簡短回答：對於留在家裡的磁碟，在 Time Machine 中勾選「加密備份」。對於任何離開家門或存到別人儲存上的東西，請在寫入位元組之前加密。
區別在於需要信任誰：磁碟，還是誰都不用信任。
前三種防的是丟失磁碟。只有第四種能防範儲存本身，而一旦備份存放在雲端帳號或 NAS 上，這就是關鍵問題。
為已有備份加密會在背景重新加密整個磁碟，需要幾個小時，有時甚至幾天。如果可以，在首次添加磁碟時就加密。
密碼儲存在 Mac 的鑰匙串中，這很方便，但也是陷阱：Mac 壞了，鑰匙串也隨之消失，而密碼是開啟備份的唯一途徑。請把它寫下來放在別處。
hdiutil create -encryption AES-256 -stdinpass -size 200g \
-volname Backup -fs APFS ~/backup.dmg裝載它，把檔案複製進去，再推出。對於需要隨身攜帶的磁碟，這是個合理的容器。但它不太適合雲端資料夾，因為映像是一個巨大的檔案，內容稍有改動就要重新上傳遠多於改動量的資料。
手動操作的話，就是透過 openssl 製作一個存檔：
tar -cJf - ~/Documents | openssl enc -aes-256-cbc -pbkdf2 -out ~/Dropbox/documents.tar.xz.enc目標永遠看不到明文，這完全正確。代價是你得到一個不透明的整塊資料：無法增量更新，不解包全部內容就無法復原單個檔案，而你與所有資料之間只隔著一個密碼片語。
要把這件事做好，逐一加密每個檔案，讓單一文件也能獨立復原，正是很難自己動手做到的部分。Copy Shelter 會在寫入任何地方之前，先加密 Mac 上的所有內容，而且沒有可以關掉加密的設定。金鑰在你的電腦上產生，從不傳送出去，所以目的地只是儲存空間，而不是你必須信任的對象。
真正讓人丟失資料的往往是這一環，比任何攻擊都更常見。
不會。FileVault 只加密內建磁碟。備份磁碟是一個獨立的卷宗，有自己的加密設定。
可以，macOS 會在背景重新加密整個磁碟。這行得通，但需要很長時間，完成之前備份並未完全受保護。
在近十年生產的任何 Mac 上都察覺不到。AES 有硬體加速，早在加密算法成為瓶頸之前，磁碟或網路就已是瓶頸。
備份將無法開啟，你和任何人都打不開。這正是你所追求的特性。這也是為什麼金鑰應寫下來，放在 Mac 以外的地方。
如果在離開你的 Mac 之前就已加密，是的：服務商儲存的是它無法讀取的位元組。如果你依賴的是服務商自己的加密，那你就是在信任服務商，這是另一回事，也弱得多。
相關：使用你已付費的雲端儲存。