Respuesta corta: para un disco que se queda en casa, marca Encriptar copia de seguridad en Time Machine. Para todo lo que sale del edificio o va al almacenamiento de otro, cifra antes de escribir los bytes.
La diferencia está en en quién hay que confiar: en el disco, o en nadie.
Las tres primeras protegen contra la pérdida del disco. Solo la cuarta protege frente al propio almacenamiento, que es la pregunta importante en cuanto la copia vive en una cuenta en la nube o en un NAS.
Cifrar una copia que ya existe vuelve a cifrar todo el disco en segundo plano, lo que tarda horas y a veces días. Si puedes, hazlo al agregar el disco por primera vez.
La contraseña se guarda en el llavero de tu Mac, lo cual es cómodo y también la trampa: si la Mac muere, el llavero muere con ella, y la contraseña es la única forma de entrar en la copia. Apúntala en otro sitio.
hdiutil create -encryption AES-256 -stdinpass -size 200g \
-volname Backup -fs APFS ~/backup.dmgLo montas, copias dentro y lo desmontas. Es un contenedor razonable para un disco que viaja. Encaja mal en una carpeta en la nube, porque la imagen es un único archivo enorme y cualquier cambio en su contenido obliga a volver a subir mucho más de lo que cambiaste.
A mano, esto es un archivo comprimido pasado por openssl:
tar -cJf - ~/Documents | openssl enc -aes-256-cbc -pbkdf2 -out ~/Dropbox/documents.tar.xz.encEl destino nunca ve texto sin cifrar, que es justo lo correcto. A cambio obtienes un único bloque opaco: sin actualizaciones incrementales, sin restaurar un archivo sin desempaquetarlo todo y con una sola frase de contraseña entre tú y todo lo demás.
Hacerlo bien, con cifrado por archivo para que un solo documento pueda recuperarse por separado, es lo difícil de montar a mano. Copy Shelter cifra todo en tu Mac antes de escribirlo en cualquier lugar, y no hay ningún ajuste para desactivarlo. La clave se genera en tu equipo y nunca se transmite, así que el destino es solo almacenamiento, no alguien en quien tengas que confiar.
Esta es la parte que de verdad hace que la gente pierda sus datos, más a menudo que cualquier ataque.
No. FileVault solo cifra el disco interno. El disco de copia es un volumen aparte con su propio ajuste de cifrado.
Sí, y macOS vuelve a cifrar todo el disco en segundo plano. Funciona, tarda mucho y la copia no está totalmente protegida hasta que termina.
No de forma apreciable en ninguna Mac de la última década. AES está acelerado por hardware, y el disco o la red son el cuello de botella mucho antes que el cifrado.
La copia no se puede abrir, ni por ti ni por nadie. Esa es la propiedad por la que pagabas. Por eso la clave debe estar en otro sitio que no sea la Mac, por escrito.
Si se cifró antes de salir de tu Mac, sí: el proveedor guarda bytes que no puede leer. Si confías en el cifrado del propio proveedor, estás confiando en el proveedor, que es una afirmación distinta y mucho más débil.
Relacionado: usar el almacenamiento en la nube que ya pagas.