授權(quán)與合規(guī)聲明本文全部操作對(duì)象均為自建隔離靶場(chǎng)本機(jī)容器或隔離虛擬機(jī)涉及安全測(cè)試的環(huán)節(jié)必須以取得合法授權(quán)為前提。未經(jīng)授權(quán)的滲透測(cè)試違反《中華人民共和國(guó)網(wǎng)絡(luò)安全法》與《刑法》相關(guān)條款須承擔(dān)相應(yīng)法律責(zé)任。本文只講環(huán)境配置、版本對(duì)照與靶場(chǎng)隔離不含任何攻擊步驟、利用載荷與繞過(guò)手法請(qǐng)勿將文中環(huán)境指向任何非自有系統(tǒng)。一、先把「丟了」拆成三種情形筆記本丟了第一反應(yīng)通常是同一句「沒(méi)事我開(kāi)了全盤(pán)加密?！惯@句話多半是真的。但它是答案不是推理——它把一個(gè)更小的問(wèn)題的回答安到了一個(gè)更大的問(wèn)題上。全盤(pán)加密回答的是這塊盤(pán)在關(guān)機(jī)狀態(tài)下被拆走、接到另一臺(tái)電腦上里面的東西能不能被讀出來(lái)。而「丟了還安全嗎」至少藏著三種姿勢(shì)只有一種是關(guān)機(jī)拆盤(pán)。1.1 「靜態(tài)」這兩個(gè)字是整段定義的重點(diǎn)Apple 官方支持頁(yè)給文件保險(xiǎn)箱的定義是這樣一句「Mac 電腦會(huì)提供文件保險(xiǎn)箱這是一項(xiàng)內(nèi)建加密功能用于保護(hù)所有靜態(tài)數(shù)據(jù)安全。文件保險(xiǎn)箱使用 AES-XTS 數(shù)據(jù)加密算法保護(hù)內(nèi)置和可移除存儲(chǔ)設(shè)備上的完整宗卷?！谷齻€(gè)信息點(diǎn)它是內(nèi)建的不用另裝算法是 AES-XTS范圍是「內(nèi)置和可移除存儲(chǔ)設(shè)備上的完整宗卷」。真正劃定邊界的是那個(gè)詞靜態(tài)。靜態(tài)數(shù)據(jù)指躺在存儲(chǔ)介質(zhì)上、此刻沒(méi)被讀寫(xiě)的那一份相對(duì)的是使用中的數(shù)據(jù)。加密保護(hù)前者只保護(hù)前者。這不是摳字眼。盤(pán)關(guān)機(jī)時(shí)數(shù)據(jù)是靜態(tài)的開(kāi)機(jī)并解鎖后對(duì)這臺(tái)機(jī)器的系統(tǒng)來(lái)說(shuō)它就不是了。同一塊盤(pán)兩種狀態(tài)兩套結(jié)論。1.2 官方那句最該被逐字讀的話如果只允許從這一頁(yè)里挑一句記住挑這句「如果沒(méi)有有效的登錄憑證或加密恢復(fù)密鑰即使物理存儲(chǔ)設(shè)備被移除并連接到其他電腦內(nèi)置 APFS 宗卷仍保持加密狀態(tài)以防止未經(jīng)授權(quán)的訪問(wèn)?！惯@句寫(xiě)得非?？酥茥l件給得很全。它要成立必須同時(shí)滿足兩件事沒(méi)有有效的登錄憑證沒(méi)有加密恢復(fù)密鑰。缺一個(gè)這句話就不適用于你眼前的情形。很多人只讀到「即使物理存儲(chǔ)設(shè)備被移除并連接到其他電腦」這半句就記成「拆盤(pán)也讀不出」。這是把條件句讀成陳述句原文說(shuō)的是「兩樣?xùn)|西都不存在時(shí)保持加密」不是「任何情況下都讀不出來(lái)」。還有一處值得停一下這句話的主語(yǔ)是「內(nèi)置 APFS 宗卷」不是「你的文件」。加密的對(duì)象是宗卷這個(gè)整體這個(gè)區(qū)別在第六章會(huì)變成一個(gè)很具體的問(wèn)題。1.3 三種情形三張不同的底牌把「筆記本丟了」拆開(kāi)至少是這三種情形盤(pán)當(dāng)時(shí)的狀態(tài)全盤(pán)加密管不管用關(guān)機(jī)后丟失盤(pán)被拆走宗卷未掛載管用這是它設(shè)計(jì)的場(chǎng)景開(kāi)機(jī)并已解鎖時(shí)丟失宗卷已掛載不管用憑證此前已交出去盤(pán)被拆走但里面有加密前寫(xiě)過(guò)又刪掉的舊數(shù)據(jù)宗卷未掛載只有一部分管用見(jiàn)第六章這張表是本文的骨架。