如何配置 macOS 来实现高强度的磁盘加密策略

高强度macOS磁盘加密需四层协同：启用FileVault并双备份密钥、外设用APFS加密格式、敏感文件夹设ACL权限+AES加密映像、启用固件密码禁用自动登录。

要让 macOS 实现真正高强度的磁盘加密策略，不能只开 FileVault 就算完事。它需要分层设计：系统盘加密、外置设备加密、文件级隔离、密钥管理与启动防护协同作用。单一功能有盲区，组合配置才能堵住常见绕过路径（比如用恢复模式重装系统、挂载未加密外设、其他账户访问共享文件夹等）。

启用 FileVault 并强制密钥托管

FileVault 是 macOS 原生全盘加密核心，但默认开启方式存在风险——若仅用 iCloud 恢复密钥，且用户 iCloud 账户被攻破，加密形同虚设；若只记 24 位密钥又极易丢失。高强度策略要求两者并存，并引入企业级托管：

• 通过系统设置开启时，必须勾选“将恢复密钥保存到 iCloud”，同时手动抄录并离线保存 24 位密钥（建议打印后锁进物理保险柜，不存手机或邮箱）
• 企业环境务必使用 MDM（如 Intune 或 Jamf）部署 FileVault 策略，启用“密钥托管准备”阶段，确保恢复密钥由组织统一备份，而非仅依赖个人 iCloud
• 禁用“允许用户在登录窗口启用/停用 FileVault”，防止非管理员临时关闭加密

为外接设备配置强加密格式

U 盘、移动硬盘常成数据泄露出口。FileVault 不保护它们，必须单独加密：

• 用“磁盘工具”抹掉设备时，格式必须选 APFS（加密）（macOS 10.13+ 推荐）或 Mac OS 扩展（日志式，加密），避免选“不加密”变体
• 密码需满足：长度 ≥10 位、含大小写字母+数字+符号，密码提示不能暴露真实信息（例如不要写“生日”或“公司名”）
• 禁止将加密外设连接 AirPort 基站做 Time Machine 备份——该场景下加密会被绕过，改用本地 Mac 或支持加密的 NAS

对敏感文件夹叠加访问控制与加密封装

即使系统盘已加密，其他本地账户仍可能通过访达或终端访问你的用户目录下未设限的文件夹。需双重加固：

• 右键目标文件夹 → “显示简介” → “共享与权限” → 点锁解锁 → 将 everyone 和其他用户组权限全设为“无访问权” → 点齿轮选“应用到封闭的项目”
• 更进一步：用“磁盘工具”创建加密磁盘映像（.dmg），格式选“AES-128”或“AES-256”，把整个文件夹拖入映像后压缩保存。该映像挂载需独立密码，与登录密码分离
• 避免依赖 Finder 的“锁定”勾选项——它只是只读标记，不阻止终端 chmod 修改，必须配合 ACL 或加密映像才有效

启用固件密码并禁用自动登录

没有固件密码，攻击者可重启进恢复模式，抹掉系统重装、绕过 FileVault 登录界面，甚至挂载加密卷后用其他工具尝试暴力破解。这是高强度策略的关键补丁：

• 关机后按住电源键进启动选项 → 选“选项”进入恢复模式 → 顶部菜单“实用工具” → “启动安全性实用工具” → 设为“中等安全性”并启用固件密码
• 系统设置 → “用户与群组” → 取消勾选“登录时自动登录” → 同时关闭“允许在登录窗口重新启用自动登录”（部分版本需终端执行 sudo defaults write /Library/Preferences/com.apple.loginwindow DisableAutoLogin -bool true）
• 确认“安全性与隐私”→“通用”中，“允许从以下位置安装 App”设为“App Store 和经认可的开发者”，防止恶意签名工具注入

高强度不是靠一个开关，而是让每条数据通路都有对应锁。FileVault 锁住磁盘，固件密码锁住启动链，外设加密锁住移动载体，ACL 和加密映像锁住逻辑访问层。四者缺一，就可能被针对性绕过。