time machine 备份安全需独立启用 apfs 加密，外置盘须在添加时勾选“加密备份磁盘”，网络备份应使用加密 .sparsebundle，虚拟机等敏感数据需存于加密卷内，且不可用访达加密或非加密格式替代。
FileVault 只加密你 Mac 的启动磁盘，它不会让 Time Machine 备份自动变安全。备份是否真正受保护，取决于备份目标本身有没有启用独立加密——这是最容易被忽略的关键点。
H3：Time Machine 备份盘必须单独启用 APFS 加密
- 连接新外置硬盘后，在“系统设置 → 通用 → Time Machine → 添加备份磁盘”中，务必勾选“加密备份磁盘”
- 系统会自动抹盘、格式化为 APFS(加密)卷，并在首次备份时启用全盘 AES-128 加密
- 已存在的未加密备份盘若想转为加密，需先移除备份磁盘设置，再重新添加并勾选加密（原有备份会被清空）
- 终端验证命令：
tmutil destinationinfo | grep -i "encryption"，返回Encryption: YES表示生效
H3：网络备份不能依赖 SMB 或 AFP 共享直接加密
- 普通 NAS 的 SMB 共享只保证传输加密，不加密静态存储的备份文件
- 推荐做法：在 NAS 上创建一个
.sparsebundle加密映像（格式选 APFS(加密)），挂载后作为本地磁盘供 Time Machine 使用 - 卸载后，整个
.sparsebundle文件就是自包含的加密备份包，可安全归档或迁移 - 避免将加密外置硬盘直连 AirPort 基站或 Time Capsule——这些设备不支持加密磁盘作为备份目标
H3：虚拟机与敏感数据需额外隔离存放
- FileVault 对主机上以普通文件形式存在的虚拟机磁盘（如 .qcow2、.vmdk）无直接保护作用
- 建议将虚拟机目录整体存放在已加密的 APFS 卷内，或直接用加密
.sparsebundle封装整个 VM 文件夹 - 若使用企业 MDM（如 Jamf），可策略性禁止向未加密目标写入备份，强制用户只用加密本地卷
H3：别混淆“加密方式”，有些操作根本不能用于 Time Machine
- 用访达右键 → “加密磁盘”方式处理外置盘，虽无需抹盘，但 Apple 明确禁止其作为 Time Machine 目标
- 用磁盘工具抹盘时，必须选“APFS(加密)”或“Mac OS 扩展(日志式,加密)”，不能选非加密格式再手动开启 FileVault
- FileVault 和备份加密是两套独立机制，各自管理密钥，不可互相替代或联动
不复杂但容易忽略