你可以先拿它核自己的情況你擔(dān)心的那次「丟」落在哪一行。第三行最容易被當(dāng)成挑刺。它不是「加密沒(méi)做好」是「加密有起點(diǎn)」——起點(diǎn)前后的寫(xiě)入在盤(pán)上不是同一種狀態(tài)。原文寫(xiě)得很明白只是常被前一句蓋住。二、FileVault 加密的到底是什么先把對(duì)象說(shuō)清楚否則后面所有「管不管用」都沒(méi)有落點(diǎn)。2.1 按宗卷加密不按文件加密官方用的是「完整宗卷」這個(gè)詞。宗卷是 APFS 里能被掛載的一個(gè)單元可以理解成一塊被格式化出來(lái)、能掛到目錄樹(shù)某個(gè)位置上的容器。全盤(pán)加密的作用粒度就是它不是單個(gè)文件。所以加密是整卷的開(kāi)關(guān)不存在「這個(gè)文件加密了、那個(gè)沒(méi)有」。系統(tǒng)設(shè)置里沒(méi)有「給某個(gè)文件夾單獨(dú)加密」不是藏起來(lái)是這一層不提供這種粒度。2.2 在 Apple 芯片上它是一類(lèi)數(shù)據(jù)保護(hù)等級(jí)官方對(duì)搭載 Apple 芯片的機(jī)型是這么說(shuō)的「搭載 Apple 芯片的 Mac 上的文件保險(xiǎn)箱通過(guò)使用宗卷密鑰的數(shù)據(jù)保護(hù) C 類(lèi)來(lái)實(shí)施。」這說(shuō)明在這類(lèi)機(jī)器上FileVault 不是「在系統(tǒng)之外另加一層殼」它掛在系統(tǒng)本身已有的數(shù)據(jù)保護(hù)分級(jí)上。同一頁(yè)還寫(xiě)了鑰匙放在哪「在搭載 Apple 芯片的 Mac 和搭載 T2 芯片的 Mac 上所有文件保險(xiǎn)箱密鑰的處理都發(fā)生在安全隔區(qū)中加密密鑰絕不會(huì)直接透露給 CPU。」「絕不會(huì)直接透露給 CPU」是這頁(yè)技術(shù)含量最高的一句。拆盤(pán)的人面對(duì)的不是「一個(gè)裝著加密文件的文件夾」而是「一個(gè)由另一臺(tái)機(jī)器的獨(dú)立芯片保管鑰匙的宗卷」。但別順著這句滑太遠(yuǎn)。它保的是「鑰匙不裸露」不是「拆走一定讀不出」。能不能讀取決于鑰匙在新環(huán)境下能否重建——官方這頁(yè)沒(méi)展開(kāi)本文不補(bǔ)第四章會(huì)回到它。2.3 四樣?xùn)|西各管一段這幾個(gè)名詞在教程里經(jīng)?；熘没煊弥缶涂床欢俜侥菐拙湓捔恕７珠_(kāi)擺一次名詞它是什么歸誰(shuí)管宗卷加密密鑰真正用來(lái)加密這個(gè)宗卷數(shù)據(jù)的鑰匙創(chuàng)建宗卷時(shí)生成所有 APFS 宗卷默認(rèn)都有KEK密鑰加密密鑰用來(lái)包住宗卷密鑰的那把鑰匙開(kāi) FileVault 時(shí)受用戶密碼與硬件 UID 共同保護(hù)硬件 UID芯片里的一個(gè)唯一標(biāo)識(shí)安全隔區(qū)出不了這臺(tái)機(jī)器恢復(fù)密鑰24 位字符人工保管的備用入口你四行連起來(lái)讀是一條鏈數(shù)據(jù)被宗卷密鑰加密宗卷密鑰被 KEK 包著KEK 又被「你的密碼」和「硬件 UID」兩把一起鎖著。開(kāi) FileVault 做的事就是把這條鏈搭完整。不開(kāi)的話鏈會(huì)短一截。短在哪一截是第三章的內(nèi)容。三、「宗卷已加密」和「FileVault 已啟用」不是一回事這是本文第二個(gè)需要背下來(lái)的句子也是最多人踩空的地方。