授权与合规声明本文全部操作对象均为自建隔离靶场本机容器或隔离虚拟机涉及安全测试的环节必须以取得合法授权为前提。未经授权的渗透测试违反《中华人民共和国网络安全法》与《刑法》相关条款须承担相应法律责任。本文只讲环境配置、版本对照与靶场隔离不含任何攻击步骤、利用载荷与绕过手法请勿将文中环境指向任何非自有系统。一、先把「丢了」拆成三种情形笔记本丢了第一反应通常是同一句「没事我开了全盘加密。」这句话多半是真的。但它是答案不是推理——它把一个更小的问题的回答安到了一个更大的问题上。全盘加密回答的是这块盘在关机状态下被拆走、接到另一台电脑上里面的东西能不能被读出来。而「丢了还安全吗」至少藏着三种姿势只有一种是关机拆盘。1.1 「静态」这两个字是整段定义的重点Apple 官方支持页给文件保险箱的定义是这样一句「Mac 电脑会提供文件保险箱这是一项内建加密功能用于保护所有静态数据安全。文件保险箱使用 AES-XTS 数据加密算法保护内置和可移除存储设备上的完整宗卷。」三个信息点它是内建的不用另装算法是 AES-XTS范围是「内置和可移除存储设备上的完整宗卷」。真正划定边界的是那个词静态。静态数据指躺在存储介质上、此刻没被读写的那一份相对的是使用中的数据。加密保护前者只保护前者。这不是抠字眼。盘关机时数据是静态的开机并解锁后对这台机器的系统来说它就不是了。同一块盘两种状态两套结论。1.2 官方那句最该被逐字读的话如果只允许从这一页里挑一句记住挑这句「如果没有有效的登录凭证或加密恢复密钥即使物理存储设备被移除并连接到其他电脑内置 APFS 宗卷仍保持加密状态以防止未经授权的访问。」这句写得非常克制条件给得很全。它要成立必须同时满足两件事没有有效的登录凭证没有加密恢复密钥。缺一个这句话就不适用于你眼前的情形。很多人只读到「即使物理存储设备被移除并连接到其他电脑」这半句就记成「拆盘也读不出」。这是把条件句读成陈述句原文说的是「两样东西都不存在时保持加密」不是「任何情况下都读不出来」。还有一处值得停一下这句话的主语是「内置 APFS 宗卷」不是「你的文件」。加密的对象是宗卷这个整体这个区别在第六章会变成一个很具体的问题。1.3 三种情形三张不同的底牌把「笔记本丢了」拆开至少是这三种情形盘当时的状态全盘加密管不管用关机后丢失盘被拆走宗卷未挂载管用这是它设计的场景开机并已解锁时丢失宗卷已挂载不管用凭证此前已交出去盘被拆走但里面有加密前写过又删掉的旧数据宗卷未挂载只有一部分管用见第六章这张表是本文的骨架。你可以先拿它核自己的情况你担心的那次「丢」落在哪一行。第三行最容易被当成挑刺。它不是「加密没做好」是「加密有起点」——起点前后的写入在盘上不是同一种状态。原文写得很明白只是常被前一句盖住。二、FileVault 加密的到底是什么先把对象说清楚否则后面所有「管不管用」都没有落点。2.1 按宗卷加密不按文件加密官方用的是「完整宗卷」这个词。宗卷是 APFS 里能被挂载的一个单元可以理解成一块被格式化出来、能挂到目录树某个位置上的容器。全盘加密的作用粒度就是它不是单个文件。所以加密是整卷的开关不存在「这个文件加密了、那个没有」。系统设置里没有「给某个文件夹单独加密」不是藏起来是这一层不提供这种粒度。2.2 在 Apple 芯片上它是一类数据保护等级官方对搭载 Apple 芯片的机型是这么说的「搭载 Apple 芯片的 Mac 上的文件保险箱通过使用宗卷密钥的数据保护 C 类来实施。」这说明在这类机器上FileVault 不是「在系统之外另加一层壳」它挂在系统本身已有的数据保护分级上。同一页还写了钥匙放在哪「在搭载 Apple 芯片的 Mac 和搭载 T2 芯片的 Mac 上所有文件保险箱密钥的处理都发生在安全隔区中加密密钥绝不会直接透露给 CPU。」「绝不会直接透露给 CPU」是这页技术含量最高的一句。拆盘的人面对的不是「一个装着加密文件的文件夹」而是「一个由另一台机器的独立芯片保管钥匙的宗卷」。但别顺着这句滑太远。它保的是「钥匙不裸露」不是「拆走一定读不出」。