盤上不是同一種狀態(tài)。原文寫得很明白只是常被前一句蓋住。二、FileVault 加密的到底是什么先把對(duì)象說(shuō)清楚否則后面所有「管不管用」都沒(méi)有落點(diǎn)。2.1 按宗卷加密不按文件加密官方用的是「完整宗卷」這個(gè)詞。宗卷是 APFS 里能被掛載的一個(gè)單元可以理解成一塊被格式化出來(lái)、能掛到目錄樹某個(gè)位置上的容器。全盤加密的作用粒度就是它不是單個(gè)文件。所以加密是整卷的開關(guān)不存在「這個(gè)文件加密了、那個(gè)沒(méi)有」。系統(tǒng)設(shè)置里沒(méi)有「給某個(gè)文件夾單獨(dú)加密」不是藏起來(lái)是這一層不提供這種粒度。2.2 在 Apple 芯片上它是一類數(shù)據(jù)保護(hù)等級(jí)官方對(duì)搭載 Apple 芯片的機(jī)型是這么說(shuō)的「搭載 Apple 芯片的 Mac 上的文件保險(xiǎn)箱通過(guò)使用宗卷密鑰的數(shù)據(jù)保護(hù) C 類來(lái)實(shí)施。」這說(shuō)明在這類機(jī)器上FileVault 不是「在系統(tǒng)之外另加一層殼」它掛在系統(tǒng)本身已有的數(shù)據(jù)保護(hù)分級(jí)上。同一頁(yè)還寫了鑰匙放在哪「在搭載 Apple 芯片的 Mac 和搭載 T2 芯片的 Mac 上所有文件保險(xiǎn)箱密鑰的處理都發(fā)生在安全隔區(qū)中加密密鑰絕不會(huì)直接透露給 CPU?！埂附^不會(huì)直接透露給 CPU」是這頁(yè)技術(shù)含量最高的一句。拆盤的人面對(duì)的不是「一個(gè)裝著加密文件的文件夾」而是「一個(gè)由另一臺(tái)機(jī)器的獨(dú)立芯片保管鑰匙的宗卷」。但別順著這句滑太遠(yuǎn)。它保的是「鑰匙不裸露」不是「拆走一定讀不出」。能不能讀取決于鑰匙在新環(huán)境下能否重建——官方這頁(yè)沒(méi)展開本文不補(bǔ)第四章會(huì)回到它。2.3 四樣?xùn)|西各管一段這幾個(gè)名詞在教程里經(jīng)常混著用混用之后就看不懂官方那幾句話了。分開擺一次名詞它是什么歸誰(shuí)管宗卷加密密鑰真正用來(lái)加密這個(gè)宗卷數(shù)據(jù)的鑰匙創(chuàng)建宗卷時(shí)生成所有 APFS 宗卷默認(rèn)都有KEK密鑰加密密鑰用來(lái)包住宗卷密鑰的那把鑰匙開 FileVault 時(shí)受用戶密碼與硬件 UID 共同保護(hù)硬件 UID芯片里的一個(gè)唯一標(biāo)識(shí)安全隔區(qū)出不了這臺(tái)機(jī)器恢復(fù)密鑰24 位字符人工保管的備用入口你四行連起來(lái)讀是一條鏈數(shù)據(jù)被宗卷密鑰加密宗卷密鑰被 KEK 包著KEK 又被「你的密碼」和「硬件 UID」兩把一起鎖著。開 FileVault 做的事就是把這條鏈搭完整。不開的話鏈會(huì)短一截。短在哪一截是第三章的內(nèi)容。三、「宗卷已加密」和「FileVault 已啟用」不是一回事這是本文第二個(gè)需要背下來(lái)的句子也是最多人踩空的地方。3.1 設(shè)置助理那一步?jīng)Q定了密鑰被誰(shuí)保護(hù)官方原文「如果在設(shè)置助理初次運(yùn)行過(guò)程中未啟用文件保險(xiǎn)箱宗卷仍會(huì)加密但宗卷加密密鑰僅由安全隔區(qū)中的硬件 UID 保護(hù)。」拆開看這句里有兩個(gè)方向相反的判斷。第一個(gè)宗卷仍會(huì)加密。也就是說(shuō)「我沒(méi)開 FileVault所以我的盤是明文」是錯(cuò)的。