3.1 設(shè)置助理那一步?jīng)Q定了密鑰被誰(shuí)保護(hù)官方原文「如果在設(shè)置助理初次運(yùn)行過(guò)程中未啟用文件保險(xiǎn)箱宗卷仍會(huì)加密但宗卷加密密鑰僅由安全隔區(qū)中的硬件 UID 保護(hù)。」拆開(kāi)看這句里有兩個(gè)方向相反的判斷。第一個(gè)宗卷仍會(huì)加密。也就是說(shuō)「我沒(méi)開(kāi) FileVault所以我的盤(pán)是明文」是錯(cuò)的。盤(pán)上的數(shù)據(jù)是加密的這一點(diǎn)不會(huì)因?yàn)槟銢](méi)勾那個(gè)選項(xiàng)而改變。第二個(gè)密鑰僅由硬件 UID 保護(hù)。也就是說(shuō)「我的盤(pán)加密了所以和開(kāi)了 FileVault 一樣」也是錯(cuò)的。差的不是「加不加密」是「鑰匙被誰(shuí)保護(hù)」——開(kāi)了是密碼加硬件 UID 共同保護(hù)沒(méi)開(kāi)只有硬件 UID。兩個(gè)方向都錯(cuò)中間那條窄路才是對(duì)的盤(pán)一直是加密的開(kāi) FileVault 改變的是解鎖這條鏈上多了你這一環(huán)。這為什么重要「硬件 UID 保護(hù)」意味著鑰匙和機(jī)器綁死沒(méi)有備用入口也沒(méi)有恢復(fù)密鑰。你找不到那串 24 位字符不是藏起來(lái)是鏈上沒(méi)有這一環(huán)。3.2 本機(jī)實(shí)測(cè)一條命令給狀態(tài)一條命令給字段寫(xiě)這一段時(shí)我在自己的機(jī)器上跑了兩條只讀命令。環(huán)境macOSApple 芯片。第一條問(wèn)狀態(tài)fdesetup status輸出只有一行FileVault is On.這一行沒(méi)有歧義它回答的就是「FileVault 開(kāi)沒(méi)開(kāi)」這個(gè)問(wèn)題。第二條看宗卷diskutil apfs list這條命令會(huì)把每個(gè)宗卷的屬性逐項(xiàng)列出來(lái)。在我這臺(tái)機(jī)器上同一個(gè)宗卷的列表里同時(shí)出現(xiàn)了這兩行FileVault: Yes (Unlocked) Encrypted: No把這兩行拎出來(lái)是因?yàn)樗鼈兎乓黄鸷芊粗庇X(jué)按字面讀Encrypted: No是「沒(méi)加密」可同一段輸出里FileVault:又是Yes。只截一行去問(wèn)兩個(gè)答案會(huì)相反。3.3 那兩個(gè)字段我沒(méi)找到官方定義這里必須踩一腳剎車(chē)。我核不到diskutil這兩個(gè)字段的官方定義。Apple 的支持頁(yè)講的是文件保險(xiǎn)箱的機(jī)制沒(méi)有逐字段解釋diskutil的輸出。所以本文不給這兩個(gè)字段下定義也不猜它們各自的判定條件。能確定的只有實(shí)測(cè)這一件這兩個(gè)字段說(shuō)的不是同一件事。它們能同時(shí)出現(xiàn)在同一個(gè)宗卷上就說(shuō)明不是同一個(gè)開(kāi)關(guān)的兩種寫(xiě)法。各自在判什么標(biāo)待驗(yàn)證。由此得到一條能用的判斷別拿Encrypted: No判定「沒(méi)加密」。想知道 FileVault 的狀態(tài)用fdesetup status那個(gè)回答更直接——它只有一行且只回答一個(gè)問(wèn)題。至于為什么會(huì)出現(xiàn)這種并存我有一個(gè)猜測(cè)可能和宗卷在這臺(tái)機(jī)器上承擔(dān)的角色有關(guān)。但這只是猜測(cè)本批核不到官方說(shuō)明不寫(xiě)成結(jié)論。四、邊界之一關(guān)機(jī)、拆盤(pán)回到第一章那句條件句這一章把它拆成可核對(duì)的條目。