恢复密钥是filevault加密卷的唯一解密凭证，须离线手写保存于保险柜等物理安全位置，禁用一切数字存储；密钥与设备必须物理隔离；慎用icloud恢复；每半年验证有效性。
恢复密钥不是备用密码，而是 FileVault 加密卷的唯一解密凭证。保存策略的核心是“离线、隔离、可控”——它必须脱离数字环境、远离设备本体、且全程由你掌握。
必须离线手写，禁用一切数字存储
系统生成的 24 位密钥（如 ABCD-EFGH-IJKL-MNOP-QRST-UVWX）绝不能以任何形式进入数字世界：
- 不截图、不复制粘贴、不存入备忘录（哪怕 iCloud 同步已关）
- 不发邮件、不传网盘、不保存在聊天工具或云笔记中
- 不拍照存手机——尤其当手机未启用加密或已越狱时风险极高
- 推荐方式：用笔清晰抄写在厚纸或卡片上，放入家中保险柜或办公室抽屉等物理安全位置
密钥与设备必须物理隔离
共处一地等于单点失效，火灾、盗窃或意外都可能同时摧毁两者：
- 不要把密钥纸条和 Mac 放在同一背包、同一抽屉、甚至同一房间内
- 如需多份备份，建议打印两份，分别存放于不同地点（例如：一份放公司保险柜，一份藏在家中的隐蔽但固定位置）
- 若使用加密 USB 或硬件安全模块（HSM）存储密钥文件，该设备本身须设强密码，且不长期连接网络
慎用 iCloud 恢复，优先自主保管
iCloud 恢复看似便捷，实则将密钥安全绑定到 Apple ID 的防护水位：
- 必须已开启双重认证，且所有信任设备可信度高
- 一旦 Apple ID 被钓鱼、社工或弱密码攻破，攻击者可借此接管整个加密磁盘
- 企业或教育机构管理的 Mac，密钥通常由管理员统一保管，应主动确认其策略是否合规、是否有审计记录
- 个人设备强烈建议选择“创建恢复密钥且不使用 iCloud”，把控制权握在自己手中
每半年验证一次有效性
密钥不是存好就完事，抄错、格式变动或系统更新都可能导致失效：
- 重启 Mac，在登录界面点击密码框旁的问号 → 选“使用恢复密钥”
- 准确输入密钥（注意大小写、连字符，无空格），确认能正常进入系统
- 若验证失败，说明密钥不可用，需立即重新启用 FileVault 并获取新密钥
- 验证过程不重设密码、不改动数据，属于低风险安全检查