能不能读取决于钥匙在新环境下能否重建——官方这页没展开本文不补第四章会回到它。2.3 四样东西各管一段这几个名词在教程里经常混着用混用之后就看不懂官方那几句话了。分开摆一次名词它是什么归谁管宗卷加密密钥真正用来加密这个宗卷数据的钥匙创建宗卷时生成所有 APFS 宗卷默认都有KEK密钥加密密钥用来包住宗卷密钥的那把钥匙开 FileVault 时受用户密码与硬件 UID 共同保护硬件 UID芯片里的一个唯一标识安全隔区出不了这台机器恢复密钥24 位字符人工保管的备用入口你四行连起来读是一条链数据被宗卷密钥加密宗卷密钥被 KEK 包着KEK 又被「你的密码」和「硬件 UID」两把一起锁着。开 FileVault 做的事就是把这条链搭完整。不开的话链会短一截。短在哪一截是第三章的内容。三、「宗卷已加密」和「FileVault 已启用」不是一回事这是本文第二个需要背下来的句子也是最多人踩空的地方。3.1 设置助理那一步决定了密钥被谁保护官方原文「如果在设置助理初次运行过程中未启用文件保险箱宗卷仍会加密但宗卷加密密钥仅由安全隔区中的硬件 UID 保护。」拆开看这句里有两个方向相反的判断。第一个宗卷仍会加密。也就是说「我没开 FileVault所以我的盘是明文」是错的。盘上的数据是加密的这一点不会因为你没勾那个选项而改变。第二个密钥仅由硬件 UID 保护。也就是说「我的盘加密了所以和开了 FileVault 一样」也是错的。差的不是「加不加密」是「钥匙被谁保护」——开了是密码加硬件 UID 共同保护没开只有硬件 UID。两个方向都错中间那条窄路才是对的盘一直是加密的开 FileVault 改变的是解锁这条链上多了你这一环。这为什么重要「硬件 UID 保护」意味着钥匙和机器绑死没有备用入口也没有恢复密钥。你找不到那串 24 位字符不是藏起来是链上没有这一环。3.2 本机实测一条命令给状态一条命令给字段写这一段时我在自己的机器上跑了两条只读命令。环境macOSApple 芯片。第一条问状态fdesetup status输出只有一行FileVault is On.这一行没有歧义它回答的就是「FileVault 开没开」这个问题。第二条看宗卷diskutil apfs list这条命令会把每个宗卷的属性逐项列出来。在我这台机器上同一个宗卷的列表里同时出现了这两行FileVault: Yes (Unlocked) Encrypted: No把这两行拎出来是因为它们放一起很反直觉按字面读Encrypted: No是「没加密」可同一段输出里FileVault:又是Yes。只截一行去问两个答案会相反。3.3 那两个字段我没找到官方定义这里必须踩一脚刹车。我核不到diskutil这两个字段的官方定义。Apple 的支持页讲的是文件保险箱的机制没有逐字段解释diskutil的输出。所以本文不给这两个字段下定义也不猜它们各自的判定条件。能确定的只有实测这一件这两个字段说的不是同一件事。它们能同时出现在同一个宗卷上就说明不是同一个开关的两种写法。各自在判什么标待验证。由此得到一条能用的判断别拿Encrypted: No判定「没加密」。想知道 FileVault 的状态用fdesetup status那个回答更直接——它只有一行且只回答一个问题。至于为什么会出现这种并存我有一个猜测可能和宗卷在这台机器上承担的角色有关。但这只是猜测本批核不到官方说明不写成结论。四、边界之一关机、拆盘回到第一章那句条件句这一章把它拆成可核对的条目。4.1 那句话有三个条件逐条对「没有有效的登录凭证或加密恢复密钥」是第一、第二个条件「即使物理存储设备被移除并连接到其他电脑」是第三个条件结论是「仍保持加密状态」。三个条件都成立结论才成立。缺哪个这句话就不适用于你眼前的情形。所以它的正确用法是这是一个「缺少两把钥匙时」的保证不是「任何情况下」的保证。判断自己的盘安不安全先问这三条在你的情形里成不成立而不是先问「FileVault 开了没」。