盤上的數(shù)據(jù)是加密的這一點(diǎn)不會(huì)因?yàn)槟銢](méi)勾那個(gè)選項(xiàng)而改變。第二個(gè)密鑰僅由硬件 UID 保護(hù)。也就是說(shuō)「我的盤加密了所以和開了 FileVault 一樣」也是錯(cuò)的。差的不是「加不加密」是「鑰匙被誰(shuí)保護(hù)」——開了是密碼加硬件 UID 共同保護(hù)沒(méi)開只有硬件 UID。兩個(gè)方向都錯(cuò)中間那條窄路才是對(duì)的盤一直是加密的開 FileVault 改變的是解鎖這條鏈上多了你這一環(huán)。這為什么重要「硬件 UID 保護(hù)」意味著鑰匙和機(jī)器綁死沒(méi)有備用入口也沒(méi)有恢復(fù)密鑰。你找不到那串 24 位字符不是藏起來(lái)是鏈上沒(méi)有這一環(huán)。3.2 本機(jī)實(shí)測(cè)一條命令給狀態(tài)一條命令給字段寫這一段時(shí)我在自己的機(jī)器上跑了兩條只讀命令。環(huán)境macOSApple 芯片。第一條問(wèn)狀態(tài)fdesetup status輸出只有一行FileVault is On.這一行沒(méi)有歧義它回答的就是「FileVault 開沒(méi)開」這個(gè)問(wèn)題。第二條看宗卷diskutil apfs list這條命令會(huì)把每個(gè)宗卷的屬性逐項(xiàng)列出來(lái)。在我這臺(tái)機(jī)器上同一個(gè)宗卷的列表里同時(shí)出現(xiàn)了這兩行FileVault: Yes (Unlocked) Encrypted: No把這兩行拎出來(lái)是因?yàn)樗鼈兎乓黄鸷芊粗庇X(jué)按字面讀Encrypted: No是「沒(méi)加密」可同一段輸出里FileVault:又是Yes。只截一行去問(wèn)兩個(gè)答案會(huì)相反。3.3 那兩個(gè)字段我沒(méi)找到官方定義這里必須踩一腳剎車。我核不到diskutil這兩個(gè)字段的官方定義。Apple 的支持頁(yè)講的是文件保險(xiǎn)箱的機(jī)制沒(méi)有逐字段解釋diskutil的輸出。所以本文不給這兩個(gè)字段下定義也不猜它們各自的判定條件。能確定的只有實(shí)測(cè)這一件這兩個(gè)字段說(shuō)的不是同一件事。它們能同時(shí)出現(xiàn)在同一個(gè)宗卷上就說(shuō)明不是同一個(gè)開關(guān)的兩種寫法。各自在判什么標(biāo)待驗(yàn)證。由此得到一條能用的判斷別拿Encrypted: No判定「沒(méi)加密」。想知道 FileVault 的狀態(tài)用fdesetup status那個(gè)回答更直接——它只有一行且只回答一個(gè)問(wèn)題。至于為什么會(huì)出現(xiàn)這種并存我有一個(gè)猜測(cè)可能和宗卷在這臺(tái)機(jī)器上承擔(dān)的角色有關(guān)。但這只是猜測(cè)本批核不到官方說(shuō)明不寫成結(jié)論。四、邊界之一關(guān)機(jī)、拆盤回到第一章那句條件句這一章把它拆成可核對(duì)的條目。4.1 那句話有三個(gè)條件逐條對(duì)「沒(méi)有有效的登錄憑證或加密恢復(fù)密鑰」是第一、第二個(gè)條件「即使物理存儲(chǔ)設(shè)備被移除并連接到其他電腦」是第三個(gè)條件結(jié)論是「仍保持加密狀態(tài)」。三個(gè)條件都成立結(jié)論才成立。缺哪個(gè)這句話就不適用于你眼前的情形。所以它的正確用法是這是一個(gè)「缺少兩把鑰匙時(shí)」的保證不是「任何情況下」的保證。