4.1 那句話有三個(gè)條件逐條對(duì)「沒(méi)有有效的登錄憑證或加密恢復(fù)密鑰」是第一、第二個(gè)條件「即使物理存儲(chǔ)設(shè)備被移除并連接到其他電腦」是第三個(gè)條件結(jié)論是「仍保持加密狀態(tài)」。三個(gè)條件都成立結(jié)論才成立。缺哪個(gè)這句話就不適用于你眼前的情形。所以它的正確用法是這是一個(gè)「缺少兩把鑰匙時(shí)」的保證不是「任何情況下」的保證。判斷自己的盤(pán)安不安全先問(wèn)這三條在你的情形里成不成立而不是先問(wèn)「FileVault 開(kāi)了沒(méi)」。條件成立時(shí)不成立時(shí)沒(méi)有有效登錄憑證宗卷保持加密憑證已交出見(jiàn)第五章沒(méi)有加密恢復(fù)密鑰宗卷保持加密恢復(fù)密鑰在別人手里等同有鑰匙盤(pán)已移除并接到其他電腦這是該保證的適用場(chǎng)景盤(pán)還在本機(jī)見(jiàn)第五章4.2 它保護(hù)的是宗卷不是文件同一頁(yè)還有一句容易被跳過(guò)「在 macOS 11 或更高版本中系統(tǒng)宗卷通過(guò)簽名系統(tǒng)宗卷 (SSV) 功能進(jìn)行保護(hù)而數(shù)據(jù)宗卷仍通過(guò)加密進(jìn)行保護(hù)?！惯@句把兩類(lèi)宗卷分開(kāi)了系統(tǒng)宗卷靠簽名數(shù)據(jù)宗卷靠加密。簽名解決「有沒(méi)有被改過(guò)」加密解決「能不能被讀」兩個(gè)問(wèn)題兩套機(jī)制。還有一處「完整宗卷」里的「完整」包含可移除存儲(chǔ)設(shè)備。外接盤(pán)也在這句話的范圍內(nèi)它不會(huì)因?yàn)閮?nèi)置盤(pán)開(kāi)了 FileVault 就跟著變成加密狀態(tài)。4.3 反過(guò)來(lái)讀它沒(méi)有承諾「讀不出來(lái)」這句原文只描述狀態(tài)沒(méi)有描述強(qiáng)度。它沒(méi)有說(shuō)「不可能被恢復(fù)」也沒(méi)有說(shuō)「取證工具一定失敗」它說(shuō)的是「保持加密狀態(tài)」?！副３旨用軤顟B(tài)」和「讀不出來(lái)」之間隔著一段距離這段距離由算法強(qiáng)度、密鑰保管方式、攻擊者手里的資源共同決定。官方這句話不為那段距離背書(shū)。所以任何「全盤(pán)加密 絕對(duì)讀不出」的說(shuō)法都比原文多走了一步。多走這一步的代價(jià)是你會(huì)把它當(dāng)成一張萬(wàn)能牌然后在它不管用的場(chǎng)景里毫無(wú)準(zhǔn)備。至于「這個(gè)加密狀態(tài)在專(zhuān)業(yè)設(shè)備面前能撐多久」不在這一頁(yè)的范圍里本文不給結(jié)論標(biāo)待驗(yàn)證。給一個(gè)數(shù)字比不給更危險(xiǎn)。五、邊界之二開(kāi)機(jī)并已解鎖的這臺(tái)機(jī)器前面講的都是「盤(pán)沒(méi)在跑」的情形。這一章?lián)Q到另一種姿勢(shì)電腦丟了但它是開(kāi)著機(jī)的。5.1 憑證是在啟動(dòng)那一步交出去的官方這句很短「用戶在 Mac 上啟用文件保險(xiǎn)箱后啟動(dòng)過(guò)程中將需要其憑證?！棺⒁狻竼?dòng)過(guò)程中」這四個(gè)字。憑證的檢查點(diǎn)在這里不在每次讀文件的時(shí)候。下面這段是從前面幾句推的不是官方原話加密保護(hù)靜態(tài)數(shù)據(jù)而系統(tǒng)在啟動(dòng)時(shí)用憑證把宗卷解鎖并掛載。那么這次會(huì)話里宗卷對(duì)所有以你的身份運(yùn)行的東西都可讀。5.2 「憑證在啟動(dòng)時(shí)就交出去了」這個(gè)邏輯不要去想內(nèi)存里密鑰長(zhǎng)什么樣、駐留在哪一段、什么時(shí)候被清掉。那是另一個(gè)層面的問(wèn)題本文不展開(kāi)也核不到可靠說(shuō)法。