macos数据加密是分层协同架构：secure enclave硬件级密钥保护、filevault 2全盘xts-aes-128加密、apfs多层级卷加密三者协同，覆盖硬件、系统、文件系统各层，实现默认常态的纵深防御。
macOS 的数据加密保护不是单一功能，而是一套分层协同的架构体系，覆盖硬件、固件、文件系统和应用层。它不依赖某一个开关，而是多个组件在不同阶段共同作用，形成纵深防御。
硬件级密钥保护：Secure Enclave 与安全隔区
在 Apple silicon Mac 上，加密密钥由独立的安全协处理器——Secure Enclave（安全隔区）生成、存储和管理。它拥有自己的内存、加密引擎和运行环境，与主 CPU 完全隔离。FileVault 的加密密钥不会暴露给操作系统内核，即使系统被攻破，密钥也无法被提取。启动时，Secure Enclave 验证系统完整性后才释放解密密钥，实现“密钥不出芯片”。
全盘加密核心：FileVault 2 的工作方式
FileVault 使用 XTS-AES-128 算法对整个启动宗卷进行实时加解密。它的关键特性包括：
- 加密发生在块设备层，对用户和应用完全透明；读写操作时自动加解密，无需手动挂载或输入密码
- 每个数据块使用唯一密钥和随机数（tweak），防止模式分析攻击
- 登录密码不直接用于加密，而是派生出密钥加密密钥（KEK），再由 KEK 解封真正的卷加密密钥（VEK）
- 恢复密钥是 VEK 的另一份加密副本，可离线保管或交由 iCloud 安全托管
文件系统级加密：APFS 加密卷
APFS 原生支持多层级加密，不仅限于启动盘：
- 可为任意宗卷单独启用加密（如外接 SSD 或虚拟机磁盘），格式化时选择“APFS（加密）”即可
- 支持多种加密策略：单密钥（所有文件共用）、多密钥（按文件/目录分离）、用户密钥（绑定账户）
- 加密元数据（如文件名、大小、权限）也受保护，防止通过文件系统结构推测内容
- 与 FileVault 协同：FileVault 保护启动卷，APFS 加密保护数据卷，二者可并存
密钥生命周期与访问控制
macOS 对加密密钥的使用施加严格上下文限制：
- 密钥仅在可信执行环境（如 Secure Enclave 或 T2 芯片）中解封，且只在需要时短暂驻留内存
- 用户登录前，启动宗卷处于锁定状态；蓝牙、部分 USB 设备可能受限，防止预登录阶段的数据泄露
- 恢复模式需验证用户密码或恢复密钥才能访问加密卷，绕过常规登录流程不等于绕过加密
- 企业环境中可通过 MDM 下发策略，强制启用 FileVault、禁用本地恢复密钥、统一管理密钥托管
这套架构把加密从“事后补救”变成“默认常态”，既保障安全性，又兼顾性能与易用性。现代 Mac 几乎在出厂时就已为加密做好准备，关键在于主动启用并正确管理凭证。