判斷自己的盤安不安全先問(wèn)這三條在你的情形里成不成立而不是先問(wèn)「FileVault 開了沒(méi)」。條件成立時(shí)不成立時(shí)沒(méi)有有效登錄憑證宗卷保持加密憑證已交出見(jiàn)第五章沒(méi)有加密恢復(fù)密鑰宗卷保持加密恢復(fù)密鑰在別人手里等同有鑰匙盤已移除并接到其他電腦這是該保證的適用場(chǎng)景盤還在本機(jī)見(jiàn)第五章4.2 它保護(hù)的是宗卷不是文件同一頁(yè)還有一句容易被跳過(guò)「在 macOS 11 或更高版本中系統(tǒng)宗卷通過(guò)簽名系統(tǒng)宗卷 (SSV) 功能進(jìn)行保護(hù)而數(shù)據(jù)宗卷仍通過(guò)加密進(jìn)行保護(hù)?！惯@句把兩類宗卷分開了系統(tǒng)宗卷靠簽名數(shù)據(jù)宗卷靠加密。簽名解決「有沒(méi)有被改過(guò)」加密解決「能不能被讀」兩個(gè)問(wèn)題兩套機(jī)制。還有一處「完整宗卷」里的「完整」包含可移除存儲(chǔ)設(shè)備。外接盤也在這句話的范圍內(nèi)它不會(huì)因?yàn)閮?nèi)置盤開了 FileVault 就跟著變成加密狀態(tài)。4.3 反過(guò)來(lái)讀它沒(méi)有承諾「讀不出來(lái)」這句原文只描述狀態(tài)沒(méi)有描述強(qiáng)度。它沒(méi)有說(shuō)「不可能被恢復(fù)」也沒(méi)有說(shuō)「取證工具一定失敗」它說(shuō)的是「保持加密狀態(tài)」。「保持加密狀態(tài)」和「讀不出來(lái)」之間隔著一段距離這段距離由算法強(qiáng)度、密鑰保管方式、攻擊者手里的資源共同決定。官方這句話不為那段距離背書。所以任何「全盤加密 絕對(duì)讀不出」的說(shuō)法都比原文多走了一步。多走這一步的代價(jià)是你會(huì)把它當(dāng)成一張萬(wàn)能牌然后在它不管用的場(chǎng)景里毫無(wú)準(zhǔn)備。至于「這個(gè)加密狀態(tài)在專業(yè)設(shè)備面前能撐多久」不在這一頁(yè)的范圍里本文不給結(jié)論標(biāo)待驗(yàn)證。給一個(gè)數(shù)字比不給更危險(xiǎn)。五、邊界之二開機(jī)并已解鎖的這臺(tái)機(jī)器前面講的都是「盤沒(méi)在跑」的情形。這一章?lián)Q到另一種姿勢(shì)電腦丟了但它是開著機(jī)的。5.1 憑證是在啟動(dòng)那一步交出去的官方這句很短「用戶在 Mac 上啟用文件保險(xiǎn)箱后啟動(dòng)過(guò)程中將需要其憑證?！棺⒁狻竼?dòng)過(guò)程中」這四個(gè)字。憑證的檢查點(diǎn)在這里不在每次讀文件的時(shí)候。下面這段是從前面幾句推的不是官方原話加密保護(hù)靜態(tài)數(shù)據(jù)而系統(tǒng)在啟動(dòng)時(shí)用憑證把宗卷解鎖并掛載。那么這次會(huì)話里宗卷對(duì)所有以你的身份運(yùn)行的東西都可讀。5.2 「憑證在啟動(dòng)時(shí)就交出去了」這個(gè)邏輯不要去想內(nèi)存里密鑰長(zhǎng)什么樣、駐留在哪一段、什么時(shí)候被清掉。那是另一個(gè)層面的問(wèn)題本文不展開也核不到可靠說(shuō)法。只用一句邏輯就夠加密的邊界在「卷被掛載的那一刻」。掛載之前防護(hù)對(duì)象是盤掛載之后防護(hù)對(duì)象變成了賬號(hào)和權(quán)限。所以一臺(tái)開機(jī)并解鎖的電腦丟了你面對(duì)的不再是加密問(wèn)題。