只用一句邏輯就夠加密的邊界在「卷被掛載的那一刻」。掛載之前防護(hù)對(duì)象是盤(pán)掛載之后防護(hù)對(duì)象變成了賬號(hào)和權(quán)限。所以一臺(tái)開(kāi)機(jī)并解鎖的電腦丟了你面對(duì)的不再是加密問(wèn)題。這一格要防的是「誰(shuí)能在這個(gè)已登錄會(huì)話里做什么」那是權(quán)限、鎖屏、會(huì)話超時(shí)該管的事。5.3 判斷順序先問(wèn)當(dāng)時(shí)是關(guān)著還是開(kāi)著丟了之后第一件該做的事不是改密碼是回想這個(gè)狀態(tài)。因?yàn)楹竺嫠信袛喽既Q于它。丟失時(shí)的狀態(tài)加密是否在起作用你面對(duì)的問(wèn)題已關(guān)機(jī)在起作用宗卷未掛載回到第四章那三個(gè)條件開(kāi)機(jī)且已解鎖不在起作用宗卷已掛載會(huì)話內(nèi)的權(quán)限問(wèn)題與加密無(wú)關(guān)睡眠 / 合蓋待驗(yàn)證見(jiàn)下文不能拿「合蓋」當(dāng)結(jié)論第三行必須留白。睡眠或休眠時(shí)密鑰是否駐留、喚醒是否重新要憑證官方這頁(yè)沒(méi)展開(kāi)本批核不到。所以本文不寫(xiě)「合蓋一定安全」也不寫(xiě)「合蓋就不安全」。能給的只有一個(gè)觀察方法合上蓋等一段時(shí)間再打開(kāi)看它有沒(méi)有重新要你輸入憑證。這是你自己機(jī)器上的現(xiàn)象不是一條通用保證。現(xiàn)象可以記錄結(jié)論得等官方口徑。配套資料獲取本文涉及的三張現(xiàn)場(chǎng)對(duì)照——三種丟失姿勢(shì)、宗卷與密鑰的對(duì)應(yīng)關(guān)系、五步自查——壓在一頁(yè)上配合本章這張狀態(tài)表一起看判斷時(shí)按行對(duì)號(hào)即可。放在資料包里掃碼即可獲取六、邊界之三加密之前寫(xiě)過(guò)、后來(lái)又刪掉的數(shù)據(jù)這一章是本文最值錢(qián)的一段。它講的不是「加密不夠強(qiáng)」而是「加密有一個(gè)起點(diǎn)起點(diǎn)之前的刪除不在保護(hù)范圍內(nèi)」。6.1 官方原文里那句最容易被跳過(guò)的話「文件保險(xiǎn)箱啟用后所有現(xiàn)有文件和后續(xù)寫(xiě)入的任何數(shù)據(jù)都會(huì)加密。如果數(shù)據(jù)是在文件保險(xiǎn)箱啟用前添加之后又被刪除則不會(huì)加密且可能借助取證數(shù)據(jù)恢復(fù)工具進(jìn)行恢復(fù)?！棺x兩遍。第一句是承諾啟用之后現(xiàn)有的和以后寫(xiě)進(jìn)去的都會(huì)加密。第二句是限制啟用之前寫(xiě)進(jìn)去、之后又被刪掉的不會(huì)加密而且「可能借助取證數(shù)據(jù)恢復(fù)工具進(jìn)行恢復(fù)」。第二句用了「可能」這個(gè)詞。這個(gè)詞很關(guān)鍵——它沒(méi)有說(shuō)「一定能恢復(fù)」也沒(méi)有說(shuō)「一定不能」它說(shuō)的是這條路存在。6.2 加密是從某一刻開(kāi)始的不是回溯的「啟用」是一個(gè)時(shí)間點(diǎn)。在這個(gè)點(diǎn)之前寫(xiě)進(jìn)盤(pán)、在這個(gè)點(diǎn)之后被刪掉的東西落在保護(hù)范圍之外。上面這個(gè)說(shuō)法聽(tīng)起來(lái)像同義反復(fù)其實(shí)指向一批很具體的文件頭幾個(gè)月寫(xiě)的舊項(xiàng)目、導(dǎo)出又刪的表格、下載完就清理的安裝包。它們?cè)谀惆聪隆竼⒂谩怪熬驮诒P(pán)上你是之后才刪的。官方?jīng)]有在這里展開(kāi)機(jī)制我不替它補(bǔ)。能確定的是結(jié)果而且是原文親口給的結(jié)果這些數(shù)據(jù)「不會(huì)加密」并且「可能被恢復(fù)」。