条件成立时不成立时没有有效登录凭证宗卷保持加密凭证已交出见第五章没有加密恢复密钥宗卷保持加密恢复密钥在别人手里等同有钥匙盘已移除并接到其他电脑这是该保证的适用场景盘还在本机见第五章4.2 它保护的是宗卷不是文件同一页还有一句容易被跳过「在 macOS 11 或更高版本中系统宗卷通过签名系统宗卷 (SSV) 功能进行保护而数据宗卷仍通过加密进行保护。」这句把两类宗卷分开了系统宗卷靠签名数据宗卷靠加密。签名解决「有没有被改过」加密解决「能不能被读」两个问题两套机制。还有一处「完整宗卷」里的「完整」包含可移除存储设备。外接盘也在这句话的范围内它不会因为内置盘开了 FileVault 就跟着变成加密状态。4.3 反过来读它没有承诺「读不出来」这句原文只描述状态没有描述强度。它没有说「不可能被恢复」也没有说「取证工具一定失败」它说的是「保持加密状态」。「保持加密状态」和「读不出来」之间隔着一段距离这段距离由算法强度、密钥保管方式、攻击者手里的资源共同决定。官方这句话不为那段距离背书。所以任何「全盘加密 绝对读不出」的说法都比原文多走了一步。多走这一步的代价是你会把它当成一张万能牌然后在它不管用的场景里毫无准备。至于「这个加密状态在专业设备面前能撑多久」不在这一页的范围里本文不给结论标待验证。给一个数字比不给更危险。五、边界之二开机并已解锁的这台机器前面讲的都是「盘没在跑」的情形。这一章换到另一种姿势电脑丢了但它是开着机的。5.1 凭证是在启动那一步交出去的官方这句很短「用户在 Mac 上启用文件保险箱后启动过程中将需要其凭证。」注意「启动过程中」这四个字。凭证的检查点在这里不在每次读文件的时候。下面这段是从前面几句推的不是官方原话加密保护静态数据而系统在启动时用凭证把宗卷解锁并挂载。那么这次会话里宗卷对所有以你的身份运行的东西都可读。5.2 「凭证在启动时就交出去了」这个逻辑不要去想内存里密钥长什么样、驻留在哪一段、什么时候被清掉。那是另一个层面的问题本文不展开也核不到可靠说法。只用一句逻辑就够加密的边界在「卷被挂载的那一刻」。挂载之前防护对象是盘挂载之后防护对象变成了账号和权限。所以一台开机并解锁的电脑丢了你面对的不再是加密问题。这一格要防的是「谁能在这个已登录会话里做什么」那是权限、锁屏、会话超时该管的事。5.3 判断顺序先问当时是关着还是开着丢了之后第一件该做的事不是改密码是回想这个状态。因为后面所有判断都取决于它。丢失时的状态加密是否在起作用你面对的问题已关机在起作用宗卷未挂载回到第四章那三个条件开机且已解锁不在起作用宗卷已挂载会话内的权限问题与加密无关睡眠 / 合盖待验证见下文不能拿「合盖」当结论第三行必须留白。睡眠或休眠时密钥是否驻留、唤醒是否重新要凭证官方这页没展开本批核不到。所以本文不写「合盖一定安全」也不写「合盖就不安全」。能给的只有一个观察方法合上盖等一段时间再打开看它有没有重新要你输入凭证。这是你自己机器上的现象不是一条通用保证。现象可以记录结论得等官方口径。配套资料获取本文涉及的三张现场对照——三种丢失姿势、宗卷与密钥的对应关系、五步自查——压在一页上配合本章这张状态表一起看判断时按行对号即可。放在资料包里扫码即可获取六、边界之三加密之前写过、后来又删掉的数据这一章是本文最值钱的一段。它讲的不是「加密不够强」而是「加密有一个起点起点之前的删除不在保护范围内」。6.1 官方原文里那句最容易被跳过的话「文件保险箱启用后所有现有文件和后续写入的任何数据都会加密。如果数据是在文件保险箱启用前添加之后又被删除则不会加密且可能借助取证数据恢复工具进行恢复。」读两遍。第一句是承诺启用之后现有的和以后写进去的都会加密。第二句是限制启用之前写进去、之后又被删掉的不会加密而且「可能借助取证数据恢复工具进行恢复」。第二句用了「可能」这个词。这个词很关键——它没有说「一定能恢复」也没有说「一定不能」它说的是这条路存在。6.2 加密是从某一刻开始的不是回溯的「启用」是一个时间点。在这个点之前写进盘、在这个点之后被删掉的东西落在保护范围之外。上面这个说法听起来像同义反复其实指向一批很具体的文件头几个月写的旧项目、导出又删的表格、下载完就清理的安装包。