這一格要防的是「誰(shuí)能在這個(gè)已登錄會(huì)話里做什么」那是權(quán)限、鎖屏、會(huì)話超時(shí)該管的事。5.3 判斷順序先問(wèn)當(dāng)時(shí)是關(guān)著還是開著丟了之后第一件該做的事不是改密碼是回想這個(gè)狀態(tài)。因?yàn)楹竺嫠信袛喽既Q于它。丟失時(shí)的狀態(tài)加密是否在起作用你面對(duì)的問(wèn)題已關(guān)機(jī)在起作用宗卷未掛載回到第四章那三個(gè)條件開機(jī)且已解鎖不在起作用宗卷已掛載會(huì)話內(nèi)的權(quán)限問(wèn)題與加密無(wú)關(guān)睡眠 / 合蓋待驗(yàn)證見(jiàn)下文不能拿「合蓋」當(dāng)結(jié)論第三行必須留白。睡眠或休眠時(shí)密鑰是否駐留、喚醒是否重新要憑證官方這頁(yè)沒(méi)展開本批核不到。所以本文不寫「合蓋一定安全」也不寫「合蓋就不安全」。能給的只有一個(gè)觀察方法合上蓋等一段時(shí)間再打開看它有沒(méi)有重新要你輸入憑證。這是你自己機(jī)器上的現(xiàn)象不是一條通用保證。現(xiàn)象可以記錄結(jié)論得等官方口徑。配套資料獲取本文涉及的三張現(xiàn)場(chǎng)對(duì)照——三種丟失姿勢(shì)、宗卷與密鑰的對(duì)應(yīng)關(guān)系、五步自查——壓在一頁(yè)上配合本章這張狀態(tài)表一起看判斷時(shí)按行對(duì)號(hào)即可。放在資料包里掃碼即可獲取六、邊界之三加密之前寫過(guò)、后來(lái)又刪掉的數(shù)據(jù)這一章是本文最值錢的一段。它講的不是「加密不夠強(qiáng)」而是「加密有一個(gè)起點(diǎn)起點(diǎn)之前的刪除不在保護(hù)范圍內(nèi)」。6.1 官方原文里那句最容易被跳過(guò)的話「文件保險(xiǎn)箱啟用后所有現(xiàn)有文件和后續(xù)寫入的任何數(shù)據(jù)都會(huì)加密。如果數(shù)據(jù)是在文件保險(xiǎn)箱啟用前添加之后又被刪除則不會(huì)加密且可能借助取證數(shù)據(jù)恢復(fù)工具進(jìn)行恢復(fù)。」讀兩遍。第一句是承諾啟用之后現(xiàn)有的和以后寫進(jìn)去的都會(huì)加密。第二句是限制啟用之前寫進(jìn)去、之后又被刪掉的不會(huì)加密而且「可能借助取證數(shù)據(jù)恢復(fù)工具進(jìn)行恢復(fù)」。第二句用了「可能」這個(gè)詞。這個(gè)詞很關(guān)鍵——它沒(méi)有說(shuō)「一定能恢復(fù)」也沒(méi)有說(shuō)「一定不能」它說(shuō)的是這條路存在。6.2 加密是從某一刻開始的不是回溯的「啟用」是一個(gè)時(shí)間點(diǎn)。在這個(gè)點(diǎn)之前寫進(jìn)盤、在這個(gè)點(diǎn)之后被刪掉的東西落在保護(hù)范圍之外。上面這個(gè)說(shuō)法聽(tīng)起來(lái)像同義反復(fù)其實(shí)指向一批很具體的文件頭幾個(gè)月寫的舊項(xiàng)目、導(dǎo)出又刪的表格、下載完就清理的安裝包。它們?cè)谀惆聪隆竼⒂谩怪熬驮诒P上你是之后才刪的。官方?jīng)]有在這里展開機(jī)制我不替它補(bǔ)。能確定的是結(jié)果而且是原文親口給的結(jié)果這些數(shù)據(jù)「不會(huì)加密」并且「可能被恢復(fù)」。一種解釋是加密發(fā)生在寫入那一刻躺在盤上的舊塊不會(huì)因?yàn)殚_關(guān)打開就回頭重寫。它和原文不沖突但這是讀出來(lái)的不是原文寫的只能當(dāng)腳手架。