一種解釋是加密發(fā)生在寫(xiě)入那一刻躺在盤(pán)上的舊塊不會(huì)因?yàn)殚_(kāi)關(guān)打開(kāi)就回頭重寫(xiě)。它和原文不沖突但這是讀出來(lái)的不是原文寫(xiě)的只能當(dāng)腳手架。落到你自己身上如果盤(pán)是買(mǎi)來(lái)第一天就開(kāi)了 FileVault這一條基本不適用——沒(méi)有「啟用之前」這個(gè)窗口。如果是用了一段時(shí)間才開(kāi)的那這個(gè)窗口真實(shí)存在過(guò)。窗口里寫(xiě)過(guò)又刪掉的東西按原文的說(shuō)法不在加密范圍內(nèi)并且可能被恢復(fù)。這不是危言聳聽(tīng)是原文的字面意思。但它不說(shuō)明「開(kāi)了也沒(méi)用」它說(shuō)明「加密有起點(diǎn)起點(diǎn)之前的刪除不在它的賬上」。6.3 「刪除」在這套機(jī)制里做了什么同一頁(yè)還有一段講的是另一種刪除「刪除宗卷時(shí)其宗卷加密密鑰由安全隔區(qū)安全刪除?！棺⒁庵髡Z(yǔ)是宗卷。刪掉整個(gè)宗卷時(shí)密鑰被安全刪除等于銷(xiāo)毀鑰匙剩下的是沒(méi)有鑰匙可配的密文。同一頁(yè)還說(shuō)媒介密鑰的目的在于「啟用快速安全的數(shù)據(jù)刪除」不是多一層保密。這兩句放在一起劃出一條很硬的分界你做的動(dòng)作密鑰有沒(méi)有被銷(xiāo)毀盤(pán)上還剩什么刪掉一個(gè)文件沒(méi)有宗卷密鑰照舊該文件占過(guò)的塊狀態(tài)取決于 6.1 那句刪掉整個(gè)宗卷有密鑰被安全刪除沒(méi)有鑰匙能解的密文「刪掉一個(gè)文件」和「刪掉一個(gè)宗卷」不是程度差別是性質(zhì)差別。前者動(dòng)的是目錄項(xiàng)后者動(dòng)的是鑰匙。想靠「我都刪了」來(lái)解決問(wèn)題動(dòng)的永遠(yuǎn)是前者。七、恢復(fù)密鑰加密的另一面是「自己也進(jìn)不去」前面六章都在講「別人讀不到」。這一章講反面。7.1 那串 24 位字符在哪官方的描述是恢復(fù)密鑰是「一個(gè)由 24 位隨機(jī)數(shù)字和字母組成的序列」可以在「系統(tǒng)設(shè)置」「隱私與安全性」「文件保險(xiǎn)箱」里查看。要認(rèn)清它的性質(zhì)它不是密碼的備份它是另一條進(jìn)入路徑。密碼那條路走的是「你記得的東西」恢復(fù)密鑰這條路走的是「你保管的東西」。兩條路并列不是主備。這也解釋了一個(gè)常見(jiàn)困惑——為什么有的人在系統(tǒng)設(shè)置里翻不到這串字符。因?yàn)樵凇该荑€僅由硬件 UID 保護(hù)」的那條鏈上這一環(huán)本來(lái)就不存在。鏈路短一截入口就少一個(gè)。7.2 丟了憑證和恢復(fù)密鑰那句話對(duì)你也成立第四章那句原文的條件是「沒(méi)有有效的登錄憑證或加密恢復(fù)密鑰」。它沒(méi)有說(shuō)這個(gè)「沒(méi)有」的主語(yǔ)是別人還是你。所以忘記登錄憑證同時(shí)手里沒(méi)有恢復(fù)密鑰盤(pán)上的數(shù)據(jù)你也讀不出來(lái)。這不是設(shè)計(jì)缺陷也不是懲罰是同一套機(jī)制的兩面。加密不認(rèn)人它只認(rèn)鑰匙。這一條最容易被誤解成「廠商在卡我」。不是。如果存在一條「沒(méi)有鑰匙也能進(jìn)」的路那這條路對(duì)拆盤(pán)的人同樣成立全盤(pán)加密從一開(kāi)始就沒(méi)有意義。7.3 五步自查把前面六章折成一個(gè)能照著走的順序。這五步全是只讀的不改任何設(shè)置。第一步問(wèn)狀態(tài)。fdesetup status的回答只有一行先把它記下來(lái)。第二步看宗卷。diskutil apfs list會(huì)列出各宗卷屬性但記住第三章那條別單看Encrypted:那一行。