它们在你按下「启用」之前就在盘上你是之后才删的。官方没有在这里展开机制我不替它补。能确定的是结果而且是原文亲口给的结果这些数据「不会加密」并且「可能被恢复」。一种解释是加密发生在写入那一刻躺在盘上的旧块不会因为开关打开就回头重写。它和原文不冲突但这是读出来的不是原文写的只能当脚手架。落到你自己身上如果盘是买来第一天就开了 FileVault这一条基本不适用——没有「启用之前」这个窗口。如果是用了一段时间才开的那这个窗口真实存在过。窗口里写过又删掉的东西按原文的说法不在加密范围内并且可能被恢复。这不是危言耸听是原文的字面意思。但它不说明「开了也没用」它说明「加密有起点起点之前的删除不在它的账上」。6.3 「删除」在这套机制里做了什么同一页还有一段讲的是另一种删除「删除宗卷时其宗卷加密密钥由安全隔区安全删除。」注意主语是宗卷。删掉整个宗卷时密钥被安全删除等于销毁钥匙剩下的是没有钥匙可配的密文。同一页还说媒介密钥的目的在于「启用快速安全的数据删除」不是多一层保密。这两句放在一起划出一条很硬的分界你做的动作密钥有没有被销毁盘上还剩什么删掉一个文件没有宗卷密钥照旧该文件占过的块状态取决于 6.1 那句删掉整个宗卷有密钥被安全删除没有钥匙能解的密文「删掉一个文件」和「删掉一个宗卷」不是程度差别是性质差别。前者动的是目录项后者动的是钥匙。想靠「我都删了」来解决问题动的永远是前者。七、恢复密钥加密的另一面是「自己也进不去」前面六章都在讲「别人读不到」。这一章讲反面。7.1 那串 24 位字符在哪官方的描述是恢复密钥是「一个由 24 位随机数字和字母组成的序列」可以在「系统设置」「隐私与安全性」「文件保险箱」里查看。要认清它的性质它不是密码的备份它是另一条进入路径。密码那条路走的是「你记得的东西」恢复密钥这条路走的是「你保管的东西」。两条路并列不是主备。这也解释了一个常见困惑——为什么有的人在系统设置里翻不到这串字符。因为在「密钥仅由硬件 UID 保护」的那条链上这一环本来就不存在。链路短一截入口就少一个。7.2 丢了凭证和恢复密钥那句话对你也成立第四章那句原文的条件是「没有有效的登录凭证或加密恢复密钥」。它没有说这个「没有」的主语是别人还是你。所以忘记登录凭证同时手里没有恢复密钥盘上的数据你也读不出来。这不是设计缺陷也不是惩罚是同一套机制的两面。加密不认人它只认钥匙。这一条最容易被误解成「厂商在卡我」。不是。如果存在一条「没有钥匙也能进」的路那这条路对拆盘的人同样成立全盘加密从一开始就没有意义。7.3 五步自查把前面六章折成一个能照着走的顺序。这五步全是只读的不改任何设置。第一步问状态。fdesetup status的回答只有一行先把它记下来。第二步看宗卷。diskutil apfs list会列出各宗卷属性但记住第三章那条别单看Encrypted:那一行。第三步找恢复密钥。系统设置 隐私与安全性 文件保险箱看那串 24 位字符在不在、你手上有没有副本。找不到说明你这条链上没有这一环。第四步回想启用时间点。是开机第一天开的还是用了一阵才开的。这一步决定第六章那类数据在不在你的范围内。第五步回想丢失时的状态。关着、开着、还是合盖。三种状态对应三套完全不同的判断。⚠️代码待验证sudofdesetup list⚠️代码待验证sudodiskutil apfs listCryptoUsersdiskXsY上面两条只读命令我本机都没有跑过输出形态不确定盘符也要按实际替换所以标待验证。它们想回答的是同一个问题这个宗卷上除了你还有谁算「有效的登录凭证」。步骤看什么结论指向1fdesetup status的回答开没开一行定论2宗卷属性里那两个字段并存属正常别单看一个3恢复密钥在不在手上缺这一环等于没有备用入口4启用时间点有没有「启用前」的窗口5丢失时的状态决定回到第四章还是第五章第三步和第四步是最容易被跳过的两步也是最能改变结论的两步。前两步只告诉你「配置是什么」后两步才告诉你「你这次的情形落在哪一格」。配套资料获取把这五步做成一张可以打印的核对单配上本文那三张现场对照表交给同事自查时按行打勾即可。