落到你自己身上如果盤是買來(lái)第一天就開了 FileVault這一條基本不適用——沒(méi)有「啟用之前」這個(gè)窗口。如果是用了一段時(shí)間才開的那這個(gè)窗口真實(shí)存在過(guò)。窗口里寫過(guò)又刪掉的東西按原文的說(shuō)法不在加密范圍內(nèi)并且可能被恢復(fù)。這不是危言聳聽(tīng)是原文的字面意思。但它不說(shuō)明「開了也沒(méi)用」它說(shuō)明「加密有起點(diǎn)起點(diǎn)之前的刪除不在它的賬上」。6.3 「刪除」在這套機(jī)制里做了什么同一頁(yè)還有一段講的是另一種刪除「刪除宗卷時(shí)其宗卷加密密鑰由安全隔區(qū)安全刪除。」注意主語(yǔ)是宗卷。刪掉整個(gè)宗卷時(shí)密鑰被安全刪除等于銷毀鑰匙剩下的是沒(méi)有鑰匙可配的密文。同一頁(yè)還說(shuō)媒介密鑰的目的在于「啟用快速安全的數(shù)據(jù)刪除」不是多一層保密。這兩句放在一起劃出一條很硬的分界你做的動(dòng)作密鑰有沒(méi)有被銷毀盤上還剩什么刪掉一個(gè)文件沒(méi)有宗卷密鑰照舊該文件占過(guò)的塊狀態(tài)取決于 6.1 那句刪掉整個(gè)宗卷有密鑰被安全刪除沒(méi)有鑰匙能解的密文「刪掉一個(gè)文件」和「刪掉一個(gè)宗卷」不是程度差別是性質(zhì)差別。前者動(dòng)的是目錄項(xiàng)后者動(dòng)的是鑰匙。想靠「我都刪了」來(lái)解決問(wèn)題動(dòng)的永遠(yuǎn)是前者。七、恢復(fù)密鑰加密的另一面是「自己也進(jìn)不去」前面六章都在講「別人讀不到」。這一章講反面。7.1 那串 24 位字符在哪官方的描述是恢復(fù)密鑰是「一個(gè)由 24 位隨機(jī)數(shù)字和字母組成的序列」可以在「系統(tǒng)設(shè)置」「隱私與安全性」「文件保險(xiǎn)箱」里查看。要認(rèn)清它的性質(zhì)它不是密碼的備份它是另一條進(jìn)入路徑。密碼那條路走的是「你記得的東西」恢復(fù)密鑰這條路走的是「你保管的東西」。兩條路并列不是主備。這也解釋了一個(gè)常見(jiàn)困惑——為什么有的人在系統(tǒng)設(shè)置里翻不到這串字符。因?yàn)樵凇该荑€僅由硬件 UID 保護(hù)」的那條鏈上這一環(huán)本來(lái)就不存在。鏈路短一截入口就少一個(gè)。7.2 丟了憑證和恢復(fù)密鑰那句話對(duì)你也成立第四章那句原文的條件是「沒(méi)有有效的登錄憑證或加密恢復(fù)密鑰」。它沒(méi)有說(shuō)這個(gè)「沒(méi)有」的主語(yǔ)是別人還是你。所以忘記登錄憑證同時(shí)手里沒(méi)有恢復(fù)密鑰盤上的數(shù)據(jù)你也讀不出來(lái)。這不是設(shè)計(jì)缺陷也不是懲罰是同一套機(jī)制的兩面。加密不認(rèn)人它只認(rèn)鑰匙。這一條最容易被誤解成「廠商在卡我」。不是。如果存在一條「沒(méi)有鑰匙也能進(jìn)」的路那這條路對(duì)拆盤的人同樣成立全盤加密從一開始就沒(méi)有意義。7.3 五步自查把前面六章折成一個(gè)能照著走的順序。這五步全是只讀的不改任何設(shè)置。第一步問(wèn)狀態(tài)。fdesetup status的回答只有一行先把它記下來(lái)。第二步看宗卷。diskutil apfs list會(huì)列出各宗卷屬性但記住第三章那條別單看Encrypted:那一行。第三步找恢復(fù)密鑰。系統(tǒng)設(shè)置 隱私與安全性 文件保險(xiǎn)箱看那串 24 位字符在不在、你手上有沒(méi)有副本。找不到說(shuō)明你這條鏈上沒(méi)有這一環(huán)。