第三步找恢復(fù)密鑰。系統(tǒng)設(shè)置 隱私與安全性 文件保險(xiǎn)箱看那串 24 位字符在不在、你手上有沒(méi)有副本。找不到說(shuō)明你這條鏈上沒(méi)有這一環(huán)。第四步回想啟用時(shí)間點(diǎn)。是開(kāi)機(jī)第一天開(kāi)的還是用了一陣才開(kāi)的。這一步?jīng)Q定第六章那類(lèi)數(shù)據(jù)在不在你的范圍內(nèi)。第五步回想丟失時(shí)的狀態(tài)。關(guān)著、開(kāi)著、還是合蓋。三種狀態(tài)對(duì)應(yīng)三套完全不同的判斷。??代碼待驗(yàn)證sudofdesetup list??代碼待驗(yàn)證sudodiskutil apfs listCryptoUsersdiskXsY上面兩條只讀命令我本機(jī)都沒(méi)有跑過(guò)輸出形態(tài)不確定盤(pán)符也要按實(shí)際替換所以標(biāo)待驗(yàn)證。它們想回答的是同一個(gè)問(wèn)題這個(gè)宗卷上除了你還有誰(shuí)算「有效的登錄憑證」。步驟看什么結(jié)論指向1fdesetup status的回答開(kāi)沒(méi)開(kāi)一行定論2宗卷屬性里那兩個(gè)字段并存屬正常別單看一個(gè)3恢復(fù)密鑰在不在手上缺這一環(huán)等于沒(méi)有備用入口4啟用時(shí)間點(diǎn)有沒(méi)有「啟用前」的窗口5丟失時(shí)的狀態(tài)決定回到第四章還是第五章第三步和第四步是最容易被跳過(guò)的兩步也是最能改變結(jié)論的兩步。前兩步只告訴你「配置是什么」后兩步才告訴你「你這次的情形落在哪一格」。配套資料獲取把這五步做成一張可以打印的核對(duì)單配上本文那三張現(xiàn)場(chǎng)對(duì)照表交給同事自查時(shí)按行打勾即可。放在資料包里掃碼即可獲取附表 A本文引用事實(shí)與官方出處對(duì)照表編號(hào)事實(shí)出處本文位置FV-1文件保險(xiǎn)箱是內(nèi)建加密功能保護(hù)所有靜態(tài)數(shù)據(jù)用 AES-XTS 保護(hù)內(nèi)置和可移除存儲(chǔ)設(shè)備上的完整宗卷Apple 支持《在 macOS 中使用文件保險(xiǎn)箱加密宗卷》§1.1、§2.1FV-2搭載 Apple 芯片的 Mac 上文件保險(xiǎn)箱通過(guò)使用宗卷密鑰的數(shù)據(jù)保護(hù) C 類(lèi)實(shí)施同上§2.2FV-3啟用文件保險(xiǎn)箱后啟動(dòng)過(guò)程中將需要用戶憑證同上§5.1FV-4啟用后現(xiàn)有文件與后續(xù)寫(xiě)入均加密啟用前添加、之后又被刪除的數(shù)據(jù)不會(huì)加密且可能借助取證數(shù)據(jù)恢復(fù)工具恢復(fù)同上§1.3、§6.1、§6.2FV-5沒(méi)有有效登錄憑證或加密恢復(fù)密鑰時(shí)即使物理存儲(chǔ)設(shè)備被移除并接到其他電腦內(nèi)置 APFS 宗卷仍保持加密狀態(tài)同上§1.2、§4.1、§7.2FV-6macOS 11 或更高版本中系統(tǒng)宗卷由 SSV 保護(hù)數(shù)據(jù)宗卷仍通過(guò)加密保護(hù)同上§4.2FV-7所有 APFS 宗卷默認(rèn)使用宗卷加密密鑰創(chuàng)建啟用 FileVault 時(shí) KEK 受用戶密碼與硬件 UID 共同保護(hù)同上§2.3FV-8若初次運(yùn)行設(shè)置助理時(shí)未啟用文件保險(xiǎn)箱宗卷仍會(huì)加密但宗卷加密密鑰僅由安全隔區(qū)中的硬件 UID 保護(hù)同上§3.1、§7.1FV-9Apple 芯片與 T2 芯片機(jī)型上所有文件保險(xiǎn)箱密鑰的處理都在安全隔區(qū)中加密密鑰絕不會(huì)直接透露給 