2023年起搭载apple芯片的mac（m1/m2/m3/m4系列）不受thunderspy影响，因其雷电控制器由secure enclave硬隔离，dma路径默认关闭；intel芯片mac需通过启用内核dma保护、禁用雷电dma通路或物理遮蔽pcie针脚来防御。
Mac设备在关机或锁屏状态下，黑客若能物理接触雷电接口，可利用DMA漏洞绕过密码和BitLocker级加密直接读取内存中的密钥、登录凭证甚至未加密的磁盘缓存数据。
确认你的Mac是否受Thunderspy类DMA攻击影响
第一步：点击左上角苹果菜单 →「关于本机」→「系统报告」→ 左侧展开「硬件」→ 选择「雷雳」；查看「雷雳控制器版本」是否为Thunderbolt 3（2015–2019年款MacBook Pro/Air、Mac mini、iMac）或Thunderbolt 4（2020–2022年部分MacBook Pro）；【2023年起搭载Apple芯片的Mac（M1/M2/M3/M4系列）不受Thunderspy影响，因其雷电控制器由Secure Enclave硬隔离，DMA路径默认关闭】。
第二步：若为Intel芯片Mac（如2019款MacBook Pro），进入「系统设置」→「隐私与安全性」→ 滚动到底部查看「允许配件连接」是否启用；该设置仅控制首次连接时的数据通道授权，【无法阻止已获授权设备发起的DMA内存读取】。
启用固件级DMA防护（仅限Intel芯片Mac）
方法一：通过启动安全模式强制启用IOMMU隔离
重启Mac，立即按住 Command + R 进入恢复模式 → 顶部菜单栏「实用工具」→「终端」→ 输入：nvram tboot=1 → 回车 → 关机；再次开机时立即按住 Option 键，选择「启动安全性实用工具」→ 在「安全启动」中选择「完整安全性」→ 勾选「启用内核DMA保护」（若选项灰显，说明固件版本过旧，需先升级macOS至Ventura 13.6或Sonoma 14.7以上）。
方法二：禁用雷电控制器的PCIe DMA通路（需重置NVRAM）
关机后按住 Option + Command + P + R 开机，听到启动声两次后松开；开机进入系统后，打开「终端」，输入：sudo nvram thunderbolt-dma=0 → 输入管理员密码 → 重启生效；此命令将雷电控制器降级为纯USB-C供电模式，外接显卡、高速NVMe扩展坞将无法识别。
物理层阻断DMA攻击路径
对所有非必要雷电接口贴覆专用导电铜箔胶带，覆盖接口金属触点区域；胶带必须完全遮盖第1～12针（含PCIe TX/RX、SMBus、VBUS），仅留出第13～20针（接地与USB2.0信号）用于充电——这一步能阻断DMA所需的PCIe总线通信，同时保留手机/耳机等低速设备充电功能。
更换原装雷电线为屏蔽增强型USB-C线（认证标识含「USB-IF Certified」且线身印有「USB 2.0 Only」字样），此类线缆内部仅连通D+/D−与GND，物理切断PCIe通道；注意：不能用于连接雷电硬盘或eGPU，但可安全接入iPhone、AirPods充电盒等设备。