第四步回想啟用時(shí)間點(diǎn)。是開機(jī)第一天開的還是用了一陣才開的。這一步?jīng)Q定第六章那類數(shù)據(jù)在不在你的范圍內(nèi)。第五步回想丟失時(shí)的狀態(tài)。關(guān)著、開著、還是合蓋。三種狀態(tài)對(duì)應(yīng)三套完全不同的判斷。??代碼待驗(yàn)證sudofdesetup list??代碼待驗(yàn)證sudodiskutil apfs listCryptoUsersdiskXsY上面兩條只讀命令我本機(jī)都沒(méi)有跑過(guò)輸出形態(tài)不確定盤符也要按實(shí)際替換所以標(biāo)待驗(yàn)證。它們想回答的是同一個(gè)問(wèn)題這個(gè)宗卷上除了你還有誰(shuí)算「有效的登錄憑證」。步驟看什么結(jié)論指向1fdesetup status的回答開沒(méi)開一行定論2宗卷屬性里那兩個(gè)字段并存屬正常別單看一個(gè)3恢復(fù)密鑰在不在手上缺這一環(huán)等于沒(méi)有備用入口4啟用時(shí)間點(diǎn)有沒(méi)有「啟用前」的窗口5丟失時(shí)的狀態(tài)決定回到第四章還是第五章第三步和第四步是最容易被跳過(guò)的兩步也是最能改變結(jié)論的兩步。前兩步只告訴你「配置是什么」后兩步才告訴你「你這次的情形落在哪一格」。配套資料獲取把這五步做成一張可以打印的核對(duì)單配上本文那三張現(xiàn)場(chǎng)對(duì)照表交給同事自查時(shí)按行打勾即可。放在資料包里掃碼即可獲取附表 A本文引用事實(shí)與官方出處對(duì)照表編號(hào)事實(shí)出處本文位置FV-1文件保險(xiǎn)箱是內(nèi)建加密功能保護(hù)所有靜態(tài)數(shù)據(jù)用 AES-XTS 保護(hù)內(nèi)置和可移除存儲(chǔ)設(shè)備上的完整宗卷Apple 支持《在 macOS 中使用文件保險(xiǎn)箱加密宗卷》§1.1、§2.1FV-2搭載 Apple 芯片的 Mac 上文件保險(xiǎn)箱通過(guò)使用宗卷密鑰的數(shù)據(jù)保護(hù) C 類實(shí)施同上§2.2FV-3啟用文件保險(xiǎn)箱后啟動(dòng)過(guò)程中將需要用戶憑證同上§5.1FV-4啟用后現(xiàn)有文件與后續(xù)寫入均加密啟用前添加、之后又被刪除的數(shù)據(jù)不會(huì)加密且可能借助取證數(shù)據(jù)恢復(fù)工具恢復(fù)同上§1.3、§6.1、§6.2FV-5沒(méi)有有效登錄憑證或加密恢復(fù)密鑰時(shí)即使物理存儲(chǔ)設(shè)備被移除并接到其他電腦內(nèi)置 APFS 宗卷仍保持加密狀態(tài)同上§1.2、§4.1、§7.2FV-6macOS 11 或更高版本中系統(tǒng)宗卷由 SSV 保護(hù)數(shù)據(jù)宗卷仍通過(guò)加密保護(hù)同上§4.2FV-7所有 APFS 宗卷默認(rèn)使用宗卷加密密鑰創(chuàng)建啟用 FileVault 時(shí) KEK 受用戶密碼與硬件 UID 共同保護(hù)同上§2.3FV-8若初次運(yùn)行設(shè)置助理時(shí)未啟用文件保險(xiǎn)箱宗卷仍會(huì)加密但宗卷加密密鑰僅由安全隔區(qū)中的硬件 UID 保護(hù)同上§3.1、§7.1FV-9Apple 芯片與 T2 芯片機(jī)型上所有文件保險(xiǎn)箱密鑰的處理都在安全隔區(qū)中加密密鑰絕不會(huì)直接透露給 CPU同上§2.2FV-10刪除宗卷時(shí)其宗卷加密密鑰由安全隔區(qū)安全刪除媒介密鑰旨在啟用快速安全的數(shù)據(jù)刪除不提供額外機(jī)密性同上§6.3FV-11恢復(fù)密鑰是由 24 位隨機(jī)數(shù)字和字母組成的序列可在系統(tǒng)設(shè)置 隱私與安全性 文件保險(xiǎn)箱中查看同上§7.1、§7.3FV-12本機(jī)實(shí)測(cè)macOSApple 芯片fdesetup status輸出FileVault is On.