CPU同上§2.2FV-10刪除宗卷時(shí)其宗卷加密密鑰由安全隔區(qū)安全刪除媒介密鑰旨在啟用快速安全的數(shù)據(jù)刪除不提供額外機(jī)密性同上§6.3FV-11恢復(fù)密鑰是由 24 位隨機(jī)數(shù)字和字母組成的序列可在系統(tǒng)設(shè)置 隱私與安全性 文件保險(xiǎn)箱中查看同上§7.1、§7.3FV-12本機(jī)實(shí)測(cè)macOSApple 芯片fdesetup status輸出FileVault is On.本機(jī)命令輸出§3.2、§7.3FV-13本機(jī)實(shí)測(cè)diskutil apfs list中同一宗卷同時(shí)出現(xiàn)FileVault: Yes (Unlocked)與Encrypted: No本機(jī)命令輸出§3.2FV-14待驗(yàn)證diskutil這兩個(gè)字段的官方定義未找到本文只寫(xiě)「兩者不是同一件事」未下定義—§3.3FV-15待驗(yàn)證睡眠 / 休眠時(shí)密鑰是否駐留、喚醒是否重新要求憑證官方該頁(yè)未展開(kāi)本文未下結(jié)論—§5.3附表 B術(shù)語(yǔ)速查表術(shù)語(yǔ)一句話解釋全盤(pán)加密對(duì)整個(gè)宗卷加密不是對(duì)單個(gè)文件加密保護(hù)對(duì)象是「未被掛載的盤(pán)」靜態(tài)數(shù)據(jù)躺在存儲(chǔ)介質(zhì)上、此刻未被讀寫(xiě)的數(shù)據(jù)全盤(pán)加密的保護(hù)對(duì)象文件保險(xiǎn)箱Apple 對(duì)全盤(pán)加密功能的叫法內(nèi)建在 macOS 里宗卷APFS 里可以被掛載的一個(gè)單元全盤(pán)加密的作用粒度宗卷加密密鑰真正加密這個(gè)宗卷數(shù)據(jù)的鑰匙所有 APFS 宗卷默認(rèn)都有KEK密鑰加密密鑰用來(lái)包住宗卷密鑰的那把鑰匙硬件 UID芯片內(nèi)的唯一標(biāo)識(shí)出不了這臺(tái)機(jī)器未開(kāi) FileVault 時(shí)是唯一的保護(hù)來(lái)源安全隔區(qū)獨(dú)立處理密鑰的芯片區(qū)域密鑰不會(huì)直接交給 CPU恢復(fù)密鑰24 位隨機(jī)字符組成的備用入口與登錄憑證并列不是它的備份簽名系統(tǒng)宗卷macOS 11 起保護(hù)系統(tǒng)宗卷完整性的機(jī)制管「有沒(méi)有被改過(guò)」不管「讀不讀得出」取證數(shù)據(jù)恢復(fù)從已刪除但仍留在介質(zhì)上的數(shù)據(jù)里還原內(nèi)容本文只引用官方提示不涉及具體做法數(shù)據(jù)保護(hù) C 類(lèi)Apple 芯片機(jī)型上文件保險(xiǎn)箱所依附的數(shù)據(jù)保護(hù)分級(jí)寫(xiě)在最后這篇用到的資料寫(xiě)這篇文章時(shí)我把fdesetup status和diskutil apfs list的輸出并排看了一遍才確認(rèn)「加密了」和「開(kāi)了 FileVault」在原廠口徑里是兩件事順手也整理了幾份配套的東西靶場(chǎng)環(huán)境對(duì)照表DVWA、upload-labs 在 Windows / macOS / Linux 三平臺(tái)的可行性與推薦路徑Web 安全學(xué)習(xí)路線圖從基礎(chǔ)打牢到安全管理四個(gè)階段各學(xué)什么常用靶場(chǎng)清單每個(gè)靶場(chǎng)練什么、適合哪個(gè)階段資料是我自己整理的放在下面這個(gè)碼上掃碼即可獲取添加時(shí)備注「靶場(chǎng)」優(yōu)先通過(guò)。拿到之后建議先看環(huán)境對(duì)照表那一份把自己機(jī)器上「這一格到底管不管用」先核一遍比記結(jié)論管用。