如何在 Mac 上加密备份

简短回答：对于留在家里的驱动器，在 Time Machine 中勾选“加密备份”。对于任何离开家门或存到别人存储上的东西，请在写入字节之前加密。

区别在于需要信任谁：驱动器，还是谁都不用信任。

四件常被混淆的不同事物

前三种防的是丢失磁盘。只有第四种能防范存储本身，而一旦备份存放在云账号或 NAS 上，这就是关键问题。

为已有备份加密会在后台重新加密整个磁盘，需要几个小时，有时甚至几天。如果可以，在首次添加磁盘时就加密。

密码存储在 Mac 的钥匙串中，这很方便，但也是陷阱：Mac 坏了，钥匙串也随之消失，而密码是打开备份的唯一途径。请把它写下来放在别处。

hdiutil create -encryption AES-256 -stdinpass -size 200g \
  -volname Backup -fs APFS ~/backup.dmg

装载它，把文件复制进去，再推出。对于需要随身携带的驱动器，这是个合理的容器。但它不太适合云文件夹，因为映像是一个巨大的文件，内容稍有改动就要重新上传远多于改动量的数据。

手动操作的话，就是通过 openssl 制作一个存档：

tar -cJf - ~/Documents | openssl enc -aes-256-cbc -pbkdf2 -out ~/Dropbox/documents.tar.xz.enc

目标永远看不到明文，这完全正确。代价是你得到一个不透明的整块数据：无法增量更新，不解包全部内容就无法恢复单个文件，而你与所有数据之间只隔着一个密码短语。

要把这件事做好，按文件加密，让单个文档也能单独恢复，这正是很难自己动手实现的部分。Copy Shelter 会在写入任何地方之前加密 Mac 上的所有内容，而且没有关闭加密的选项。密钥在你的电脑上生成，从不传输，因此目标位置只是存储空间，而不是你必须信任的一方。

真正让人丢失数据的往往是这一环，比任何攻击都更常见。

FileVault 会覆盖我的 Time Machine 驱动器吗？

不会。FileVault 只加密内置磁盘。备份驱动器是一个独立的宗卷，有自己的加密设置。

能在事后加密 Time Machine 备份吗？

可以，macOS 会在后台重新加密整个磁盘。这行得通，但需要很长时间，完成之前备份并未完全受保护。

加密会拖慢备份吗？

在近十年生产的任何 Mac 上都察觉不到。AES 有硬件加速，早在加密算法成为瓶颈之前，磁盘或网络就已是瓶颈。

忘记密码会怎样？

备份将无法打开，你和任何人都打不开。这正是你所追求的特性。这也是为什么密钥应写下来，放在 Mac 以外的地方。

把加密备份放到云端安全吗？

如果在离开你的 Mac 之前就已加密，是的：服务商保存的是它无法读取的字节。如果你依赖的是服务商自己的加密，那你就是在信任服务商，这是另一回事，也弱得多。