本機(jī)命令輸出§3.2、§7.3FV-13本機(jī)實(shí)測(cè)diskutil apfs list中同一宗卷同時(shí)出現(xiàn)FileVault: Yes (Unlocked)與Encrypted: No本機(jī)命令輸出§3.2FV-14待驗(yàn)證diskutil這兩個(gè)字段的官方定義未找到本文只寫「兩者不是同一件事」未下定義—§3.3FV-15待驗(yàn)證睡眠 / 休眠時(shí)密鑰是否駐留、喚醒是否重新要求憑證官方該頁(yè)未展開本文未下結(jié)論—§5.3附表 B術(shù)語(yǔ)速查表術(shù)語(yǔ)一句話解釋全盤加密對(duì)整個(gè)宗卷加密不是對(duì)單個(gè)文件加密保護(hù)對(duì)象是「未被掛載的盤」靜態(tài)數(shù)據(jù)躺在存儲(chǔ)介質(zhì)上、此刻未被讀寫的數(shù)據(jù)全盤加密的保護(hù)對(duì)象文件保險(xiǎn)箱Apple 對(duì)全盤加密功能的叫法內(nèi)建在 macOS 里宗卷APFS 里可以被掛載的一個(gè)單元全盤加密的作用粒度宗卷加密密鑰真正加密這個(gè)宗卷數(shù)據(jù)的鑰匙所有 APFS 宗卷默認(rèn)都有KEK密鑰加密密鑰用來(lái)包住宗卷密鑰的那把鑰匙硬件 UID芯片內(nèi)的唯一標(biāo)識(shí)出不了這臺(tái)機(jī)器未開 FileVault 時(shí)是唯一的保護(hù)來(lái)源安全隔區(qū)獨(dú)立處理密鑰的芯片區(qū)域密鑰不會(huì)直接交給 CPU恢復(fù)密鑰24 位隨機(jī)字符組成的備用入口與登錄憑證并列不是它的備份簽名系統(tǒng)宗卷macOS 11 起保護(hù)系統(tǒng)宗卷完整性的機(jī)制管「有沒(méi)有被改過(guò)」不管「讀不讀得出」取證數(shù)據(jù)恢復(fù)從已刪除但仍留在介質(zhì)上的數(shù)據(jù)里還原內(nèi)容本文只引用官方提示不涉及具體做法數(shù)據(jù)保護(hù) C 類Apple 芯片機(jī)型上文件保險(xiǎn)箱所依附的數(shù)據(jù)保護(hù)分級(jí)寫在最后這篇用到的資料寫這篇文章時(shí)我把fdesetup status和diskutil apfs list的輸出并排看了一遍才確認(rèn)「加密了」和「開了 FileVault」在原廠口徑里是兩件事順手也整理了幾份配套的東西靶場(chǎng)環(huán)境對(duì)照表DVWA、upload-labs 在 Windows / macOS / Linux 三平臺(tái)的可行性與推薦路徑Web 安全學(xué)習(xí)路線圖從基礎(chǔ)打牢到安全管理四個(gè)階段各學(xué)什么常用靶場(chǎng)清單每個(gè)靶場(chǎng)練什么、適合哪個(gè)階段資料是我自己整理的放在下面這個(gè)碼上掃碼即可獲取添加時(shí)備注「靶場(chǎng)」優(yōu)先通過(guò)。拿到之后建議先看環(huán)境對(duì)照表那一份把自己機(jī)器上「這一格到底管不管用」先核一遍比記結(jié)論管用。