放在资料包里扫码即可获取附表 A本文引用事实与官方出处对照表编号事实出处本文位置FV-1文件保险箱是内建加密功能保护所有静态数据用 AES-XTS 保护内置和可移除存储设备上的完整宗卷Apple 支持《在 macOS 中使用文件保险箱加密宗卷》§1.1、§2.1FV-2搭载 Apple 芯片的 Mac 上文件保险箱通过使用宗卷密钥的数据保护 C 类实施同上§2.2FV-3启用文件保险箱后启动过程中将需要用户凭证同上§5.1FV-4启用后现有文件与后续写入均加密启用前添加、之后又被删除的数据不会加密且可能借助取证数据恢复工具恢复同上§1.3、§6.1、§6.2FV-5没有有效登录凭证或加密恢复密钥时即使物理存储设备被移除并接到其他电脑内置 APFS 宗卷仍保持加密状态同上§1.2、§4.1、§7.2FV-6macOS 11 或更高版本中系统宗卷由 SSV 保护数据宗卷仍通过加密保护同上§4.2FV-7所有 APFS 宗卷默认使用宗卷加密密钥创建启用 FileVault 时 KEK 受用户密码与硬件 UID 共同保护同上§2.3FV-8若初次运行设置助理时未启用文件保险箱宗卷仍会加密但宗卷加密密钥仅由安全隔区中的硬件 UID 保护同上§3.1、§7.1FV-9Apple 芯片与 T2 芯片机型上所有文件保险箱密钥的处理都在安全隔区中加密密钥绝不会直接透露给 CPU同上§2.2FV-10删除宗卷时其宗卷加密密钥由安全隔区安全删除媒介密钥旨在启用快速安全的数据删除不提供额外机密性同上§6.3FV-11恢复密钥是由 24 位随机数字和字母组成的序列可在系统设置 隐私与安全性 文件保险箱中查看同上§7.1、§7.3FV-12本机实测macOSApple 芯片fdesetup status输出FileVault is On.本机命令输出§3.2、§7.3FV-13本机实测diskutil apfs list中同一宗卷同时出现FileVault: Yes (Unlocked)与Encrypted: No本机命令输出§3.2FV-14待验证diskutil这两个字段的官方定义未找到本文只写「两者不是同一件事」未下定义—§3.3FV-15待验证睡眠 / 休眠时密钥是否驻留、唤醒是否重新要求凭证官方该页未展开本文未下结论—§5.3附表 B术语速查表术语一句话解释全盘加密对整个宗卷加密不是对单个文件加密保护对象是「未被挂载的盘」静态数据躺在存储介质上、此刻未被读写的数据全盘加密的保护对象文件保险箱Apple 对全盘加密功能的叫法内建在 macOS 里宗卷APFS 里可以被挂载的一个单元全盘加密的作用粒度宗卷加密密钥真正加密这个宗卷数据的钥匙所有 APFS 宗卷默认都有KEK密钥加密密钥用来包住宗卷密钥的那把钥匙硬件 UID芯片内的唯一标识出不了这台机器未开 FileVault 时是唯一的保护来源安全隔区独立处理密钥的芯片区域密钥不会直接交给 CPU恢复密钥24 位随机字符组成的备用入口与登录凭证并列不是它的备份签名系统宗卷macOS 11 起保护系统宗卷完整性的机制管「有没有被改过」不管「读不读得出」取证数据恢复从已删除但仍留在介质上的数据里还原内容本文只引用官方提示不涉及具体做法数据保护 C 类Apple 芯片机型上文件保险箱所依附的数据保护分级写在最后这篇用到的资料写这篇文章时我把fdesetup status和diskutil apfs list的输出并排看了一遍才确认「加密了」和「开了 FileVault」在原厂口径里是两件事顺手也整理了几份配套的东西靶场环境对照表DVWA、upload-labs 在 Windows / macOS / Linux 三平台的可行性与推荐路径Web 安全学习路线图从基础打牢到安全管理四个阶段各学什么常用靶场清单每个靶场练什么、适合哪个阶段资料是我自己整理的放在下面这个码上扫码即可获取添加时备注「靶场」优先通过。拿到之后建议先看环境对照表那一份把自己机器上「这一格到底管不管用」先核一遍比记结论管用。
